Souveräne Cloud zwischen Anspruch und Wirklichkeit Digitale Souveränität im Finanzsektor: Geht das?

Anbieter zum Thema

Deloitte Consulting GmbH

netfiles GmbH

STACKIT GmbH & Co. KG

Yorizon GmbH & Co. KG

Was bedeutet Digitale Souveränität in der Praxis? Wie lässt sie sich bewerten? Wo sind Finanzinstitute schon souverän – und wo bestehen noch externe Abhängigkeiten, beispielsweise bei der Nutzung cloudbasierter Services eines Cloud Hyperscalers?

Kaum ein Begriff wird derzeit so häufig verwendet und zugleich so unterschiedlich ausgelegt wie „Digitale Souveränität”. In der öffentlichen Diskussion reicht die Spannbreite von der reinen Forderung nach Datenkontrolle bis hin zu völliger technologischer Unabhängigkeit. Beides greift jedoch zu kurz. Souveränität bedeutet nämlich nicht Abschottung, sondern die Fähigkeit, auf Basis eigener Entscheidungskompetenz und technischer Handlungsfähigkeit über Abhängigkeiten zu bestimmen und diese bewusst zu steuern.

Für Finanzinstitute ist das mehr als eine theoretische Frage. Sie verarbeiten hochsensible Kundendaten, stehen unter strenger Aufsicht seitens der Regulatoren und sind auf stabile und resiliente IT-Infrastrukturen angewiesen. Digitale Souveränität ist somit ein wichtiger Faktor für die regulatorische und operative Resilienz der Institute. Wer selbst über die Nutzung und Weiterentwicklung seiner digitalen Systeme entscheidet, kann u.a. Risiken aus geopolitischen oder rechtlichen Einflüssen reduzieren und die eigene Innovationsfähigkeit zeitgleich stärken.

Warum Digitale Souveränität jetzt an Bedeutung gewinnt

Die aktuelle geopolitische Lage, zunehmende Regulierung und die Marktdominanz globaler Cloud-Anbieter haben in den letzten Monaten dafür gesorgt, dass das Thema mehr in den Fokus gerückt ist. Der Großteil der weltweit genutzten Cloud-Services stammt von US-amerikanischen oder chinesischen Unternehmen, deren Infrastruktur und Rechtsrahmen meistens außerhalb europäischer Kontrolle liegen. Gleichzeitig verlangen europäische Vorgaben – von der DSGVO über DORA bis zu den EBA-Leitlinien – unter anderem eine Nachvollziehbarkeit darüber, wer auf welche Daten zugreifen kann und nach welchem Recht dies geschieht.

Für Banken und Versicherer entsteht daraus ein strategischer Zielkonflikt. Einerseits ist der Zugang zu modernen Cloud-Technologien unverzichtbar, um Effizienz, Skalierbarkeit und Innovation zu ermöglichen. Andererseits darf die Kontrolle über kritische Systeme und Daten nicht verloren gehen. Die Herausforderung besteht darin, Cloud-Dienste so zu nutzen, dass regulatorische Anforderungen, Datenschutz und technologische Weiterentwicklung im Gleichgewicht bleiben.

Ein Begriff ohne verbindliche Definition

Obwohl in Politik und Wirtschaft viel von der „souveränen Cloud“ die Rede ist, existiert keine einheitliche Definition oder international anerkannte Zertifizierung zum Thema souveräne Cloud. Initiativen wie Gaia-X oder EuroCloud versuchen schon länger, gemeinsame Standards für eine europäische Cloud-Infrastruktur zu etablieren. Die nationale Umsetzung unterscheidet sich jedoch deutlich: Was in einem Land als souverän gilt, erfüllt andernorts oft nicht die rechtlichen und technischen Kriterien.

Für Finanzinstitute bedeutet das, dass sie eigene Kriterien entwickeln müssen, um Cloud-Angebote zu bewerten. Zentral ist dabei die Frage, in welchem Maß Kontrolle, Transparenz und Wechselfähigkeit tatsächlich gewährleistet sind. Eine souveräne Cloud zeichnet sich nicht allein durch den Standort der Rechenzentren aus, sondern auch durch die Möglichkeit, Daten und Anwendungen bei Bedarf zu migrieren, die Integrität der Systeme zu prüfen und vertraglich sicherzustellen, sodass kein unautorisierter Zugriff von außen erfolgt. Hilfestellung hierbei bietet auch das „Cloud Sovereignty Framework“ der Europäischen Kommission, das im Oktober 2025 veröffentlicht wurde.

Zunehmend wird deutlich, dass Souveränität nicht nur eine technische, sondern auch eine organisatorische Dimension hat. Sie erfordert klare Governance-Strukturen, nachvollziehbare Verantwortlichkeiten und die Fähigkeit, strategische Entscheidungen unabhängig von einzelnen Anbietern zu treffen.

Spagat zwischen Effizienz und Kontrolle

Die großen Cloud-Anbieter haben den Markt durch ihre Leistung, Skalierbarkeit und Innovationsgeschwindigkeit geprägt. Für Finanzinstitute ist es wirtschaftlich und funktional kaum realistisch, auf die-se Möglichkeiten zu verzichten. Gleichzeitig wächst das Bewusstsein, dass eine zu starke Abhängigkeit von einzelnen Plattformen Risiken birgt – sei es durch rechtliche Eingriffe, Preismodelle, eingeschränkte Wechselmöglichkeiten oder proprietäre Technologien.

Viele Häuser analysieren daher verstärkt die mögliche Nutzung von hybriden Strategien: Sie kombinieren zum Beispiel Public Cloud Services mit selbst-entwickelten oder europäischen Alternativen, um die Balance zwischen Kontrolle und Effizienz zu wahren. Diese „balancierte Souveränität” erfordert jedoch eine sorgfältige Planung. Die Verträge müssen so gestaltet sein, dass sie nicht nur die Compliance-Vorgaben erfüllen, sondern auch technologische Exit-Szenarien und Auditierbarkeit sicherstellen.

Gerade im Finanzsektor, in dem Betriebsstabilität und regulatorische Nachweise von entscheidender Bedeutung sind, kann Digitale Souveränität nur gelingen, wenn beispielsweise die Bereiche IT, Compliance, Informationssicherheit, Datenschutz und Third Party Risk Management eng zusammenarbeiten. Es geht weniger darum, sich völlig unabhängig zu machen, als vielmehr darum, die eigene Abhängigkeit zu verstehen, zu bewerten und aktiv zu steuern.

Digitale Selbstbestimmung als Reifeprozess

Souveränität entsteht nicht durch eine einzelne Technologieentscheidung, sondern durch eine strategische Ausrichtung und systematische Weiterentwicklung. Finanzinstitute sollten sich daher nicht fragen, ob sie bereits souverän sind, sondern in welchen Bereichen dies bereits der Fall ist und wo Handlungsbedarf besteht.

Entscheidend ist eine sachliche Bestandsaufnahme: Wo liegen kritische Daten? Unter welchem Recht werden sie verarbeitet? Welche Teile der Infrastruktur, relevanter Services und Funktionen sind von externen Dienstleistern abhängig und wie transparent sind deren Prozesse? Welche Kompetenzen bestehen intern, um technologische Entscheidungen selbst zu treffen oder Alternativen zu bewerten?

Diese Fragen bilden die Grundlage für ein Cloud-Sovereignty-Assessment. Das Assessment dient dazu, die Ausprägung zentraler Souveränitätsziele – etwa rechtliche, operationelle und strategische Aspekte – systematisch zu bewerten. Das Ergebnis ist ein strukturierter Reifegrad-Überblick, der den aktuellen Stand erfasst und konkrete Entwicklungspfade aufzeigt. Auf Basis des Assessments lassen sich priorisierte Maßnahmen ableiten – etwa zur Stärkung der Datenhoheit, zur Reduktion externer Abhängigkeiten oder zur Förderung eigener technologischer Kompetenzen. Damit wird das Assessment zu einem zentralen Steuerungsinstrument für Organisationen, die ihre Cloud-Strategie souverän, regelkonform und zukunftsfähig ausrichten wollen. Das Ziel besteht nicht darin, ein Schwarz-Weiß-Bild zu zeichnen, sondern ein realistisches Verständnis der eigenen Handlungsspielräume zu erlangen.

(ID:50670833)