Wie behalte ich meine Souveränität in der Cloud?

Unter dem Begriff »Souveränität« versteht man allgemein die Fähigkeit zu ausschließlicher Selbstbestimmung. Diese Selbstbestimmungsfähigkeit wird durch Eigenständigkeit und Unabhängigkeit gekennzeichnet. Sie grenzt sich einerseits von Fremdbestimmung und andererseits von Autarkie ab.

Ähnlich wie beim Thema Sicherheit ist Souveränität eher ein Prozess als ein finaler Zustand. Dabei muss man immer bedenken, welchen Preis man bereit ist zu zahlen und welche Risiken man bewusst dabei eingehen möchte. Zunächst kann man Souveränität auf verschiedenen Ebenen (Abb. 1) messen.

• Datensouveränität: ist ein wichtiger Bestandteil der digitalen Souveränität. Als Teil der informationellen Selbstbestimmung erlaubt sie die vollständig selbstbestimmte Kontrolle über die Erhebung, Speicherung, Nutzung und Verarbeitung der eigenen Daten. Die Datensouveränität bezieht sich nicht nur auf den Schutz personenbezogener Daten, sondern soll vor allem den selbstbestimmten Umgang und die volle Kontrolle über alle Vorgänge der Erhebung, Speicherung, Nutzung und Verarbeitung eigener Daten ermöglichen. Hier spielen die Themen Datenresidenz, Verschlüsselung, Backup/Restore und Datentransfer eine große Rolle.
• Operative Souveränität: bedeutet im Sinne des geteilten Verantwortungsmodells, dass der Cloud-Anbieter keine Möglichkeit hat, Einfluss auf die Workloads der Kunden und deren Verteilung in der Cloud zu nehmen. Das schließt eine Wechselfähigkeit (Portabilität) ein, um die Freiheit zu haben, den Anbieter wechseln zu können.
• Technologische Souveränität: Der Einsatz von Open Source Software stärkt die digitale Souveränität in den Bereichen Weiterentwicklungs-, Anpassungs- und Wechselmöglichkeit. Ein anderer wichtiger Aspekt dabei ist die Verwendung von offenen APIs oder Standards. Die Transparenz und Nachvollziehbarkeit bei der Pflege des Quellcodes und der verwendeten Komponenten ist wichtig, um die Software selbständig an die eigenen Bedürfnisse anpassen zu können. Damit kann Open Source Software oft länger sicher betrieben werden, als es bei kommerziellen Herstellern der Fall ist. 

Über Gesetze, wie US Cloud Act, SCHREMS, CRA, NIS2 oder KRITIS, kommen immer mehr rechtliche Anforderungen, die zeitnah umgesetzt werden müssen und oft mit Souveränität zusammenhängen. Auch das Thema Resilienz von IT-Infrastrukturen spielt eine immer größere Rolle.

Leider ist es aktuell und in naher Zukunft so, dass kein Weg an dem Angebot der großen US-Cloud-Anbieter vorbeiführt. Selbst wenn man keine eigene Software dort betreibt, werden über SaaS bereits viele Dienste, beispielsweise Microsoft/Office365, Salesforce, ServiceNow oder Zoom, dort genutzt.

Die Cloud-Anbieter sind bestrebt, unabhängige Regionen und Dienste zur Verfügung zu stellen, um die Unabhängigkeit zu erhöhen. Doch erst 2026 sind Angebote, wie die AWS ESC (European Sovereign Cloud), Microsoft Sovereign Cloud oder Sovereign Cloud von Google vollständig verfügbar.

Bis dahin kann man einige Vorkehrungen treffen, wie externe Schlüsselmanagementsysteme, Verschlüsselung und die Verwendung von Sovereign Controls. Doch erst mit air-gapped Softwarewartung und rechtlich eigenständigen europäischen Gesellschaften wird hier der Zugriff von amerikanischen Behörden und Mitarbeitern verhindert.

Deswegen ist es gut, dass es neben den Hyperscalern mit OVHcloud, Stackit, IONOS und Telekom große europäische Cloud-Anbieter als Alternativen gibt. Ähnlich wie bei den souveränen Angeboten der Hyperscaler sind auch ihre Angebote sehr unterschiedlich und eigentlich nicht allgemein vergleichbar.

Das hat einerseits mit den unterschiedlichen Geschäftsmodellen, aber auch Strategien zu tun. Wir stellen hier die wichtigsten souveränen Cloud-Angebote vor. Wie man in der folgenden Darstellung von ISG sieht, gibt es noch mehr Anbieter. Wir wollen uns jedoch auf die bekanntesten und führenden Anbieter konzentrieren.

Um souveräne Anforderungen unabhängig vom Anbieter umsetzen zu können, braucht man meist entsprechend spezialisierte Cloud-Dienstleister, die sich einerseits mit der Migration, aber auch mit souveränen Diensten des Anbieters entsprechend auskennen. Insofern ist nicht nur der Cloud-Anbieter, sondern auch die Größe des Partnernetzwerkes ein entscheidender Faktor für eine erfolgreiche Cloud-Nutzung.

Da es bei größeren Firmen oft auf einen Cloud-Mix hinauslaufen wird, ist es gut, wenn die Dienstleister breit aufgestellt sind und Know-how und Partnerschaften mit mehreren Cloud-Anbietern pflegen. Exemplarisch sei hier auf das neue T-Cloud-Angebot der deutschen Telekom und T-Systems hingewiesen, das für jede Stufe der Souveränität das passende Angebot verfügbar hat.