Sovereign Cloud endet nicht am Serverstandort

Ein deutsches Rechenzentrum auf der Rechnung beruhigt viele Einkaufsabteilungen. Es sagt aber wenig darüber aus, wer im Ernstfall auf die Daten zugreifen kann. Sovereign Cloud entscheidet sich nicht am Serverstandort, sondern an vier Ebenen darüber: Recht, Betrieb, Schlüssel und Ausstieg.

Das Wichtigste in Kürze

Verwandt:BSI C3A: Cloud-Souveränität wird prüfbar  /  EU Data Act: Wenn die Cloud-Wechselgebühr fällt

Warum der Serverstandort nur die halbe Wahrheit ist

Die Frage nach dem Standort ist berechtigt, greift aber zu kurz. Entscheidend ist die Gerichtsbarkeit, unter der ein Anbieter steht. Ein US-Konzern unterliegt dem CLOUD Act aus dem Jahr 2018. Der verpflichtet ihn, US-Behörden auf Anordnung Zugriff auf gespeicherte Daten zu geben, unabhängig davon, in welchem Land die Server stehen. Ein Frankfurter Rechenzentrum ändert an dieser Rechtslage nichts.

Souveränität ist deshalb weniger eine Frage des Ortes als ein Bündel aus rechtlichen und technischen Zusicherungen. Der Serverstandort ist das erste Kriterium. Er ist notwendig für die DSGVO-Konformität, reicht für sich genommen aber nicht aus. Wer bei der Auswahl dort stehen bleibt, verwechselt Datenhaltung mit Datenhoheit.

Betriebshoheit: Wer hat administrativen Zugriff

Das zweite Kriterium betrifft den laufenden Betrieb. Wer administriert die Systeme, wer wartet sie, aus welchem Land heraus? Auch bei einem europäischen Rechenzentrum kann der Support über ein globales Team laufen, das theoretisch Einsicht hat. Betriebliche Souveränität heißt: Administration und Support liegen bei Personal, das europäischem Recht unterliegt.

Managed-Private-Cloud-Modelle setzen genau hier an. Der Betrieb bleibt bei einem europäischen Anbieter, oft mit vertraglich zugesichertem Personenkreis für privilegierte Zugriffe. Für regulierte Branchen wie Finanzwesen oder Gesundheit ist dieser Punkt kein Komfort, sondern Voraussetzung.

Schlüsselhoheit: der technische Ernstfall

Das dritte Kriterium ist der wirksamste Hebel. Wenn die Daten verschlüsselt sind und der Anbieter die Schlüssel nicht besitzt, läuft jeder behördliche Zugriff ins Leere. Drei Stufen sind relevant. Bring Your Own Key bedeutet, der Kunde bringt eigene Schlüssel ein, verwaltet sie aber in der Anbieter-Umgebung. Hold Your Own Key hält die Schlüssel in einem externen System, auf das der Anbieter keinen Zugriff hat. Confidential Computing verschlüsselt Daten zusätzlich während der Verarbeitung im Arbeitsspeicher.

Für die meisten Workloads ist HYOK der pragmatische Zielzustand. Der Aufwand ist höher als bei BYOK, der Souveränitätsgewinn aber deutlich: Ohne den externen Schlüssel bleiben die Daten unlesbar, selbst wenn jemand physischen Zugriff auf den Speicher erhält.

Exit und Portabilität: der stille Lock-in

Das vierte Kriterium wird am häufigsten übersehen. Eine Cloud, aus der man nicht ohne massive Kosten wieder herauskommt, erzeugt eine faktische Abhängigkeit. Der EU Data Act adressiert das, indem er überzogene Wechselgebühren ab 2027 untersagt. Verlassen sollte man sich darauf nicht: Proprietäre Datenformate und anbieterspezifische Dienste binden auch ohne Gebühr.

Praktische Souveränität verlangt einen dokumentierten Exit-Pfad. Welche Datenformate lassen sich exportieren, wie lange dauert die Migration, welche Dienste haben kein Äquivalent beim Wettbewerb? Wer diese Fragen erst im Streitfall stellt, hat den Hebel bereits aus der Hand gegeben.

Die Checkliste für die Auswahl

Fünf Punkte machen aus einem Marketing-Versprechen eine prüfbare Zusicherung. Sie lassen sich vor jedem Vertragsabschluss abarbeiten:

• Gerichtsbarkeit: Unter welchem Recht steht der Anbieter, nicht nur der Server?
• Betrieb: Wer hat administrativen Zugriff, aus welchem Land?
• Schlüssel: Liegt die Schlüsselhoheit beim Kunden, idealerweise als HYOK?
• Exit: Gibt es einen dokumentierten, bezahlbaren Ausstiegspfad?
• Nachweis: Belegen Zertifizierungen wie BSI C5 oder das neue C3A die Zusagen unabhängig?

Souveränität ist kein Etikett, das ein Anbieter vergibt. Sie ist das Ergebnis von fünf Antworten, die man sich schriftlich geben lässt. Der Serverstandort steht in dieser Reihe an erster Stelle, entscheidet die Sache aber nicht allein.

Häufige Fragen

Quelle Titelbild: KI-generiert