Sovereign Cloud

Server in Frankfurt gelten vielen als Beleg dafür, dass Daten europäisch bleiben. Der Standort ist aber nur eines von mehreren Kriterien, und selten das entscheidende.
Eine 3D-Grafik einer modernen Großstadt, die über Knotenpunkten in Form von Clouds miteinander vernetzt sind. Die Sovereign Cloud wird durch weiße Wolken Symbolisiert.
© InfiniteFlow

Was ist eine Sovereign Cloud?

Eine Sovereign Cloud ist eine Cloud-Infrastruktur, die vollständig den Datenschutz- und Souveränitätsanforderungen eines bestimmten Rechtsraums unterliegt. Für Europa heißt das, dass Daten in europäischen Rechenzentren liegen, ausschließlich europäischem Recht unterstehen und dem Zugriff außereuropäischer Behörden entzogen sind. Gemeint ist also die rechtliche Zuordnung, nicht allein die Geografie.

Damit unterscheidet sich eine souveräne Cloud von einer gewöhnlichen Cloud-Umgebung. Neben dem Standort der Server zählen auch die rechtliche Kontrolle, der laufende Betrieb und der eingesetzte Softwarebestand. Eingeordnet ist das Thema in der digitalen Souveränität, die denselben Anspruch auf Software, Daten und Betrieb insgesamt bezieht.

Warum der Serverstandort nicht genügt

Ein US-amerikanischer Anbieter unterliegt dem CLOUD Act, auch für Server in Europa. US-Behörden können unter bestimmten Voraussetzungen Herausgabe verlangen, unabhängig davon, wo die Daten gespeichert sind. Die Rechtsordnung folgt dem Unternehmen, nicht dem Rechenzentrum.

Hinzu kommt die Frage der operativen Kontrolle. Wer administriert die Verwaltungsebene, wer kann im Störfall auf Systeme zugreifen, und werden diese Zugriffe protokolliert und offengelegt? Auch die eingesetzten Verwaltungswerkzeuge können neue Abhängigkeiten erzeugen. Souveränität ist deshalb keine Eigenschaft des Rechenzentrums, sondern eine Kette aus Recht, Betrieb und Technik, die an ihrem schwächsten Glied reißt.

Fünf Kriterien einer souveränen Cloud

Eine souveräne Cloud wird an fünf Punkten gemessen, die sich unabhängig voneinander prüfen lassen. Die Daten liegen im gewünschten Rechtsraum, der Betreiber ist gegen extraterritoriale Zugriffe immun, der Betrieb erfolgt durch lokales Personal, Zugriffe sind nachvollziehbar und prüfbar, und offene Standards halten den Wechsel zu einem anderen Anbieter offen.

Das letzte Kriterium wird am häufigsten übersehen. Wer herstellerspezifische Dienste tief einbindet, gibt Souveränität technisch wieder ab, auch wenn Standort und Rechtsordnung stimmen. Die fünf Anforderungen mit Praxisbezug behandelt der Beitrag zu souveränen Cloud-Lösungen.

Rahmenwerke und Nachweise

Einen gemeinsamen Prüfrahmen liefert Gaia-X. Es handelt sich nicht um einen Anbieter, sondern um ein Regelwerk, das Mindestanforderungen an Transparenz, Interoperabilität und Datenschutz festlegt und Dienste untereinander vergleichbar macht.

Der Begriff Sovereign Cloud ist rechtlich nicht geschützt, weshalb Anbieter ihn unterschiedlich weit auslegen. Für Behörden und KRITIS-Betreiber ist der Nachweis deshalb fester Teil der Beschaffung. Verlangt wird die belegte Zusicherung, nicht die Werbeaussage, weshalb Verträge, Betriebsmodell und Unterauftragnehmer gleichermaßen geprüft werden. Eine Sovereign Cloud unterscheidet sich am Ende weniger in der Technik als in der Frage, wer im Streitfall entscheidet.

Aktuelle Themen

Alle Über unsEntwicklungEventsMarketingSonstigesNews & TrendsArbeitswelt & Digitalisierung
Zwei Personen um die dreißig stehen sich vor korallenrotem Grund gegenüber. Links hält eine Frau eine einzelne durchscheinende Belegkarte mit eingravierter Gitterstruktur, rechts sinkt einem Mann ein ganzer Fächer solcher Karten in die offene Hand, die unterste davon gelbgrün. Sinnbild dafür, dass die E-Rechnungspflicht für Vereine zuerst die Eingangsseite trifft und nicht den eigenen Rechnungsausgang.
E-Rechnungspflicht für Vereine: Welcher Stichtag wirklich gilt
Zum 1. Januar 2027 endet eine Übergangsfrist, und in vielen Vereinsrundschreiben steht deshalb, die E-Rechnungspflicht für Vereine beginne jetzt. Für dein eigenes Rechnungsschreiben stimmt das fast sicher nicht. Geld kosten kann die E-Rechnung im Verein trotzdem, und drei Fragen entscheiden darüber.
Weiterlesen... Lesezeit: 6 Min.
Eine junge Frau mit Brille sitzt auf einem Bürostuhl und blickt zu einem gelbgrünen Briefumschlag, der über ihr in einem Kreis aus durchscheinenden digitalen Umschlägen schwebt. Sinnbild für die interaktive E-Mail, in der die Handlung direkt in der Nachricht stattfindet.
Interaktive E-Mail: Die Technik, die Newsletter neu definiert
Die interaktive E-Mail verändert, wie kleine und mittelständische Unternehmen Kunden über das Postfach erreichen. Statt nur Informationen zu senden, werden direkt in der Nachricht konkrete Handlungen möglich, von der Mini-Umfrage bis zur Produktwahl. Unterstützt durch interaktives E-Mail Marketing und Technologien wie AMP Email verkürzt sich der Weg von Interesse zu Aktion deutlich, was gerade im Alltag von KMU spürbare Effekte erzeugen kann.
Weiterlesen... Lesezeit: 6 Min.
Drei offene Türen nebeneinander, hinter jeder derselbe Raum mit demselben Schreibtisch, derselben Lampe und derselben Pflanze. Eine der Türen ist gelbgrün. Ein Sinnbild für viele identische Instanzen derselben Anwendung.
Kubernetes vs. Docker: Was die beiden wirklich unterscheidet
Kubernetes vs. Docker wird oft als Entscheidung zwischen zwei Alternativen dargestellt. Tatsächlich lösen die beiden unterschiedliche Aufgaben und werden in vielen Umgebungen gemeinsam eingesetzt. Dieser Beitrag ordnet ein, was Docker leistet, wo Kubernetes ansetzt und ab wann sich der Aufwand einer vollwertigen Orchestrierung überhaupt rechnet.
Weiterlesen... Lesezeit: 4 Min.