Digitale Souver\u00e4nit\u00e4t hei\u00dft, im digitalen Raum selbst entscheiden zu k\u00f6nnen. Bei TLS-Zertifikaten reden dabei die Browserhersteller mit, auch wenn die Zertifizierungsstelle aus Europa kommt.<\/p>\n
Das Bundesministerium f\u00fcr Digitales und Staatsmodernisierung (BMDS)<\/a> formuliert es deutlich: \u201eTechnologische Abh\u00e4ngigkeiten sind ein strategisches Risiko.\u201c Die EU-Kommission hat im Oktober 2025 ein Cloud Sovereignty Framework ver\u00f6ffentlicht, und das Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) hat im April 2026 den Kriterienkatalog C3A vorgelegt. Beide machen bewertbar, wie souver\u00e4n ein Cloud-Dienst ist.<\/p>\n Eine Ebene darunter liegen die Zertifikate, mit denen Websites, E-Mails und viele andere Verbindungen abgesichert werden. Auch bei ihnen stellt sich die Frage, wer \u00fcber das Vertrauen entscheidet und wie viel davon ein Unternehmen selbst in der Hand hat. Die Antwort beginnt bei der Frage, was digitale Souver\u00e4nit\u00e4t meint.<\/p>\n Digitale Souver\u00e4nit\u00e4t ist nach der Definition des Digitalverbands Bitkom<\/a> \u201edie F\u00e4higkeit zu Selbstbestimmung im digitalen Raum\u201c. F\u00fcr Unternehmen hei\u00dft das: Sie entscheiden selbst, welche Technologien und Anbieter sie einsetzen, behalten die Kontrolle \u00fcber ihre Daten und Schl\u00fcssel und k\u00f6nnen den Anbieter wechseln, wenn sich die Bedingungen \u00e4ndern.<\/p>\n Ein verwandter Begriff ist digitale Eigenst\u00e4ndigkeit, den auch das BMDS verwendet. Das BSI nennt in seiner Beschreibung neben Selbstst\u00e4ndigkeit und Selbstbestimmung ausdr\u00fccklich die Sicherheit. Bitkom grenzt Souver\u00e4nit\u00e4t nach zwei Seiten ab. Bei Fremdbestimmung entscheiden andere, und es fehlt eigene Kompetenz in digitalen Schl\u00fcsseltechnologien. Bei Autarkie macht man alles selbst und zieht eigene Technologien selbst dann vor, wenn sie weniger leistungsf\u00e4hig sind. Souver\u00e4n ist dagegen, wer selbst entscheidet, in zentralen Technologiefeldern eigene F\u00e4higkeiten hat und zwischen leistungsf\u00e4higen und vertrauensw\u00fcrdigen Partnern w\u00e4hlen kann.<\/p>\n Das Ziel ist also Wahlfreiheit, nicht vollst\u00e4ndige Unabh\u00e4ngigkeit. Souver\u00e4nit\u00e4t in diesem Sinn verlangt nicht, auf Anbieter aus Drittstaaten zu verzichten. Sie verlangt aber, Abh\u00e4ngigkeiten bewusst einzugehen und sich Alternativen offenzuhalten.<\/p>\n Datensouver\u00e4nit\u00e4t bedeutet, die Kontrolle dar\u00fcber zu behalten, wer auf Daten zugreift, wo sie verarbeitet werden und ob sie sich nachweisbar l\u00f6schen lassen. Sie ist eine von mehreren Dimensionen digitaler Souver\u00e4nit\u00e4t. F\u00fcr Cloud-Dienste hat die EU-Kommission im Cloud Sovereignty Framework<\/a> acht Souver\u00e4nit\u00e4tsziele formuliert, zun\u00e4chst f\u00fcr eine eigene Ausschreibung. Sie betreffen Strategie, Recht und Gerichtsbarkeit, Daten und KI, Betrieb, Lieferkette und Technologie sowie Sicherheit und Compliance und die \u00f6kologische Nachhaltigkeit.<\/p>\n Das BSI hat die ersten sechs dieser Kategorien in die C3A (Criteria enabling Cloud Computing Autonomy)<\/a> \u00fcbernommen. Sicherheit und Compliance deckt das BSI \u00fcber den Kriterienkatalog C5 und weitere Standards ab; Nachhaltigkeit liegt au\u00dferhalb seiner Zust\u00e4ndigkeit.<\/p>\n Ein Beispiel macht das greifbar: Ein Unternehmen speichert Daten bei einem Cloud-Anbieter, verschl\u00fcsselt sie aber mit Schl\u00fcsseln, auf die nur es selbst zugreifen kann. Das EU-Framework bewertet unter dem Ziel \u201eData & AI Sovereignty\u201c unter anderem, ob nur der Kunde und nicht der Anbieter den kryptografischen Zugriff auf die Daten wirksam kontrolliert. Zu den Voraussetzungen digitaler Souver\u00e4nit\u00e4t geh\u00f6rt also neben Vertr\u00e4gen und Standorten auch die technische Kontrolle \u00fcber die Schl\u00fcssel. Dasselbe gilt f\u00fcr die Identit\u00e4ten und Zertifikate eines Unternehmens.<\/p>\n Digitale Souver\u00e4nit\u00e4t ist f\u00fcr Unternehmen wichtig, weil Abh\u00e4ngigkeiten Folgen haben: Wer auf einen einzelnen Anbieter oder eine fremde Rechtsordnung angewiesen ist, kann Entscheidungen anderer oft nur schwer ausweichen. An drei Stellen wird das konkret:<\/p>\n Digitale Souver\u00e4nit\u00e4t ist in Deutschland und Europa damit auch ein politisches Ziel: Die Bundesregierung will laut BMDS technologische Abh\u00e4ngigkeiten von Anbietern aus Drittstaaten verringern.<\/p>\n Zertifikate verkn\u00fcpfen einen \u00f6ffentlichen Schl\u00fcssel mit einer Domain, einer E-Mail-Adresse, einem Softwarehersteller oder einem Ger\u00e4t. Je nach Zertifikatstyp best\u00e4tigen sie auch die Organisation dahinter, und sie erm\u00f6glichen verschl\u00fcsselte Verbindungen. Ob ein Browser einem TLS-Zertifikat vertraut, entscheidet allerdings weder das Unternehmen, das es einsetzt, noch die Zertifizierungsstelle allein. Drei Ebenen wirken zusammen:<\/p>\n Wie viel Gewicht diese Ebenen haben, zeigen zwei Beispiele. Mit dem Ballot SC-081v3<\/a> hat das CA\/Browser Forum im April 2025 beschlossen, die Laufzeit \u00f6ffentlicher TLS-Zertifikate schrittweise zu verk\u00fcrzen. Zertifikate, die seit dem 15.03.2026 ausgestellt werden, d\u00fcrfen h\u00f6chstens 200 Tage gelten; ab dem 15.03.2027 sind es 100 Tage und ab dem 15.03.2029 noch 47 Tage. Die k\u00fcrzere Laufzeit von SSL-Zertifikaten<\/a> betrifft jede Website mit einem \u00f6ffentlichen TLS-Zertifikat, gleich bei welcher Zertifizierungsstelle sie es bezieht.<\/p>\n Noch deutlicher zeigt das der Fall Entrust. Am 27.06.2024 k\u00fcndigte Google an<\/a>, neuen TLS-Zertifikaten der Zertifizierungsstelle in Chrome nicht mehr zu vertrauen. Nach einer Verschiebung am 10.09.2024 galt das ab Chrome 131 f\u00fcr Zertifikate, deren fr\u00fchester Signed Certificate Timestamp (SCT) nach dem 11.11.2024 lag; Chrome unter iOS war ausgenommen. \u00c4ltere Zertifikate blieben bis zum Ende ihrer Laufzeit vertrauensw\u00fcrdig. Auch Mozilla, Apple und Microsoft setzten eigene Stichtage zwischen November 2024 und April 2025; der Entzug des Vertrauens gegen\u00fcber Entrust<\/a> galt damit in allen vier genannten Root-Programmen.<\/p>\n Zwischen Ank\u00fcndigung und Stichtag lagen rund viereinhalb Monate. Wer danach ein Zertifikat erneuern oder neu beantragen musste, brauchte daf\u00fcr eine andere ausstellende Zertifizierungsstelle. Souver\u00e4nit\u00e4t bei Zertifikaten hei\u00dft deshalb vor allem, auf solche Entscheidungen schnell reagieren zu k\u00f6nnen.<\/p>\n Eine Zertifizierungsstelle mit Sitz in der EU unterliegt dem Recht ihres Mitgliedstaats und der EU. Ob daneben auch das Recht anderer Staaten eine Rolle spielt, kann davon abh\u00e4ngen, wem sie geh\u00f6rt. Ist sie als qualifizierter Vertrauensdiensteanbieter anerkannt, kommt mehr hinzu: Eine nationale Aufsichtsstelle beaufsichtigt sie, eine Konformit\u00e4tsbewertungsstelle pr\u00fcft sie nach Art. 20 Abs. 1 der eIDAS-Verordnung mindestens alle 24 Monate, und ihr Mitgliedstaat f\u00fchrt sie mit ihren qualifizierten Diensten in seiner Vertrauensliste. Je nach anerkanntem Dienst stellt sie qualifizierte Zertifikate f\u00fcr Signaturen, Siegel oder Websites aus. Die Vertrauenslisten lassen sich im eIDAS Dashboard<\/a> der EU-Kommission durchsuchen.<\/p>\n Eines \u00e4ndert der Sitz in Europa allerdings nicht: Auch die \u00f6ffentlichen TLS-Zertifikate einer europ\u00e4ischen Zertifizierungsstelle gelten in Browsern nur dann als vertrauensw\u00fcrdig, wenn sie sich auf ein Root-Zertifikat zur\u00fcckf\u00fchren lassen, das in die Root Stores aufgenommen ist, und f\u00fcr sie gelten dieselben Regeln des CA\/Browser Forums. Das gilt auch f\u00fcr den Entzug des Vertrauens. Am 30.05.2025 k\u00fcndigte Google an<\/a>, dass Chrome ab Version 139 TLS-Zertifikaten der Zertifizierungsstelle NetLock aus Budapest standardm\u00e4\u00dfig nicht mehr vertraut, sofern der fr\u00fcheste SCT eines Zertifikats nach dem 31.07.2025 liegt.<\/p>\n Bei der Auswahl einer europ\u00e4ischen Zertifizierungsstelle helfen pr\u00fcfbare Kriterien. Wo hat sie ihren Sitz, und wem geh\u00f6rt sie? Wer beaufsichtigt und pr\u00fcft sie, und in welchen Root Stores ist sie vertreten? Ist sie f\u00fcr die ben\u00f6tigten Dienste in einer EU-Vertrauensliste als qualifiziert gef\u00fchrt? Vier Anbieter und ihre Unterschiede stellt der \u00dcberblick \u00fcber europ\u00e4ische Zertifizierungsstellen<\/a> vor.<\/p>\n Mit eIDAS 2.0<\/a>, der \u00c4nderung der eIDAS-Verordnung durch die Verordnung (EU) 2024\/1183, regelt die EU auch die Rolle der Browser bei qualifizierten Zertifikaten f\u00fcr die Website-Authentifizierung (QWAC). Nach Art. 45 Abs. 1a der eIDAS-Verordnung<\/a> werden QWACs von Anbietern von Webbrowsern anerkannt, und die Browser stellen die bescheinigten Identit\u00e4tsdaten benutzerfreundlich dar. Sie gew\u00e4hrleisten au\u00dferdem die Unterst\u00fctzung von QWACs und die Interoperabilit\u00e4t mit ihnen; davon ausgenommen sind Kleinst- und Kleinunternehmen in den ersten f\u00fcnf Jahren ihrer T\u00e4tigkeit als Browseranbieter. \u00dcber die Anforderungen des Abs. 1 hinaus d\u00fcrfen f\u00fcr QWACs keine verbindlichen Anforderungen gelten (Abs. 1b). Vorsorgema\u00dfnahmen in Bezug auf ein bestimmtes Zertifikat oder einen Satz von Zertifikaten erlaubt Art. 45a Abs. 2 nur bei begr\u00fcndeten Bedenken wegen Sicherheitsverletzungen oder eines Integrit\u00e4tsverlusts.<\/p>\n Erw\u00e4gungsgrund 65 der Verordnung (EU) 2024\/1183 ordnet diese Pflicht ein. Sie \u201eber\u00fchrt nicht die Freiheit der Anbieter von Webbrowsern\u201c, Websicherheit, Dom\u00e4nenauthentifizierung und die Verschl\u00fcsselung des Webverkehrs so sicherzustellen, wie sie es f\u00fcr am besten geeignet halten. Die Nutzung von QWACs soll f\u00fcr Websites freiwillig sein. Nach dem Erw\u00e4gungsgrund sollen QWACs Vertrauen in die Identit\u00e4t der Einrichtung hinter einer Website schaffen, w\u00e4hrend die Browser Websicherheit, Dom\u00e4nenauthentifizierung und Verschl\u00fcsselung weiterhin auf ihre Weise sicherstellen.<\/p>\n Welchen Zertifizierungsstellen die Browser ihrer Kunden vertrauen, k\u00f6nnen Unternehmen nicht beeinflussen. Sie k\u00f6nnen aber daf\u00fcr sorgen, dass solche Entscheidungen sie nicht unvorbereitet treffen. F\u00fcnf Ansatzpunkte helfen dabei:<\/p>\n Zur Wechself\u00e4higkeit geh\u00f6rt auch Krypto-Agilit\u00e4t, also die F\u00e4higkeit, Algorithmen und Schl\u00fcssel ohne gro\u00dfen Umbau auszutauschen. Gefragt ist sie etwa beim Umstieg auf Post-Quanten-Kryptografie<\/a>, die Verbindungen und Signaturen auch gegen k\u00fcnftige Quantencomputer absichern soll.<\/p>\n Die PSW GROUP ber\u00e4t Sie bei der Auswahl europ\u00e4ischer Zertifizierungsstellen, bei einer Managed PKI f\u00fcr \u00f6ffentliche Zertifikate<\/a> und beim Aufbau einer eigenen Root-CA. Sprechen Sie uns an.<\/a><\/p>\nWas bedeutet digitale Souver\u00e4nit\u00e4t?<\/h2>\n
Datensouver\u00e4nit\u00e4t und weitere Dimensionen<\/h3>\n
Warum digitale Souver\u00e4nit\u00e4t f\u00fcr Unternehmen wichtig ist<\/h2>\n
\n
Zertifikate: Wer \u00fcber digitales Vertrauen entscheidet<\/h2>\n
\n
Welche Rolle europ\u00e4ische Zertifizierungsstellen spielen<\/h2>\n
Qualifizierte Website-Zertifikate nach eIDAS 2.0<\/h3>\n
Digitale Souver\u00e4nit\u00e4t bei Zertifikaten st\u00e4rken<\/h2>\n
\n