26.08.2026

Ein Thema - Zwei Perspektiven

DATENSOUVERÄNITÄT

„Datensouveränität ist Ausdruck verantwortungsvoller Unternehmensführung.“

Prof. Dr. Thomas Jäschke
CEO Datatree AG

„Investitionen in Resilienz zahlen sich nicht irgendwann aus, sondern beim nächsten Vorfall.“

Dr. Andreas Beß
promedtheus AG

Wenn über Datensouveränität gesprochen wird, fällt fast automatisch das Stichwort Datenschutz. Datensouveränität beginnt aber früher und reicht weiter.

Drei Begriffe werden gern vermischt. IT-Sicherheit schützt Technik: Systeme, Netze, Infrastruktur. Informationssicherheit schützt Informationen in jeder Form – digital, auf Papier, im Kopf der Mitarbeitenden – und sichert Verfügbarkeit, Integrität und Vertraulichkeit. Datenschutz regelt speziell den Umgang mit personenbezogenen Daten. IT-Sicherheit ist ein Baustein der Informationssicherheit, Datenschutz baut auf beiden auf. Ohne funktionierende Informationssicherheit bleibt Datenschutz eine Absichtserklärung.

Eine Organisation ist erst dann datensouverän, wenn sie jederzeit weiß, welche Informationen sie besitzt, welche geschäftskritisch sind, wer darauf zugreifen darf und wie ihr Schutz dauerhaft sichergestellt wird. Im Krankenhaus stehen dabei Patientendaten, Diagnostik, Vitalparameter und die Verfügbarkeit versorgungskritischer Systeme im Zentrum – ein Ausfall ist hier kein IT-Vorfall, sondern ein Patientensicherheitsrisiko.

Mit NIS2 wird diese Verantwortung persönlich. Die Geschäftsführung muss Risikomanagementmaßnahmen billigen und überwachen; sie haftet für Versäumnisse und kann sich der Verantwortung nicht durch Delegation entziehen. Informationssicherheit ist damit endgültig aus der IT-Abteilung in die Vorstandsetage gewandert.

Zugleich verlassen Daten längst die eigene Organisation. Cloud-Plattformen, KI-Dienste und komplexe Lieferketten verarbeiten sie über zahlreiche Dienstleister.

Wer Datensouveränität will, muss die Risiken im gesamten digitalen Ökosystem steuern – Lieferantenrisikomanagement wird zur Führungsaufgabe. Der kritischste Punkt bleibt dabei oft unausgesprochen: Vendor Lock-in. Wer Daten und Prozesse so eng an einen Anbieter bindet, dass ein Wechsel praktisch unmöglich wird, gibt seine Souveränität freiwillig ab – unabhängig von jeder Datenschutzerklärung. Souveränität heißt auch, Ausstiegsfähigkeit, Datenportabilität und Interoperabilität vertraglich und technisch abzusichern.

Gerade wirtschaftlich anspruchsvolle Zeiten verleiten dazu, Investitionen in Governance und Sicherheit zurückzustellen. Das Gegenteil ist richtig. Vertrauen wird zum Wettbewerbsfaktor. Patienten, Einweiser, Partner und Kostenträger erwarten nachvollziehbare Sicherheit und einen professionellen Umgang mit Informationen.

Datensouveränität ist daher weit mehr als regulatorische Pflichterfüllung. Sie ist Ausdruck verantwortungsvoller Unternehmensführung. Wer seine Informationen beherrscht, setzt Innovationen schneller um, nutzt neue Technologien sicher und bleibt auch in Krisen handlungsfähig.
Datenschutz schafft Vertrauen beim Menschen. Informationssicherheit schafft Vertrauen in die Organisation. Erst ihr Zusammenspiel – technisch abgesichert, organisatorisch verankert, im Management verantwortet – macht echte Datensouveränität möglich.

Datensouveränität ist Chefsache – im Gesundheitswesen nochmals mehr

Prof. Dr. Thomas Jäschke
CEO Datatree AG

Wenn heute Nacht ein schwerer Cyberangriff das Klinikinformationssystem lahmlegt – wer trifft dann die Entscheidungen? Diese Frage stelle ich in Vorträgen zu NIS2 regelmäßig, und die Antworten zeigen, wie eng IT-Sicherheit, Informationssicherheit und Datensouveränität tatsächlich zusammenhängen – auch wenn die Begriffe im Alltag gern synonym verwendet werden.

Datenschutz regelt, was mit personenbezogenen Daten geschehen darf. Informationssicherheit sorgt organisatorisch dafür, dass Vertraulichkeit, Integrität und Verfügbarkeit von Informationen gewahrt bleiben. IT-Sicherheit liefert dafür die technische Basis. Datensouveränität ist mehr als die Summe dieser drei: Sie beschreibt die Fähigkeit einer Einrichtung, über den gesamten Lebenszyklus ihrer Daten – vom Erfassen über das Speichern bis zum Löschen – selbstbestimmt zu verfügen, gerade dann, wenn es kritisch wird.

Genau hier setzt NIS2 an. Die Richtlinie verlangt von Krankenhäusern keine perfekte IT, sondern steuerbare Sicherheit: Risikomanagement, Vorfallserkennung, klare Eskalationswege – und vor allem Business Continuity Management. Wer im Ernstfall nicht weiß, wie lange KIS oder PACS ausfallen dürfen, bevor die Patientenversorgung gefährdet ist, hat kein Sicherheitskonzept, sondern eine Hoffnung. Ein Back-up ist erst dann etwas wert, wenn der Restore getestet ist. Ein Ausfallsystem wird erst dann zur Investition in Souveränität, wenn es im Ernstfall auch trägt.

Das klingt zunächst nach zusätzlichen Kosten – gerade in wirtschaftlich angespannten Zeiten ein unbequemes Argument. Doch die Rechnung ist eine andere: Jede Stunde Systemausfall kostet ein Krankenhaus real Geld, Personalkapazität und im schlimmsten Fall Vertrauen bei Patienten und Kostenträgern. Investitionen in Resilienz – redundante Systeme, getestete Notfallpläne, geübte Krisenorganisation – zahlen sich nicht irgendwann aus, sondern beim nächsten Vorfall. Und statistisch gesehen ist dieser eher eine Frage des Wann als des Ob.

In der Beratungspraxis der promedtheus AG begegnet uns das täglich: KIS-Strategie, Vergabeverfahren und IT-Sicherheitskonzepte werden oft getrennt gedacht, gehören aber zusammen. Datensouveränität ist deshalb kein Compliance-Thema zum Abhaken, sondern ein zentraler Resilienzfaktor – Trust, Connect, Apply, wie es das XQT-Konzept treffend zusammenfasst: Vertrauen in die Daten, Vernetzung entlang des gesamten Datenlebenszyklus, und die Fähigkeit, sie im laufenden Betrieb tatsächlich anzuwenden, auch unter Druck. Wer diese drei Ebenen zusammendenkt, gewinnt nicht nur regulatorische Sicherheit, sondern echte Handlungsfähigkeit – genau dann, wenn sie am meisten zählt.