Hundertprozentige Souveränität ist noch nicht erreichbar Digitale Souveränität ist möglich – wenn man will!

Anbieter zum Thema

ownCloud GmbH

netfiles GmbH

Hyland Software Germany GmbH

Yorizon GmbH & Co. KG

Im Software-Stack können Unternehmen und Behörden bereits heute vollständige Digitale Souveränität erreichen. Dafür müssen drei Faktoren zusammenkommen. Auch im Hardware-Stack wird ein solches Souveränitätslevel in Zukunft möglich sein.

Digitale Souveränität gewinnt zunehmend an Bedeutung. Die Europäische Union und auch die Bundesregierung geben sie immer wieder als erstrebenswertes Ziel aus. Gesellschaft, Wirtschaft und Staat, so die Forderung, sollen digitale Systeme unabhängig und selbstbestimmt nutzen können. Für Unternehmen und Behörden heißt das: Sie sollen ihre IT und ihre Daten immer unter eigener Kontrolle haben. Was bedeutet das konkret und welche Bedingungen müssen digitale Systeme erfüllen, damit sie diesem Anspruch gerecht werden? Drei Faktoren sind dafür entscheidend: Datensouveränität, operative Souveränität und technische Souveränität.

Stets autonom in Bezug auf die eigenen Daten

Datensouveräne Organisationen sind jederzeit autonom in Bezug auf die eigenen Daten und müssen keine unerwünschten Zugriffe befürchten. Diese Gefahr besteht insbesondere dann, wenn Unternehmen oder Behörden IT-Systeme nicht selbst betreiben und Daten nicht selbst hosten, sondern dafür auf externe IT-Dienstleister und Cloud-Services zurückgreifen. In diesen Fällen muss gewährleistet sein, dass keine unberechtigten Parteien Zugang erhalten, die Daten gemäß geltendem Recht gespeichert und verarbeitet werden und dieses Recht im Zweifelsfall auch wirksam durchgesetzt werden kann.

Diese Bedingungen sind nur dann erfüllt, wenn die Anbieter und Dienstleister ihren Sitz im Europäischen Wirtschaftsraum haben und auch die Datenverarbeitung dort stattfindet. Nur dann sind Unternehmen und Behörden in der Lage, ihre Geschäftsgrundlagen zu schützen und Regularien wie die DSGVO zu erfüllen. Unternehmen müssen keinen Abfluss von Betriebsgeheimnissen und geistigem Eigentum befürchten, der im Extremfall ihre Existenz gefährden könnte. Und Behörden sind gegen den Verlust von Staatsgeheimnissen gefeit, der im schlimmsten Fall zu öffentlichen Krisen führen kann. Außerdem können Unternehmen und Behörden nur so die Rechte ihrer Mitarbeiter, Kunden und Bürger auf informelle Selbstbestimmung schützen.

Plattformen und Software flexibel wechseln

Operative Souveränität hat zwei Facetten. Zum einen umfasst sie die Unabhängigkeit von Plattformen beim Betrieb einer Software. Unternehmen und Behörden sollten frei entscheiden können, wo sie eine Software betreiben möchten: sei es im eigenen Rechenzentrum, als Managed Service bei einem selbst ausgewählten IT-Dienstleister oder in einer Public Cloud. Dann haben sie nicht nur jederzeit die Möglichkeit, das Betriebsmodell flexibel zu wechseln, je nachdem, wo sie sich am besten aufgehoben fühlen. Sie können auch innerhalb ein- und derselben Anwendung abhängig von ihrer Kritikalität ohne technische Brüche an unterschiedlichen Orten hosten – besonders kritische Daten etwa on-premises und unkritische in der Public Cloud. Das gibt ihnen die Möglichkeit, die optimale Mischung aus Sicherheit und Effizienz zu nutzen.

Die zweite Facette der operativen Souveränität ist die Unabhängigkeit von Software selbst. Unternehmen und Behörden sollten in der Lage sein, eine Anwendung bei Bedarf durch eine alternative Lösung zu ersetzen. Um das zu gewährleisten, muss die Software offene Standards unterstützen, die es ermöglichen, alle Arten von Daten frei und ohne Änderungen mit anderen Systemen zu teilen. Dann können Organisationen ihre bestehenden Daten jederzeit ohne Hindernisse auf eine neue, alternative Software übertragen. Damit sind sie flexibel und entkommen dem gefürchteten Vendor-Lock-in. Ist es schwierig, Daten aus einem System herauszunehmen und in ein anderes zu übertragen, scheuen Unternehmen und Behörden oft einen Systemwechsel – selbst dann, wenn er eigentlich dringend geboten ist. Dadurch geraten sie in immer größere Abhängigkeit vom Anbieter des Systems, die sich über kurz oder lang in höheren Kosten niederschlägt.

Volle Transparenz über den Source Code

Technische Souveränität bedeutet, dass Unternehmen und Behörden nicht blind darauf vertrauen müssen, dass ein digitales System ordnungsgemäß funktioniert, sondern das selbst nachvollziehen können. Das ist nur dann der Fall, wenn sie volle Transparenz über den Source Code einer Software haben, sprich: wenn sie Open-Source- oder Shared-Source-Software einsetzen. Bei letzterer sind zwar die Lizenzen kommerziell, der Quellcode ist aber genauso offen einsehbar wie bei Open Source.

Quelloffener Code ermöglicht es Organisationen, sich selbst davon zu überzeugen, dass eine Software keine Hintertüren enthält, durch die Daten unbemerkt an Dritte gelangen können, oder sich das von frei ausgewählten Experten bestätigen zu lassen. Im Gegensatz zu Closed-Source-Lösungen können Unternehmen und Behörden durch die Auditierbarkeit des Quelltextes außerdem Schwachstellen einer Software selbst finden und beheben, bevor sie von böswilligen Akteuren ausgenutzt werden. Nicht zuletzt sind durch Quelloffenheit auch ihre Investitionen geschützt. Sollte der Software-Anbieter vom Markt verschwinden, können sie die Software unabhängig von ihm selbst weiterentwickeln oder weiterentwickeln lassen – und damit auch weiterhin verwenden.

Die großen Cloud-Plattformen fallen durch

Legt man diese Faktoren zugrunde, wird schnell deutlich, dass mit den Cloud-Plattformen der großen US-amerikanischen Player keine Digitale Souveränität möglich ist. Das wissen auch Microsoft, Google, Oracle und Co. und bieten deshalb inzwischen gemeinsam mit deutschen Partnern lokale Cloud-Angebote an. Das Management der Services und der Betrieb der Clouds liegen dabei in der Hand deutscher Unternehmen, die als eine Art Treuhänder sicherstellen, dass keine Daten in die USA fließen.

Damit schaffen sie zwar mehr Digitale Souveränität als mit ihren herkömmlichen Public Clouds, allerdings handelt es sich dabei lediglich um eine Souveränität mittleren Grades. Die lokalen Angebote beheben zwar die Defizite bei der Datensouveränität, aber nicht bei der operativen und der technischen Souveränität. Im Grunde entspricht das Souveränitätslevel dieser neuen Angebote ziemlich genau dem der klassischen On-Premises-Implementierungen im eigenen Rechenzentrum. Ein hohes Souveränitätslevel können Unternehmen und Behörden nur mit Lösungen aus der Open-Source-Community erreichen – und diese Möglichkeit steht ihnen heute auch de facto offen. Es gibt inzwischen eine breite Auswahl an unternehmenstauglichen Open-Source-Anwendungen, die es bei Benutzerfreundlichkeit und Funktionalität ohne Weiteres mit den Diensten der Hyperscaler aufnehmen können.

Souveräner Hardware-Stack rückt näher

Vollständige Digitale Souveränität ist heute leider noch nicht möglich. Im Software-Stack ist zwar hundertprozentige Souveränität erreichbar, im Hardware-Stack aber noch nicht. Dazu ist Open Hardware erforderlich, sprich Hardware, deren Baupläne öffentlich und deren Firmware quelloffen ist. Dann könnten Organisationen auch die Funktionsweise ihrer Hardware nachvollziehen und kontrollieren. Es existiert aber bereits eine starke Open-Hardware-Bewegung rund um die quelloffene Chiparchitektur RISC-V, die sich immer stärker durchsetzt. Laut der Organisation RISC-V International verzeichnet die offene Architektur jährlich Zuwachsraten von 40 Prozent.

Der Gedanke dieser Bewegung steht allerdings im Widerspruch zu den kommerziellen Interessen der Hersteller und auch dem Schutzbedürfnis von Staaten vor dem Abfluss von technologischem Know-how. Die Zukunft wird zeigen, wie diese Widersprüche aufgelöst werden können.

* Der Autor Holger Dyroff ist Co-Founder, COO und Managing Director von ownCloud.

(ID:49892458)