In der ersten Folge unserer STRIVE-Reihe zum Thema digitale Souveränität haben Alex Zinin von Commvault und Max Mortillaro von der Osmium Data Group eines der größten Missverständnisse der Branche hinterfragt: Digitale Souveränität ist keine Funktion, die man einfach kaufen kann – es handelt sich vielmehr um ein geschäftliches Problem, das man erst verstehen muss, bevor man es lösen kann.
Dieses Gespräch knüpft an das vorherige an. Dieses Mal habe ich mich mit Thomas Maurer, EMEA Global Black Belt für „Sovereign Cloud“ bei Microsoft, zusammengesetzt, um zu erörtern, was geschieht, wenn ein Unternehmen beschließt, dass Souveränität eine wichtige Rolle spielt. Wie setzen Führungsteams allgemeine Bedenken hinsichtlich Regulierung, Rechtshoheit oder geopolitischer Unsicherheiten in konkrete architektonische Entscheidungen um?
Wie sich herausstellt, ist die Antwort selten so einfach wie die Wahl eines „Cloud“-Anbieters oder die Auswahl des richtigen Bereitstellungsmodells. Es geht vielmehr darum, vor technischen Entscheidungen die richtigen Fragen zu stellen. Sehen Sie sich die gesamte Folge an.
Die wichtigsten Erkenntnisse
- Jede Organisation definiert digitale Souveränität anders – und genau hier sollte die Diskussion ansetzen.
- Die Frage der Souveränität lässt sich nicht allein durch Technologie lösen. Rechtliche, operative, architektonische und geschäftliche Aspekte beeinflussen das Ergebnis gleichermaßen.
- „Cloud“ und „On-Premises“ sind keine konkurrierenden Strategien. Für viele Unternehmen liegt die Zukunft in einer sorgfältig durchdachten Kombination aus beidem.
- Risikomanagement – und nicht Angst – sollte die Grundlage für souveräne Entscheidungen bilden.
- Gute Architektur beginnt damit, die geschäftlichen Anforderungen zu verstehen – und nicht damit, eine Infrastruktur auszuwählen.
Der Begriff „Souveränität“ hat für verschiedene Organisationen unterschiedliche Bedeutungen
Eine der ersten Beobachtungen, die Thomas machte, war zugleich eine der wichtigsten. Es gibt keine allgemeingültige Definition für digitale Souveränität. Für ein Unternehmen kann dies einfach bedeuten, regulatorische Anforderungen zu erfüllen oder Daten innerhalb einer bestimmten geografischen Region zu halten. Für ein anderes kann es um operative Unabhängigkeit, Geschäftskontinuität oder die Vorbereitung auf geopolitische Störungen gehen. Dieser Unterschied ist von Bedeutung, da er die Diskussion grundlegend verändert.
Allzu oft gehen Unternehmen davon aus, dass es einen Standardplan für Souveränität gibt, der nur noch umgesetzt werden muss. In Wirklichkeit besteht die erste Herausforderung nicht darin, eine Technologie auszuwählen, sondern zu verstehen, welches Problem das Unternehmen tatsächlich zu lösen versucht. Erst dann ergibt die Architektur Sinn.
Technologie sollte der Strategie folgen
Ein Thema, das im Laufe unserer Diskussion immer wieder zur Sprache kam, war die Versuchung, sich direkt in die technische Planung zu stürzen. Das ist verständlich. Architekten beschäftigen sich naturgemäß mit Infrastruktur, Arbeitslasten, Konnektivität und Bereitstellungsmodellen. Thomas betonte jedoch, dass die erfolgreichsten Projekte an einer ganz anderen Stelle beginnen. Zunächst hören sie zu.
Welche Anliegen treiben die Initiative an? Ist das Ziel die Einhaltung gesetzlicher Vorschriften? Geschäftskontinuität? Datenstandort? Operative Kontrolle? Schutz vor geopolitischen Störungen? Unterschiedliche Antworten führen zu unterschiedlichen Architekturen. Das mag selbstverständlich klingen, doch es ist überraschend, wie oft Unternehmen mit der Bewertung von Lösungen beginnen, bevor sie sich über das angestrebte Geschäftsergebnis geeinigt haben.
Vorschau: Beginnen Sie mit Risiken, nicht mit Annahmen
Einer der praktischsten Momente in unserem Gespräch ist der, in dem Thomas und ich darüber sprechen, warum Initiativen zur Datenhoheit mit einer Risikobewertung beginnen sollten – und nicht mit einem Architekturdiagramm.
Jede Organisation hat eine andere Risikobereitschaft. Ein Formel-1-Team, eine Regierungsbehörde und ein weltweit tätiger Hersteller werden nicht dieselben Entscheidungen treffen – und das sollten sie auch nicht. Entscheidend ist, zu verstehen, welche Risiken für Ihr Unternehmen am wichtigsten sind, welche Kompromisse Sie bereit sind einzugehen, und dann eine Architektur zu entwerfen, die diese Entscheidungen unterstützt.
Wie Thomas betont, gibt es keine perfekte Lösung – sondern nur fundierte Kompromisse. Je früher Organisationen diese Denkweise verinnerlichen, desto stärker wird ihre Souveränitätsstrategie sein.
„Cloud oder On-Premises?“ – Das ist die falsche Frage
Einer der interessanteren Aspekte des Gesprächs stellte eine weitere weit verbreitete Annahme in Frage – nämlich, dass sich Unternehmen zwischen einer öffentlichen Cloud und einer privaten Infrastruktur entscheiden müssen. Thomas schilderte eine ganz andere Realität. Viele Unternehmen ersetzen nicht das eine durch das andere. Sie gestalten Umgebungen, in denen Workloads je nach geschäftlichem Bedarf, regulatorischen Anforderungen oder Überlegungen zur Ausfallsicherheit zwischen den beiden Umgebungen verschoben werden können.
Diese Flexibilität verändert die Art und Weise, wie wir über Architektur nachdenken sollten. Anstatt zu fragen, ob Cloud oder On-Premises besser ist, lautet die sinnvollere Frage: „Wo gehört diese Workload heute hin – und könnte sich diese Antwort morgen ändern?“ Wenn Souveränität Teil des Entwurfsprozesses wird, gewinnt die Mobilität von Workloads ebenso an Bedeutung wie deren Platzierung.
Architektur ist nur ein Teil des Ganzen
Ein weiterer Punkt, den ich sehr schätze, ist Thomas’ Hinweis darauf, dass Architektur allein die Frage der Souveränität nicht löst.
- Verträge sind wichtig.
- Rechtliche Rahmenbedingungen sind wichtig.
- Betriebliche Abläufe sind wichtig.
- Die Menschen, die für den Umgang mit der Umwelt verantwortlich sind, spielen eine wichtige Rolle.
Keine dieser Disziplinen kann isoliert agieren. Souveränität setzt voraus, dass die Teams aus den Bereichen Recht, Sicherheit, Compliance und Infrastruktur von Anfang an zusammenarbeiten – und Projekte nicht erst dann aneinander weiterreichen, wenn die Entscheidungen bereits getroffen wurden. Das ist ein bekanntes Muster für alle, die im Bereich Cyber-Resilienz tätig sind. Die besten Ergebnisse werden selten von einzelnen Teams erzielt. Sie entstehen durch koordiniertes Vorgehen.
Jede Entscheidung sollte sich am Risiko orientieren
Gegen Ende unserer Diskussion verlagerte sich das Gespräch ganz natürlich auf das Thema Risk. Für mich wird das Konzept der Souveränität an dieser Stelle deutlich vertrauter. Jedes Resilienzprojekt beginnt mit der Frage, was die Organisation zu schützen versucht, welche Bedrohungen am wichtigsten sind und wie viel Risk sie bereit ist, in Kauf zu nehmen.
Bei der digitalen Souveränität verhält es sich nicht anders. Anstatt nach einer perfekten Lösung zu suchen, müssen Unternehmen die konkreten Szenarien im Bereich der Souveränität identifizieren, die ihnen Sorge bereiten, und anschließend ermitteln, welche architektonischen, betrieblichen oder vertraglichen Kontrollmaßnahmen diesen Risiken am besten begegnen. Dieser Wandel – vom Vergleich von Funktionen hin zum Risikomanagement – führt letztendlich zu besseren Entscheidungen.
Warum dieses Gespräch wichtig ist
Die digitale Souveränität entwickelt sich weiterhin rasant weiter. Es werden neue Vorschriften entstehen. Die Technologie wird sich verändern. Die geopolitischen Gegebenheiten werden sich weiter verschieben. Das bedeutet, dass das Thema Souveränität nicht etwas ist, das Unternehmen einmalig regeln. Es ist etwas, das sie regelmäßig neu bewerten, wenn sich geschäftliche Prioritäten und externe Risiken ändern.
Erfolgreiche Unternehmen verfügen nicht unbedingt über die restriktivsten Architekturen. Sie zeichnen sich vielmehr durch ein klares Verständnis ihrer Geschäftsziele, die Disziplin zur sorgfältigen Risikobewertung und die Flexibilität aus, sich an veränderte Risiken anzupassen. Letztendlich ist digitale Souveränität nichts, was Unternehmen einfach von der Stange kaufen können. Es geht darum, Risiken zu verstehen, Abhängigkeiten zu steuern und fundierte Abwägungen zu treffen – und zwar lange bevor diese Entscheidungen auf die Probe gestellt werden.
Die gesamte Folge ansehen
In dieser STRIVE-Folge sprechen Thomas und ich über:
- Warum der Begriff „Souveränität“ für verschiedene Organisationen unterschiedliche Bedeutungen hat.
- Wie Führungskräfte die Souveränitätsstrategie angehen sollten.
- Öffentliche Cloud versus private Cloud – und warum es oft keine Entweder-oder-Entscheidung ist.
- Warum das Risikomanagement die architektonischen Entscheidungen leiten sollte.
- Die Rolle der Resilienz in der modernen Souveränitätsplanung.
FAQs
Frage: Bedeutet digitale Souveränität, dass alles vor Ort gespeichert wird?
A: Nein. Viele Organisationen verfolgen hybride Ansätze, bei denen die Funktionen der „Cloud“ mit spezifischen Anforderungen an die Souveränität in Einklang gebracht werden.
Frage: Wo sollten Souveränitätsprojekte ansetzen?
A: Beginnen Sie damit, das geschäftliche Problem zu definieren und die Risiken zu erfassen, die Sie mindern möchten, bevor Sie die Technologie bewerten.
Frage: Ist Souveränität eine rein technische Frage?
A: Nein. Dies erfordert die Zusammenarbeit zwischen den Teams aus den Bereichen Recht, Compliance, Sicherheit, Betrieb und Architektur.
F: In welchem Zusammenhang stehen Souveränität und Resilienz?
A: Beide Disziplinen zielen darauf ab, die Geschäftskontinuität zu gewährleisten, indem sie die Risiken minimieren, die den Geschäftsbetrieb stören könnten.
Frage: Was ist ein großer Fehler, den Unternehmen im Hinblick auf die digitale Souveränität begehen?
A: Sich voreilig auf architektonische Entscheidungen festzulegen, bevor man sich darüber einig ist, was Souveränität für die eigene Organisation bedeutet.
F: Was sollten Führungskräfte bei der Planung im Hinblick auf die digitale Souveränität als Erstes fragen?
A: „Welches Problem wollen wir lösen?“ Alles andere ergibt sich aus dieser Antwort.
Darren Thomson ist Vizepräsident und Chief Technology Officer für die EMEA-Region bei Commvault.
