Newsletter Anmeldung

Bleiben Sie mit dem Newsletter immer up to date.

Zur Anmeldung
Anfrage
arrow-to-top

Kategorie: Datenschutz

Same Same but Different?

Der risikobasierte Ansatz nach DSGVO und CRA im Vergleich

03/2026

1 Zwei Verordnungen, ein Prinzip

Die Datenschutz-Grundverordnung (DSGVO) hat den risikobasierten Ansatz als zentrales Steuerungsinstrument im Datenschutzrecht der EU etabliert. Organisationen sind seither verpflichtet, technische und organisatorische Maßnahmen (TOMs) zum Schutz personenbezogener Daten abhängig vom jeweiligen Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen Personen auszuwählen und zu ergreifen. Mit der Verordnung über Cyberresilienz (Cyber Resilience Act, CRA) ist nun ein weiteres Regelwerk hinzugekommen, das ebenfalls auf einen risikobasierten Ansatz setzt – jedoch mit anderer Zielrichtung: Im Zentrum steht die Gewährleistung der Cybersicherheit vernetzter Produkte mit digitalen Elementen.

Viele Organisationen – dies betrifft insbesondere Hersteller von vernetzten Produkten und digitalen Diensten, etwa im Bereich Wearables oder Smart-Home-Anwendungen, die dabei auch personenbezogene Daten verarbeiten – stehen nun vor der Herausforderung, die beiden Regelwerke parallel anwenden zu müssen. Dies wirft nicht nur Fragen der praktischen Umsetzung auf, sondern ebenso grundlegende Fragen zur konzeptionellen Ausrichtung beider Regelwerke: Wo liegen die Gemeinsamkeiten und Unterschiede? Welche Risiken stehen jeweils im Fokus? Und: Wie können Synergien genutzt werden?

Vor diesem Hintergrund untersucht der vorliegende Beitrag systematisch die Gemeinsamkeiten, Unterschiede und Überschneidungen der beiden Verordnungen. Dazu werden in Abschn. 2 zunächst die jeweiligen Anwendungsbereiche analysiert und anhand eines praxisnahen Beispiels die Bedingungen der parallelen Anwendbarkeit veranschaulicht. In Abschn. 3 folgt eine detaillierte Gegenüberstellung des risikobasierten Ansatzes: Es wird gezeigt, wie Risiken in beiden Verordnungen definiert und bewertet werden, und welche technischen und organisatorischen Maßnahmen zur Mitigation dieser zur Verfügung stehen. Auf dieser Grundlage werden in Abschn. 4 zentrale Erkenntnisse für Praxis und Weiterentwicklung abgeleitet: Wo ergänzen sich DSGVO und CRA? Wo bestehen Zielkonflikte? Und wie lässt sich ein integriertes, interdisziplinäres Risikomanagement entwickeln, das beiden Regelungszielen gerecht wird?

Ziel ist es, Datenschutz und Cybersicherheit nicht getrennt, sondern im Sinne eines integrierten Risikoverständnisses zu denken – unter dem Leitgedanken „Same same but different“ – mit dem Ziel, Synergien zu identifizieren und praxisnahe Lösungsansätze zu fördern.

2 Anwendungsbereich

Um beurteilen zu können, wann eine parallele Anwendung von DSGVO und CRA rechtlich geboten und praktisch relevant ist, bedarf es zunächst einer klaren Abgrenzung ihrer jeweiligen Anwendungsbereiche. Auf dieser Grundlage, wird sodann exemplarisch anhand eines praxisnahen Beispiels veranschaulicht, in welchen Fällen beide Regelwerke gleichzeitig zur Anwendung gelangen können.

2.1 DSGVO

Die Datenschutz-Grundverordnung (DSGVO) gilt gemäß Art. 2 Abs. 1 für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für nichtautomatisierte Verarbeitungen, sofern dieser Teil eines Dateisystems sind oder sein solle. Unter den Begriff der automatisierten Verarbeitung fallen dabei sämtliche computergestützten Prozesse – von der einfachen Speicherung über algorithmische Auswertungen bis hin zu KI-gestützten Analysen. Auch analoge Verarbeitungen unterfallen der Verordnung, sofern sie Teil eines strukturierten Dateisystems sind. Ausgenommen vom Anwendungsbereich sind die in Art. 2 Abs. 2 DSGVO genannten Fälle, etwa rein persönliche oder familiäre Tätigkeiten, Maßnahmen im Bereich der nationalen Sicherheit oder bestimmte Formen der Strafverfolgung.

Zentraler Adressat der DSGVO ist der Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Als solcher gilt jede natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet. Die Verordnung sieht für Verantwortliche umfassende Pflichten vor – etwa zur rechtmäßigen Datenverarbeitung (Art. 5 ff. DSGVO), zur Gewährleistung eines angemessenen Schutzniveaus (Art. 24), zur datenschutzfreundlichen Technikgestaltung (Art. 25), zur Durchführung und zur Sicherheit der Verarbeitung (Art. 32).

2.2 CRA

Der CRA gilt gemäß Art. 2 Abs. 1 CRA für Produkte mit digitalen Elementen, die direkt oder indirekt mit anderen Geräten oder Netzwerken verbunden werden können. Der sachliche Anwendungsbereich richtet sich damit nicht nach der Verarbeitung einer bestimmten Art von Daten, sondern nach der technischen Beschaffenheit und Konnektivität des Produkts. Erfasst werden sowohl physische Produkte wie Router, Smartwatches oder vernetzte Haushaltsgeräte als auch immaterielle digitale Produkte wie Apps, Betriebssysteme oder Softwaredienste.

Zentraler Adressat des CRA ist der Hersteller im Sinne von Art. 3 Nr. 19 CRA. Als Hersteller gilt jede natürliche oder juristische Person, die ein Produkt mit digitalen Elementen entwickelt oder herstellen lässt und es unter ihrem Namen oder ihrer Marke vermarktet. Die Verordnung enthält für Hersteller weitreichende Pflichten – etwa zur sicheren Konzeption, Entwicklung und Herstellung der Produkte (Art. 13 Abs. 1 CRA), zur Risikobewertung (Art. 13 Abs. 2 CRA), zur technischen Dokumentation (Art. 13 Abs. 12 CRA) sowie zur Schwachstellenbehandlung (Art. 13 Abs. 8 CRA).

2.3 Parallele Anwendbarkeit

In zahlreichen praktischen Konstellationen können sich die Anwendungsbereiche von DSGVO und CRA überschneiden. Dies betrifft insbesondere Produkte mit digitalen Elementen im Sinne des CRA, die zugleich personenbezogene Daten im Sinne der DSGVO verarbeiten – etwa Smartwatches, Fitness-Tracker oder digitale Gesundheits-Apps.

Ein Beispiel: Eine internetfähige Smartwatch misst kontinuierlich die Herzfrequenz ihrer Trägerin und übermittelt diese Daten zusammen mit Standortinformationen an eine Cloud-Plattform des Herstellers. Die Daten werden dort analysiert, um personalisierte Gesundheitsberichte und Bewegungsprofile zu generieren.

Die DSGVO ist anwendbar, da es sich bei den Herzfrequenz- und Standortdaten um personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO handelt, deren Verarbeitung datenschutzrechtlich zu reguliert wird; der CRA greift, weil die Smartwatch ein vernetztes Produkt mit digitalen Elementen darstellt, das cybersicherheitsbezogenen Anforderungen unterliegt.

Ist der Hersteller der Smartwatch zugleich Betreiber der App, so ist er verpflichtet, sowohl die datenschutzrechtlichen Anforderungen der DSGVO – etwa zur Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten – als auch die cybersicherheitsbezogenen Vorgaben des CRA – etwa zur Konzeption, Entwicklung und Herstellung des Produkts – zu erfüllen.

3 Risikobasierter Ansatz

Sowohl die DSGVO als auch der CRA beruhen auf einem risikobasierten Regelungskonzept. In beiden Fällen richtet sich der Umfang der zu treffenden technischen und organisatorischen Maßnahmen nach der Bewertung der mit der jeweiligen Verarbeitung (DSGVO) bzw. dem jeweiligen Produkt (CRA) verbundenen Risiken.

Trotz dieser gemeinsamen Grundstruktur unterscheiden sich die beiden Regelwerke in wesentlichen Aspekten: Der risikobasierte Ansatz der DSGVO zielt auf den Schutz der Grundrechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten. Der CRA hingegen dient der Sicherstellung eines angemessenen Cybersicherheitsniveaus für vernetzte Produkte mit digitalen Elementen – unabhängig davon, ob personenbezogene Daten betroffen sind.

Im Folgenden werden die jeweiligen Regelungsansätze systematisch gegenübergestellt. Dabei stehen insbesondere der normative Maßstab der Risikobewertung, die methodische Ausgestaltung sowie die Art der daraus abzuleitenden Schutzmaßnahmen im Fokus.

3.1 DSGVO

Die Datenschutz-Grundverordnung (DSGVO) basiert auf einem risikobasierten Ansatz, der insbesondere in Art. 24, 25, 32 und 35 DSGVO normativ verankert ist. Ziel ist es, den Schutz der Grundrechte und Freiheiten natürlicher Personen durch technische und organisatorische Maßnahmen sicherzustellen, deren Art, Umfang und Intensität sich nach dem mit der konkreten Verarbeitung verbundenen Risiko bemessen.

Verantwortliche sind daher verpflichtet, frühzeitig – idealerweise bereits in der Konzeptionsphase – zu prüfen, welche potenziellen Risiken sich aus einer geplanten oder laufenden Verarbeitung personenbezogener Daten ergeben können. Diese Analyse dient als Grundlage für die Auswahl geeigneter Schutzmaßnahmen. Eine formalisierte Datenschutz-Folgenabschätzung im Sinne von Art. 35 DSGVO ist nur in besonders risikogeneigten Fällen verpflichtend, wohl aber verlangt die DSGVO in jedem Fall eine strukturierte Risikoabwägung. Art. 24 DSGVO verpflichtet Verantwortliche, geeignete Maßnahmen zu treffen, um die Einhaltung der Verordnung sicherzustellen und dies auch nachweisen zu können. Art. 32 konkretisiert diese Pflicht für die Sicherheit der Verarbeitung – insbesondere durch Maßnahmen zur Wahrung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme. Beide Normen bilden gemeinsam den normativen Kern des risikobasierten Ansatzes.

Art. 24 und 25 Abs. 1 DSGVO verpflichtet den Verantwortlichen dazu, die mit der Verarbeitung verbundenen Risiken systematisch zu bewerten und geeignete technische und organisatorische Maßnahmen zu ergreifen, um diese Risiken auf ein akzeptables Maß zu reduzieren. Wie die Risikobewertung im Einzelnen auszugestalten ist – insbesondere, welches Restrisiko noch als vertretbar gilt – bleibt unbestimmt. Die DSGVO enthält hierzu weder eine Legaldefinition noch eine abschließende Liste von Bewertungskriterien. Die Normen operieren mit offenen Begriffen wie „angemessen“, „geeignet“ oder „erforderlich“, deren Auslegung sich stets am konkreten Risiko orientieren muss. Maßgeblich ist, dass die Maßnahmen in einem angemessenen Verhältnis zur Eintrittswahrscheinlichkeit und zum möglichen Schaden für die betroffene Person stehen. Zur Beurteilung der Risikolage sind nach Art. 24 Abs. 1 S. 1 DSGVO insbesondere folgende Faktoren zu berücksichtigen:

  • Art der Verarbeitung (z. B. besonders sensible Daten),
  • Umfang der Verarbeitung (Menge der Daten und betroffener Personen),
  • Umstände (z. B. ob anonymisiert oder öffentlich einsehbar),
  • Zweck (z. B. De-Pseudonymisierung).

Dabei ist abzuwägen, welche Schäden – etwa Diskriminierung, Identitätsdiebstahl oder Reputationsverlust – entstehen könnten und wie wahrscheinlich deren Eintritt ist. Selbst ein geringer Schaden kann bei hoher Eintrittswahrscheinlichkeit ein hohes Risiko darstellen; umgekehrt kann ein schwerwiegender Schaden durch geringe Eintrittswahrscheinlichkeit relativiert werden.

Zu den daraus abzuleitenden technischen und organisatorischen Maßnahmen zählen unter anderem:

  • Pseudonymisierung und Verschlüsselung: Verhindern, dass unbefugte Dritte personenbezogene Daten ohne zusätzliche Informationen einer Person zuordnen oder einsehen können.
  • Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme: Schützen Daten vor unbefugtem Zugriff, Manipulation, Verlust oder Systemausfällen.
  • Notfallkonzepte zur Wiederherstellung des Zugangs: Stellen sicher, dass bei technischen oder physischen Zwischenfällen ein schneller Zugriff auf die Daten wiederhergestellt werden kann.
  • Regelmäßige Überprüfung der Maßnahmen: Dient der Evaluierung der Wirksamkeit und Anpassung an neue Risiken oder technische Entwicklungen.
  • Berücksichtigung bereits in der Planungsphase („Security by Design“): Sicherheitsanforderungen sollen von Anfang an in die Systemgestaltung integriert werden, nicht erst im laufenden Betrieb.

Ergänzend fordert die DSGVO, dass die Wirksamkeit der eingesetzten Schutzmaßnahmen regelmäßig überprüft, bewertet und gegebenenfalls angepasst wird, um ein dauerhaft angemessenes Schutzniveau sicherzustellen.

Ein wesentliches Umsetzungsproblem des risikobasierten Ansatzes der DSGVO liegt in der fehlenden strukturierten und kontinuierlichen Überwachung der gewählten technischen und organisatorischen Maßnahmen. In der Praxis erfolgt diese Überprüfung meist punktuell, manuell und mit erheblichem Dokumentationsaufwand – etwa im Rahmen klassischer Datenschutzaudits. Eine fortlaufende, risikoadäquate Anpassung der Maßnahmen ist auf dieser Grundlage nur eingeschränkt möglich. Diese Lücke in der Umsetzungspraxis adressieren Gärtner und Selzer mit ihrem Vorschlag zum Einsatz von Datenschutzmetriken als Mittel zur effektiveren Umsetzung des risikobasierten Ansatzes vor. Dabei handelt es sich um Kennzahlen, die den Umsetzungsgrad technischer und organisatorischer Schutzmaßnahmen – etwa in den Bereichen Datenminimierung, Zugriffskontrolle oder Speicherbegrenzung – systematisch und (teil-)automatisiert bewerten. Diese Metrikensysteme erlauben eine objektive, kontinuierliche Erhebung und Auswertung datenschutzrelevanter Zustände innerhalb einer Organisation und können zur frühzeitigen Erkennung von Defiziten beitragen. Dadurch lassen sich Schutzmaßnahmen dynamisch an veränderte Risikolagen anpassen und überdimensionierte Maßnahmen gezielt zurückfahren. Neben einem Effizienzgewinn für Verantwortliche soll durch Metrikensysteme auch die Rechenschaftspflicht gemäß Art. 24 Abs. 1 DSGVO besser erfüllt werden können. Zugleich steige die Nachvollziehbarkeit für Aufsichtsbehörden, und es entstehe ein positiver Anreiz, Datenschutz nicht nur als regulatorische Last, sondern als steuerbares Compliance-Instrument zu begreifen.

Letztlich ist entscheidend, dass Verantwortliche ihre Risikobewertung nachvollziehbar dokumentieren und aufzeigen können, dass die Risiken systematisch geprüft, angemessen gewichtet und mit geeigneten Maßnahmen adressiert wurden – ganz im Sinne des Rechenschaftsprinzips gemäß Art. 5 Abs. 2 DSGVO.

3.2 CRA

Auch der Cyber Resilience Act (CRA) folgt einem risikobasierten Regelungskonzept, das jedoch einen anderen normativen Fokus als die DSGVO aufweist: Während die DSGVO auf den Schutz der Grundrechte natürlicher Personen im Kontext der Datenverarbeitung abzielt, verfolgt der CRA das Ziel, ein einheitlich hohes Niveau der Cybersicherheit für Produkte mit digitalen Elementen in der EU sicherzustellen. Im Mittelpunkt steht dabei der Schutz vor sicherheitsrelevanten Störungen wie unbefugtem Zugriff, Manipulation oder dem Ausnutzen von Schwachstellen – unabhängig davon, ob personenbezogene Daten betroffen sind.

Gemäß Art. 13 Abs. 2 CRA sind Hersteller verpflichtet, vor dem Inverkehrbringen eines Produkts eine systematische Risikobewertung durchzuführen. Diese muss sämtliche Phasen des Produktlebenszyklus abdecken – von der Konzeption über die Entwicklung bis hin zu Wartung und Betrieb – und bildet die Grundlage für die Auswahl geeigneter technischer und organisatorischer Maßnahmen. Letztere sind in Anhang I Teil I der Verordnung konkretisiert.

In Abhängigkeit von der Risikobewertung sind unter anderem folgende Maßnahmen zu ergreifen:

  • Die Produkte dürfen keine bekannten, ausnutzbaren Schwachstellen aufweisen (Anhang I Teil I Abs. 2 lit. a CRA);
  • Schwachstellen müssen durch Sicherheitsaktualisierungen behoben werden können (Anhang I Teil I Abs. 2 lit. c CRA);
  • es sind angemessene Zugriffskontrollen und Schutzmechanismen gegen unbefugten Zugriff vorzusehen
  • (Anhang I Teil I Abs. 2 lit. d CRA).

Die gewählten Maßnahmen sind in die technische Dokumentation gemäß Art. 31 Abs. 1 CRA aufzunehmen und müssen dem identifizierten Risikoniveau angemessen sein. Darüber hinaus besteht gemäß Art. 31 Abs. 2 CRA die Pflicht zur kontinuierlichen Aktualisierung der Risikobewertung während des gesamten Unterstützungszeitraums. Dieser Zeitraum muss so bemessen sein, dass ein angemessenes Schutzniveau über die zu erwartende Nutzungsdauer hinweg sichergestellt ist – mindestens jedoch für fünf Jahre (Art. 13 Abs. 8 CRA).

In der Zusammenschau zeigt sich, dass der CRA einen strukturierten, technisch orientierten Risikobewertungsansatz verfolgt, der stärker auf objektivierbare Kriterien abstellt als die eher offen formulierte DSGVO. Ob und inwieweit dabei auch systematische Instrumente wie das von Gärtner und Selzer entwickelte Metrikensystem zur Anwendung kommen oder weiterentwickelt werden können, bleibt Gegenstand zukünftiger Forschung und regulatorischer Ausgestaltung.

4 Fazit

Same same but different – DSGVO und CRA folgen im Grundsatz derselben Steuerungslogik, nämlich dem risikobasierten Ansatz, setzen jedoch unterschiedliche normative Schwerpunkte. Während die DSGVO auf den Schutz der Grundrechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten abzielt, fokussiert der CRA auf die Gewährleistung der Cybersicherheit vernetzter digitaler Produkte. Wer beide Ansätze nicht isoliert, sondern im Verbund denkt, schafft die Grundlage für ein zukunftsfähiges, kohärentes Risikomanagement im digitalen Raum – eines, das sowohl individuelle Freiheitsrechte als auch die technische Resilienz digitaler Infrastrukturen adressiert.

Beide Verordnungen beruhen auf der Pflicht, Risiken systematisch zu analysieren und entsprechende technische und organisatorische Maßnahmen abzuleiten. Doch bei näherer Betrachtung offenbaren sich grundlegende Unterschiede in Zielrichtung, Adressatenkreis, Risikobegriff und Steuerungsstil:

  • Regulierungsziel: Die DSGVO schützt individuelle Rechte – insbesondere das Grundrecht auf Datenschutz gemäß Art. 8 GRCh – und misst Risiken an potenziellen Beeinträchtigungen für natürliche Personen. Der CRA hingegen adressiert die Funktionsfähigkeit digitaler Produkte und deren Widerstandsfähigkeit gegenüber externen Angriffen – unabhängig vom Personenbezug.
  • Adressatenkreis: Die DSGVO richtet sich an datenverarbeitende Stellen („Verantwortliche“), der CRA dagegen insbesondere an Hersteller vernetzter Produkte. Beide Regelungsbereiche können in ein- und derselben Organisation zusammentreffen – etwa bei Herstellern digitaler Gesundheitsgeräte.
  • Risikoverständnis: Die DSGVO verwendet einen offenen, kontextabhängigen Risikobegriff, der normative Wertungen voraussetzt. Die Beurteilung, was ein „angemessenes Restrisiko“ darstellt, bleibt dem Verantwortlichen überlassen – was in der Praxis erhebliche Rechtsunsicherheiten verursacht. Der CRA hingegen arbeitet mit einem eher objektivierenden Maßstab, etwa durch konkretisierte Vorgaben zu Schwachstellenmanagement und Updatepflichten. Allerdings besteht auch hier weiterer Konkretisierungsbedarf, etwa im Hinblick auf die Ausgestaltung risikoadäquater Maßnahmen über unterschiedliche Produktkategorien und Lebenszyklusphasen hinweg.
  • Maßnahmenbezug und Verbindlichkeit: Beide Verordnungen verlangen „angemessene“ Maßnahmen, doch der CRA spezifiziert diese technischer und verbindlicher – z. B. in Anhang I. Die DSGVO bleibt bewusst flexibel, was die Skalierbarkeit verbessert, zugleich aber Nachvollziehbarkeit und Vergleichbarkeit erschwert.

Gerade in Konstellationen, in denen beide Verordnungen gleichzeitig Anwendung finden entstehen nicht nur Herausforderungen, sondern auch Synergiepotenziale: Eine koordinierte, interdisziplinär konzipierte Risikobewertung kann sowohl datenschutzrechtliche als auch cybersicherheitsbezogene Anforderungen berücksichtigen und dadurch konsistente Schutzkonzepte ermöglichen.

Ein besonders vielversprechender Ansatz liegt in der Weiterentwicklung von Metrikensystemen im Sinne von Gärtner und Selzer. Diese ermöglichen eine systematische, nachvollziehbare Bewertung und Steuerung technischer und organisatorischer Maßnahmen auf Basis standardisierter Kennzahlen. Sie tragen damit nicht nur zur Erfüllung der Rechenschaftspflicht bei, sondern könnten perspektivisch auch auf CRA-relevante Prozesse – wie Produktüberwachung oder Patch-Management – übertragen werden. Eine solche methodische Brücke könnte helfen, beide Regelwerke in einem kohärenten Risikomanagement zu integrieren. Die Herausforderung besteht somit nicht nur in der parallelen Anwendung beider Regelungen, sondern in ihrer konzeptionellen Verschränkung. Wer Datenschutz und Cybersicherheit als zwei Seiten desselben Risikobegriffs versteht, kann nicht nur Doppelarbeit vermeiden, sondern gezielt Effektivität, Effizienz und Transparenz verbessern – im Sinne eines europäischen digitalen Binnenmarkts, der Sicherheit und Grundrechte gleichermaßen wahrt.

Zur einfacheren Lesbarkeit wurden die Literatur- und Quellenverweise entfernt.

Appelt, D. (2026). Same Same but Different?. In: Selzer, A. (eds) Aktuelle Entwicklungen des Rechtsrahmens der Cybersicherheit und Privatheit. ATHENE2025 2025. Rechtsrahmen der Cybersicherheit und Privatheit.

Springer Vieweg, Wiesbaden.

https://doi.org/10.1007/978-3-658-49640-1_3

http://creativecommons.org/licenses/by-nc-nd/4.0/deed.de

Datenschutz, praxisorientierte Lösungen und Umsetzungsvorschläge

Wir beraten Sie in allen Datenschutzbelangen rund um die nationale (DSG, Informationssicherheitsgesetz ISG, kantonale Datenschutzgesetze etc.) und internationale (DSGVO/GDPR) Datenschutzgesetzgebung und beantworten Ihre Datenschutzfragen.

Kontaktieren Sie uns und erfahren Sie in einem unverbindlichen Beratungsgespräch, was unsere Spezialistinnen und Spezialisten für Sie tun können: +41 41 984 12 12, infosec@infosec.ch

Weitere Datenschutz-Themen
Kategorie: Cybersecurity | Datenschutz

Digitalisierung ohne Demokratie?

02/2026

Mit der digitalen Transformation in der EU ist die Absicht verbunden, Infrastrukturen und demokratische Institutionen der analogen Gesellschaft in eine digitale Zukunft zu überführen. Aus dem entstehenden digitalen Zwilling sollen sich produktivere Strukturen entwickeln und die Bürokratie abgebaut werden. Für die EU ist damit die Erwartung verbunden, nur so im geopolitischen Wettbewerb mithalten zu können.

Für die dafür notwendigen Technologien haben amerikanische Techkonzerne einen uneinholbaren Vorsprung. Wenige Plattformen, wie Google, Apple, Facebook, Amazon, Microsoft, X sowie Chiphersteller, generative KI-Anbieter und soziale Netzwerke kontrollieren heute als Backbone die europäische wie die globale digitale Transformation mit Ausnahme von China.

Lange Zeit konnten sie sich völlig unreguliert entwickeln. Mit der Verabschiedung europäischer Gesetze wie dem Digital Services Act (DSA), Digital Markets Act (DMA) und dem Artificial Intelligence Act (AI Act) soll erreicht werden, weitere Autonomieverluste zu vermeiden und Hassreden und Desinformation zu verhindern.

Die in freien Nationen ansässigen Bürger und Bürgerinnen leben heute in 2 Welten: analog in demokratisch verfassten Gesellschaften und digital in einer Welt, in der wenige US-Netzkonzerne über die digitalen Strukturen und ihre Regeln bestimmen können. Sie sind heute mit ihrer Dominanz über Daten und dem „Datensetzen durch Innovationen“ relevante Player, die mit ihrem Verständnis von Demokratie und mit ihren Wertvorstellungen wachsenden Einfluss nehmen. Sie stimmen in vielen Fällen nicht überein mit EU-Regelungen.

Diese Situation hat sich durch den Regierungswechsel in den USA erheblich verschärft. Techkonzerne und autokratisch geführte Regierungen, angeführt vom amerikanischen Präsidenten, wollen große Teile der EU-Infrastrukturen vor allem in Kultur, Kommunikation, Verwaltung über Digitalisierung nach ihren Vorstellungen verändern. Damit ist die digitale Transformation heute so hochpolitisch wie nie zuvor.

Wie konnte sich der Digitalisierungspfad über Jahrzehnte so entwickeln, wie er sich heute darstellt? Wie kam die „digitale Machtergreifung“ weniger US-Konzerne zustande? Welche Folgen hat das für die Märkte in der EU? Hat die absehbare digitale Entwicklung das Potenzial, unsere demokratischen Grundlagen zu zerstören?

Der Digitalisierungspfad

Die Übernahme der digitalen Transformation durch US-Techkonzerne

Die US-Internetkonzerne haben eine digitale Schneise in die globale Ökonomie geschlagen, sie kontrollieren große Teile der digitalen Transformation. Um ihre ursprünglichen Kernprodukte haben sie eine Vielzahl von Innovationen entwickelt, Start-ups wurden aufgekauft und Allianzen mit Weltmarktkonzernen der Old Economy geschlossen. Das Ziel, Dominanz durch Errichtung sog. Ökosysteme.

Die Internetkonzerne wecken mit ihren digitalen Angeboten vor allem Bedürfnisse bei Privatnutzern. Es sind vor allem digitale Dienste, die kaum komplizierte Zahlungsmodalitäten benötigen. Sie sind in vielen Fällen über das Internet sofort verfügbar und oft kostenlos. Mit der Besiedlung ist der tägliche Privatbereich zur Zone einer neuen Ökonomie geworden.

Google, Facebook (heute Meta) wie Amazon haben sich ein System mit Spinnennetz-ähnlichen Strukturen geschaffen, das sich permanent selber anreichert und eine Vielzahl von Akteuren anzieht, die sich davon Vorteile versprechen: Nutzer, die auf viele neue Dienstleistungen bequem und oft kostenlos zugreifen können; Wagniskapitalfinanzierer, die, aus welchen Quellen auch immer, viel Geld haben und noch mehr haben wollen; Start-ups, die auf Übernahme ihrer Innovationen hoffen und durch Verkauf Gewinn machen möchten; Unternehmen der „alten“ Ökonomie, die hoffen, durch Allianzen mit Google u. a. für ihr Geschäft zu profitieren oder zumindest Wissen für ihre Zwecke abschöpfen zu können. Des Weiteren Programmierer, Softwareentwickler und Ökonomen, die neben einer guten Bezahlung auf Karriere setzen sowie Entscheider über große Werbeetats, die wissen, dass in diesem System die kaufwilligen Konsumenten zu finden sind, die viel gezielter angesprochen werden können als durch Werbung im Fernsehen oder in Printmedien.

Mit ihren Geschäftsmodellen, ihren Aufkäufen und Allianzen greifen die Internetkonzerne nicht nur die traditionellen Unternehmen in ihrer Existenz an. Sie kontrollieren die Datenströme der globalen Ökonomie und können sich so in bislang fremden Branchen ausbreiten. Beispiel Amazon mit seinem Angriff zunächst auf den stationären Buchhandel, dann auf den gesamten globalen Einzelhandel und auf das Cloud-Geschäft. Über den Cloud-Webserver AWS, der heute die Haupteinnahmequelle von Amazon ist, laufen die Daten der NASA, der Navy, der CIA und vieler DAX-Unternehmen. Google beispielsweise ist heute u. a. in den Bereichen Internetdienste und -produkte, Gesundheit, Smarthome, Wagniskapitalfinanzierung, Biotechnologie sowie Life Science aktiv.

Die Zerstörung der Marktwirtschaft

Die US-Internetkonzerne werden zumeist aufgrund ihrer ökonomischen Macht als Monopole oder Oligopole eingestuft. Philipp Staab hält diese Einordnung noch für zu unkritisch: Denn klassische Monopole agieren auf Märkten. Die Plattformen Google, Apple, Facebook, Amazon und Microsoft (GAFAM) haben sich dagegen zu proprietären Märkten entwickelt. Sie sind keine Produzenten mehr, die auf Märkten agieren, sondern sie beherrschen ihre Märkte, auf denen viele Produzenten agieren. Sie sind zu Herrschern digitaler ökonomischer Infrastrukturen geworden.

Sie sind in der Lage, das Zusammentreffen von Angebot und Nachfrage zu steuern und zu kontrollieren. Sie haben die Kontrolle über Informationen, Zugang zu Leistungen und Preise der Produzenten als auch der Konsumenten. Die marktbeherrschenden Plattformen können „nach eigenem Ermessen entscheiden, welchen Produzenten Zugang zum Markt gewährt wird und unter welchen Bedingungen dies geschieht“.

Google und Apple mit ihren App-Stores zeigen, wie proprietäre Märkte funktionieren. Apple bestimmt mit seiner App-Store-Plattform, welche Apps Nutzer auf ihren Smartphones installieren können. Google übt auf Android-Handys einen vergleichbaren Druck aus. Mit den App-Stores bestimmen sie die Preise ihrer Provisionsmodelle. Der App-Anbieter, der nicht bereit ist, eine hohe Umsatzprovision zu zahlen, hat keine Chance, in die App-Stores zu kommen. Ihm wird der Marktzutritt verwehrt.

Die Dominanz der Plattformen auf der Nachfrageseite der Konsumenten macht es ihnen leicht, auch die Kontrolle über die Angebotsseite zu gewinnen. Sie erhalten die Informations- und Preiskontrolle durch Auswertung der anfallenden Daten der Kunden, der Bestände und der Preise. Über die Leistungskontrolle verfügen sie, indem sie die Standards für die Waren setzen können, die auf ihren Plattformen gehandelt werden.

Sie versuchen die Märkte unter sich aufzuteilen: Amazon dominiert weltweit den digitalen Einzelhandel, Zuckerberg die Kommunikation über soziale Medien, Google die Suche und Navigation im Netz, Apple die Hardware für die Nutzer, Musk die Kommunikation am Himmel und auf Erden.

Für Philipp Staab ist das Modell proprietärer Märkte „ein Programm der Radikalisierung sozialer Ungleichheit durch Verschiebung von Einkommen zu Vermögen, von Produzenten und ihren Beschäftigten zu Marktbesitzern und ihren Eignern“.

Wie konnte es dazu kommen?

Sucht man nach den Anfängen, so sollte man bis zur Hippiebewegung zurückgehen. Hier begann die Vision, einen Personal Computer quasi als Werkzeug für jedermann zu entwickeln. Linke und Alternative träumten von einer Gesellschaft, in der mit ihren Werkzeugen eine basisdemokratische Welt aufzubauen wäre. Der kleine kompakte Rechner sollte den Bürgern Autonomie und Freiheit von den zentralen Unternehmensrechnern bringen. Start-ups gründeten sich im Silicon Valley, finanziell gefüttert mit Fördergeldern von Unterabteilungen des Department of Defense. Sie konnten sich lange Zeit ohne Argwohn eher mit allgemeiner Bewunderung unter dem Schleier „Des Googles Kern und andere Spinnennetze“ entwickeln. Dieses basisdemokratische Selbstverständnis lebte die Freiheit von rechtlichen Einschränkungen voll aus und musste sie nicht begründen, sie war selbstverständlich. Der Gedanke, so die Basis für wenige global agierende, marktzerstörende Plattformen zu legen, war zu jener Zeit jenseits aller Phantasien.

In diesem Biotop der grenzüberschreitenden Schwärmerei über permanent hereinbrechende, angesagte digitale Innovationen galt jegliche staatliche Lenkung, wenn auch nur für die Öffentlichkeit, als kontraproduktiv. Nach und nach konnten Google & Co. so Branchen, private wie öffentliche Institutionen umkrempeln und in Besitz nehmen. Es war diese neue Technologie der jungen Leute, die mit dem Angebot absoluter Freiheit daherkam, die es ermöglichte, proprietäre Märkte zu schaffen.

Die europäische Politik, analoge Unternehmen und ihre Verbände schauten zu, wie Institutionen, Branchen und Geschäftsmodelle zugunsten weniger amerikanischer Techkonzerne zerrannen. Sie wurden von Politik und Medien permanent mit dem Schlachtruf angefeuert, jegliche Form der Digitalisierung zu beschleunigen, ohne zu differenzieren, welchen bedenklichen Strukturen sie auch das Wort redeten.

Staunend standen sie vor dem Verteilungsmechanismus des The-winner-takes-it-all-Prinzips, die Ersten bekommen alles, die anderen gehen leer aus. Die Einschätzung von Michael Zürn vom Wissenschaftszentrum Berlin (WZB): „Ein Prozent mehr Leistung oder einfach das Glück entscheiden darüber, ob man fast alles hat oder fast nichts. Das kann nicht durch das Leistungsprinzip gerechtfertigt werden“.

Die Politik nahm auch nicht die Abhängigkeiten zur Kenntnis, die in den sozialen Medien gerade für die junge Generation eingebaut sind. Die Aufmerksamkeit ist hochzuhalten, um die Verweildauer der Nutzer bei den Werbebotschaften zu steigern. Das leisten Feeds, die permanent Anreize und Aufreger anbieten und häufig eine pessimistische Perspektive auf die Welt beim Nutzer hinterlassen.

Der digitale Wettbewerb um Infrastrukturen

Die proprietären Märkte sind vergeben. Seit einiger Zeit gehen die US-Internetkonzerne noch einen Schritt weiter. In dieser zweiten Phase wollen sie große Teile der EU-Infrastrukturen digital besetzen. Ihr Interesse geht damit über die Ausweitung der Handels- (Amazon), Informations- und Kommunikationsinfrastrukturen (u. a. Google, Facebook, X, WhatsApp, Instagram) hinaus.

Laut Wikipedia zählen zu Infrastrukturen „alle Anlagen, Institutionen, Strukturen, Systeme und nicht-materiellen Gegebenheiten, die der Daseinsvorsorge und der Wirtschaftsstruktur eines Staates oder seiner Regionen dienen“. Die Internetkonzerne streben jetzt an, Teile der politischen Daseinsvorsorge zu übernehmen. Dazu könnte gehören, die Übernahme von Dienstleistungen, in den Bereichen Mobilität, Wohnen, Bildung, Gesundheit und Pflege, Stadt- und Gemeindeentwicklung, Kultur, Freizeit und Kommunikation. Soweit dies gelänge, wären sie die digitalen Architekten der Gesellschaft bei diesem plattformökonomischen Infrastrukturwandel.

Soweit dies insbesondere für öffentliche Institutionen gelingt, wäre es die Übernahme der Steuerungs- und Kontrollmöglichkeiten von Teilen des demokratischen Staates. Rechtslibertäre Befürworter sehen diese Entwicklung in letzter Konsequenz als notwendigen Schritt zur weitgehenden Entbürokratisierung.

Was spricht für einen möglichen Erfolg großer Teile der EU-Infrastrukturen?

Die Nutzer sind über ihr Smartphone permanent am Nabel der Angebote der Internetkonzerne. Sie kommunizieren und informieren sich fast ausschließlich über Facebook, Google, Instagram, Youtube, TikTok etc. Durch den permanenten Datenfluss aus Apps, Diensten und sozialen Medien werden ihre Datenscheunen gefüllt. Daraus lassen sich Muster vor allem mit Unterstützung generativer KI (Künstliche Intelligenz) identifizieren, die Grundlage sind, um neue Ideen und Geschäftsmodelle zu entwickeln. Sie tun sich in allen Infrastrukturbereichen auf. Mit der Macht über Daten wird bislang Unsichtbares und in der Folge zukünftig Ökonomisierbares sichtbar.

Ein Beispiel, wie Einstiege schleichend möglich werden, zeigen beispielhaft die Berliner Verkehrsbetriebe (BVG). Ihre App ist mit Google Maps verbunden. So kann Google große Teile der Bewegungsdaten der Stadtbevölkerung von Berlin abschöpfen. Zugleich macht Google die Dienstleistungen für die Nutzer attraktiv.

Kaum noch zur Kenntnis nehmen wir erfolgreiche Beispiele der Übernahme von Infrastrukturen: In der Mobilität hat u. a. Uber zahlreiche Taxianbieter verdrängt, Airbnb hat den Mietwohnungs- und Hotelbereich aufgemischt. Im Apothekenbereich ist mit dem E‑Rezept ein erster Versuch erkennbar, – mit der Werbefigur Günter Jauch – einen neuen internationalen Techkonzern im Gesundheitswesen zu etablieren und so die Apotheken vor Ort zu verdrängen.

Die entscheidende Frage ist, ob es Techkonzernen möglich wird, Infrastrukturen der öffentlichen Verwaltung in relevantem Ausmaß zu übernehmen. Das könnte passieren, wenn rechtslibertäre Strategien nach den Vorstellungen von Trump, Vance, Musk oder Milei sich auch innerhalb der EU durchsetzen können.

Der Digitalisierungspfad und die Zerstörung der Demokratie

Sofern Internetkonzerne aufgrund überlegener Datenlage öffentliche Räume und Infrastrukturen besiedeln können, verlieren eine Gesellschaft und die Politik nach und nach die Fähigkeit, das Land in ihrem Sinne zu gestalten. Kommunen, Städte und Regierungen benötigen Zugang zu Daten zur Umsetzung demokratischer, am Gemeinwohl orientierter Politik. Internetkonzerne dagegen haben das Ziel, mit Daten ihre Geschäftsmodelle, ihre Gewinne und ihre Herrschaft voranzubringen. Der öffentliche Raum wird zum privaten Raum einiger Internetkonzerne. Wenn Daten kein Gemeingut mehr sind, werden demokratisch legitimierte Institutionen ihre Infrastruktur nicht auf Basis relevanter Daten gestalten können. Die Internetkonzerne sind heute, wie beim Wettrennen in Buxtehude zwischen Hase und Igel, immer schon da. Sie können mit Daten, über die nur sie verfügen, Infrastrukturen besetzen und in ihrem Interesse gestalten.

Die Wiedergeburt des Cäsar

Wie Demokratien sich in Zukunft verändern werden, hängt von der Politik und von den Wertvorstellungen und politischen Einstellungen der Internetkonzernunternehmer ab. 7 von 10 der reichsten Menschen sind laut der Forbes-Liste Digitalunternehmer. 80 % der Unternehmensvermögen konzentrieren sich in den USA heute in 10 % der Firmen, die überwiegend Big-Techkonzerne sind. Sie sind aufgrund der von ihnen realisierten Technikinfrastrukturen, ihrer Finanzkraft wie ihrer Datenscheunen in der Lage, politische Strukturentscheidungen in ihrem Interesse zu treffen. Beste Voraussetzungen, dass Oligarchien entstehen, die mit ihren Technologien und ihrem angehäuften Kapital politische Macht durchsetzen können.

Die uns heute selbstverständlich erscheinenden demokratischen Zustände könnten uns bald als Idylle vorkommen. Es ist zu befürchten, dass rechtslibertäre Vorstellungen, in ihrer schärfsten Form vertreten vom argentinischen Präsidenten Javis Milei, von Peter Thiel, vom Trump-Freund Elon Musk und in Deutschland vom Welt-Herausgeber Wolf Poschardt, die staatlichen Aufgaben grundlegend abbauen und die Reste privaten Dienstleistern zur Gewinnerzielung überlassen würden. Die Vision: Den Staat auf ein Minimum zu einem handlungsunfähigen zurückfahren, in dem Arbeitnehmer‑, Umweltschutzrechte und demokratische Standards nicht mehr durchsetzbar sind. Sie werden dann von denen gesetzt, die die ökonomische Macht haben.

Musks Geschäftsmodell konnte übrigens nur erfolgreich sein, weil er von staatlichen Subventionen für Tesla, Space‑X und Starlink profitierte. Bei Space‑X sollen es seit seiner Gründung US-Regierungsaufträge von rund 20 Mrd. Dollar sein. Er hat in der Ukraine jederzeit die Möglichkeit, die flächendeckend freigegebene Nutzung von Starlink, die u. a. für die Drohnensteuerung relevant ist, zu beenden. Der Kriegsausgang liegt damit auch in seiner Hand.

Trump ist Anhänger dieser rechtslibertären Ideen. Elon Musk scheint ein enger Einflüsterer zu sein. Durch Drohungen wird den Techunternehmern, wie Bezos/Amazon, Pichai/Google, Zuckerberg/Meta, Cook/Apple und Nadella/Microsoft, nahegelegt, das Knie vor dem König zu beugen. Offensichtlich hat Trump damit Erfolg. Bei seiner Amtseinführung saßen die Netzkonzernlenker in der ersten Reihe. Mit Millionenspenden hatten sie sich gefällig gezeigt. Mark Zuckerberg zum Beispiel beendet die Faktenchecks auf Facebook und Instagram, zunächst nur in den USA, um, wie er betont, die Einschränkung der Meinungsfreiheit aufzuheben. Regierungen außerhalb der USA und die alten Medien würden seine Produkte immer mehr zensieren. Ein erkennbarer Versuch, Trump zu schmeicheln und gleichzeitig die Kosten zu reduzieren.

Victor Loxen sieht in Trump die Wiedergeburt des Cäsarismus. Es ist die Herrschaft einer einzelnen Person, die aufgrund ihres Charismas Legitimität herzustellen vermag. Der daraus erwachsene Personenkult macht Institutionen obsolet. Sie bleiben als leere Hüllen bestehen. Der mit Trump verbundene Personenkult erlaubt ihm alles, was seiner Ideologie im Wege steht, durch eine Inflation von Dekreten abzuräumen.

Eine funktionierende Demokratie sanktioniert Lügen. Für den Cäsar aus Washington sind Lügen ein Machtfaktor. Trump fordert mit seinen Lügen und seinen Aggressionen Loyalität von seinem Umfeld ein. Wer nicht mitmacht, über den wird der Bann gelegt und ausgeworfen. Lügen werden zu dem, „was ist“. Mit der Zerstörung der Wahrheit wird an die Wurzeln der Demokratie Hand angelegt. Trump hat sich mit der Lüge und der Einforderung absoluter Loyalität ein mächtiges Machtinstrument geschaffen.

Wie aber konnte Trump eine solche Macht gewinnen? In einer klugen Analyse zeigen Lukas Paul Schmelter und Joseph de Weck, weshalb sein scheinbar schlichter Schlachtruf „make America great again“ auf viele Amerikaner eine solche Faszination ausüben konnte. Er verbindet die Sehnsucht nach Rückkehr in die 1950er-Jahre mit der Vision, durch Technologien wie KI und Starship bald die Erde wie den Mars beherrschen zu können. Der Spruch vermittelt Dynamik und Zuversicht und verknüpft die Disruption der chaotischen Gegenwart mit einer glorreichen Zukunft und nostalgischer Verklärung vergangener Zeiten.

Dieser „reaktionäre Futurismus“ ist kein politisches Programm, vielmehr ein Gefühl, das zu einer Haltung geworden ist. Die Aussicht auf einen Systemsturz, verbunden mit einem Neuanfang, nimmt verbitterte Senioren und digitale Junioren mit. Sie holt ihre Anhänger aus dem oft langweiligen amerikanischen Alltag. Demokratische Kontrolle, Diskurs und institutionelle Strukturen sind dabei genauso hinderlich wie ökologische Bedenken. Es geht um eine neue amerikanische Weltordnung, die das langsame Check and Balance durch Chaos und dynamisch agierende Techoligarchien ersetzt.

Techkonzerne Hand in Hand mit Trump

Die US-Techkonzerne spekulieren darauf, dass Donald Trump ihnen die Kartellrechtsverfahren der Biden-Regierung und die Regulierungsversuche vor allem in der EU über DSA vom Hals schaffen wird. So ließe sich ihre Führungsrolle auf den digitalen Weltmärkten zementieren. Im Gegengeschäft wird Trump, neben seiner politischen Macht, die einem Präsidenten der führenden Weltmacht USA eh schon gegeben ist, zusätzlich zusammen mit den US-Internetkonzernen und ihren Techprodukten und -dienstleistungen die Möglichkeit haben, seine autoritären gesellschaftlichen Vorstellungen in den demokratischen westlichen Staaten durchzusetzen. Versuche der Einhegung der US-Oligarchen seitens der EU wird er mit Revanchefouls beantworten. Ein Beispiel die Äußerung von Vice-president J.D. Vance: Man werde aus der NATO austreten, wenn die Europäer Musk mit X nicht in Ruhe lassen.

Musk beispielsweise kann mit X seine publizistische Macht nutzen, um zu chaotisieren und die Diskussion weit nach rechts zu treiben. Mittlerweile greifen vermutlich auch zahlreiche Medienvertreter auf X zu, um in ihrer Berichterstattung auf dem Laufenden zu sein, was wiederum an ihre Zeitungsleser weitergereicht wird. X hat 200 Mio. Follower und seine Informatiker können seinen Tweets jederzeit Priorität einräumen und missliebige über entsprechend programmierte Algorithmen in die Bedeutungslosigkeit schicken. Wahrscheinlich auch, um die EU-Techregulierungen wie den Digital Service Act (DSA) durch bewusst provozierende Verstöße zu delegitimieren, um sie dann mit der Macht der US-Regierung als Erpressungsmasse auszuhebeln. Der DSA hat die Funktion des Gatekeepers zur Verhinderung chaotischer Verhältnisse in der EU. Mit dem Gesetz soll die Verbreitung illegaler Inhalte unterbunden und so für die Nutzer eine Schutzzone vor Täuschung und Manipulation errichtet werden.

Die generative KI und „unsere Kultur“

Bis hier ging es vor allem um die Zerstörung der Demokratie und die Eroberung der Märkte und Infrastrukturen von US-Techkonzernen Hand in Hand mit Trump’scher Politik. Eine neue Qualität, und damit sind wir in der dritten Phase, ist die Eroberung unseres Denkens und Wissens. Das erhofft man sich von der generativen KI wie ChatGPT. Die „sozialen Medien“ im Besitz der US-Techkonzerne sind die Datenstaubsauger. Mit ihren Inhalten und mittels generativer KI kann bislang Unsichtbares sichtbar gemacht werden und die Zukunft der Gesellschaft soll nach ihren Vorstellungen gestaltet werden. Die Nutzung dieser Daten zum Trainieren ihrer generativen KI-Modelle und die damit verbundene Ausbeutung gilt in der EU bislang nicht als Urheberrechtsverletzung.

Was zukünftig in unserem digitalen und globalen Wissens- und Wertearchiv Platz findet, resultiert aus den Werten und Inhalten, mit denen die KI trainiert wird. Damit hat die „Nebensächlichkeit“ der Abschaffung des Diversitäts- und Inklusionsprogrammes durch ein Dekret verkündet von Trump eine kaum zu unterschätzende Wirkung. Denn diese Perspektive auf die Welt wird so kaum noch vorkommen. In dieselbe Richtung geht die Abschaffung der Faktenüberprüfung bei Zuckerberg. Falschmeldungen und Ideologien werden Teil der Trainingsmasse. Die Interessen und Ideologien weniger Oligarchen und ihrer Einflüsterer werden über Trainingsdaten zu dem, was dann „unsere Kultur“ sein soll, und nach und nach zur „Wahrheit unserer Zeit“.

Welche Bedeutung Trump dieser Entwicklung beimisst, lässt sich an dem 500 Mrd. Dollar-Programm für neue Rechenzentren erkennen, das er, u. a. finanziert von der japanischen Softbank und mit Microsoft, Nvidia und OpenAI, umsetzen will.

Die Durchsetzung dieser Ideologie fällt in der EU bei rechtspopulistischen Parteien auf fruchtbaren Boden. Das Band aus Trump, rechtslibertärer Ideologie, Internetoligarchen und schon regierenden europäischen Rechtspopulisten hat sich bereits fest verknäuelt. Das nunmehr 80 Jahre alte und erfolgreiche Projekt „Demokratie in Deutschland und in der EU“ gerät ins Wanken. Mitteleuropäische Rechtspopulisten – AfD, FPÖ in Österreich, Orban in Ungarn, Meloni in Italien – sind die Vorläufer. Auch sie wollen die regelbasierte staatliche Ordnung weitgehend abschaffen und Marktkräfte von der Leine lassen. Von Musk erhalten sie durch sein Projekt „Chaotisierung der EU“ seit Wochen tatkräftige Unterstützung.

Mit seiner Macht über die Algorithmen auf seiner weltweit medienstärksten Kommunikationsplattform X kann oder will ihn heute keiner mehr an die Kette legen. „Algorithmen sind demokratieblind“, so der frühere Bundesverfassungsrichter Peter Müller, sie seien nicht auf die Abbildung von Vielfalt aus, sondern sorgten vielmehr für die Generierung von Gleichem. Radikalität, Hass, Hetze und Fake News werde belohnt. Und er zitiert Jonathan Swift, „Lügen fliegen, die Wahrheit humpelt“.

Der Nährboden für Disruption und Hegemonie

Die Brisanz dieser Entwicklung liegt im Gefühl vieler Menschen, nicht nur im Osten, abgehängt zu sein, wo der erneute Verlust des Heimatgefühls von manchen auch durch die Aufnahme von Asylbewerbern empfunden wird. All dies geschieht in einem undurchschaubaren Kontext von Kriegen, Inflation, Covid-Belastungen, Digitalisierung und Trump’schen Zerstörungen, die alle Angst erzeugen. Bei vielen spielt sich ihr Leben am Rand des Überlebens ab.

Sie erwarten von demokratischen Parteien der Mitte nichts mehr. Diese seien nicht in der Lage, sie vor Inflation, Migration und kriegerischen Konflikten zu schützen. Stattdessen würden sie den Klimawandel priorisieren, den viele eh nicht akzeptieren. Die Demokratie ist für sie ein Projekt der Eliten und Mittelschicht. Ihr aufgebauter Frust sieht den Ausweg in der Disruption der demokratischen Institutionen mit ihren Checks and Balances. Ein Befreiungsschlag müsse das System grundlegend verändern. Die Philosophin Isolde Charim weist auf den Widerspruch hin, der sich mit der Disruption verbindet; diese kann nicht versprechen, sich bewahren zu können und sich als Einzelner nicht bewegen zu müssen.

Es fügt sich: Für die US-Politik zusammen mit den Techoligarchen wie Musk und Thiel ist diese Stimmung in Europa der ideale Nährboden, um ihre Ideologie auch hier voranzubringen. Sie unterstellen den verantwortlichen Eliten aus Politik, Medien, Staat, Universitäten, NGOs ein Klassenprojekt auf Kosten der Mehrheit in den USA wie in Europa etabliert zu haben. Sie provozieren mit einer scheinbar coolen und die Mittelschicht provozierenden Sprache mit der Absicht, damit die kulturelle Hegemonie gewinnen zu können. Die mit Lügen gespickten Geschichten, wie Gaza als Riviera umzubauen, dienen dazu, Bürgerinnen und Bürger abzulenken. Das schafft ihnen in den USA den Raum, Verwaltungen, Parlament und Gerichte mit Trumps Dekreten und Musks DOGE-Kindergarten zu zerlegen.

Rechtspopulistische europäische Parteien bieten sich der Bevölkerung in diesen Zeiten der Verunsicherung erfolgreich als Stabilitätsanker an. Ihre Vorschläge bleiben oberflächlich, sind aber eingängig, weil sie die Komplexität der Ursachen ausblenden. Politik und Mittelschicht, so Armin Nassehi, verstärken die Erfolge der Rechtspopulisten durch den Glauben, die AfD-Wähler über Aufklärung, Kritik und moralische Statements wieder einfangen zu können. Sie nähmen nicht zur Kenntnis, dass leichte Veränderungen in der Daseinsvorsorge, wie Preisänderungen bei Lebensmitteln, Miete oder Energie zusammen mit andauerndem Medienecho über Kriminalität und Ausländer, viel wirkungsvoller sind. Politik wie Mittelschicht sollten künftig ihre Ansprache weniger an die Etablierten richten als an die, die das Vertrauen in die Problemlösungskompetenzen der Parteien verloren haben.

In der aktuellen Situation scheint sich die Internationale der Antidemokraten unter dem Dach der Trump’schen Hegemonie und des Systemsprengers Musk zu „solidarisieren“. Die frustrierten Bürgerinnen und Bürger mit ihrer Sehnsucht nach den Zeiten, wie sie früher mal waren, haben keine rechte Vorstellung davon, wie ein solcher Umsturz sie noch weiter davon entfernen würde. Die Oligarchen vermitteln ihnen das Leitbild des Businesschefs, der uns und den Staat erfolgreich „führen“ wird.

Politik und Medien scheinen zu erkennen, dass wir einen historischen Punkt erreicht haben. Wir müssen den Verlauf der Wechselwirkungen von Digitalisierung und Demokratie zur Kenntnis nehmen und „zur Sache kommen“.

Wie kann Europa digital erwachsen werden?

Die Historikerin Hedwig Richter fordert uns auf, Abschied zu nehmen von der Einstellung, die Demokratie liefere uns das Gemeinwohl und die Marktwirtschaft den Wohlstand. Um die Zukunft demokratiefest zu machen, reiche es nicht mehr, nur auf der richtigen Seite zu stehen.

Den Kampf um digitale Souveränität aufnehmen

Was sind unsere Möglichkeiten, uns nicht nur zu schützen angesichts der Kaskaden von Dekreten und geplanten Zöllen, die die Europäer diskriminieren und nebenbei die AfD stärken sollen, sondern dabei auch digital erwachsen zu werden? Es hieße, uns als Individuen wie als Gesellschaft auf den Weg zu digitaler Souveränität über unsere Daten, technischen Systeme, Kompetenzen und unsere rechtlichen Regelungen zu machen.

In der Vergangenheit wurden europäische Initiativen von der Privatwirtschaft nur unzureichend angenommen oder von den EU-Staaten auch nicht ausreichend gemeinsam unterstützt. Ein Beispiel der Datenraum Gai-X: Es fehlte die Disziplin der EU-Staaten, vorhandene Alternativen mit Ausdauer und Geld „zur Blüte zu bringen“. Es war auch ein Fehler, US-Netzkonzerne zu beteiligen. Netzkonzerne wie Microsoft verstanden es, trickreich aufkeimende Konkurrenz bei der Softwarenutzung in Verwaltungen abzuwürgen, Beispiel die Linux-Nutzung der Münchener Stadtverwaltung. Die digitale Souveränität wurde von uns lange vernachlässigt, weil die US-Politik als selbstverständlicher Schutzschirm wahrgenommen wurde. Jetzt bei der zweiten Präsidentschaft von Trump kam es über Nacht zu dem nicht erwarteten Dilemma.

Nicht einkalkuliert wird von Trump, dass durch sein chaotisches Handeln europäische Firmen und Institutionen ihr Vertrauen in US-Cloud-Anbieter und -Netzkonzerne massiv verlieren und sich aufmachen zu europäischen Anbietern. Die Abhängigkeit vom amerikanischen Datenmoloch, der über Jahre mit schlechtem Gewissen hingenommen wurde, brauchte einen Anlass, Trump hat ihn geliefert. In den aktuellen Koalitionsvereinbarungen finden sich erste Vorschläge.

EuroStack – Ein Plan, in Europa die digitale Souveränität auf den Weg zu bringen

Nach Wochen der Schockstarre und Jahren des digitalen Dahindämmerns ist das Thema digitale Souveränität für viele Institutionen und Akteure in Europa zum Thema Nummer eins geworden. So will etwa der Handelsriese Lidl keine Microsoft-Produkte mehr verwenden und mit dem Cloud-Dienst Schwarz StackIT eine europäische Alternative anbieten. Eine umfassende Perspektive, wie eine europäische digitale Souveränität aussehen könnte, hat die Bertelsmann Stiftung mit der Studie „EuroStack – A European Alternative for Digital Sovereignty“ vorgelegt. Sie zeigt, was zum Aufbau eines unabhängigen digitalen Ökosystems erforderlich ist, um den Kampf mit der digitalen US-Besetzung aufnehmen zu können. Auf 7 Ebenen bestehen danach Defizite: bei kritischen Ressourcen, Chips, Netzwerken, beim Internet der Dinge, bei der Cloud-Infrastruktur, bei Softwareplattformen und bei Daten und KI. Einprägsam werden sie als ineinandergreifende Bausteine dargestellt, die zu einem Stapel zusammenwachsen.

Mit dieser „Roadmap für die digitale Souveränität Europas“ soll mit 300 Mrd. €, gestreckt über 10 Jahre, eine führende Rolle für eine werteorientierte digitale Zukunft etabliert werden, so der Plan. Dazu gehört der Aufbau einer digitalen, öffentlichen Infrastruktur auf Grundlage offener, interoperabler und nachhaltiger Technologien. Weitere Stichworte sind: Nutzung von Open Source, Daten als Allgemeingut, Entwicklung einer europäischen Cloud-Infrastruktur, Ausweitung der europäischen Halbleiterproduktion, Beschleunigung der Investitionen in der Quanteninformatik, Entwicklung einer souveränen KI-Strategie, digitale Euros sowie die Bildung strategischer Partnerschaften im Bereich Halbleiter. Innovative Anwendungen im Gesundheitswesen, in der Industrie und im Finanzwesen sollen vorangetrieben werden und eine Reduzierung des Energieverbrauchs um 30 % bis 2030.

Die Realität ist, die digitale Souveränität in europäischen Märkten wird von Plattformkonzernen wie Amazon, Meta oder Google monopolartig beherrscht, insofern ein sehr ambitionierter Plan. Immerhin gibt die EuroStack-Initiative Europa eine Richtung vor, welche Maßnahmen und Investitionen notwendig werden, um von der digitalen Besetzung durch US-Firmen unabhängiger zu werden. Sie setzt sich allerdings nicht mit den zu erwartenden Gegenstrategien auseinander. Die US-Netzkonzerne werden dem kaum untätig zuschauen. Unsere digitale Souveränität wird nur in harten Auseinandersetzungen mit Trump und US-Techkonzernen umzusetzen sein.

Nationale wie digitale Souveränität sind wieder ein Wert. Ebenso wichtig erscheint uns, darüber nachzudenken, auf welche im weitesten Sinne digitalen Schätze wir in Europa bereits zurückgreifen können und was zu stärken und weiterzuentwickeln ist.

Können wir den US-Techkonzernen durch vorhandene oder zukünftige Eigengründungen die Stirn bieten?

Die Vision, die Macht der amerikanischen Techkonzerne durch konkurrenzfähige Internetangebote und Plattformen zu brechen, gibt es schon lange. Die Realität ist: Für fast alle US-Internetangebote sind europäische Alternativen vorhanden. Eine kleine Auswahl, OTTO-Versand statt Amazon, Threema statt WhatsApp, Posteo statt Gmail, Klarna statt PayPal, Mastodon statt X. Vor dem Umstieg auf andere soziale Medien steht der berühmte Netzwerkeffekt: Man geht dorthin, wo schon viele sind, und verlässt die Plattform aus diesem Grund auch nicht mehr. Hinzukommt der lästige Umgewöhnungseffekt. Die erpresserische Politik von Trump & Co. könnte der Startschuss zum Umdenken der Nutzer werden.

Eine Chance ist, die bislang hierarchisch organisierten öffentlichen Infrastrukturen als öffentliche Plattformen weiterzuentwickeln und sich nicht von den Spinnennetzen der Netzkonzerne verdrängen zu lassen. Plattformen sind heute die alles dominierende Organisationsform. Die US-Netzkonzerne wittern hier nicht nur neue Geschäftsmodelle. Sie wollen auch den technisch-autoritären Staat etablieren. Ausreichende Gründe für uns, die Übernahme weiterer privater wie öffentlicher Dienstleistungen sowie der Daseinsvorsorge des demokratischen Staates mit seinen Steuerungs- und Kontrollmöglichkeiten durch die Netzoligarchen zu verhindern. Das gilt gleichermaßen für die Institutionen in der EU wie in den Nationen, den Ländern und Kommunen.

Unsere Daten beanspruchen und Digitalsteuern erheben

Wir Nutzer verschenken unsere Daten bislang großzügig und hilflos an die Netzkonzerne. Auch die staatlichen Kerndienste sowie die Daten und Software von Unternehmen gehen in großer Zahl in US-Clouds und werden auf Rechnern in den USA gespeichert. 70 % der Cloud-Leistungen kommen von US-Firmen. Europäische Cloud-Server sind als Alternative vorhanden. Falls Trump als Druckmittel die Nutzung von Clouds per Dekret abschalten ließe, wäre das allerdings ein Eigentor. Denn der Überschuss der USA bei den von Trump nie erwähnten Finanz- und IT-Dienstleistungen aus der EU beträgt etwa 110 Mrd. Dollar im Jahr. Eine interessante Preisfrage: Würde Trump isoliert Dänemark abschalten, um die Grönlandfrage zu seinen Gunsten zu entscheiden?

Ein heftiges Revanchefoul ist von Trump & Co. durch eine fühlbare EU-Besteuerung der Techkonzerne zu erwarten, sei es durch eine Digitalsteuer oder durch Besteuerung der digitalen Werbeerträge. Der neue Kulturstaatsminister Wolfram Weimer scheint sich in diese Auseinandersetzung begeben zu wollen. Er plant eine Digitalabgabe, die für Plattformbetreiber mit Milliardenumsätzen mit einem Abgabesatz von 10 % gelten soll. Das stünde in Übereinstimmung mit dem im Koalitionsvertrag erwähnten Arbeitsauftrag „Medienvielfalt stärken – Meinungsfreiheit sichern“. Die Einführung einer Abgabe soll für Online-Plattformen gelten, die Medieninhalte nutzen.

Als Beispiel: Die Umsatzquartalserlöse von Alphabet, die sich zum überwiegenden Teil aus Werbeerlösen ergeben, betrugen im Jahr 2025 90 Mrd. Dollar bei einem Reingewinn von 34,5 Mrd. Dollar, eine Umsatzrendite von 38 %.

Zu weiteren „dealfähigen“ Ideen hier nur einige Stichworte: Ausschließen von US-Unternehmen von öffentlichen EU-Aufträgen; Schwächung der Geschäftsmodelle der Techkonzerne durch klarere Auslegung des EU-Urheberrechts; Begrenzung des Datenklaus für KI-Trainings; Kennzeichnungspflichten und Qualitätsstandards für den digitalen Bereich; Medienbildung, die aufklärt.

Unsere digitale Gesetzgebung verteidigen und unsere Kultur in der Digitalisierung stärken

Im Rahmen der EU wurde beispielsweise der Digital Service Act (DSA) geschaffen, um die auf Europa zurollende Desinformation der Nutzer durch Lügen und Manipulationen, beispielsweise von X oder Meta, zu verhindern. Auch wenn es nur begrenzt von der US-Politik respektiert werden wird: DSA, DMA und AI Act sind für die europäische Demokratie die formulierten Grundlagen der gemeinsamen digitalen Werte der EU und ein wichtiger Schritt auf dem Weg zur digitalen Souveränität.

Viele europäische Forderungen sind für demokratische Staaten eigentlich Selbstverständlichkeiten: Die im DSA genannte Meinungs- und Informationsfreiheit, die Löschung illegaler Inhalte, die Herstellung der Transparenz über Algorithmen und Plattformen. Wir können auch kein Interesse daran haben, dass viele Algorithmen so programmiert sind, dass sie ein Suchtmittel für die Jugend sind. Stattdessen sollten die Algorithmen Dimensionen des Gemeinwohls enthalten, die Neugier, Respekt und Vernunft belohnen und so helfen, Gesellschaften demokratiefest zu machen. Eine naive Forderung?

Es geht aber auch darum, sich des Schatzes an Inhalten und Wissen zu vergewissern, den wir in Deutschland haben, und diesen visionär zu reflektieren und ihn digital neu zu organisieren. Das Ergebnis sollte keine riesige, alles vereinnahmende Plattform sein. Vermutlich muss der Anstoß von den öffentlich-rechtlichen Anstalten kommen. Denkbar wäre eine Infrastruktur in Form eines interoperationalen Netzwerkes: etwa öffentlich-rechtliche wie private Medien, Universitäten, Bibliotheken, Verlage, Wikipedia, die ihre Inhalte und ihre journalistische und wissenschaftliche Power einbringen und der Allgemeinheit digital einen vertrauenswürdigen Raum zur Verfügung stellen. Was spräche dagegen, auch weitere europäische Institutionen und Sender einzuladen? Es wäre eine starke Initiative, um dem stets geforderten europäischen Kulturraum ein großes Stück näher zu kommen.

Die Nutzer sollten auch die Möglichkeit haben, ihre Inhalte, ähnlich wie bei TikTok oder Youtube, hochzuladen. Das könnte für die jüngeren TV-Zuschauer attraktiv sein. Sie versammeln sich heute auf Streamingplattformen. Der Reiz liegt dort offensichtlich im „Zufälligen“, das sich durch „Wischen“ zu erkennen gibt. Nebenbei entstehen so relevante Daten, die die Interessen der „Verlorenen“ zeigen. Der Schritt zur Tagesschau und zu Dokus wäre nur ein Klick entfernt. Die langsam wegsterbenden Öffentlich-Rechtlichen könnten so ein Publikum, das sich verabschiedet hat, hoffentlich wieder begrüßen.

Es wäre ein digitaler europäischer Kulturraum, wo sich Bewährtes und Spontanes versammelt und sich zu einer starken Innovation weiterentwickeln kann, dringlich als Gegengewicht zu den amerikanischen Medienplattformen. Sie liegen längst auf der Lauer, wichtige Bausteine der öffentlich-rechtlichen Anstalten zu übernehmen. Es wäre auch ein Raum, der die glaubwürdige Nutzung der generativen KI sichern könnte.

Erfolgreich wird der europäische Medienkulturraum nur über neue Geschäftsmodelle werden können, sofern es gelingt, vor allem die privaten Werbemärkte, die bislang an Google & Co. verschenkt wurden, zurückzuholen. Dass sich dabei ein Einfallstor für Netzkonzerne und politisch nicht willkommene Akteure auftut, muss bedacht werden.

Wie die Entwicklung zum technokratisch-autoritären Staat abwehren?

Die größte Herausforderung ist, eine angemessene Antwort auf die Vision von Trump, J.D. Vance, Thiel und Musk zu finden: Es ist der digital gesteuerte technokratisch-autoritäre Staat, verbunden mit einer Kulturrevolution, wie sie bereits an amerikanischen Universitäten zu erkennen ist. Trump & Co. orientieren sich offensichtlich an der chinesischen Plattform WeChat. Diese Infrastruktur vernetzt das gesamte öffentliche Leben mit der privaten Wirtschaft und mit dem Alltag der Bevölkerung. Die KI wird dabei in Zukunft Entscheidungen treffen und Abläufe erledigen. Die US-Oberaufsicht soll in den Händen von Trump und wenigen Techoligarchen liegen, die das Verhalten und die Disziplin der Menschen kontrollieren und das Modell auf Europa übertragen.

Hier wird das Muster Chinas kopiert. Allerdings mit dem Unterschied, dass statt der Herrschaft der kommunistischen Partei die Macht bei wenigen US-Techoligarchen Hand in Hand mit dem Cäsar in Washington liegt.

Eigentlich unvorstellbar, dass wir das mit uns machen lassen? Der Lockruf, der Akzeptanz herstellen könnte: Die Bürokratie ließe sich so weitgehend abschaffen. Die daraus resultierende Effizienz öffentlicher und privater Dienstleistungen könnte die immer wieder angemahnte internationale Wettbewerbsfähigkeit so in nie dagewesene Höhen treiben.

Was ist unsere Antwort, die auch unsere digitale Souveränität über Daten, Clouds, KI und Kompetenzen einbezieht? Das Wettrennen um internationale Konkurrenz müssen wir mitmachen, aber mit einem Entwurf, der anders als beim technisch-autoritären Staat zwar anerkennt, dass die Organisation unseres Staates angesichts der globalen Verwerfungen nicht mehr angemessen funktioniert. Er will ihn aber durch Entbürokratisierung weder zerstören noch die schleichende Etablierung neoliberaler Ideologien durch die Hintertür akzeptieren, sondern den digitalen Staat im Konsens mit demokratischen Werten gestalten.

Resümee

Neben der Beherrschung der digitalen Märkte und Infrastrukturen resultiert die Macht der Techkonzerne aus ihren Algorithmen und weltweiten Datenzugriffen. Ihre Nutzung ist Voraussetzung für innovative Geschäftsmodelle und für das Trainieren der generativen KI.

Es liegt auch in unserer Hand, die Dominanz durch mehr Achtsamkeit bei der Freigiebigkeit unserer Daten an die Plattformen einzuschränken. Den Netzkonzernen das großzügige Verschenken unserer Daten besonders in einer Zeit zu erlauben, in der Trump & Co. die EU chaotisieren, läuft auf digitalen Suizid hinaus.

Es ist zweifelsohne schwierig, sich auf die zu erwartenden Attacken von Trump einzustellen, weil die Digitalisierung alle Bereiche unserer Zukunft verändern wird: Unternehmen, Arbeit, Kommunikation, Mobilität, Energie, Bildung … Sie alle haben „Dealfähigkeit“, für die wir nicht gleichzeitig Schutzzonen aufbauen können.

Eine Frage ist noch offen: Was könnte der Gegenentwurf zum Motto „make America great again“ für uns sein, der die Kraft von Gefühlen entwickelt und zur Haltung werden kann, die die gespaltenen europäischen Gesellschaften wieder zusammenbringt und auch für resignierende Toptalente aus dem Silicon Valley attraktiv wäre? Es muss eine Erzählung sein, die über den „Stapel“ EuroStack hinausgeht und auch die Themen Klima und gerechte Verteilung ins Zentrum rückt.

Zur einfacheren Lesbarkeit wurden die Literatur- und Quellverweise entfernt.

Rolf, A. Digitalisierung ohne Demokratie?. Informatik Spektrum (2025)

https://doi.org/10.1007/s00287-025-01593-3

http://creativecommons.org/licenses/by/4.0/deed.de

Dem Text wurden Hyperlinks hinzugefügt.

Bei der Swiss Infosec AG arbeiten mehr als 50 Fachspezialistinnen und Fachspezialisten eng zusammen und verbinden ihre Kompetenzen zu massgeschneiderten Lösungen. Unsere Kombination von Recht, Technik und Organisation ist dabei einzigartig und neben unserer Erfahrung und Unabhängigkeit ein weiteres Alleinstellungsmerkmal.

Kontaktieren Sie uns und erfahren Sie in einem unverbindlichen Beratungsgespräch, was unsere Spezialistinnen und Spezialisten für Sie tun können: +41 41 984 12 12, infosec@infosec.ch

Zu unseren Beratungs-Themen
Kategorie: Datenschutz | Digitale Transformation
© Swiss Infosec AG 2026