Digital souverän kommunizieren

Der Datenschutz konzentriert sich auf die Erhebung und Nutzung personenbezogener Daten: Wer hat darauf Zugriff? Wie werden die Daten verarbeitet? Um den eigentlichen Schutz der Daten geht es dabei nicht direkt – das ist Thema der Datensicherheit: Wie werden sie gespeichert?

Da es nicht nur personenbezogenen Daten gibt, bezieht sich Daten-Souveränität auf die gesamten Daten, die eine Privatperson, ein Unternehmen oder eine staatliche Institution erzeugt – insbesondere deren Kontrolle. Weltweit werden rund 400 Millionen Terabyte pro Tag erzeugt, darunter 720.000 Stunden Videomaterial allein auf Youtube, etwa 5,3 Milliarden Fotos und gut 376 Milliarden versendete E-Mails. 

Nur, wer die Kontrolle über die eigenen Daten hat, kann schlussendlich digital souverän bestimmen, was damit wann und wie passiert – vorausgesetzt, er kann seine digitalen Werkzeuge selbstbestimmt nutzen und kontrollieren, ohne von Cloud-Anbietern oder ausländischen Rechtsräumen abhängig zu sein.

IT-Sicherheit schützt Systeme technisch (z. B. Verschlüsselung, Zugangskontrollen), während digitale Souveränität rechtliche, organisatorische und technische Kontrolle über Systeme und Daten bedeutet. Erst die Verbindung beider schafft echte Unabhängigkeit.

Nein. Die Speicherung von Daten in Europa (Datenresidenz) bedeutet nicht automatisch digitale Souveränität. Entscheidend ist, ob Anbieter oder Muttergesellschaften exterritorialen Gesetzen unterliegen und ob administrativer Zugriff oder Schlüsselverwaltung außerhalb der eigenen Kontrolle liegen. Digitale Souveränität erfordert daher mehr als EU-Hosting. Sie verlangt juristische, technische und organisatorische Unabhängigkeit.

Vendor Lock-in beschreibt die Abhängigkeit von einem bestimmten Hersteller. Herstellergebundene Produkte oder Services funktionieren nur in einem bestimmten Ökosystem, harmonieren meist mit weiteren Produkten desselben Herstellers und schaffen im Verbund sogar Mehrwerte. Ein Wechsel auf andere Produkte führt häufig zu Problemen – Stichwort: Inkompatibilität – und/oder hohen Kosten. Beispielhafte Kommunikations-Plattformen sind Microsoft Teams oder Zoom Phone: 

• Microsoft Teams nutzt ein proprietäres Signalisierungsprotokoll. Eine SIP-Anbindung ist nur über zertifizierte Session Border Controller mit „Direct Routing" oder den kostenpflichtigen „Operator Connect"-Weg möglich. Da Microsoft darüber entscheidet, welche SBC-Hersteller zertifiziert werden, ist der Kunde in der Auswahl eingeschränkt und von Microsofts Zertifizierungspolitik abhängig. Außerdem erfordert die Nutzung von Teams Azure Active Directory (Entra ID) als Identitätsprovider. Dadurch liegt das Unternehmensverzeichnis in Microsofts Cloud und ist damit potenziell angreifbar.

• Im Gegensatz dazu unterstützt Zoom Phone zwar SIP-Trunking, aber nur über Zooms eigene „BYOC"-Architektur, die den Datenverkehr durch Zooms Cloud-Infrastruktur routet. Echtes lokales SIP-Processing ohne Cloud-Beteiligung ist nicht vorgesehen. In Zooms Cloud werden selbst bei SSO-Integration über SAML/OIDC Nutzerdaten, Benutzerprofile, Kontaktlisten und Organisationsstrukturen repliziert.

• XPhone kommt ohne Vendor-Lock-in auf proprietäre Signalisierung: Kunden können XPhone auf ihre bestehende Infrastruktur aufsetzen oder den technischen Unterbau flexibel modernisieren, ohne die Funktionalität der UC-Lösung einzuschränken. XPhone funktioniert auch ohne Telefonanlage.

Eine Public Key Infrastruktur (PKI) bezeichnet ein strukturiertes System, mit dem sich digitale Zertifikate erzeugen, verwalten, verteilen und prüfen lassen. Diese dienen der sicheren digitalen Identifizierung von Personen, Maschinen und Diensten und werden zur Absicherung computergestützter Kommunikation verwendet. 

Eine eigene PKI ermöglicht es Organisationen und Staaten: 

• eigene digitale Schlüssel und Zertifikate zu nutzen, anstatt auf öffentliche Zertifizierungsstellen (Certificate Authorities, CAs) zurückgreifen zu müssen. Das reduziert Abhängigkeiten von ausländischen Anbietern und mindert geopolitische Risiken.  
• zu definieren, welche digitale Identitäten (Benutzer, Geräte wie z. B. IP-Telefone & Dienste) vertrauenswürdig sind. VoIP-Daten werden über öffentliche Netze übertragen. Durch PKI kann gewährleistet werden, dass ein Kommunikationspartner tatsächlich der ist, für den er sich ausgibt, was besonders wichtig ist, um kritische Infrastrukturen (KRITIS) zu schützen.
• Verschlüsselungsschlüssel für VoIP-Daten sicher zu verteilen: Nur autorisierte Parteien können so die Gespräche entschlüsseln. Dies schützt vor Abhörmaßnahmen und stärkt die Datensouveränität.  
• die Übermittlung von Sprachdaten vor Manipulation zu schützen.

Metadaten (wer, wann, wie lange kommuniziert) sind strategisch sensibel. Die Information, wer wann mit wem, wie lange, von welchem Gerät und aus welchem Netzwerk kommuniziert, ist nachrichtendienstlich oft wertvoller als der konkrete Gesprächsinhalt. UC-Plattformen sammeln diese Telemetrie-Daten, etwa um mit der Anruf-Auswertung von XPhone Lastspitzen zu identifizieren & zu prognostizieren. Entscheidend ist, was dann damit passiert: 

• Zoom hat nachweislich Nutzungsdaten an Facebook weitergeleitet (über das Facebook SDK in der iOS-App), selbst bei Nutzern ohne Facebook-Konto. Die Zoom-Datenschutzrichtlinie erlaubt die Nutzung von Kundendaten für „Produktverbesserungen" und KI-Training – ein Opt-out ist zwar möglich, aber nicht der Standard. 
• Microsoft Teams überträgt Nutzungsdaten wie Meetingdauer, Antwortzeiten, Kommunikationsmuster und sogar zur Fokuszeit in Microsofts Cloud, wo sie analysiert werden. Auch dann, wenn der Kunde dies deaktiviert. Ein Punkt, den das Bundesamt für Sicherheit in der Informationstechnik in seinen Empfehlungen zu Microsoft 365 explizit kritisiert.

XPhone erzeugt zwar auch Anrufdatensätze (Call Detail Records) und Anwesenheitsprotokolle (Presence-Logs). Bei der On-Premises-Lösung verbleiben die Metadaten im Gegensatz zu Cloud-Plattformen aber stets im geschützten Firmennetzwerk. Der Schutz dieser Daten verhindert Rückschlüsse auf Organisationsstrukturen und Kommunikationsmuster und ist somit ein zentraler Baustein für DSGVO-Konformität & digitale Souveränität.

Kommunikations-Plattformen wie Microsoft Teams oder Zoom rollen Updates automatisch und ohne Zustimmung des Nutzers aus. Im besten Fall erscheinen oder verschwinden Features ungewollt oder die Benutzeroberfläche verändert sich (nicht immer zum Positiven). Deutlich größer kann der Impact sein, wenn APIs „deprecated“ (als veraltet eingestuft) werden. Im schlimmsten Fall werden bestehende Zertifizierungen invalid, ohne dass der Kunde es verhindern kann. Ein Compliance-Albtraum insbesondere in regulierten Branchen.

XPhone setzt auf Rolling Releases, wodurch neue Funktionen und regulatorische Anpassungen regelmäßig ausgerollt werden. Der Kunde kann dabei jederzeit bestimmen, ob er ein Release einspielen oder die Software im Status quo weiter nutzen möchte.

Bei XPhone liegt die Entscheidung über KI-Nutzung vollständig beim Kunden: Wer MCP-Server oder KI-Anbindungen nutzen will, entscheidet selbst über Anbieter, Datenflüsse und Grenzen.

Bei Microsoft verarbeitet Copilot Meeting-Transkripte, Chat-Inhalte und Dateien aus Teams, um Zusammenfassungen und Vorschläge zu generieren. Diese Verarbeitung findet in der Cloud statt. Für Kunden ist nicht transparent nachvollziehbar, ob und wie diese Daten für das Training von KI-Modellen verwendet werden. Microsoft hat die Nutzungsbedingungen mehrfach angepasst, stets zugunsten erweiterter Datennutzung. Auch Zoom hat seine AGB so geändert, dass Kundendaten für KI-Training genutzt werden dürfen. Nach massivem Widerstand wurde ein Opt-out eingeführt. Die Tatsache, dass ein Opt-out statt Opt-in nötig ist, zeigt die Grundhaltung.