Sie haben keine Souveränitätsstrategie. Sie haben eine Aufenthaltspolitik.

Die wichtigsten Erkenntnisse

• Der Begriff „Datenaufbewahrungsort“ bezieht sich darauf, wo Daten gespeichert werden, doch digitale Souveränität erfordert auch die Kontrolle über den Zugriff und die Verarbeitung sowie ein umfassendes Verständnis der rechtlichen Auswirkungen.
• Die operative Souveränität ist oft der schwächste und am wenigsten geprüfte Teil der meisten Souveränitätsprogramme.
• Eine umfassende Souveränitätsstrategie stützt sich auf vier Säulen: Datenlokalisierung, technologische Souveränität, operative Souveränität und rechtliche Souveränität.
• Souveränität ist kein binäres Konzept; Organisationen müssen einen Ansatz definieren, der auf ihre regulatorischen und betrieblichen Verpflichtungen abgestimmt ist.

Hier ist eine Frage, über die es sich lohnt, einmal gründlich nachzudenken: Als Ihre Organisation ihre Entscheidung zur Souveränität traf, was genau hat sie da eigentlich beschlossen? Für die meisten lautet die Antwort in etwa gleich. Eine Region auswählen. Die Workloads verlagern. Einen Cloud-Anbieter mit Rechenzentren im eigenen Land wählen. Das Kästchen ankreuzen. Die Frage, wo sich die Daten befinden, war beantwortet, und die Diskussion über Souveränität galt als abgeschlossen.

Aber es war noch nicht vorbei. Es hatte gerade erst angefangen. Die Datenlokalisierung beantwortet eine Frage: Wo? Die digitale Souveränität wirft drei weitere Fragen auf: Wer, wie und unter welchen Bedingungen? Die Vermischung von Datenstandort und Souveränität ist verständlich. Hyperscaler haben die Auswahl der Region so dargestellt, als handele es sich um eine Entscheidung zur Souveränität. Compliance-Checklisten fragen, wo Daten gespeichert werden. Regulatorische Leitlinien konzentrierten sich, zumindest in ihren früheren Fassungen, stark auf geografische Aspekte.

Die Wahl einer souveränen Cloud ist ein wichtiger Aspekt – sie ist von Bedeutung, hat betriebliche Auswirkungen und ist ein notwendiger erster Schritt. Aber es ist nur ein erster Schritt. Und die meisten Unternehmen haben es dabei belassen.

Was „Residency“ nicht beantwortet

Stellen Sie es sich so vor: Die Wahl einer souveränen Cloud-Region ist wie der Kauf eines Tresors. Sie sagt Ihnen, wo Ihre Wertsachen aufbewahrt werden. Sie sagt nichts darüber aus, wer eine Kopie der Kombination hat, wer den Tresor hergestellt hat, welchen Ländern die Gesetze gelten, denen der Hersteller unterliegt, oder ob Sie ihn öffnen können, wenn Sie dazu gezwungen werden.

Die Wahl der Region beantwortet eine Frage. Drei weitere Fragen sind nach wie vor völlig offen – und genau diese Fragen stellen Regulierungsbehörden, Vergabegremien und Wirtschaftsprüfer nun mit zunehmender Präzision:

• Wer darf Ihre Infrastruktur betreiben, und von wo aus? Ob das Support-Personal Ihres Cloud-Anbieters einer ausländischen Rechtshoheit unterliegt, ist eine Frage der Souveränität, die durch Datenresidenz nicht gelöst werden kann. Ein routinemäßiges Wartungsfenster, das von einem Support-Techniker in einer anderen Rechtsordnung durchgeführt wird, ist ein Zugangsweg, den Ihre Residenzrichtlinie nicht abdeckt. Dies ist der Bereich der operativen Souveränität – die am schwersten zu prüfende Säule und die am häufigsten übersehene.
• Unter welchen rechtlichen Rahmenbedingungen kann auf Ihre Daten zugegriffen werden? Ein ausländischer Technologieanbieter, der Infrastruktur im Inland betreibt, entzieht sich damit nicht automatisch der Rechtshoheit seines Heimatlandes. Die extraterritoriale Reichweite ausländischer Rechtsordnungen stellt ein Risiko dar, das sich nicht allein durch den geografischen Standort beseitigen lässt.
• Können Sie Ihre Daten wiederherstellen, wenn etwas schiefgeht? Die meisten Souveränitätsprogramme basieren auf Zugriffskontrolle. Nur sehr wenige befassen sich mit Recovery – also der Frage, ob Ihre Daten fehlerfrei und innerhalb definierter Toleranzen von Mitarbeitern wiederhergestellt werden können, die innerhalb Ihrer Souveränitätsgrenzen tätig sind. Genau an dieser Lücke scheitern Souveränitätskonzepte unter realen Bedingungen am häufigsten.

Das Rahmenwerk, das die Lücke schließt

Eine umfassende Strategie zur Wahrung der Souveränität stützt sich auf vier miteinander verflochtene Säulen. Der „Digital Sovereignty Readiness Report“ – verfügbar unter readiverse.com – geht ausführlich auf jede einzelne ein. Kurz gesagt:

• Die Datenlokalität bezieht sich darauf, wohin Daten und Metadaten tatsächlich übertragen werden.
• Technologische Souveränität umfasst die Kontrolle über Verschlüsselung, Schlüsselverwaltung und Architekturportabilität.
• Die operative Souveränität umfasst die Frage, wer die Umgebung steuert und von wo aus.
• Die Hoheitsgewalt legt den rechtlichen Rahmen fest, der alle oben genannten Aspekte regelt und beeinflusst.

Keine einzelne Säule reicht aus. Eine starke Datenlokalität bei gleichzeitig schwachen betrieblichen Kontrollen bedeutet keine Souveränität – es handelt sich vielmehr um eine Datenlokalisierung mit ungeprüften Risiken.

Was dieses Rahmenwerk so nützlich macht, ist nicht seine Komplexität, sondern die Fragen, die es aufwirft. Wenn ein Unternehmen zum ersten Mal seine aktuelle Situation anhand aller vier Säulen analysiert, stößt es fast immer auf Lücken, von denen es nichts wusste – nicht, weil die Kontrollmechanismen fehlen, sondern weil diese Fragen nie gestellt wurden.

Souveränität ist eine gleitende Skala

Noch eine Sache, die es zu erwähnen gilt: Souveränität ist kein binärer Zustand. Es gibt keine Zertifizierung, die sie gewährt, und kein einzelnes Bereitstellungsmodell, das sie garantiert. Sie ist eine Haltung – eine Reihe bewusster, überprüfbarer Entscheidungen. Und das richtige Maß dieser Haltung variiert je nach Organisation, nach Arbeitsaufwand und danach, was Sie den Aufsichtsbehörden und Kunden tatsächlich schulden.

Genau um diese Abwägung geht es bei der „minimalen lebensfähigen Souveränität“ – dem Thema des zweiten Beitrags dieser Reihe. Das Vertrauen in die Regulierung entsteht schon lange vor der eigentlichen Prüfung – durch klar definierte Anforderungen und nicht durch geografisch bedingte Annahmen. Laden Sie den Bericht zur Bereitschaft für digitale Souveränität herunter, um mehr über das Vier-Säulen-Modell und ein praktisches Tool zur Selbsteinschätzung zu erfahren.

FAQs

F: Was ist der Unterschied zwischen dem Speicherort von Daten und digitaler Souveränität?

A: Beim Thema „Datenaufbewahrungsort“ geht es darum, wo Daten physisch gespeichert werden. Die digitale Souveränität geht noch einen Schritt weiter und befasst sich damit, wer auf die Daten zugreifen darf, wie die Systeme betrieben werden und durch welche Rechtsordnungen rechtliche Risiken entstehen können.

F: Warum reicht die Auswahl einer Region für die Souveränität nicht aus?

A: Bei der Auswahl einer Cloud geht es lediglich um den geografischen Standort. Probleme im Zusammenhang mit dem operativen Zugriff, rechtlichen Risiken oder Wiederherstellungsmöglichkeiten werden dadurch nicht gelöst.

F: Was sind die vier Säulen der digitalen Souveränität?

A: Die vier Säulen sind Datenlokalität, technologische Souveränität, operative Souveränität und rechtliche Souveränität. Zusammen bilden sie unserer Ansicht nach einen umfassenderen Rahmen für die Bewertung der Souveränitätsbereitschaft.

F: Warum ist die operative Souveränität so schwer zu handhaben?

A: Die operative Souveränität umfasst die Überwachung, wer auf Systeme zugreifen darf, von wo aus diese betrieben werden und unter welcher Rechtsordnung dies geschieht. Diese Kontrollen lassen sich schwerer überprüfen als einfache Anforderungen an den Datenstandort.

F: Ist digitale Souveränität eine einmalige Zertifizierung?

A: Nein. Souveränität ist eine fortwährende Haltung, die auf bewussten, überprüfbaren Entscheidungen beruht, die je nach Organisation, Arbeitsaufkommen und regulatorischem Umfeld variieren.

Ruben Renders ist Solutions Director, MSP, bei Commvault.