Digitale Souveränität in der Cybersecurity: 7 Kriterien für die Wahl eines SOC-Partners

Digitale Souveränität bedeutet nicht, jede Technologie selbst zu entwickeln oder ausschließlich europäische Produkte einzusetzen. Für Unternehmen zählt vor allem, sicherheitskritische Daten, Prozesse und Abhängigkeiten so zu steuern, dass sie auch bei Störungen oder veränderten Rahmenbedingungen handlungsfähig bleiben.

Bei einem externen Security Operations Center (SOC) reicht deshalb ein Rechenzentrumsstandort in Deutschland oder der EU nicht aus. Entscheidend ist das Gesamtbild: Wer hat Zugriff auf die Daten? Wo wird die Leistung erbracht? Welche Technologieabhängigkeiten entstehen? Und kann das Unternehmen die Sicherheitsleistung nachvollziehen und mitsteuern?

Warum digitale Souveränität bei Cybersecurity konkret wird

Die Studie „Digitale Souveränität 2026“ von CIO und COMPUTERWOCHE zeigt, wie eng Unternehmen Souveränität und Sicherheit miteinander verbinden. 50,6 Prozent der 312 Befragten denken bei digitaler Souveränität zuerst an IT-Sicherheit und Cybersecurity. Als zentrale Risiken mangelnder Souveränität nennen 44,9 Prozent Cyberangriffe, 43,9 Prozent den Kontrollverlust über Daten und 38,8 Prozent die Abhängigkeit von einzelnen Anbietern.

Diese Verbindung ist nachvollziehbar: Ein SOC verarbeitet Protokoll-, Identitäts-, System- und Vorfalldaten. Seine Analysten benötigen weitreichende Einblicke in die IT- und gegebenenfalls OT-Umgebung des Kunden. Im Sicherheitsvorfall wird der Dienstleister zudem Teil der operativen Reaktion. Fehlen Transparenz, klare Verantwortlichkeiten oder belastbare Übergabeprozesse, kann aus einer Sicherheitslösung eine neue kritische Abhängigkeit entstehen.

Digitale Souveränität ist daher keine Herkunftsangabe. Sie ist eine überprüfbare Eigenschaft von Architektur, Vertrag und Betrieb.

Datenhaltung in der EU ist wichtig, aber nicht ausreichend

Bei der Wahl eines externen Managed-SOC-Dienstleisters hat der Datenstandort für die befragten Unternehmen hohe Priorität. 77,3 Prozent bewerten die Datenhaltung in der EU als sehr wichtig oder wichtig. Für eine Datenhaltung in Deutschland gilt dies bei 66,9 Prozent. Jeweils rund 60 Prozent gewichten außerdem die vollständige Leistungserbringung in der EU beziehungsweise in Deutschland hoch. (Quelle: Studie „Digitale Souveränität 2026“, S. 36-37; Basis je nach Frage n = 302-308.)

Der Standort beantwortet allerdings nur einen Teil der relevanten Fragen. Ebenso wichtig sind:

• wo Daten verarbeitet, gesichert und administriert werden,
• welche Personen und Unterauftragnehmer darauf zugreifen können,
• wer Verschlüsselung und Schlüsselverwaltung kontrolliert,
• welche Rechtsräume auf Anbieter und technische Lieferkette einwirken,
• ob Daten, Regeln und Dokumentationen vollständig exportiert werden können.

Auch aktuelle Kriterienmodelle behandeln Souveränität deshalb mehrdimensional. Das Cloud Sovereignty Framework der Europäischen Kommission unterscheidet unter anderem rechtliche, datenbezogene, operative, technologische sowie Security- und Compliance-Souveränität. Der BSI-Kriterienkatalog Criteria enabling Cloud Computing Autonomy (C3A) verfolgt ebenfalls das Ziel, Abhängigkeiten und Handlungsfähigkeit strukturiert bewertbar zu machen. Beide Modelle beziehen sich auf Cloud-Dienste, ihre Prüflogik lässt sich jedoch sinnvoll auf Managed Security Services übertragen.

Sieben Kriterien für einen souveränitätsfähigen SOC-Partner

1. Schutzbedarf und Souveränitätsziel sind definiert

Nicht jede Anwendung, jedes Log und jeder Geschäftsprozess benötigt dasselbe Maß an Kontrolle. Bevor Unternehmen einen Anbieter bewerten, sollten sie festlegen, welche Systeme und Daten geschäftskritisch sind und welche Folgen ein Ausfall, Kontrollverlust oder erzwungener Wechsel hätte.

Wie unterschiedlich die Prioritäten ausfallen, zeigt die Studie: 32,1 Prozent der Befragten gewichten die technische Souveränität am stärksten, 26,0 Prozent die operative Souveränität, 23,1 Prozent die Daten-Souveränität und 15,1 Prozent die KI-Souveränität. Ein einheitliches Zielbild für alle Unternehmen gibt es demnach nicht. (Quelle: Studie „Digitale Souveränität 2026“, S. 8-9; Basis: n = 312.)

Aus diesem Schutzbedarf ergeben sich konkrete Anforderungen: Müssen Daten ausschließlich in Deutschland verarbeitet werden? Welche Funktionen dürfen außerhalb der eigenen Organisation liegen? Wie lange wäre ein Ausfall tolerierbar? Welche Abhängigkeiten sind vertretbar?

Ohne diese Vorarbeit bleibt „digitale Souveränität“ ein unscharfes Beschaffungskriterium. Mit einem klaren Zielbild wird sie messbar.

2. Daten- und Zugriffskontrolle gehen über den Speicherort hinaus

Ein SOC-Anbieter sollte sämtliche relevanten Datenflüsse transparent darstellen können. Dazu gehören produktive Sicherheitsdaten ebenso wie Backups, Supportdaten, Telemetrie und Falldokumentationen.

Bei den Funktionen und Garantien, die das Vertrauen in eine souveräne Plattform stärken, nennen 52,6 Prozent eine Ende-zu-Ende-Verschlüsselung. 43,6 Prozent legen Wert auf eigene Verschlüsselungskontrolle, etwa nach dem Bring-Your-Own-Key-Prinzip. Die Werte unterstreichen, dass Datenkontrolle technisch überprüfbar sein muss. (Quelle: Studie „Digitale Souveränität 2026“, S. 22-23; Basis: n = 312.)

Zu klären ist insbesondere:

• In welchen Ländern werden Daten gespeichert und verarbeitet?
• Wer darf administrativ oder im Supportfall zugreifen?
• Werden Unterauftragnehmer eingesetzt?
• Wie werden Zugriffe protokolliert und kontrolliert?
• Wie funktionieren Verschlüsselung, Schlüsselverwaltung, Löschung und Export?

Entscheidend ist nicht nur, wo Daten liegen. Unternehmen müssen nachvollziehen können, wer unter welchen Bedingungen Kontrolle über diese Daten ausübt.

3. Rechtsraum und operative Leistungserbringung passen zusammen

Vertraglicher Gerichtsstand, Unternehmenssitz und Rechenzentrumsstandort sind wichtige Merkmale. Sie sagen jedoch noch nicht, von wo aus der Dienst tatsächlich erbracht wird.

Der Sitz eines Anbieters ist für 80,8 Prozent bei Technologieanbietern und für 74,4 Prozent bei externen IT-Dienstleistern mindestens eines von mehreren maßgeblichen Auswahlkriterien. Die Herkunft des Vertragspartners wird damit klar als Teil der Risikobewertung verstanden. (Quelle: Studie „Digitale Souveränität 2026“, S. 34-35; Basis: n = 312.)

Für ein SOC sind daher auch die Arbeitsorte der Analysten, Incident Responder und Administratoren relevant. Gleiches gilt für Rufbereitschaften, Eskalationswege und globale Übergaben. Ein Anbieter sollte offenlegen, welche Teams welche Aufgaben übernehmen und welchem Rechtsraum sie dabei unterliegen.

Diese Transparenz wird im Sicherheitsvorfall besonders wichtig. Dann müssen Verantwortlichkeiten feststehen, Kommunikationswege funktionieren und Entscheidungen ohne vermeidbare Übergaben getroffen werden können.

4. Zertifizierungen werden nach ihrem Geltungsbereich bewertet

Zertifizierungen erleichtern die Anbieterprüfung, ersetzen sie aber nicht. Entscheidend ist ihr Scope: Bezieht sich der Nachweis auf das gesamte SOC, nur auf einzelne Standorte oder lediglich auf Teile der Organisation? Sind Incident Response, eingesetzte Plattformen und relevante Betriebsprozesse eingeschlossen?

Unternehmen sollten sich daher nicht mit einem Logo in der Anbieterpräsentation begnügen. Sie sollten den Geltungsbereich, mögliche Ausschlüsse, die Aktualität und die zugrunde liegenden Prüfberichte nachvollziehen.

71,5 Prozent bewerten die ISO 27001 auf Basis des BSI IT-Grundschutzes bei der Auswahl eines externen Managed-SOC-Dienstleisters als wichtig oder sehr wichtig. Der Wert zeigt, dass viele Verantwortliche einen belastbaren Nachweis suchen. Für die Auswahl zählt jedoch, was im konkreten Zertifizierungsumfang tatsächlich geprüft wurde. (Quelle: Studie „Digitale Souveränität 2026“, S. 36-37; Basis: n = 304.)

5. Technologieoffenheit verhindert einen neuen Lock-in

Ein Managed SOC soll bestehende Abhängigkeiten beherrschbarer machen und keine unnötigen neuen schaffen. Dafür braucht es dokumentierte Schnittstellen, exportierbare Daten und ein Betriebsmodell, das mit unterschiedlichen Sicherheitswerkzeugen umgehen kann.

25,0 Prozent der Befragten nennen offene Standards und APIs als vertrauensbildendes Merkmal einer souveränen Plattform, 29,2 Prozent die Multicloud-Fähigkeit. Beide Werte zeigen: Technische Wahlmöglichkeiten und Integrationsfähigkeit gehören für einen relevanten Teil der Unternehmen zur Souveränität. (Quelle: Studie „Digitale Souveränität 2026“, S. 22-23; Basis: n = 312.)

Besonders relevant ist die Portabilität des über die Vertragslaufzeit aufgebauten Wissens. Dazu gehören:

• Detection Rules und kundenspezifische Use Cases,
• Alarmierungs- und Eskalationslogiken,
• Playbooks und Automatisierungen,
• Asset-, Identitäts- und Kontextinformationen,
• Falldaten, Reports und Lessons Learned.

Ein technologieoffener Best-of-Breed-Ansatz kann hier Vorteile bieten, wenn Auswahl und Integration nachvollziehbar bleiben. Technologieoffenheit bedeutet jedoch nicht, dass jedes Produkt ohne Aufwand austauschbar wäre. Entscheidend sind bekannte Abhängigkeiten und eine geplante Portabilität.

Auch Open Source ist kein automatischer Souveränitätsnachweis. Offene Software verbessert Transparenz und Wechselmöglichkeiten nur dann, wenn im Unternehmen oder beim Dienstleister die Kompetenz für Betrieb, Pflege und Weiterentwicklung vorhanden ist.

6. Transparenz und gemeinsame Steuerbarkeit gehören zum Betrieb

Ein Managed SOC darf für den Kunden keine Blackbox sein. Unternehmen sollten nachvollziehen können, welche Daten verarbeitet werden, wie Alarme priorisiert werden und welche Maßnahmen aus einem Sicherheitsereignis folgen. Dafür braucht es verständliche Reports, dokumentierte Verantwortlichkeiten und feste Formate für den fachlichen Austausch.

46,2 Prozent der Befragten geben an, dass Einblicke in Zugriffsprotokolle und Betriebsabläufe ihr Vertrauen in eine souveräne Plattform stärken würden. Transparenz ist damit keine ergänzende Komfortfunktion, sondern ein konkretes Auswahlkriterium. (Quelle: Studie „Digitale Souveränität 2026“, S. 22-23; Basis: n = 312.)

Zur gemeinsamen Steuerung gehören insbesondere:

• Einblick in relevante Alarme, Fälle und Bearbeitungsstände,
• nachvollziehbare Änderungen an Detection Rules, Use Cases und Playbooks,
• definierte Freigaben für automatisierte oder eingreifende Maßnahmen,
• regelmäßige Service Reviews mit vereinbarten Kennzahlen,
• dokumentierte Entscheidungen, Eskalationen und Verbesserungsmaßnahmen.

Transparenz bedeutet dabei nicht, den operativen SOC-Betrieb auf den Kunden zu verlagern. Sie schafft die Grundlage, Leistung und Risiken beurteilen, Prioritäten abstimmen und Entscheidungen verantwortlich treffen zu können.

7. Incident Response und Lieferkette sichern die Handlungsfähigkeit

Ein SOC erkennt und bewertet verdächtige Aktivitäten. Im Ernstfall muss aus dieser Erkenntnis eine koordinierte Reaktion werden. Unternehmen sollten daher prüfen, ob Incident Response und digitale Forensik in das Betriebsmodell eingebunden sind, wie die Übergabe erfolgt und wer Maßnahmen zur Eindämmung freigeben oder umsetzen darf.

Ebenso relevant ist die Lieferkette des Dienstleisters. Welche kritischen Plattformen, Hersteller und Unterauftragnehmer sind beteiligt? Kann der SOC-Betrieb fortgeführt werden, wenn eine Komponente ausfällt oder der Support eines Herstellers eingeschränkt wird? Gibt es alternative Technologien und dokumentierte Notbetriebsverfahren?

Souveränität zeigt sich hier als Resilienz: Das Unternehmen und sein Dienstleister müssen auch dann reagieren können, wenn nicht alles nach Plan funktioniert.

Zehn Fragen für Ausschreibung und Vertragsgespräch

Mit diesen Fragen lässt sich die Anbieterprüfung konkretisieren:

1. Wo werden Logs, Falldaten, Backups und Supportinformationen gespeichert und verarbeitet?
2. Welche internen Teams und Unterauftragnehmer können auf diese Daten zugreifen?
3. Von welchen Standorten aus erfolgen Monitoring, Administration und Incident Response?
4. Welchen genauen Geltungsbereich haben die vorgelegten Zertifizierungen und Testate?
5. Welche Plattform-, Hersteller- und Lieferkettenabhängigkeiten bestehen?
6. Lassen sich Rohdaten, Reports, Detection Rules, Use Cases und Playbooks vollständig exportieren?
7. Welche offenen oder dokumentierten Schnittstellen stehen für Integration und Migration bereit?
8. Wie werden Änderungen an Detection Rules, Use Cases und Automatisierungen dokumentiert und freigegeben?
9. Welche Einblicke erhält der Kunde in Alarme, Fälle, Kennzahlen und Verbesserungsmaßnahmen?
10. Wie greifen SOC, Incident Response und digitale Forensik im Sicherheitsvorfall ineinander?

Die Antworten sollten nicht nur in Präsentationen stehen. Sie gehören, abhängig vom Schutzbedarf, in Leistungsbeschreibung, Sicherheitskonzept, Auftragsverarbeitung, Service Level und Governance-Prozesse.

Wie 8COM digitale Souveränität im SOC unterstützt

Für 8COM ist digitale Souveränität kein Synonym für technologische Abschottung. Der Maßstab ist, ob ein Unternehmen Risiken und Abhängigkeiten kennt, wirksam steuern kann und im Sicherheitsvorfall handlungsfähig bleibt.

Das 8COM SOC wird vollständig in Deutschland betrieben und ist nach ISO 27001 auf Basis des BSI IT-Grundschutzes zertifiziert. Mehr als 70 fest angestellte SOC-Mitarbeitende arbeiten im 24/7/365-Schichtbetrieb. Eigene Teams für Incident Response und digitale Forensik unterstützen dabei, Bedrohungen zu untersuchen, einzudämmen und die Betriebsfähigkeit wiederherzustellen.

Bei der Technologieauswahl verfolgt 8COM einen technologieoffenen Best-of-Breed-Ansatz. Lösungen werden an den Anforderungen des Kunden ausgerichtet; verfügbare Alternativen werden kontinuierlich bewertet. Damit sollen Unternehmen nicht an ein starres Werkzeug gebunden werden, sondern eine Sicherheitsarchitektur erhalten, die zu ihrer Umgebung und ihrem Schutzbedarf passt.

Fazit: Souverän ist, wer handlungsfähig bleibt

Digitale Souveränität lässt sich weder an einer einzelnen Zertifizierung noch an einer Landesgrenze festmachen. Sie entsteht durch ein abgestimmtes Zusammenspiel aus Datenkontrolle, Rechtsraum, technischem Design, transparentem Betrieb und klaren Steuerungsprozessen.

Für die Wahl eines SOC-Partners folgt daraus ein klarer Prüfmaßstab: Kann der Anbieter seine Datenflüsse, Abhängigkeiten, Zuständigkeiten und Kontrollmechanismen nachvollziehbar belegen? Und kann das Unternehmen auch unter veränderten Bedingungen wirksam entscheiden und handeln?

Wer diese Fragen vor Vertragsbeginn klärt, stärkt nicht nur seine digitale Souveränität. Er verbessert zugleich die Qualität seiner Cyberabwehr und seine Fähigkeit, einen Sicherheitsvorfall kontrolliert zu bewältigen.

Weiterführender Inhalt: Laden Sie die vollständige Studie „Digitale Souveränität 2026“ herunter und vergleichen Sie die Ergebnisse mit den Abhängigkeiten und Sicherheitsanforderungen Ihres Unternehmens.