Michael Crouch – Ingenieur für adversarische Zusammenarbeit
Andrew Heller – Marketingleiter
Digitale Souveränität in der EU geht heute längst über die Frage hinaus, wo Daten gespeichert werden. Es geht darum, ob eine Organisation die tatsächliche Kontrolle über kritische Systeme, Kommunikation, Lieferanten und Datenflüsse aufrechterhalten kann, wenn Bedingungen unter Druck geraten.
Bei Lares, Damovos Offensive Cybersecurity Advisory Team, ist dieser Wandel jeden Tag sichtbar. Vorschriften wie NIS2 und DORA treiben Organisationen über reine Checklisten-Compliance hinaus und hin zu einem höheren Standard: dem Nachweis, dass Sicherheitskontrollen gegen realistische Bedrohungen tatsächlich funktionieren.
Adversarial Testing ist der Weg, auf dem dieser Nachweis erbracht wird. Lares hilft Organisationen, Schwachstellen aufzudecken, Sicherheitskontrollen zu validieren und digitale Souveränität von einer Zielvorstellung in etwas zu verwandeln, das getestet, belegt und im Laufe der Zeit verbessert werden kann.
In enger Zusammenarbeit mit Damovos Teams für Cybersecurity, Enterprise Networks, Unified Communications, Contact Center und Managed Services konzentriert sich Lares darauf, Souveränität dort zu validieren, wo sie am wichtigsten ist: in den Systemen, die den Geschäftsbetrieb und die Kundenkommunikation am Laufen halten.
Was bedeutet digitale Souveränität in der EU?
Digitale Souveränität ist die Fähigkeit, kritische digitale Assets, Services und Daten im Einklang mit geschäftlichen, rechtlichen und operativen Anforderungen zu kontrollieren. In der Praxis umfasst das die Kontrolle darüber, wo sensible Daten gespeichert sind, wer darauf zugreifen kann, welche Rechtsräume gelten können, wie stark wichtige Workloads von externen Anbietern abhängig sind und ob essenzielle Services während eines Vorfalls widerstandsfähig bleiben.
Deshalb sollte digitale Souveränität nicht mit einfacher Datenresidenz verwechselt werden. Daten können in Europa gehostet werden, doch unterstützende Services wie Identität, Telemetrie, Backups, KI-Verarbeitung oder privilegierter Supportzugriff können dennoch Risiken außerhalb der erwarteten rechtlichen und operativen Grenzen einführen.
Für viele Organisationen liegt die eigentliche Herausforderung nicht in vollständiger Unabhängigkeit von globalen Technologie-Ökosystemen. Es geht vielmehr um die Fähigkeit, bewusste Entscheidungen darüber zu treffen, wo Kontrolle am stärksten sein muss und anschließend zu beweisen, dass diese Entscheidungen in der Realität standhalten.
Warum digitale Souveränität jetzt wichtiger ist
In ganz Europa wird digitale Souveränität dringlicher, weil Risiken nicht mehr nur auf klassische Cyberangriffe beschränkt sind. Organisationen müssen sich zusätzlich mit konzentriertem Lieferantenrisiko, geopolitischer Unsicherheit und den operativen Auswirkungen komplexer Cloud- und SaaS-Abhängigkeiten auseinandersetzen.
Bei Lares wird dies zunehmend sowohl als Cybersecurity-Problem als auch als Architekturproblem betrachtet. Damovo hat bereits hervorgehoben, wie NIS2 die Erwartungen an Governance, Incident Management, Risikobehandlung, Netzwerksicherheit und den Schutz sensibler Informationen erhöht. DORA ergänzt dies um eine explizitere Test-Mentalität für Finanzdienstleister durch Anforderungen an digitale operationale Resilienz und threat-led penetration testing. Der EU AI Act erhöht zusätzlich den Druck, Robustheit und Sicherheit in KI-gestützten Services und Workflows zu validieren.
Gemeinsam verändern diese Entwicklungen, was als „gut“ gilt. Es reicht nicht mehr aus zu sagen, dass Kontrollen existieren. Organisationen müssen zunehmend nachweisen, dass sie Angriffe erkennen, eindämmen und sich davon erholen können, die kritische Services oder sensible Daten bedrohen.
Wo Souveränität in der Praxis bricht
Die meisten Souveränitätsprobleme beginnen nicht mit einem dramatischen Fehler. Aus Sicht von Lares entstehen sie meist durch kleine Lücken in Architektur, Prozessen und Lieferantenbeziehungen.
Häufige Beispiele sind:
- Eine Cloud-Workload ist in der EU gehostet, aber Logs oder Backups werden anderswo repliziert.
- Eine Collaboration- oder Contact-Center-Plattform ist regional konfiguriert, aber privilegierter Supportzugriff ist zu weitreichend.
- Eine geschäftskritische Anwendung speichert Daten lokal, doch externe APIs, Analytics-Tools oder KI-Connectoren schaffen neue Wege aus der erwarteten Kontrollgrenze heraus.
- Ein Netzwerk ist auf dem Papier sicher, doch Segmentierung und Identitätskontrollen versagen unter realistischen Angriffsbedingungen.
Das ist wichtig, weil moderne Unternehmensumgebungen stark miteinander vernetzt sind. Unified Communications, Enterprise Networks, Cloud-Plattformen, Contact-Center-Tools und Managed Services funktionieren heute als ein einziges Geschäftssystem, nicht als getrennte Silos. Wenn in einer Schicht eine Schwachstelle entsteht, kann sie schnell Resilienz, Kundenvertrauen und Compliance in einer anderen Schicht untergraben.
Warum adversariales Testen wichtig ist
Adversarial Testing ist eine der praktischsten Möglichkeiten, von Annahmen zu belastbaren Beweisen zu gelangen. Statt zu fragen, ob eine Kontrolle existiert, wird gefragt, ob sie funktioniert, wenn ein Angreifer Druck ausübt.
Hier spielt Lares eine wichtige Rolle im breiteren Damovo-Portfolio. Durch offensive Cybersecurity-Services verfolgt Lares einen aggressiven, aber kontrollierten Ansatz zur Identifizierung und Behebung von Schwachstellen, bevor böswillige Akteure sie ausnutzen können. Durch Purple Teaming hilft Lares Organisationen, Erkennung, Reaktion und Transparenz zu verbessern, indem Angriffe so getestet werden, dass messbare defensive Verbesserungen entstehen.
Ein starkes adversariales Programm von Lares kann helfen, Fragen zu beantworten wie:
- Kann ein Angreifer von einer Drittanbieter-Integration in eine kritische Kommunikationsplattform wechseln?
- Können sensible EU-Daten über Grenzen hinweg bewegt werden, ohne Alarme auszulösen?
- Können Teams die Geschäftskontinuität aufrechterhalten, wenn Identitäts-, Cloud-Administrations- oder Netzwerkkontrollen gestört werden?
- Können Verteidiger Missbrauch schnell genug erkennen und eindämmen, um Betrieb und Vertrauen zu schützen?
Das sind ebenso Fragen der digitalen Souveränität wie der Cybersecurity. Sie testen, ob eine Organisation wirklich die Kontrolle hat, wenn es darauf ankommt.
Die Rolle von Red Teaming Purple Teaming
Traditionelle Penetrationstests haben weiterhin ihren Wert, konzentrieren sich jedoch häufig auf isolierte technische Schwächen innerhalb eines festen Zeitrahmens. Souveränitätsherausforderungen liegen meist höher im Stack. Sie betreffen Menschen, Prozesse, Drittparteien, operative Workflows und Vertrauensannahmen in komplexen Umgebungen.
Deshalb sind Red Teaming und Purple Teaming besonders relevant.
Ein praktisches Framework zum Nachweis digitaler Souveränität
Ein wirksames Programm beginnt nicht mit Tools. Aus Sicht von Lares beginnt es mit Klarheit darüber, was am stärksten geschützt werden muss.
-
Definieren, wo Souveränität am wichtigsten ist
Lares unterstützt Unternehmen in der Regel zunächst dabei, zu ermitteln, welche Dienste, Datentypen und betrieblichen Arbeitsabläufe ein Höchstmaß an Kontrolle erfordern. Dazu gehören häufig regulierte Kundendaten, kritische Kommunikationswege, die Kerninfrastruktur sowie Systeme, die für die Erbringung wesentlicher Dienstleistungen erforderlich sind.
-
Abhängigkeiten über den gesamten Stack hinweg kartieren
Anschließend versucht Lares zu ermitteln, welche Netzwerke, Cloud-Dienste, Kommunikationsplattformen, APIs, KI-Tools und Supportvereinbarungen diesen Diensten zugrunde liegen. Genau hier treten häufig versteckte Abhängigkeiten und unerwartete rechtliche Fragen zutage.
-
Threat-led Testszenarien entwickeln
Anschließend entwickelt Lares Adversarial-Übungen, die auf realistische Souveränitätsrisiken ausgerichtet sind, wie beispielsweise den Missbrauch privilegierter Zugriffsrechte, die Exfiltration von Daten über Cloud-Verbindungen, die Kompromittierung eines wichtigen Lieferanten oder die Unterbrechung der Kommunikation während eines Vorfalls.
-
Ergebnisse in Entscheidungen übersetzen
Tests schaffen nur dann einen Mehrwert, wenn die Ergebnisse zu konkreten Maßnahmen führen. Die Ergebnisse sollten in die Entscheidungen zur Architektur, die Prioritäten bei der Fehlerbehebung, die Lieferantenkontrolle und den für bestimmte Workloads erforderlichen Kontrollumfang einfließen.
-
Wiederholen und verfeinern
Digitale Souveränität ist kein einmaliger Zustand. Cloud-Dienste entwickeln sich weiter, Anbieter wechseln, KI-Fähigkeiten werden ausgebaut und Angriffswege verschieben sich im Laufe der Zeit. Regelmäßige Red Teaming und Purple Teaming, Überprüfungen von Cloud- und Anwendungsumgebungen sowie ein verwalteter Cybersicherheits-Support tragen dazu bei, dass die Sicherheitsmaßnahmen stets der aktuellen Realität entsprechen.
Die Lösung
Digitale Souveränität läuft letztlich auf eine praktische Frage hinaus: Können kritische Systeme, Kommunikation, Lieferanten und Datenflüsse realistischem Druck standhalten und gleichzeitig EU-Erwartungen erfüllen?
Genau hier liegt der Mehrwert von „Lares“, dem Beratungsteam für offensive Cybersicherheit von Damovo. Mithilfe von Adversarial Testing, Red Teaming, Purple Teaming und offensiver Beratung unterstützen wir Unternehmen dabei, Schwachstellen aufzudecken, Sicherheitskontrollen zu validieren und Belege dafür zu erbringen, dass sich die Widerstandsfähigkeit im Laufe der Zeit verbessert. In Zusammenarbeit mit den übergeordneten Cybersicherheits- und Infrastrukturteams von Damovo trägt Lares dazu bei, digitale Souveränität von einem strategischen Ziel in eine operative Disziplin zu verwandeln, die getestet, gemessen und kontinuierlich gestärkt werden kann.
Häufig gestellte Fragen
Ist digitale Souveränität dasselbe wie Sovereign Cloud?
Nein. Sovereign Cloud kann unterstützen, aber Souveränität ist umfassender.
Wie hängt NIS2 mit digitaler Souveränität zusammen?
NIS2 erhöht Erwartungen an Governance, Risikomanagement und Sicherheitsbewertungen.
Wie hängt DORA mit adversarial Testing zusammen?
DORA legt großen Wert auf digitale Betriebsresilienz und schreibt für bestimmte Finanzinstitute bedrohungsorientierte Penetrationstests vor. In der Praxis deutet dies auf Übungen nach dem Vorbild von TIBER-EU hin, bei denen Purple Teaming obligatorisch Purple Teaming , was indirekt den Einsatz von Purple Teaming fördert, Purple Teaming überprüfen, wie kritische IKT-Dienste realistischen Angriffen standhalten.
Wann Red Teaming statt Purple Teaming?
Red Teaming am besten, wenn das Ziel darin besteht, realistische Angriffsszenarien zu simulieren und die Widerstandsfähigkeit durchgängig zu testen. Purple Teaming am besten, wenn das Ziel darin besteht, die Transparenz und Reaktionsfähigkeit der Verteidigung durch eine enge Zusammenarbeit zwischen Angriffs- und Verteidigungsteams zu verbessern.
Was sollte eine erste Bewertung abdecken?
Zu einer soliden Ausgangsbasis gehören kritische Dienste, Datenflüsse, Abhängigkeiten von Cloud- und SaaS-Lösungen, privilegierter Zugriff, rechtliche Risiken sowie Angriffsszenarien mit Auswirkungen auf den Geschäftsbetrieb.