Cloud-Souveränität: C5, Datenresidenz, Schlüsselhoheit
Souveränität heißt Datenresidenz, Betriebshoheit und Schlüsselhoheit. Warum das C5-Testat kein Residenz-Versprechen ist und was C5:2026 bedeutet.
Souveränität steht in fast jeder Cloud-Beschaffung, bleibt aber oft unscharf. Anbieter schreiben den Begriff auf Datenblätter, in Angeboten wird er schnell zum Compliance-Haken. In der Architektur zerfällt er in drei konkrete Fragen: Wo liegen die Daten, wer betreibt die Plattform und wer hält die Schlüssel. Erst die Antworten darauf entscheiden, ob ein Cloud-Setup belastbar souverän ist oder nur so genannt wird.
Das Wichtigste in Kürze
- Souveränität braucht Architekturentscheidungen: Sie zerfällt in Datenresidenz, Betriebshoheit und Schlüsselhoheit. Wer nur den Standort prüft, hat zwei von drei Ebenen übersehen.
- Das BSI C5 ist der Maßstab, kein Residenz-Versprechen: Der Kriterienkatalog prüft die Sicherheit eines Cloud-Dienstes, sagt aber nichts über den Datenstandort. Beides muss getrennt geklärt werden.
- C5:2026 verschärft die Prüfung: 168 statt 121 Kriterien, neu für Container, Post-Quantum-Kryptografie und Confidential Computing. Die Anforderungen reichen tiefer in bestehende Architekturen hinein.
Verwandt:KI-Souveränität beginnt bei der Infrastruktur / Souverän, aber wovor?
Souveränität braucht Architekturentscheidungen
Was ist das BSI C5? Das C5, kurz für Cloud Computing Compliance Criteria Catalogue, ist ein Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik. Er definiert Mindestanforderungen an die Informationssicherheit von Cloud-Diensten und wird von Wirtschaftsprüfern testiert. Ein C5-Testat zeigt, dass ein Anbieter geprüfte Sicherheitsmaßnahmen umsetzt. In Deutschland ist es der faktische Standard für seriöse Cloud-Beschaffung.
Der häufigste Fehler beginnt mit einer Verwechslung. Ein C5-Testat im Angebot wird gelesen als Beweis für Souveränität. Das ist es nicht. C5 prüft, wie sicher ein Dienst betrieben wird, nicht wo die Daten liegen oder wer im Ernstfall darauf zugreifen darf. Ein Anbieter kann ein C5-Testat haben und trotzdem einem Rechtsraum unterstehen, der den Zugriff auf europäische Daten erlaubt. Die beiden Fragen hängen zusammen, sind aber nicht identisch.
Souveränität sauber zu prüfen heißt, sie in ihre Bestandteile zu zerlegen. Erst wenn klar ist, welche der drei Ebenen ein Projekt braucht, lässt sich beurteilen, ob ein Angebot passt. Viele Souveränitäts-Versprechen scheitern nicht an der Technik, sondern an dieser fehlenden Unterscheidung.
Datenresidenz, Betriebshoheit, Schlüsselhoheit: drei Ebenen
Die erste Ebene ist die Datenresidenz, die Frage nach dem physischen Ort. Sie ist am leichtesten zu prüfen und wird deshalb oft mit Souveränität gleichgesetzt. Daten in einem Frankfurter Rechenzentrum sind ein guter Anfang, aber sie beantworten nur die einfachste der drei Fragen.
Die zweite Ebene ist die Betriebshoheit. Wer administriert die Plattform, von wo, und unter welcher Rechtsordnung steht dieses Personal. Ein Rechenzentrum in der EU, das aus einem Drittland fernadministriert wird, hat Datenresidenz, aber keine Betriebshoheit. Die dritte und anspruchsvollste Ebene ist die Schlüsselhoheit. Wer die Verschlüsselungsschlüssel hält, kontrolliert die Daten, unabhängig davon, wo sie liegen. Hält der Anbieter die Schlüssel, ist die Residenz zweitrangig.
| Ebene | Kernfrage | Prüfbar an |
|---|---|---|
| Datenresidenz | Wo liegen die Daten physisch? | Standort des Rechenzentrums |
| Betriebshoheit | Wer administriert die Plattform? | Standort und Rechtsraum des Personals |
| Schlüsselhoheit | Wer hält die Verschlüsselung? | Schlüsselverwaltung, BYOK oder HYOK |
In der Praxis braucht nicht jedes Projekt alle drei Ebenen im gleichen Umfang. Ein öffentlicher Webauftritt verträgt eine Standard-Cloud. Eine Patientenakte oder ein Konstruktionsdatensatz verlangt Schlüsselhoheit und Betriebshoheit, nicht nur einen EU-Standort. Architekturarbeit heißt hier, jedem Datenbestand die passende Stufe zuzuordnen, statt pauschal Souveränität zu fordern oder pauschal Standard-Cloud zu kaufen.
Was C5:2026 für die Architektur konkret heißt
Der Kriterienkatalog wurde erweitert. Die im April 2026 veröffentlichte Fassung hebt die Anforderungen an. Aus 121 Kriterien der Vorgängerversion sind 168 geworden. Die neuen Anforderungen betreffen zentrale Felder moderner Cloud-Architektur.
Drei neue Schwerpunkte sind für Architekten relevant. Container-Management wird erstmals eigenständig geprüft, was Teams mit Kubernetes-Plattformen direkt betrifft. Post-Quantum-Kryptografie kommt hinzu, weil die Bedrohung durch künftige Quantenrechner schon heute Vorlauf in der Architektur verlangt. Confidential Computing, also die Verschlüsselung von Daten auch während der Verarbeitung, rückt stärker in den Prüffokus. Verbindlich werden die neuen Anforderungen für Prüfzeiträume ab Mitte 2027. Für Architekturteams beginnt das Planungsfenster deshalb jetzt.
Wer heute eine Plattform plant, sollte diese Themen fest in die Roadmap nehmen. Eine Architektur, die Container-Isolation, krypto-agile Verfahren und vertrauliche Verarbeitung von Anfang an mitdenkt, besteht das nächste Testat ohne Umbau. Eine, die sie nachrüsten muss, zahlt doppelt.
Was Souveränität trägt und was sie nur behauptet
Zwischen echter und behaupteter Souveränität liegt selten die Technik, sondern die Genauigkeit der Prüfung. Die folgenden Muster trennen das eine vom anderen.
Nur behauptet
- Ein C5-Testat als Beleg für Datensouveränität gelesen
- EU-Standort geprüft, Betriebs- und Schlüsselhoheit nicht
- Schlüssel beim Anbieter, Residenz als Schaufenster
- Souverän pauschal gefordert, ohne Datenklassen zu trennen
Trägt wirklich
- Datenresidenz, Betriebshoheit und Schlüsselhoheit einzeln geprüft
- Schlüsselhoheit über BYOK oder HYOK im eigenen Haus
- Jeder Datenbestand der passenden Souveränitätsstufe zugeordnet
- C5:2026-Themen früh eingeplant, nicht nachgerüstet
Der Unterschied zwischen den Spalten ist keine Frage des Anbieters allein. Auch eine große internationale Cloud bietet inzwischen souveräne Regionen mit getrennter Verwaltung und Schlüsselhoheit. Entscheidend ist, dass die eigene Architektur die richtige Stufe verlangt und nachprüft, statt sich auf ein Etikett zu verlassen. Souveränität ist am Ende kein Produkt, das man kauft, sondern eine Eigenschaft, die man nachweist.
Häufige Fragen
Bedeutet ein C5-Testat, dass meine Daten in Deutschland liegen?
Nein. Das C5 prüft die Informationssicherheit eines Cloud-Dienstes, nicht den Datenstandort. Ein Anbieter kann ein vollständiges C5-Testat haben und Daten außerhalb Deutschlands verarbeiten. Datenresidenz muss separat vertraglich geklärt und geprüft werden, sie ist nicht Teil des C5-Nachweises.
Was unterscheidet BYOK von HYOK?
Bei Bring Your Own Key bringt der Kunde eigene Schlüssel ein, der Anbieter verwaltet sie aber in seiner Infrastruktur. Bei Hold Your Own Key bleiben die Schlüssel vollständig im Einflussbereich des Kunden, der Anbieter kann ohne Freigabe nicht entschlüsseln. HYOK liefert die höhere Schlüsselhoheit, ist aber aufwendiger im Betrieb.
Reicht ein EU-Rechenzentrum für Souveränität aus?
Es deckt nur die Datenresidenz ab. Betriebshoheit und Schlüsselhoheit bleiben offen. Wird die Plattform aus einem Drittland administriert oder hält der Anbieter die Schlüssel, ist der EU-Standort allein kein belastbarer Schutz. Souveränität entsteht erst, wenn alle drei Ebenen geklärt sind.
Was ändert sich mit C5:2026 für meine Architektur?
Die Fassung erweitert den Katalog auf 168 Kriterien und ergänzt Container-Management, Post-Quantum-Kryptografie und Confidential Computing. Plattformen sollten Container-Isolation, krypto-agile Verfahren und vertrauliche Verarbeitung früh einplanen. Verbindlich werden die neuen Anforderungen für Prüfzeiträume ab Mitte 2027.
Welche Daten brauchen die höchste Souveränitätsstufe?
Bestände mit hohem Schutzbedarf oder strenger Regulierung: Gesundheitsdaten, Konstruktions- und Forschungsdaten, personenbezogene Daten in großem Umfang. Für sie lohnen Schlüssel- und Betriebshoheit. Öffentliche oder unkritische Daten kommen mit einer Standard-Cloud aus. Die Kunst ist die Zuordnung, nicht die pauschale Maximalforderung.
Bildquelle: KI-generiert (Juni 2026), C2PA-Zertifikat im Bild hinterlegt
