Digitale Souveränität: Ein ständiges Anliegen in einer sich verändernden Landschaft

Warum Unternehmen Souveränität als strategisches Gestaltungsprinzip behandeln müssen – und nicht erst im Nachhinein.

Seit der Einführung der ersten Generation öffentlicher Cloud-Dienste im Jahr 2006 hat die Cloud-Nutzung rasant zugenommen, vor allem durch eine kleine Gruppe von Hyperscalern mit Sitz in den USA. Von Anfang an, die Fähigkeit, die Kontrolle über Daten, Infrastruktur und Abläufe zu behalten, ist ein ständiges Anliegen, insbesondere für Regierungen und regulierte Sektoren.

Da sich die rechtlichen Rahmenbedingungen weiterentwickeln, geopolitische Spannungen zunehmen und der Einsatz generativer KI zunimmt, wird die digitale Souveränität für viele Unternehmen zu einem strategischen Thema

"Digitale Souveränität bedeutet für verschiedene Menschen unterschiedliche Dinge. Aber im Kern geht es um Kontrolle", sagte Hans Bos, Security Assurance Lead für den öffentlichen Sektor der EU bei AWS. "Wo sind meine Daten? Wer hat Zugang zu ihnen? Wie kann ich mir dessen sicher sein?"

Souveränität durch Kundenanliegen verstehen

Anstatt eine starre Definition zu erzwingen, muss die Souveränität auf die Bedürfnisse und den Kontext des Kunden abgestimmt werden. Dazu können Datenschutzbestimmungen, branchenspezifische Kontrollen oder Strategien zur Absicherung gegen politische und rechtliche Unsicherheiten gehören.

"Die wichtigste Frage, die wir unseren Kunden stellen, ist: Worüber machen Sie sich Sorgen?", sagt Jeroen van der Leer, Cloud Strategy Consultant bei Xebia. "Dieses Gespräch ist der Ausgangspunkt für die Gestaltung der Souveränität - nicht der Technologie."

Während die Aufsichtsbehörden oft im Rahmen von nationalen oder supranationalen Gesetzen (wie der GDPR) agieren, brauchen die technische Teams brauchen praktische Implementierungsmöglichkeiten: Verschlüsselung, Zugriffskontrolle, Nachvollziehbarkeit und architektonische Reversibilität.

Jenseits der Datenschutzdebatte

Die DisIn der Diskussion wurden auch häufige Missverständnisse über internationale Datenübertragungsvorschriften angesprochen. So hat die Europäische Kommission zwar für den EU-US-Datenschutzrahmen einen Angemessenheitsbeschluss für das Jahr 2023 gefasst, der einen konformen Datenfluss zu den in den Rahmen aufgenommenen US-Dienstleistern ermöglicht, aber es bestehen weiterhin Bedenken, wie lange der Rahmen Bestand haben wird, insbesondere bei möglichen politischen Veränderungen in den USA.

"Ein Großteil der Rechtsunsicherheit rührt nicht von dem her, was heute geschrieben steht, sondern von dem, was morgen wieder rückgängig gemacht werden könnte", so Bos. "Deshalb fordern viele Organisationen des öffentlichen Sektors zusätzlich zu den rechtlichen Vereinbarungen mehr technische und betriebliche Sicherheitsvorkehrungen."

Widerstandsfähigkeit als Design-Ziel

Über die Einhaltung von Vorschriften hinaus kann die Ausfallsicherheit als entscheidender Faktor für die digitale Souveränität angesehen werden. Dazu gehört die Fähigkeit, Arbeitslasten zu migrieren, sich an Änderungen der Rechtsprechung anzupassen und weiterhin Betrieb unter widrigen Bedingungen.

"Bei der Ausfallsicherheit geht es nicht nur um Failover oder Betriebszeit", sagt van der Leer. "Es geht um die Fähigkeit, die betriebliche Kontrolle zu behalten, auch wenn sich die rechtlichen Rahmenbedingungen ändern oder wenn Sie zu einem anderen Anbieter wechseln müssen."

Dies ist besonders wichtig in sensiblen Bereichen wie dem Gesundheitswesen, dem Finanzwesen und der Regierung, wo Betriebskontinuität und Datensicherheit nicht verhandelbar sind.

Ein strukturierter Ansatz für Souveränität

Anstatt Souveränität als einen binären oder statischen Zustand zu betrachten, empfehlen sowohl Xebia als auch AWS einen risikobasierten, iterativen Prozess, der auf das Risiko und den regulatorischen Kontext des Unternehmens zugeschnitten ist.

"Sie müssen nicht alles auf einmal lösen", sagt van der Leer. "Aber Sie brauchen eine klare Vorstellung davon, was Sie lösen wollen."

Dieser Prozess umfasst in der Regel Folgendes:

• 
  Klassifizierung von Daten und Arbeitslasten
  nach Kritikalität und Gefährdung
• Bewertung der technischen, rechtlichen und operativen Risiken
• 
  Implementierung von abschwächenden Kontrollen
  wie z.B. vom Kunden verwaltete Schlüssel oder Zugangsbeschränkungen
• 
  Design für Portabilität
  um die langfristige Abhängigkeit zu verringern
• 
  Regelmäßige Überprüfung
  zur Anpassung an veränderte Umstände

Fazit: Ein langjähriges Problem, das nicht verschwinden wird

Digitale Souveränität ist kein Trend. Sie war schon immer ein Thema, insbesondere für diejenigen, die in sensiblen oder regulierten Umgebungen arbeiten. Aber der Kontext hat sich geändert: Mit dem Mit dem Aufkommen der KI, der zunehmenden Komplexität der Vorschriften und den globalen Abhängigkeiten steht mehr auf dem Spiel.

"Souveränität bedeutet nicht, die Cloud abzulehnen. Es geht darum, sie zu Ihren eigenen Bedingungen zu nutzen", sagte Bos. "Die Möglichkeiten sind da. Die Frage ist nur, wie man sie verantwortungsvoll einsetzt.

Unternehmen, die einen strukturierten, risikobasierten Ansatz für die Souveränität wählen, stellen nicht nur die Einhaltung von Vorschriften sicher. Stattdessen gewinnen sie die Flexibilität und Kontrolle, die sie brauchen, um in einer sich ständig verändernden Zukunft zu bestehen.

Treffen Sie die Experten

Hans Bos Security Assurance EU Öffentlicher Sektor, AWS	Jeroen van der Leer Berater für Cloud-Strategie @ Xebia