80 Prozent der europäischen Unternehmen glauben, ihre E-Mail-Kommunikation weitgehend unter Kontrolle zu haben. Doch weniger als die Hälfte der europäischen Unternehmen ist im Ernstfall wirklich handlungsfähig. Das zeigt eine aktuelle Studie von Retarus, die das Unternehmen in Zusammenarbeit mit Researchscape in Deutschland, Frankreich und Spanien durchgeführt hat. Etwa die Hälfte der Antwortenden gaben an, von außereuropäischen Anbietern abhängig zu sein. 56 Prozent von ihnen befürchten zudem, dass ihre Daten damit extraterritorialen Gesetzen wie dem US-amerikanischen CLOUD Act unterliegen könnten.
Bildquelle: Retarus GmbH
Kontrolle über die eigene E-Mail-Kommunikation zu haben, bedeutet weit mehr als sich allein auf stabile Systeme und reibungslose Abläufe zu verlassen. Sie umfasst die Fähigkeit, Prozesse eigenständig zu steuern, rechtliche Risiken zu überblicken und im Ernstfall unabhängig von Dritten handlungsfähig zu bleiben. Die Studienergebnisse zeigen jedoch: Nur 61 Prozent der befragten Unternehmen geben an, ihre Richtlinien eigenständig umsetzen zu können und 49 Prozent sind in der Lage, E-Mail-Konten zu verwalten oder zu migrieren, ohne dabei von ihrem Dienstleister abhängig zu sein.
„Entscheidend ist jedoch nicht allein der Speicherort, sondern der Rechtsrahmen, dem der Anbieter unterliegt“
89 Prozent der befragten Unternehmen betrachten Digital Sovereignty wie z. B. E-Mail-Souveränität als strategische Priorität; 94 Prozent nennen sie sogar als ausschlaggebendes Kriterium bei der Dienstleisterwahl. Die Studie identifiziert dabei ein weit verbreitetes Missverständnis: Viele Unternehmen setzen das Hosting von Daten in Europa fälschlicherweise mit Datenschutz und Kontrolle gleich. Entscheidend ist jedoch nicht allein der Speicherort, sondern der Rechtsrahmen, dem der Anbieter unterliegt und damit die Frage, wer unter welchen Bedingungen Zugriff auf Daten verlangen kann. 77 Prozent der befragten Organisationen verfügen zwar nach eigenen Angaben über zertifizierte und überprüfbare vertragliche Garantien zu Speicherort und Zugangsbedingungen. 22 Prozent räumen jedoch ein, dass diese Garantien nur teilweise greifen.
Pflicht zum Nachweis
Mit Regulatorien wie NIS2 und DORA verschiebt sich der Compliance-Maßstab grundlegend. Unternehmen müssen die Wirksamkeit von Sicherheitsmaßnahmen belegen, Abläufe lückenlos dokumentieren und im Audit-Fall schnell verwertbare Nachweise erbringen. 92 Prozent der Befragten halten vor diesem Hintergrund ein umfassendes und transparentes Reporting für unverzichtbar und 88 Prozent wollen den E-Mail-Verkehr über eigene Regeln aktiv steuern können. Tatsächlich sind aber nur 41 Prozent sind in der Lage, kurzfristig auf eine Audit-Anfrage zu reagieren. In den übrigen Fällen ist eine aufwendige Vorbereitung notwendig. Dabei müssen Abläufe rekonstruiert und Informationen zusammengeführt werden. 52 Prozent der Unternehmen geben zudem an, pro Jahr drei- bis fünfmal auf ihre Daten zugreifen oder diese für Prüfzwecke aufbereiten zu müssen.
Lokaler Support entscheidet im Ernstfall
Die Studie zeigt auch: Support ist längst kein nachrangiges Servicekriterium mehr. 84 Prozent der befragten Unternehmen halten lokalen Support für unverzichtbar oder sehr wichtig und 83 Prozent erwarten einen erreichbaren und reaktionsschnellen Dienstleister. Denn lokaler Support gewinnt im Souveränitätskontext zusätzlich an Bedeutung. Sensible Daten und Metadaten verlassen die EU nicht, und externe Mitarbeiter erhalten keinen Zugriff auf kritische Informationen. Zudem sind kurze Reaktionszeiten essenziell, da im Störungsfall der schnelle Austausch mit einem qualifizierten Ansprechpartner darüber entscheidet, ob ein Vorfall eingedämmt werden kann oder eskaliert. Fast 46 Prozent gaben an, dass fehlender lokaler Support ein ausschlaggebender Grund für einen Anbieterwechsel wäre.
Zur Studienauswertung „Retarus Enterprise E-Mail Report 2026 – Souveränität“ (PDF)