Digitale Souveränität: Der Schnell-Check für Ihr Haus
Wo liegen Ihre Daten, und wer darf darauf zugreifen? Dieser kostenlose Selbsttest zur digitalen Souveränität stellt 12 Fragen aus dem Alltag zu Überblick, Abhängigkeit, Zugängen und Notfall. Sie brauchen etwa vier Minuten, keine Anmeldung, und sehen Ihr Ergebnis sofort.
Worauf die Fragen zielen
- Überblick: Wer nicht weiß, welche Dienste genutzt werden und wo die Daten liegen, kann über Abhängigkeit nicht entscheiden. Die Fragen zielen auf Cloud-Dienste, Schatten-KI und den Rechtsraum der Anbieter.
- Abhängigkeit: Souverän ist, wer wechseln könnte, nicht wer nie wechselt. Die Fragen zielen auf Ausstiegswege, Datenexporte und Vertragsfristen.
- Zugänge: Offene Zugänge von Ehemaligen und verwaiste Dienstkonten sind ein häufiger Weg für Angreifer. Die Fragen zielen auf Austritte, Verantwortliche und die Anmeldung mit zweitem Faktor.
- Notfall: Eine Sicherung ist erst etwas wert, wenn die Rückholung geklappt hat. Die Fragen zielen auf Wiederherstellung, geschützte Kopien und Meldewege nach NIS2.
Alle 12 Fragen im Überblick
Wenn morgen jemand fragt, welche Cloud-Dienste Ihr Haus nutzt: Wie schnell hätten Sie eine vollständige Liste?
- Sofort, die Liste gibt es und sie ist aktuell
- In ein paar Tagen, wir müssten herumfragen
- Vollständig bekämen wir sie wohl nicht hin
Gut zu wissen
Viele Dienste laufen nur im Browser und tauchen in keiner Softwareliste auf. Deshalb fragen wir in der Standortbestimmung zusätzlich danach. Grundlage: BSI IT-Grundschutz.
Nutzen Ihre Leute bei der Arbeit KI-Dienste, die niemand freigegeben hat?
- Kaum, es gibt einen offiziellen KI-Zugang und klare Regeln
- Das haben wir verboten
- Wahrscheinlich ja, geregelt ist es nicht
Gut zu wissen
Laut Bitkom (Oktober 2025) gibt es in rund vier von zehn Unternehmen Schatten-KI, aber nur etwa jedes vierte stellt selbst einen KI-Zugang bereit. Ein Verbot ohne Alternative verschiebt die Nutzung meist nur ins Private.
Schatten-KI: Wie aus der privaten App ein offizielles Werkzeug wird
Wissen Sie bei Ihren wichtigsten Cloud-Diensten, in welchem Land die Daten liegen und welchem Recht der Anbieter unterliegt?
- Ja, für alle, es steht im Vertrag
- Für die meisten
- Für einzelne
Gut zu wissen
Ein Rechenzentrum in Frankfurt heißt nicht automatisch europäisches Recht. Anbieter mit Sitz in den USA können nach dem CLOUD Act zur Herausgabe von Daten verpflichtet werden, auch wenn die Server in Europa stehen.
Eigener Server, Private Cloud oder US-Cloud: Wo Ihre IT laufen sollte und was das wirklich kostet
Ihr wichtigster Softwareanbieter erhöht nächstes Jahr die Preise um 40 Prozent. Was tun Sie?
- Wir prüfen den Wechsel, ein Ausstiegsweg ist beschrieben
- Verhandeln, Alternativen müssten wir erst suchen
- Zahlen, ein Wechsel ist praktisch unmöglich
Gut zu wissen
Seit September 2025 gibt der EU Data Act Kunden von Cloud-Diensten ein Recht auf Anbieterwechsel. Nutzen kann es nur, wer weiß, wohin. Grundlage: Data Act.
Wann haben Sie zuletzt alle Daten aus einem wichtigen Cloud-Dienst exportiert und geprüft, ob Sie damit etwas anfangen können?
- Im letzten Jahr, das Ergebnis war brauchbar
- Ist länger her, oder wir haben nur exportiert, nicht geprüft
- Noch nie
Gut zu wissen
Ein Export, der als unlesbares Archiv ankommt, ist kein Ausstieg. Ob er taugt, zeigt sich erst beim Öffnen.
Wer in Ihrem Haus merkt, dass sich ein wichtiger IT-Vertrag gleich automatisch verlängert?
- Eine benannte Person, mit Erinnerung vor jeder Frist
- Irgendwer, meistens
- Meistens merken wir es an der Rechnung
Gut zu wissen
Die beste Gelegenheit zum Verhandeln ist die Zeit vor der Kündigungsfrist. Wer sie verpasst, ist oft für die ganze nächste Laufzeit gebunden.
Jemand verlässt heute Ihr Haus. Kommt diese Person morgen noch an Fachanwendungen mit eigener Anmeldung?
- Nein, jede Anwendung wird beim Austritt abgehakt
- Das zentrale Konto ist gesperrt, bei den übrigen sind wir nicht sicher
- Gut möglich
Gut zu wissen
Viele Fachanwendungen hängen nicht an der zentralen Anmeldung. Genau dort bleiben alte Zugänge oft monatelang offen. Grundlage: DSGVO, BSI IT-Grundschutz.
Gibt es bei Ihnen Konten, Schnittstellen-Schlüssel oder KI-Zugänge, für die niemand mehr zuständig ist?
- Nein, jeder Zugang hat eine verantwortliche Person
- Vermutlich ein paar
- Bestimmt, nachgesehen hat noch niemand
Gut zu wissen
Verwaiste Zugänge sind ein beliebter Weg für Angreifer, weil niemand sie vermisst und niemand sie überwacht.
Wo müssen sich Ihre Leute mit einem zweiten Faktor anmelden, etwa per App auf dem Handy?
- Überall, wo man von außen hinkommt
- Bei E-Mail und Fernzugang
- Bei einzelnen Diensten oder nirgends
Gut zu wissen
Gestohlene Passwörter gehören zu den häufigsten Wegen ins Netz. Mit einem zweiten Faktor reicht ein gestohlenes Passwort allein meist nicht mehr aus. Grundlage: BSI IT-Grundschutz.
Wann haben Sie zuletzt ein ganzes System aus der Sicherung zurückgeholt, nicht nur eine einzelne Datei?
- Im letzten Jahr, und wir wissen, wie lange es gedauert hat
- Ist länger her
- Noch nie
Gut zu wissen
Eine Sicherung ist erst dann eine Sicherung, wenn die Rückholung einmal geklappt hat. Viele merken erst im Ernstfall, dass sie Tage statt Stunden dauert.
NIS2 für Mittelstand und Sozialträger: Sind wir betroffen, und was folgt daraus?
Könnte ein Angreifer, der Administratorrechte erbeutet hat, auch Ihre Sicherungen löschen?
- Nein, mindestens eine Kopie lässt sich nicht verändern
- Wir glauben nicht, sicher sind wir nicht
- Ja, vermutlich
Gut zu wissen
Erpressungssoftware sucht gezielt nach Sicherungen und löscht sie zuerst. Deshalb braucht es eine Kopie, die auch ein Administrator nicht verändern kann. Grundlage: BSI IT-Grundschutz.
NIS2 für Mittelstand und Sozialträger: Sind wir betroffen, und was folgt daraus?
Montag, 7 Uhr, nichts geht mehr. Wer entscheidet, und wen müssen Sie innerhalb von 24 Stunden informieren?
- Steht in einem Plan, den wir geübt haben
- Steht in einem Plan, geübt haben wir ihn nicht
- Das würden wir dann klären
Gut zu wissen
Wer unter das BSI-Gesetz nach NIS2 fällt, muss einen erheblichen Sicherheitsvorfall innerhalb von 24 Stunden beim BSI erstmelden. Grundlage: BSI-Gesetz (NIS2).
NIS2 für Mittelstand und Sozialträger: Sind wir betroffen, und was folgt daraus?
Was Ihr Ergebnis bedeuten kann
- Auf Sicht
- Gehandelt wird bei Ihnen vor allem dann, wenn etwas passiert. Das ist in vielen Häusern der Normalfall, und genau hier bringt ein erster geordneter Schritt am meisten.
- Im Aufbau
- Erste Regeln und Zuständigkeiten gibt es, sie greifen aber noch nicht überall. Meist reichen wenige gezielte Schritte, damit daraus Routine wird.
- Geregelt
- Das Wesentliche steht und wird im Alltag gelebt. Die Lücken liegen im Detail, oft dort, wo noch niemand nachgeprüft hat.
- Vorausschauend
- Bei Ihnen wird geplant, geprüft und geübt. Jetzt geht es darum, diesen Stand zu halten und ihn mit einer Messung von außen zu belegen.
Häufige Fragen
Vom Team der addonware GmbH, Bereich Digitale Souveränität. Stand: Oktober 2026.