Digitale Souveränität: Kontrolle über Infrastruktur, Daten und Abhängigkeiten

Back openDesk Edu for a sovereign, open-source education — every vote counts.

Digitale Souveränität: Kontrolle über Infrastruktur, Daten und Abhängigkeiten | Technology | Tobias Weiss

Das Problem: Vendor Lock-in, Datenabfluss und steigende Kosten

Jedes Unternehmen, das heute Cloud-Dienste von US-Hyperscalern (Microsoft 365, Google Workspace, AWS, OpenAI) nutzt, trägt ein kalkuliertes Risiko: Daten verlassen den europäischen Rechtsraum, monatliche Subscription-Kosten steigen jährlich um 15–25 %, und ein Anbieterwechsel wird durch proprietäre Formate, fehlende Export-Schnittstellen und tiefe Integrationen faktisch unmöglich.

Die Rechnung ist einfach: Ein Unternehmen, das seine kritische Infrastruktur nicht selbst betreiben kann, besitzt seine digitale Identität nicht. Das zeigt sich spätestens dann, wenn der Anbieter die Preise verdoppelt (Microsoft 365 ist zwischen 2020 und 2025 um über 30 % teurer geworden), die DSGVO-konforme Datenhaltung nicht garantiert werden kann oder ein US-Gesetz wie der CLOUD Act direkten Zugriff auf Unternehmensdaten ermöglicht.

Digitale Souveränität bedeutet nicht, nie wieder Cloud-Dienste zu nutzen. Sie bedeutet, die Kontrolle über die eigene Infrastruktur, Daten und Technologieentscheidungen zu behalten — und jederzeit die Wahl zu haben, den Anbieter zu wechseln oder selbst zu hosten.

Self-Hosted vs. Cloud: Ein Vergleich

Die Entscheidung zwischen Eigenbetrieb und Cloud ist keine Glaubensfrage, sondern eine Kosten-Nutzen-Abwägung. Die folgende Tabelle zeigt die wichtigsten Dimensionen:

Dimension	Self-Hosted (eigene Infrastruktur)	Cloud (Hyperscaler)
Kosten	Hohe einmalige Investition (Hardware), niedrige laufende Kosten	Pay-as-you-go, aber Kostensteigerung von 15–25 % p. a.
Kontrolle	Vollständig — Daten, Versionen, Konfiguration	Eingeschränkt — Anbieter definiert Upgrades, Features, Limits
Datenschutz	Daten verlassen nie das eigene Netz — DSGVO-konform	Abhängig von Rechtsraum und AGB des Anbieters
Wartungsaufwand	Hoch — eigenes Team für Betrieb, Security, Updates	Niedrig — wird vom Anbieter übernommen
Skalierbarkeit	Horizontal skalierbar, aber begrenzt durch eigene Hardware	Praktisch unbegrenzt, aber zu Anbieterkonditionen
Ausfallsicherheit	Eigenverantwortlich — Redundanz muss selbst gebaut werden	SLA-garantiert, aber bei Störung kein eigener Eingriff möglich

Faustregel: Für kritische Geschäftsprozesse mit sensiblen Daten lohnt sich Self-Hosted fast immer. Für experimentelle oder stark schwankende Workloads kann die Cloud wirtschaftlicher sein. Die Kunst liegt im hybriden Ansatz: Kerndienste selbst betreiben, Spitzenlast in die Cloud auslagern — aber immer mit Exit-Strategie.

Die Werkzeugkiste der digitalen Souveränität

Für jede Kategorie gibt es heute ausgereifte Open-Source-Alternativen, die produktionsreif sind. Hier die wichtigsten Bausteine, alle auf tobias-weiss.org mit detaillierten Produktionsguides dokumentiert:

E-Mail

E-Mail ist oft der erste Schritt — und der komplexeste. Während Dovecot und Postfix seit Jahrzehnten Standard sind, hat sich der Markt weiterentwickelt:

Mailcow — Komplettes E-Mail-System mit Webinterface, Spamfilter (Rspamd), Autokonfiguration und Docker-Compose-Stack. Ideal für mittlere Unternehmen.
Stalwart Mail Server — Moderner, JMAP-fähiger Mailserver in Rust geschrieben. Deutlich performanter als Dovecot bei Full-Text-Suche und speichersparender. Der direkte Vergleich zeigt: Stalwart benötigt bei 50.000 E-Mails 40 % weniger Speicher und ist 3× schneller bei Volltextsuchen.

Ausführlicher Vergleich im Artikel: Stalwart vs Dovecot 2.4 CE

Kollaboration

Nextcloud — Die zentrale Plattform für Filesharing, Kalender, Kontakte, Office-Dokumente, Talk (Video-Konferenzen) und über 200 Apps. Nextcloud Hub deckt fast alle Microsoft-365-Funktionen ab.
openDesk — Das vom deutschen Innenministerium geförderte modulare Arbeitsplatzsystem. Kubernetes-nativ, mit Keycloak-SSO, OnlyOffice-Integration und Ende-zu-Ende-Verschlüsselung. Speziell für Behörden und Bildungseinrichtungen entwickelt.

Storage

MinIO — S3-kompatibler Objektspeicher für Produktion. Bietet Bucket-Lifecycle-Policies, automatische Bitrot-Erkennung, Erasure Coding und Replikation. Schlüsselkomponente für jede souveräne Infrastruktur — Nextcloud, GitLab und viele weitere Dienste nutzen S3 als Storage-Backend.

Workflow-Automation

n8n — Open-Source-Workflow-Automation als Alternative zu Zapier/Make. Läuft vollständig auf eigener Infrastruktur, Credentials verschlüsselt in PostgreSQL, Queue-Mode mit Redis für Produktionslast.

KI-Infrastruktur

Die selbstgehostete KI-Plattform ist das wichtigste Puzzlestück für Souveränität im AI-Zeitalter (dazu unten mehr).

Infrastruktur & Sicherheit

SSL Reverse Proxy mit CrowdSec — Nginx als Reverse Proxy, automatische Let's-Encrypt-Zertifikate, CrowdSec als WAF/IPS. Jeder self-gehostete Dienst sollte dahinter betrieben werden.

Beispiel: Minimaler souveräner Stack mit Docker Compose

Der folgende Stack zeigt, wie wenige Dienste nötig sind, um eine produktionsreife, souveräne Infrastruktur aufzusetzen — inklusive Nextcloud, Datenbank, Reverse Proxy und KI-Gateway:

version: "3.8"

networks:
  sovereign-net:
    driver: bridge

services:
  # Reverse Proxy mit SSL und WAF
  nginx:
    image: nginx:1.27-alpine
    networks:
      - sovereign-net
    ports:
      - "443:443"
      - "80:80"
    volumes:
      - ./nginx/conf.d:/etc/nginx/conf.d
      - ./ssl:/etc/letsencrypt
      - ./crowdsec:/etc/crowdsec
    restart: unless-stopped

  # Nextcloud (zentrale Kollaborationsplattform)
  nextcloud:
    image: nextcloud:30-apache
    networks:
      - sovereign-net
    volumes:
      - nextcloud-data:/var/www/html
    environment:
      - POSTGRES_HOST=postgres
      - POSTGRES_DB=nextcloud
      - POSTGRES_USER=nextcloud
      - POSTGRES_PASSWORD=${POSTGRES_PASSWORD}
      - NEXTCLOUD_ADMIN_USER=admin
      - NEXTCLOUD_ADMIN_PASSWORD=${ADMIN_PASSWORD}
      - OVERWRITEPROTOCOL=https
    depends_on:
      - postgres
      - redis
    restart: unless-stopped

  # MinIO (S3-Backend für Nextcloud und andere Dienste)
  minio:
    image: minio/minio:latest
    networks:
      - sovereign-net
    command: server /data --console-address ":9001"
    volumes:
      - minio-data:/data
    environment:
      - MINIO_ROOT_USER=${MINIO_ROOT_USER}
      - MINIO_ROOT_PASSWORD=${MINIO_ROOT_PASSWORD}
    restart: unless-stopped

  # LiteLLM + Ollama (lokale KI-Inferenz)
  litellm:
    image: ghcr.io/berriai/litellm:main
    networks:
      - sovereign-net
    volumes:
      - ./litellm_config.yaml:/app/config.yaml
    environment:
      - LITELLM_MASTER_KEY=${LITELLM_KEY}
    restart: unless-stopped

  ollama:
    image: ollama/ollama:latest
    networks:
      - sovereign-net
    volumes:
      - ollama-models:/root/.ollama
    deploy:
      resources:
        reservations:
          devices:
            - driver: nvidia
              count: 1
              capabilities: [gpu]

  postgres:
    image: postgres:16-alpine
    networks:
      - sovereign-net
    volumes:
      - postgres-data:/var/lib/postgresql/data
    environment:
      - POSTGRES_PASSWORD=${POSTGRES_PASSWORD}
    restart: unless-stopped

  redis:
    image: redis:7-alpine
    networks:
      - sovereign-net
    volumes:
      - redis-data:/data
    restart: unless-stopped

volumes:
  nextcloud-data:
  minio-data:
  postgres-data:
  redis-data:
  ollama-models:

Dieser Stack zeigt: Mit sechs zentralen Diensten (NGINX, Nextcloud, MinIO, LiteLLM/Ollama, PostgreSQL, Redis) deckt man E-Mail-Ablage, Dateisynchronisation, Kollaboration, S3-konformen Objektspeicher und KI-Inferenz ab — alles auf eigener Infrastruktur.

EU-Initiativen: Gaia-X, Sovereign Cloud Stack und die Bundescloud

Die europäische Antwort auf US-Hyperscaler nimmt Gestalt an:

Gaia-X — Ein europäisches Dateninfrastruktur-Ökosystem mit gemeinsamen Standards für Souveränität, Interoperabilität und Datenschutz. Kein eigener Cloud-Anbieter, sondern ein Regelwerk für vertrauenswürdige Datenräume.
Sovereign Cloud Stack (SCS) — Betreiber von Gaia-X-konformen Cloud-Infrastrukturen auf Basis von OpenStack und Kubernetes. Ermöglicht es europäischen Anbietern, kompatible, souveräne Clouds zu betreiben.
openDesk (Bundescloud) — Vom Bundesministerium des Innern geförderter, modularer Arbeitsplatz für die öffentliche Verwaltung. Basiert auf Nextcloud, Open Xchange, OnlyOffice und Keycloak.
EuroStack — Eine Initiative europäischer Organisationen für eine grundlegende digitale Infrastruktur auf Basis europäischer Technologien.

Diese Initiativen sind vielversprechend, aber in der Praxis noch nicht auf dem Niveau der Hyperscaler. Wer heute handeln will, muss selbst aktiv werden — die Werkzeuge und Guides dafür gibt es bereits.

KI-Souveränität: Warum eigene Modelle der Schlüssel sind

Mit dem Aufkommen von ChatGPT und API-basierten KI-Diensten entsteht eine neue Form der Abhängigkeit: KI-Vendor-Lock-in. Unternehmen, die ihre Daten zur Verarbeitung an OpenAI, Google oder Anthropic senden, geben nicht nur sensible Informationen aus der Hand, sondern verlieren auch die Kontrolle über Modellverhalten, Verfügbarkeit und Kosten.

Die Risiken von KI-APIs

Datenabfluss: Jeder Prompt, jede Datei, die an eine externe API gesendet wird, verlässt den Rechtsraum — Verstoß gegen die DSGVO bei personenbezogenen Daten (§ 44 ff. DSGVO, Auftragsverarbeitung).
Kostenexplosion: Abhängigkeit von API-Preisen. Bei steigender Nutzung wachsen die Kosten linear — ohne die Möglichkeit, auf günstigere Alternativen zu wechseln.
Modellverfügbarkeit: Der Anbieter kann das Modell jederzeit ändern, einstellen oder neu bepreisen.
Vendor-Lock-in: Integrationen gegen eine spezifische API — ein Wechsel erfordert Neuentwicklung.

Self-Hosted AI als Lösung

Eine vollständig selbstgehostete KI-Plattform (Ollama + LiteLLM + Open WebUI) eliminiert diese Risiken:

Daten bleiben lokal: Kein Prompt verlässt das eigene Rechenzentrum.
Feste Kosten: Eine einmalige Hardware-Investition (z. B. RTX 3090 für ca. 1.500 €) deckt den gesamten KI-Bedarf eines kleinen bis mittleren Teams.
Modellfreiheit: Beliebiges Open-Weight-Modell (Llama 4, DeepSeek V4, Mistral, Qwen) — jederzeit austauschbar ohne API-Anpassung, da LiteLLM eine OpenAI-kompatible API bereitstellt.
Auditierbarkeit: Vollständige Kontrolle über Logs, Token-Verbrauch, Zugriffsrechte und Modellversionen.

Hardware-Schnellübersicht

Setup	GPU	Modelle	Kosten (ca.)	Geeignet für
Minimum	CPU (kein GPU)	1–7B Parameter	0 €	Experimente, Chatbots
Einsteiger	RTX 3060 12GB	7–13B Parameter	300 €	1–2 Nutzer
Empfohlen	RTX 3090 24GB	7–70B Parameter	1.500 €	3–5 Nutzer
Team	2× RTX 4090 24GB	7–70B parallel	4.000 €	10–20 Nutzer
Enterprise	4× A100 80GB	Alle Modelle	60.000 €	50+ Nutzer

Grad der digitalen Souveränität: Selbst-Checkliste

Wie souverän ist Ihre Infrastruktur? Beantworten Sie die folgenden Fragen für Ihr Unternehmen:

Stufe	Status	Kriterium
Level 0	❌ Keine Souveränität	Alle Dienste laufen bei US-Hyperscalern, keine Exit-Strategie, keine Datenverschlüsselung
Level 1	⚠️ Bewusstsein	DSGVO-konforme Cloud-Anbieter (z. B. Hetzner, IONOS) identifiziert, erste Gespräche
Level 2	🔧 Hybrid	Nicht-kritische Dienste in die Cloud, kritische Dienste (E-Mail, Files) selbst gehostet
Level 3	✅ Souverän	E-Mail, Kollaboration, Storage auf eigener Infrastruktur (Nextcloud, MinIO, Mailcow)
Level 4	🔐 Souverän + Sicher	Level 3 + eigener Reverse Proxy mit WAF, zentrales Logging, 2FA, regelmäßige Audits
Level 5	🤖 Souverän + KI	Level 4 + selbstgehostete KI-Modelle (Ollama/LiteLLM), keine externen KI-APIs
Level 6	🏢 Vollständig souverän	Level 5 + eigener Kubernetes-Cluster, Sovereign Cloud Stack, europäische Hardware

Wo stehen Sie? Jede Stufe ist ein Fortschritt. Level 2 ist realistisch für KMU in 3–6 Monaten, Level 3–4 in 6–12 Monaten.

Fazit: Handeln in drei Schritten

Digitale Souveränität ist kein binäres Merkmal, sondern ein kontinuierlicher Prozess. Der Weg dorthin lässt sich in drei Stufen einteilen:

1. Leicht (sofort umsetzbar, 0–500 €/Monat)

DSGVO-konforme Cloud-Anbieter nutzen (Hetzner, IONOS, Hetzner Storage Box)
Verschlüsselung aktivieren (Nextcloud E2EE, verschlüsselte E-Mails)
Open-Source-Alternativen für einzelne Dienste evaluieren (Nextcloud statt SharePoint, n8n statt Zapier)
Reverse Proxy mit CrowdSec vor öffentliche Dienste setzen (SSL Proxy Guide)

2. Mittel (3–6 Monate, 1.500–5.000 € einmalig)

E-Mail-Infrastruktur migrieren (Mailcow oder Stalwart)
S3-konformen Objektspeicher aufbauen (MinIO)
Kollaborationsplattform aufsetzen (Nextcloud oder openDesk)
Exit-Strategie für Microsoft 365 dokumentieren und testen (MS365 Exit Guide)

3. Schwer (6–18 Monate, 5.000–50.000 € einmalig + Betrieb)

Eigene KI-Infrastruktur aufbauen (Ollama + LiteLLM + Open WebUI)
Workflow-Automation selbst hosten (n8n)
Vollständige Observability aufsetzen (Grafana + Prometheus + Loki)
Kubernetes-Cluster mit Sovereign-Cloud-Stack-Konformität

Der wichtigste Schritt ist der erste. Fangen Sie heute an — mit einem einzigen Dienst, den Sie von einem Hyperscaler auf Ihre eigene Infrastruktur migrieren. Die digitale Souveränität ist kein Ziel, das man erreicht, sondern eine Fähigkeit, die man aufbaut.

Cart

Wishlist

Your wishlist is empty

OSISM: The Open Source Infrastructure Manager for Sovereign Clouds