Digitale Souveränität entschlüsselt: Warum Ihre Cloud-Region keine Strategie ist

Um die Vorschriften hinsichtlich des Speicherorts und der Nutzung ihrer Daten zu erfüllen, glauben viele Unternehmen, sie könnten einfach eine „Sovereign Cloud“-SKU von einem Hyperscaler erwerben und damit die Anforderungen abhaken. Doch das reicht bei weitem nicht aus – was ihnen möglicherweise erst dann bewusst wird, wenn eine Aufsichtsbehörde von ihnen verlangt, nachzuweisen, dass ein Datensatz eine definierte geografische Region nie verlassen hat, dass kein Mitarbeiter aus einem ausländischen Rechtsraum darauf zugegriffen hat und dass sie ihn im Falle eines Vorfalls innerhalb von 24 Stunden wiederherstellen können.

In einem kürzlich abgehaltenen Webinar habe ich gemeinsam mit Alex Zinin, General Manager bei Commvault und Leiter unserer Task Force für digitale Souveränität, sowie Jakub Lewandowski, unserem Associate General Counsel für EMEA, und Pranay Ahlawat, unserem Chief Technology and AI Officer, untersucht, was ein umfassender Ansatz zur digitalen Souveränität beinhalten muss und wo die meisten Programme Defizite aufweisen.

Sehen Sie sich das vollständige Webinar an und erhalten Sie den vollständigen „Digital Sovereignty Decoded“-Bericht zur Readiness sowie das Implementierungs-Framework.

Die wichtigsten Erkenntnisse

Das EU-Rahmenwerk zur Cloud-Souveränität definiert acht Souveränitätsziele, von denen sich nur eines auf den Datenstandort bezieht.
Die Auswahl einer souveränen Cloud-Region regelt zwar, wo sich Daten befinden, aber nicht, wer darauf zugreifen darf, auf welcher rechtlichen Grundlage oder ob Sie diese unter realen Bedingungen wiederherstellen können.
Eine umfassende Souveränitätsstrategie stützt sich auf vier miteinander verknüpfte Säulen: Datenlokalität, technologische Souveränität, operative Souveränität und rechtliche Souveränität.
Souveränitätsprogramme, die die Recovery-Architektur getrennt von der primären Daten-Governance behandeln, bergen ein unberücksichtigtes Risk, das bei Vorfällen zutage treten kann.
Anstelle einer Politik der maximalen Souveränität um jeden Preis sollten Unternehmen ihre Strategie auf eine „Minimum Viable Sovereignty“ ausrichten: die richtigen Kontrollen, konsequent durchgesetzt und auf die tatsächlichen Verpflichtungen abgestimmt.

Digitale Souveränität wird zu einer unternehmerischen Anforderung

In den letzten zehn Jahren galten die strengsten Vorschriften zur digitalen und datenbezogenen Souveränität hauptsächlich für Regierungs-, Verteidigungs- und andere Bereiche der nationalen Sicherheit. Außerhalb stark regulierter Sektoren behandelten viele Unternehmen Souveränitätsprinzipien eher als Gestaltungsrichtlinien denn als strenge architektonische Vorgaben.

Das ändert sich nun. Die Durchsetzung der DSGVO hat sich von bloßen Leitlinien hin zu erheblichen Geldbußen bei Betriebsausfällen weiterentwickelt, und neuere Regelungen wie DORA, NIS2, die deutschen KRITIS-Vorschriften und der Entwurf des EU-Datenschutzgesetzes haben die Erwartungen hinsichtlich der gerichtlichen Kontrolle und der operativen Resilienz verschärft.

Souveränitätsfragen tauchen nun auch in Ausschreibungen, bei der Due-Diligence-Prüfung im Rahmen von Fusionen und Übernahmen sowie bei Risikoprüfungen auf Vorstandsebene auf.

Das im Oktober 2025 veröffentlichte EU-Rahmenwerk zur Cloud-Souveränität verdeutlicht, worauf sich diese Prüfung tatsächlich bezieht. Von den acht Souveränitätszielen befasst sich nur eines mit dem Speicherort der Daten. Die anderen sieben betreffen Zugriffskontrolle, betriebliche Abhängigkeiten, rechtliche Risiken und Recovery.

Für Unternehmen ist diese Struktur nun der Maßstab, anhand dessen die Fähigkeiten der Anbieter bewertet werden müssen.

Vorschau: Souveränität und Resilienz neu denken

In diesem Ausschnitt aus dem Webinar erläutert Jakub, dass Souveränität eher eine Risikoeinstellung als ein einzelnes Produkt ist. Unternehmen benötigen eine ganzheitliche Strategie, die Architektur, Betrieb, Governance, Überprüfbarkeit und Recovery-Planung kombiniert, um diesem Thema gerecht zu werden.

Der Datenstandort ist nicht gleichbedeutend mit Souveränität

Der Datenstandort beantwortet lediglich die Frage nach dem „Wo“. Vorschriften zur Souveränität erfordern zudem die Fähigkeit, zu erklären, wer, wie und unter welchen Bedingungen.

In der Praxis umfasst eine umfassende Souveränitätsstrategie vier miteinander verflochtene Säulen.

1. Datenlokalität

Diese Säule umfasst nicht nur, wo Daten gespeichert werden, sondern auch, wohin sie übertragen werden. Artefakte der Steuerungsebene, Metadaten und Telemetriedaten können geografische Grenzen überschreiten, selbst wenn die Primärdaten in der Region verbleiben.

2. Technologische Souveränität

Diese Säule befasst sich mit der Frage, ob die Organisation die Mechanismen zum Schutz der Daten kontrolliert:

Wie der Zugriff gewährt wird.
Wie Daten verschlüsselt werden.
Ob die sichere Aufbewahrung der Verschlüsselungsschlüssel unter allen Umständen gewährleistet ist.

Ein Schlüsselkonzept (im wahrsten Sinne des Wortes) ist hier die Unterscheidung zwischen „Bring Your Own Key“ (BYOK), bei dem die eigenen Verschlüsselungsschlüssel einer Organisation innerhalb der Plattform des Anbieters verwaltet werden, und „Hold Your Own Key“ (HYOK), bei dem die Organisation die unabhängige Verwahrung der Schlüssel vollständig außerhalb der Umgebung des Anbieters beibehält.

3. Operative Souveränität

Dies umfasst die Frage, wer die Umgebung betreibt und von wo aus, einschließlich der Frage, ob Support-Mitarbeiter oder Drittanbieter einer ausländischen Gerichtsbarkeit unterliegen.

4. Jurisdiktionelle Souveränität

Diese letzte Säule legt den rechtlichen Rahmen fest, unter dem Dienste erbracht werden, und bestimmt, ob es ausdrückliche Schutzmaßnahmen gegen extraterritorialen Zugriff gibt, wie beispielsweise die im US-amerikanischen CLOUD Act behandelten grenzüberschreitenden Situationen.

Jede dieser Säulen ist für die Einhaltung der Vorschriften unverzichtbar. Eine starke Strategie zur Datenlokalisierung bei gleichzeitig schwachen betrieblichen Kontrollen kann ungeprüfte Risiken zulassen.

Wo Programme zur digitalen Souveränität scheitern

Meine Erfahrungen in diesem Bereich haben ein wiederkehrendes Muster aufgezeigt: Wenn Souveränität zu einer technischen Diskussion wird, wird sie allzu schnell zu eng gefasst. In Workshops liegt der Fokus darauf, wo sich Daten befinden; Teams beschäftigen sich mit dieser einen Frage und wenden sich dann anderen Themen zu, wobei die anderen drei Säulen weitgehend unberücksichtigt bleiben.

Auch strukturelle Probleme spielen eine Rolle. Digitale Souveränität muss als fortlaufendes Programm mit rechtlichen, technischen und operativen Akteuren behandelt werden, nicht als IT-Projekt, das nach Abschluss abgehakt wird.

Unternehmen können zudem durch einige Mythen in die Irre geführt werden. Einer davon ist, wie bereits besprochen, der Eindruck, dass Souveränität gleichbedeutend mit dem Datenstandort ist.

Dann gibt es den Mythos der absoluten Souveränität – die Vorstellung, man könne vollständige Unabhängigkeit von allen externen Rechtsordnungen und Abhängigkeiten erreichen. In der Praxis bedeutet Souveränität immer einen Kompromiss zwischen Kontrolle, Kosten, technologischer Geschwindigkeit und Innovationsfähigkeit.

Das Ziel sollte sein, das richtige Gleichgewicht zwischen Unabhängigkeit von ausländischen Rechtsordnungen und den Anforderungen Ihres Unternehmens zu finden. Es ist außerdem wichtig zu verstehen, dass Souveränität kein Produkt ist, das man kaufen kann, sondern eine Risikostrategie, die sich aus Architektur, Betriebsabläufen, Verträgen, Zertifizierungen und kontinuierlicher Überprüfbarkeit zusammensetzt.

Resilienz gehört zum Rahmen der Souveränität

Operative Souveränität ist die am schwersten zu prüfende Säule und wird am häufigsten unterschätzt. Wenn Ihre Umgebung heute Abend für routinemäßige Wartungsarbeiten Zugriff benötigen würde – wer würde diese durchführen, aus welchem Land und unter welcher rechtlichen Zuständigkeit? Die meisten Organisationen stellen bei ihrer ersten Auseinandersetzung mit dieser Frage fest, dass es mindestens einen Versorgungsweg gibt, der eine Zuständigkeitsgrenze überschreitet, die sie bisher nicht erfasst hatten.

Diese Lücke wird bei der Recovery besonders folgenschwer. Die meisten Souveränitätsprogramme regeln primäre Datenumgebungen, behandeln jedoch Backup-Infrastruktur, Wiederherstellungsabläufe und das Management von Wiederherstellungspunkten unter separaten – und oft schwächeren – Kontrollmechanismen. Wenn ein Vorfall eintritt, erfüllen die für die Recovery zuständigen Mitarbeiter möglicherweise nicht die rechtlichen Anforderungen, und die zum Schutz der Daten konzipierte souveräne Architektur kann die Recovery aktiv erschweren, wenn die Resilienz nicht von Anfang an einbezogen wurde.

Das Resilienz-Betriebsmodell von Commvault, ResOps™, geht direkt auf diesen Bedarf ein, indem es Recovery als fortlaufende betriebliche Disziplin betrachtet, die innerhalb derselben Souveränitätsgrenze wie die zu schützenden Daten konzipiert, getestet und validiert werden muss.

Minimal erforderliche Souveränität: Das richtige Maß an Kontrolle, nicht das Maximum

Ein absolutistischer Ansatz in Bezug auf digitale Souveränität kann Ressourcen belasten und gleichzeitig die Fähigkeit eines Unternehmens, seine Geschäftsziele zu erreichen, unnötig einschränken.

Ein Lohnabrechnungssystem, eine Kundentransaktionsdatenbank und ein internes HR-Tool unterliegen nicht denselben Souveränitätsverpflichtungen. Ein binärer Ansatz bei der Compliance kann dazu führen, dass entweder dort zu wenig investiert wird, wo es darauf ankommt, oder dass über das tatsächlich Erforderliche hinaus investiert wird.

Die „Minimum Viable Sovereignty“ setzt ein praktischeres Ziel: die richtigen Kontrollen, die konsequent durchgesetzt und kontinuierlich nachgewiesen werden und auf die tatsächlichen Anforderungen der jeweiligen Workloads in allen vier Säulen abgestimmt sind.

Unternehmen verfügen über eine breite Palette von Optionen, wie souveräne Kontrollen in ihrer gesamten Umgebung umgesetzt werden können, wobei jede Option unterschiedliche Kontrollen bietet.

Wie Commvault das Thema digitale Souveränität angeht

Das „Geo Shield“-Framework von Commvault soll Unternehmen dabei helfen, sich in diesem Spektrum zurechtzufinden. Anstatt eine einzige souveräne SKU anzubieten, deckt Geo Shield das gesamte Spektrum an Bereitstellungsmodellen ab:

Regionale souveräne Cloud-Dienste, die als SaaS bereitgestellt werden
Partnerschaften mit Hyperscalern zur Einführung souveräner Lösungen
Von Partnern betriebene nationale souveräne Angebote, die gemeinsam mit lokalen Dienstleistern aufgebaut wurden
Vollständig vom Kunden kontrollierte private souveräne Umgebungen, die den Anforderungen von Rahmenwerken wie FedRAMP High entsprechen.

Auf diese Weise können Unternehmen eine Strategie zur digitalen Souveränität umsetzen, die sich unter realen Bedingungen bewährt – selbst wenn ein Vorfall eintritt.

Sehen Sie sich das vollständige Webinar an und laden Sie den Readiness-Bericht herunter

Im vollständigen Webinar, das als Aufzeichnung verfügbar ist, erfahren Sie:

Warum digitale Souveränität mehr ist als eine technologische Lösung.
Welche Rolle Architektur und Betrieb in der Souveränitätsstrategie spielen.
Wie sich Governance, Verträge und Nachprüfbarkeit auf die Resilienz auswirken.
Warum Souveränität auch bei Cybervorfällen und Ausfällen gewahrt bleiben muss.
Die Bedeutung eines ganzheitlichen, risikobasierten Ansatzes für Souveränität.

Sehen Sie sich das Webinar an und erhalten Sie den vollständigen „Digital Sovereignty Decoded“-Readiness-Bericht sowie das dazugehörige Rahmenwerk.

FAQs

F: Was ist der Unterschied zwischen Datenstandort und digitaler Souveränität?

A: Bei der Datenresidenz geht es darum, wo Daten physisch gespeichert sind. Digitale Souveränität ist weiter gefasst: Sie befasst sich damit, wer unter welcher rechtlichen Befugnis und über welche operativen Wege auf Daten zugreifen darf und ob diese unter realen Bedingungen einwandfrei wiederhergestellt werden können.

Eine Organisation kann Daten zwar im richtigen Land speichern, bleibt aber dennoch durch ihr Supportpersonal, Zugangsvereinbarungen mit Anbietern oder ihre Backup-Infrastruktur der ausländischen Gerichtsbarkeit ausgesetzt. Der Speicherort ist die Ausgangsbedingung; Souveränität ist die darauf aufbauende Gesamtstrategie.

F: Was ist der EU-Rahmen für Cloud-Souveränität und warum ist er von Bedeutung?

A: Der EU-Rahmen für Cloud-Souveränität ist ein von der Europäischen Kommission entwickeltes strukturiertes Bewertungsinstrument, um Cloud- und Technologieanbieter im Rahmen von Beschaffungsprozessen anhand von Souveränitätskriterien zu bewerten.

Es definiert acht Souveränitätsziele mit jeweiligen Sicherheitsstufen von null bis vier. Nur eines der acht Ziele betrifft den Datenstandort; die übrigen beziehen sich auf operative Kontrollen, die Verwahrung von Schlüsseln, die rechtliche Exposition und Recovery.

Das Rahmenwerk stellt das umfassendste öffentliche Rahmenwerk zur Bewertung der Souveränitätslage dar und wird zunehmend von anderen Regionen und Beschaffungsstellen außerhalb der EU als Referenz herangezogen.

F: Was ist der Unterschied zwischen BYOK und HYOK, und warum ist dies für die Souveränität von Bedeutung?

A: „Bring Your Own Key“ (BYOK) ermöglicht es einer Organisation, ihre eigenen Verschlüsselungsschlüssel bereitzustellen, doch diese Schlüssel werden in der Regel innerhalb der Plattform des Anbieters verwaltet. „Hold Your Own Key“ (HYOK) bedeutet, dass die Organisation die unabhängige Verwahrung der Schlüssel vollständig außerhalb der Umgebung des Anbieters beibehält – auch unter Krisenbedingungen oder bei gesetzlichem Zwang.

Für regulierte Organisationen mit strengen Souveränitätsanforderungen bietet BYOK möglicherweise keinen ausreichenden Schutz, wenn eine ausländische Justizbehörde den Anbieter zwingen kann, den Zugriff auf die Schlüssel preiszugeben. Der US-amerikanische CLOUD Act kann beispielsweise Anbieter erfassen, die unter US-amerikanischer Gerichtsbarkeit operieren, unabhängig davon, wo die Daten physisch gespeichert sind.

HYOK begegnet diesem Risiko direkt, erfordert jedoch möglicherweise eine höhere Plattformebene bei SaaS-Bereitstellungen.

F: Warum wird die operative Souveränität in den meisten Souveränitätsstrategien übersehen?

A: Die operative Souveränität, die umfasst, wer die Umgebung betreibt und von wo aus, ist der am schwierigsten zu prüfende Pfeiler, da sie eine Bestandsaufnahme von Supportverträgen, Zugangsvereinbarungen mit Anbietern und Abhängigkeiten von Drittanbietern entlang der gesamten Betriebskette erfordert.

Die meisten Unternehmen starten Souveränitätsprogramme, die sich auf den Datenstandort und die Verschlüsselung konzentrieren – Aspekte, die besser sichtbar sind. Operative Abhängigkeiten treten meist erst zutage, wenn sie explizit geprüft werden oder wenn ein Vorfall diese Frage aufwirft.

Als ersten Schritt zur Bewertung der operativen Souveränität sollten Sie jeden Zugangsweg zu Ihrer souveränen Umgebung sowie die rechtliche Zuständigkeit jeder Partei mit diesem Zugang identifizieren.

F: Wie sollten Unternehmen die Recovery im Kontext der Souveränität betrachten?

A: The Recovery architecture must meet the same sovereignty requirements as primary data environments, which is often not the case. In the majority of organizations, the Backup infrastructure, Recovery processes, and the management of recovery points often fall under separate control measures – or none at all.

Während eines Vorfalls erfüllen die zur Durchführung der Recovery-Tätigkeiten befugten Mitarbeiter möglicherweise nicht die rechtlichen Anforderungen, Recovery-Punkte wurden möglicherweise nicht als fehlerfrei und unbeeinträchtigt validiert, und die zum Schutz der Daten konzipierte Souveränitätsarchitektur kann die Recovery-Tätigkeiten aktiv erschweren, wenn die Ausfallsicherheit nicht bereits in das ursprüngliche Design integriert wurde. Eine Souveränitätsprüfung sollte stets die Recovery-Planung umfassen.

F: Was bedeutet „minimal realisierbare Souveränität“ in der Praxis?

A: „Minimum Viable Sovereignty“ bedeutet, für jede Arbeitslast das richtige Maß an Kontrollen zu ermitteln, das auf die tatsächlichen regulatorischen Verpflichtungen, die Risikotoleranz und die betrieblichen Einschränkungen abgestimmt ist, anstatt einheitlich maximale Kontrollen anzuwenden.

Maximale Souveränität bringt echte Kompromisse mit sich: technologische Komplexität, betrieblichen Aufwand, Einschränkungen bei den Diensten und Kosten. Unternehmen, die Anforderungen je nach Arbeitslast über die vier Säulen hinweg definieren, diese Anforderungen auf Bereitstellungsmodelle abbilden und Nachweise für eine konsequente Umsetzung erbringen, sind in einer weitaus stärkeren Position als solche, die „Alles-oder-nichts“-Ansätze verfolgen.

F: Welche Rolle spielen Zertifizierungen wie C5, SecNumCloud und ISO 27001 in einer Souveränitätsstrategie?

A: Zertifizierungen liefern nachprüfbare Nachweise dafür, dass Kontrollmaßnahmen unabhängig überprüft wurden – ein wichtiger Bestandteil jeder vertretbaren Souveränitätsstrategie. C5 in Deutschland, SecNumCloud in Frankreich und ISO/IEC 27001 legen jeweils Mindestanforderungen fest, die Anbieter durch unabhängige Audits nachweisen müssen.

Die stärksten Souveränitätsstrategien betrachten diese Zertifizierungen als Mindeststandard, der den notwendigen Nachweis für das Vorhandensein von Kontrollmaßnahmen liefert, jedoch kein Ersatz für operative Tests unter realistischen Bedingungen ist.

Darren Thomson ist Vizepräsident und Chief Technology Officer für die Region EMEA bei Commvault. Verpassen Sie nicht seine Beiträge in der Podcast-Reihe „STRIVE“.