Das Konzept “Sovereign-by-Design” überführt digitale Souveränität von der politischen Forderung in konkrete Software-Architektur. Durch Integration von Self-Sovereign Identity, Blockchain-basierter Nachvollziehbarkeit und kontrolliertem KI-Management entsteht ein Referenzmodell, das Cloud-Abhängigkeiten, GenAI-Risiken und EU-Regulierungen wie AI Act oder NIS2 adressiert. Die Frage ist, ob dies endlich der operationale Ansatz ist, der europäischen Souveränitäts-Initiativen gefehlt hat – oder ob auch hier Konzept und Umsetzbarkeit auseinanderfallen.

Von der Rhetorik zur Architektur

Digitale Souveränität gehört seit Jahren zum Standardrepertoire europäischer Digitalpolitik. Die Erfahrung mit Initiativen wie Gaia-X  zeigt jedoch: Zwischen politischer Absichtserklärung und technischer Realisierung klafft regelmäßig eine beträchtliche Lücke. Das Paper “Sovereign-by-Design. A Reference Architecture for AI and Blockchain Enabled Systems versucht, diese Lücke zu schließen, indem es Souveränität nicht als nachträgliche Compliance-Anforderung begreift, sondern als zentrale Eigenschaft von Software-Systemen von Anfang an verankert.

Der Ansatz ist insofern bemerkenswert, als er Souveränität nicht primär über geographische Datenlokalisierung oder nationale Cloud-Provider definiert, sondern über architektonische Eigenschaften: Kontrollierbarkeit, Nachvollziehbarkeit, Unabhängigkeit von einzelnen Anbietern. Damit verschiebt sich der Fokus von politischen Deklarationen zu technischen Constraints.

Schichtenmodell der souveränen Architektur

Die vorgeschlagene Referenzarchitektur gliedert sich in mehrere Ebenen, die jeweils spezifische Aspekte digitaler Souveränität adressieren:

Self-Sovereign Identity (SSI) bildet die Grundlage für dezentrale Identitätsverwaltung. Anders als bei zentralisierten Identity-Providern behalten Nutzer und Organisationen Kontrolle über ihre Identitätsdaten – ein Prinzip, das mit eIDAS2 auch regulatorische Rückendeckung erhält.

Blockchain als Trust-Layer dient nicht als universeller Datenspeicher, sondern als Querschnittsschicht für Nachverfolgbarkeit und Auditierbarkeit. Entscheidend ist hier die Differenzierung: Nicht alle Daten müssen on-chain, aber kritische Ereignisse in AI-Lifecycles, Supply Chains oder Compliance-Prozessen benötigen unveränderliche Protokollierung. Die Blockchain wird zum Enabler für Accountability, nicht zum Datengrab.

Souveräne Datenverwaltung operationalisiert durch Policy-as-Code: Nutzungsrechte, Jurisdiktionsbindungen und Verarbeitungsregeln werden maschinenlesbar definiert und durchgesetzt. Dies adressiert direkt die Vendor-Lock-in-Problematik, die insbesondere bei Cloud-Diensten zu Abhängigkeiten führt.

Kontrollierte GenAI-Integration behandelt generative KI dual: als Risikoquelle durch Opazität und Abhängigkeit von wenigen Hyperscalern, aber auch als Compliance-Helfer durch beobachtbare Einschränkungen und Audit-Mechanismen. Die Architektur zielt darauf ab, GenAI-Nutzung nachvollziehbar zu machen, ohne sie kategorisch auszuschließen.

Passung zum europäischen Regulierungsrahmen

Die Stärke des Ansatzes liegt in seiner Anschlussfähigkeit an bestehende und kommende EU-Regulierung. Der AI Act fordert Transparenz und Nachvollziehbarkeit bei Hochrisiko-KI-Systemen – die Blockchain-Layer der SRA liefert dafür eine technische Umsetzung. NIS2 verlangt Resilienz kritischer Infrastrukturen – das Schichtenmodell adressiert Abhängigkeiten systematisch. Das EU Cloud Sovereignty Framework erhält durch die Architektur einen konkreten Implementierungspfad.

Anders als frühere europäische Initiativen, die oft auf Konsortienbildung und politischen Willen setzten, liefert “Sovereign-by-Design” technische Blaupausen. Die Frage ist, ob dies ausreicht, oder ob auch hier – wie bei Gaia-X – die Diskrepanz zwischen Konzept und Marktdurchdringung zu groß bleibt.

Industrielle Anwendungsfälle: Fertigung und Banking

Für die deutsche Fertigungsindustrie, die mit Plattform-Abhängigkeiten und schwacher digitaler Souveränität kämpft, bietet die SRA einen Ansatz zur souveränen AI-Integration. Unternehmen wie Siemens oder Bosch könnten damit GenAI-Modelle in Produktionssteuerung oder Predictive Maintenance einbinden, ohne vollständige Abhängigkeit von US-Hyperscalern einzugehen. Die Blockchain-Komponente ermöglicht Nachverfolgbarkeit in Supply Chains – ein Thema, das durch Lieferketten-Gesetze zusätzliche Relevanz erhält.

Im Banking-Sektor, wo Regulierung ohnehin streng ist, adressiert die Architektur konkrete Pain Points: SSI könnte KYC-Prozesse vereinfachen, Blockchain-basierte Auditierung erfüllt MaRisk-Anforderungen, und souveränes Datenmanagement reduziert Risiken bei Cloud-Migration. Die Frage ist, ob Banken – die oft an Legacy-Systemen leiden – die Transformation zu einer solchen Architektur überhaupt bewältigen können.

Kritische Einordnung

Die SRA operationalisiert Souveränität auf einer Ebene, die vielen bisherigen europäischen Initiativen gefehlt hat. Sie geht über politische Absichtserklärungen hinaus und liefert technische Komponenten. Dennoch bleiben offene Fragen:

• Hardware-Abhängigkeiten: Souveräne Software hilft wenig, wenn AI-Acceleratoren und Chips von wenigen Anbietern dominiert werden. Die Architektur adressiert dies nicht.
• Skalierbarkeit: Blockchain als Trust-Layer funktioniert bei begrenzten Transaktionsvolumina, aber wie skaliert dies bei industriellem Einsatz? Die Autoren verweisen selbst auf Skalierungsfragen.
• Marktdurchdringung: Die Referenzarchitektur mag technisch überzeugend sein, aber ob sie gegen etablierte Cloud-Ökosysteme konkurrieren kann, hängt von Faktoren ab, die außerhalb der Architektur liegen – Standardisierung, Ökosystem-Effekte, wirtschaftliche Anreize.
• Komplexität: Ein Schichtenmodell mit SSI, Blockchain, Policy-as-Code und AI-Management ist anspruchsvoll. Mittelständische Unternehmen dürften Schwierigkeiten haben, dies zu implementieren – gerade in Deutschland, wo digitale Kompetenz oft begrenzt ist.

Fazit

“Sovereign-by-Design” hebt die Diskussion über digitale Souveränität auf eine neue Ebene, indem es von regulatorischen Zielen zu konkreten Architektur-Constraints übergeht. Für Anwendungsfälle in Industrie und Banking, wo Abhängigkeiten von US-Hyperscalern zunehmend als Risiko erkannt werden, bietet die SRA einen plausiblen Pfad.

Ob daraus mehr wird als ein weiteres gut gemeintes Konzept, das an Umsetzungsbarrieren scheitert, hängt davon ab, ob es gelingt, Standardisierung voranzutreiben, Ökosysteme zu schaffen und wirtschaftliche Anreize zu setzen. Die europäische Erfahrung mit digitalen Souveränitätsprojekten legt Skepsis nahe. Die technische Qualität des Ansatzes ist jedoch unbestritten – und damit eine notwendige, wenn auch nicht hinreichende Bedingung für Erfolg.