Europas digitale Achillesferse

Am 12. Juni 2026 genügte ein Schreiben des US-Handelsministeriums, um eine strategische Schwachstelle Europas sichtbar zu machen, die zuvor häufig hinter Begriffen wie Cloud-Komfort, Skalierbarkeit und digitaler Transformation verborgen blieb. Die US-Regierung belegte die beiden damals leistungsfähigsten Anthropic-Modelle Claude Fable 5 und Claude Mythos 5 mit Exportbeschränkungen für ausländische Staatsangehörige. Weil Anthropic die Nationalität seiner Nutzer nicht in Echtzeit zuverlässig prüfen konnte, schaltete das Unternehmen die Modelle kurzfristig für sämtliche Kunden weltweit ab. Erst nach knapp drei Wochen wurden die Beschränkungen aufgehoben und der globale Zugang wiederhergestellt. Der Vorgang verursachte nach derzeitigem Kenntnisstand keine großen wirtschaftlichen Schäden. Gerade deshalb ist er so lehrreich: Es war weder ein Cyberangriff noch ein technischer Defekt, der europäische Nutzer vom Zugang zu einer Spitzentechnologie trennte, sondern eine politische Entscheidung in Washington, die binnen Stunden wirksam wurde [vgl. Fuest/Hennrich/Wohlrabe 2026, S. 1–2].

Das Beispiel ist der Ausgangspunkt der am heutigen Tag veröffentlichten ifo-Studie von Clemens Fuest, Jonas Hennrich und Klaus Wohlrabe. Sie fragt nicht abstrakt nach "digitaler Souveränität", sondern danach, wie deutsche Unternehmen ihre konkrete Abhängigkeit von US-amerikanischen Digitalanbietern wahrnehmen, wie sie das daraus entstehende Risiko bewerten und welche Gegenmaßnahmen sie planen. Das Ergebnis ist widersprüchlich und gerade deshalb wirtschaftspolitisch relevant: Die Abhängigkeit ist groß, die Risikowahrnehmung deutlich gedämpfter – und selbst dort, wo ein Risiko erkannt wird, bleibt ein erheblicher Teil der Unternehmen untätig.

Digitale Abhängigkeit ist längst betriebliche Normalität

Im Juli 2026 beantworteten rund 5.600 Unternehmen im Rahmen der ifo Konjunkturumfragen eine Sonderfrage zur Nutzung digitaler Produkte und Dienste US-amerikanischer Anbieter – ausdrücklich genannt wurden Cloud-Dienste, Software und AI-Anwendungen. 88,3 Prozent der Unternehmen nutzen demnach entsprechende Angebote; nur 11,7 Prozent geben an, vollständig ohne US-Produkte auszukommen. 31 Prozent aller Befragten ordnen ihre Abhängigkeit in den beiden höchsten Kategorien ein. Betrachtet man nur die Unternehmen, die überhaupt US-Anbieter nutzen, steigt der Anteil der stark Abhängigen auf 35,1 Prozent [vgl. Fuest/Hennrich/Wohlrabe 2026, S. 2–3].

Besonders ausgeprägt ist die Abhängigkeit dort, wo Wertschöpfung im Kern aus Information, Datenverarbeitung und Kommunikation besteht. Im Dienstleistungssektor sprechen 38,6 Prozent von einer großen Abhängigkeit. Auf Branchenebene reichen die Werte noch deutlich höher: In Werbung und Marktforschung sehen sich 69,8 Prozent stark abhängig, bei IT-Dienstleistern sind es 55,2 Prozent und in der Unternehmensberatung 50,4 Prozent. Im Bauhauptgewerbe liegt der Anteil dagegen bei 15,1 Prozent. Die Studie zeigt damit weniger eine klassische Industrie-Dienstleistungs-Grenze als eine Abhängigkeit entlang der Informationsintensität des Geschäftsmodells.

Abb. 01: Abhängigkeit von US-Anbietern [Quelle: Clemens Fuest / Jonas Hennrich / Klaus Wohlrabe (2026): Abhängig, aber gelassen? Wie deutsche Unternehmen ihre Abhängigkeit von US-Digitalanbietern einschätzen, in: ifo Schnelldienst digital, 7. Jahrgang, 12 | 2026, 11. August 2026, S. 3].

Dabei ist eine methodische Einschränkung zentral: Gemessen wird keine technisch verifizierte Abhängigkeit, sondern eine Selbsteinschätzung der befragten Studienteilnehmer. Die Autoren weisen selbst darauf hin, dass die tatsächliche Exposition eher unterschätzt werden dürfte. Dass 11,7 Prozent der Unternehmen angeben, überhaupt keine US-amerikanische Digitaltechnologie zu nutzen, ist angesichts der Verbreitung von Betriebssystemen, Bürosoftware, Kommunikationsplattformen und eingebetteten Cloud-Komponenten zumindest erklärungsbedürftig. Daher zeigt die Studie eine zweite Form von Abhängigkeit: Technologie, die so tief in den betrieblichen Alltag eingebettet ist, dass sie nicht mehr als externe Abhängigkeit wahrgenommen wird.

Für das Risikomanagement ist diese Unterscheidung entscheidend. Ein Unternehmen kann seine Lieferanten für Rohstoffe, Vorprodukte oder Logistikpartner meist benennen. Bei digitalen Leistungen ist die Lieferkette dagegen häufig mehrstufig, unsichtbar und intransparent: Ein europäischer Softwareanbieter kann auf einer US-Cloud laufen, ein internes Analysewerkzeug auf einem US-Sprachmodell aufsetzen, Identitätsmanagement, Kollaboration, Betriebssystem und Sicherheitsupdates können wiederum von anderen US-Anbietern abhängen. Die ökonomische Abhängigkeit ist deshalb nicht identisch mit dem Namen auf der letzten Rechnung.

Je größer die Abhängigkeit, desto gedämpfter die Risikowahrnehmung

Noch bemerkenswerter ist der zweite Befund. Unternehmen, die eine Abhängigkeit angegeben hatten, sollten anschließend einschätzen, wie riskant sie diese finden. Von rund 4.900 Antworten stufen 37,8 Prozent die Abhängigkeit als gar nicht oder kaum risikoreich ein, 29,7 Prozent als teilweise riskant und 32,4 Prozent als sehr riskant. Mit anderen Worten: Unter den tatsächlich exponierten Unternehmen ist die Gruppe, die kaum ein Risiko sieht, sogar etwas größer als die Gruppe mit hoher Risikoeinschätzung [vgl. Fuest/Hennrich/Wohlrabe 2026, S. 4–5].

Abb. 02: Wahrgenommenes Risiko der Abhängigkeit [Quelle: Clemens Fuest / Jonas Hennrich / Klaus Wohlrabe (2026): Abhängig, aber gelassen? Wie deutsche Unternehmen ihre Abhängigkeit von US-Digitalanbietern einschätzen, in: ifo Schnelldienst digital, 7. Jahrgang, 12 | 2026, 11. August 2026, S. 5].

Zwischen Abhängigkeit und Risikowahrnehmung kann eine Korrelation abgelesen werden: Branchen mit hoher Abhängigkeit sehen im Durchschnitt auch höhere Risiken. Der Zusammenhang ist jedoch "gestaucht". Ein um zehn Prozentpunkte höherer Anteil stark abhängiger Unternehmen geht im Mittel nur mit etwa fünf Prozentpunkten mehr Unternehmen einher, die ein hohes Risiko sehen. Besonders deutlich ist die Differenz in den informationsintensiven Branchen. In Werbung und Marktforschung sind unter den Nutzern 71,7 Prozent stark abhängig, aber nur 51,3 Prozent bewerten die Abhängigkeit als sehr riskant. Bei IT-Dienstleistern stehen 57,1 Prozent hoher Abhängigkeit 43,6 Prozent hoher Risikoeinschätzung gegenüber.

Die Studie verweist zur Erklärung auf einen Klassiker der Risikoforschung. Paul Slovic zeigte bereits im Jahr 1987, dass freiwillig eingegangene, vertraute und kontrollierbar erscheinende Risiken weniger bedrohlich wahrgenommen werden als neue oder aufgezwungene Risiken [vgl. hierzu auch Romeike 2013, Romeike 2020 sowie Bayerische Rück 1993]. Genau dieser Mechanismus dürfte bei digitalen Plattformen wirken: Microsoft 365, Azure, AWS, Google Cloud oder führende AI-Modelle werden nicht täglich als geopolitische Exposition erlebt, sondern als zuverlässig funktionierende Produktivitätsinfrastruktur. Das Risiko wird erst im Störfall sichtbar. Erfolgreicher Normalbetrieb kann deshalb paradoxerweise die Risikowahrnehmung massiv senken.

Gleichwohl sollte man die Gelassenheit der Unternehmen nicht vorschnell als Irrationalität abtun. Für ein einzelnes Unternehmen ist der Wechsel zu einem weniger leistungsfähigen oder teureren Anbieter mit sicheren, sofortigen Kosten verbunden – Migration, Schulung, Integration, Vertragsumstellung und mögliche Produktivitätseinbußen. Der Nutzen einer solchen Diversifizierung liegt dagegen in der Vermeidung eines seltenen, schwer quantifizierbaren Zukunftsschadens. Aus einzelbetrieblicher Sicht kann Abwarten daher rational sein, selbst wenn die gesamtwirtschaftliche Abhängigkeit problematisch bleibt.

Risikobewusstsein ohne Konsequenz

Genau an dieser Stelle setzt der dritte Teil der ifo-Befragung an. Nur Unternehmen, die ihre Abhängigkeit mindestens als moderat riskant eingestuft hatten, wurden nach geplanten Gegenmaßnahmen gefragt. Von rund 3.000 Unternehmen planen 41,7 Prozent keinerlei Maßnahmen. Hier geht es ausdrücklich nicht um Unternehmen, die kein Problem oder Risiko sehen. Es geht um Unternehmen, die zuvor selbst ein Risiko benannt haben und dennoch keine Reaktion beabsichtigen. Bezogen auf alle Befragten sehen 22,8 Prozent ein Risiko, ohne daraus Konsequenzen zu ziehen; 31,8 Prozent erkennen ein Risiko und planen mindestens eine Maßnahme [vgl. Fuest/Hennrich/Wohlrabe 2026, S. 7–8]. Kurzum: Ein Risiko wird wahrgenommen – aber daraus werden keine tieferen Erkenntnisse oder Maßnahmen zur präventiven Risikosteuerung abgeleitet.

Abb. 03: Geplante Maßnahmen zur Reduktion der Abhängigkeit [Quelle: Clemens Fuest / Jonas Hennrich / Klaus Wohlrabe (2026): Abhängig, aber gelassen? Wie deutsche Unternehmen ihre Abhängigkeit von US-Digitalanbietern einschätzen, in: ifo Schnelldienst digital, 7. Jahrgang, 12 | 2026, 11. August 2026, S. 7].

Unter den geplanten Maßnahmen dominiert der Umstieg auf europäische Alternativen mit 34,2 Prozent, gefolgt von einer Diversifizierung der Anbieter mit 29,8 Prozent. Open-Source-Lösungen werden von 19 Prozent genannt, der Aufbau eigener IT-Infrastruktur von 18,2 Prozent. Interessant ist die Reihenfolge: Am beliebtesten ist gerade jene Option, deren Umsetzbarkeit das einzelne Unternehmen am wenigsten kontrolliert. Wechselbereitschaft hilft nur, wenn ein leistungsfähiges europäisches Angebot existiert. Die ifo-Autoren sprechen deshalb zu Recht von einem Koordinationsproblem: Die Nachfrage wartet auf ein wettbewerbsfähiges Angebot, während potenzielle Anbieter auf ausreichend gesicherte Nachfrage warten.

Ein kollektives Risiko lässt sich nicht einzelbetrieblich lösen

Hier liegt die stärkste analytische Leistung der Studie. Digitale Abhängigkeit ist kein gewöhnliches Lieferantenrisiko. Ein Unternehmen kann zwar einen Cloud-Anbieter wechseln, bestimmte Anwendungen in eine zweite Umgebung spiegeln oder Open-Source-Komponenten einsetzen. Es bleibt jedoch über Kunden, Lieferanten, Banken, Behörden und Dienstleister an dasselbe digitale Ökosystem gekoppelt. Der Ausfall eines dominanten Identitätsdienstes, einer weit verbreiteten Kollaborationsplattform oder eines zentralen AI-Modells kann gleichzeitig zahlreiche Akteure treffen. Die Risiken sind korreliert und systemisch.

Damit entstehen Externalitäten. Das einzelne Unternehmen berücksichtigt bei seiner Anbieterwahl primär eigene Kosten und Nutzen. Es kalkuliert nicht vollständig ein, welchen Schaden seine eigene digitale Verwundbarkeit bei Geschäftspartnern auslösen kann. Umgekehrt erzeugt ein Unternehmen, das auf eine europäische Alternative wechselt, einen positiven Nebeneffekt: Es vergrößert die Nachfragebasis und verbessert damit die Chance, dass dieser Anbieter skaliert und auch für andere zu einer realistischen Alternative wird. Diesen gesellschaftlichen Nutzen kann das wechselnde Unternehmen aber nicht vollständig vereinnahmen. Private und gesamtwirtschaftliche Optimierung fallen auseinander.

Die politische Konsequenz folgt daraus fast zwangsläufig: Wer digitale Resilienz ausschließlich an Unternehmen delegiert, wird zu wenig Vorsorge erhalten. Aber daraus folgt nicht automatisch, dass jede zusätzliche Regulierung sinnvoll ist. Das eigentliche Problem besteht darin, Angebot, Nachfrage, Infrastruktur, Interoperabilität und Risikoregeln so zu kombinieren, dass Resilienz entsteht, ohne technologische Entwicklung zu ersticken.

Europa reguliert – aber baut es auch genug?

An diesem Punkt trifft die ifo-Studie auf die breitere Debatte über den europäischen Regulierungsansatz. In dem RiskNET-Beitrag "Europas riskanter regulatorischer Bremsklotz" haben wir bereits ausführlich den EU AI Act als Ausdruck eines europäischen Musters beschrieben: Während in den USA und China Modelle, Rechenzentren und Anwendungen mit hoher Geschwindigkeit entwickelt werden, konzentriere sich Europa auf Konformitätsbewertungen und Governance-Rahmen. Besonders problematisch sind Compliance-Kosten, die große Plattformanbieter leichter tragen können als Start-ups und Mittelständler; Regulierung könne so unbeabsichtigt gerade jene Marktstruktur stabilisieren, deren Abhängigkeiten sie später politisch beklagt [vgl. Romeike/Wieczorek 2025].

Der entscheidende Einwand lautet deshalb nicht "Regulierung oder Innovation", sondern: In welcher Reihenfolge, mit welcher administrativen Last und auf welcher technologischen Basis wird reguliert? Wenn Europa die Nutzung und Entwicklung fortgeschrittener AI detailliert normiert, während Rechenkapazität, Risikokapital, Energieinfrastruktur und skalierbare Plattformanbieter überwiegend anderswo sitzen, entsteht eine gefährliche Asymmetrie. Die ifo-Studie verweist auf Schätzungen, nach denen rund drei Viertel der weltweiten Hochleistungsrechenkapazität für moderne AI-Anwendungen in den USA liegen, während auf die EU weniger als fünf Prozent entfallen. Europa reguliert dann Technologien, deren zentrale Produktionsmittel es nur in geringem Umfang kontrolliert.

Dass Regulierung wirtschaftliche Nebenwirkungen haben kann, ist keine bloße Industriebehauptung. Empirische Arbeiten zum Datenschutzrecht zeigen, dass die Einführung der DSGVO kurzfristig mit geringeren Venture-Capital-Investitionen in europäische Technologieunternehmen verbunden war. Sie sind eine Warnung vor der Annahme, zusätzliche Compliance sei wettbewerbspolitisch neutral [vgl. Jia/Jin/Wagman 2018]. Der Vorsprung der USA bei Kapital, Plattformen, Forschung, Rechenleistung und Skalierung ist jedoch älter als der EU AI Act. Der Stanford AI Index beziffert die privaten AI-Investitionen in den USA allein für 2025 auf 285,9 Milliarden US-Dollar. Der regulatorische Rahmen ist damit nur ein Faktor in einem wesentlich größeren strukturellen Gefälle.

Die EU hat das Infrastrukturproblem erkannt

Die Europäische Union reagiert inzwischen sichtbar auf diese Diagnose. Mit ihrer "AI Continent"-Strategie und der InvestAI-Initiative will die Kommission bis zu 200 Milliarden Euro für AI mobilisieren; 20 Milliarden Euro davon sollen bis zu fünf sogenannte AI-Gigafactories finanzieren. Hinzu kommen AI Factories und Maßnahmen zum Ausbau von Recheninfrastruktur. Das ist eine Verschiebung von reiner Regelsetzung hin zu industrieller Kapazitätspolitik – und damit grundsätzlich die richtige Richtung.

Allerdings ist ein angekündigtes Investitionsvolumen noch keine technologische Souveränität. Entscheidend sind reale Rechenkapazität, wettbewerbsfähige Energiepreise, schnelle Genehmigungen, Fachkräfte, Risikokapital und vor allem dauerhaft zahlende Kunden. Genau deshalb ist der Hinweis der ifo-Autoren auf die öffentliche Beschaffung so relevant. Staatliche Stellen sind selbst Großkunden von Cloud-, Büro- und AI-Anwendungen. Langfristige, technologisch offene Abnahmezusagen können für europäische Anbieter eine Ankernachfrage schaffen, die private Unternehmen allein wegen des beschriebenen Koordinationsproblems nicht erzeugen. Dabei muss Beschaffung allerdings Wettbewerb ermöglichen und darf nicht in protektionistische Dauersubventionen für technisch unterlegene Lösungen kippen.

Souveränität bedeutet nicht Autarkie

Eine sinnvolle europäische Strategie darf nicht auf digitale Autarkie zielen. Weder ökonomisch noch technologisch wäre es rational, US-Anbieter aus europäischen Wertschöpfungsketten zu verdrängen. Ihre Produkte sind in vielen Bereichen leistungsfähig, skalierbar und integraler Bestandteil globaler Innovation. Souveränität muss deshalb als Fähigkeit verstanden werden, kritische Funktionen auch unter geopolitischem oder rechtlichem Stress aufrechterhalten, migrieren und kontrollieren zu können.

Für Unternehmen verschiebt sich damit die relevante Risikofrage. Es reicht nicht, zu wissen, in welchem Land ein Rechenzentrum steht. Entscheidend ist, wer Identitäten verwaltet, kryptografische Schlüssel kontrolliert, Software-Updates ausrollen kann, Lizenzrechte vergibt, Modellendpunkte freischaltet und aufgrund welcher Rechtsordnung ein Dienst eingeschränkt werden könnte. Datenresidenz ist nur ein Teil von Souveränität; operative Kontrollfähigkeit und Exit-Fähigkeit sind mindestens ebenso wichtig.

Das hat unmittelbare Konsequenzen für ein modernes IT- und Enterprise-Risk-Management. Digitale Konzentrationsrisiken sollten ähnlich systematisch analysiert werden wie Single-Source-Risiken in physischen Lieferketten: Welche Prozesse hängen von einem Anbieter oder einer Rechtsordnung ab? Welche maximale Unterbrechungsdauer ist tragbar? Welche Daten, Schnittstellen und Modelle sind portierbar? Welche Abhängigkeiten liegen in Subdienstleistern verborgen? Wie schnell kann ein kritischer Prozess auf eine Alternative umgestellt werden – nicht theoretisch, sondern getestet? Erst wenn diese Fragen beantwortet werden, wird aus "digitaler Souveränität" ein messbares Resilienzziel.

Fazit: Gelassenheit ist keine Risikostrategie

Die ifo-Studie liefert keine Prognose für einen digitalen Konflikt zwischen Europa und den USA und misst auch nicht die tatsächliche Schadenshöhe eines Zugangsverbots. Sie macht hingegen sichtbar, dass technologische Abhängigkeit in der deutschen Wirtschaft breit verankert ist, dass ihre Wahrnehmung mit zunehmender Gewöhnung abgeschwächt wird und dass individuelle Unternehmen selbst bei erkanntem Risiko nur begrenzte Anreize und Möglichkeiten haben, gesamtwirtschaftliche Resilienz zu schaffen.

Die politische Reaktion sollte deshalb weder in regulatorischem Aktionismus bestehen. Europas Problem ist die fehlende Kohärenz zwischen Regulierung, Infrastruktur, Kapital, Energiepolitik, Beschaffung und industrieller Skalierung. Ein AI Act kann Risiken begrenzen, aber keine Rechenzentren bauen. Förderprogramme können Rechenzentren finanzieren, aber keine wettbewerbsfähigen Produkte garantieren. Unternehmen können diversifizieren, aber kein europäisches Ökosystem im Alleingang erzeugen.

Der Vorfall um Anthropic war deshalb mehr als eine kuriose Episode der AI-Regulierung. Er zeigte, dass Zugang zu digitaler Schlüsseltechnologie eine geopolitische Variable geworden ist. Die eigentliche strategische Frage lautet nicht, ob Europa US-Technologie nutzen sollte. Sie lautet, ob Europa handlungsfähig bleibt, wenn diese Nutzung plötzlich eingeschränkt, verteuert oder politisch konditioniert wird. Genau an dieser Stelle wird digitale Abhängigkeit vom IT-Thema zum unternehmerischen und volkswirtschaftlichen Risikothema.

Quellenverzeichnis und weiterführende Literaturhinweise

• Bayerische Rück (1993): Risiko ist ein Konstrukt – Wahrnehmungen zur Risikowahrnehmung, Knesebeck Verlag, München 1993.
• Fuest, Clemens / Hennrich, Jonas / Wohlrabe, Klaus (2026): Abhängig, aber gelassen? Wie deutsche Unternehmen ihre Abhängigkeit von US-Digitalanbietern einschätzen, in: ifo Schnelldienst digital, 7. Jahrgang, 12 | 2026, 11. August 2026.
• Jia, Jian / Jin, Ginger Zhe / Wagman, Liad (2018): The Short-Run Effects of GDPR on Technology Venture Investment, NBER Working Paper No. 25248. http://www.nber.org/papers/w25248 
• Pilz, Konstantin F. / Rahman, Rida / Sanders, Jonathan / Heim, Lennart (2025): Trends in AI Supercomputers, https://doi.org/10.48550/arXiv.2504.16026 
• Romeike, Frank (2013): Fooled by Randomness, in: FIRM Yearbook 2013, Frankfurt/Main 2013, S. 25-29.
• Romeike, Frank (2020): Gefangen in der Risikowahrnehmungsgesellschaft – in Risikokompetenz investieren, in: PERSPEKTIEFE, Ausgabe 51/2020, S. 9-12.
• Romeike, Frank / Wieczorek, Gabriele (2025): EU AI Act: Regulieren statt Innovieren – Europas riskanter regulatorischer Bremsklotz, RiskNET, 11. September 2025.
• Slovic, Paul (1987): Perception of Risk, Science, 236(4799), 280–285.