Dokumentenmanagement DMS-Systeme, der CLOUD Act und die digitale Souveränität

Anbieter zum Thema

easy software AG

netfiles GmbH

Flexera Software GmbH

Digitale Souveränität wird oft nur durch die Linse der Infrastruktur betrachtet. Jedoch steht die Kontrolle über Daten auf Dokumentenebene im Vordergrund. Der Chef von Easy Software äußert seine Ansichten und bringt frische Perspektiven in den Diskurs um den CLOUD Act ein.

Für digitale Souveränität gibt es viele Definitionen, manche davon sind sehr breit gefasst. Fragt man Andreas Zipser, Vorstandsvorsitzender bei Easy Software, stellt er drei Aspekte in den Vordergrund der Betrachtung: Infrastruktur, Schlüsseltechnologien und Datenhoheit.

„Diese Themenblöcke stehen auch auf der politischen Agenda meist ganz oben“, blickt der Manager auf den Gipfel für europäische digitale Souveränität in Berlin zurück, auf dem er in seiner Rolle als Bitkom-Hauptvorstand im vergangenen November teilgenommen hat. Digitale Unabhängigkeit stand dort im Vordergrund.

Betriebsmodelle, Plattformen und Infrastruktur

Dieser Ansatz sei deswegen vernünftig weil die Wahl der passenden Infrastruktur darüber entscheidet, ob Unternehmen ihre Betriebsmodelle, Cloud-Anbieter und Plattformen wechseln können oder ob sie technisch gebunden sind. Die Frage, ob man in die Cloud soll, stellt sich für viele gar nicht. Vielmehr gehe es um die Frage: „Public oder Private Cloud?“ Sowie darum, mit welchem hybriden Mix am besten gearbeitet werden kann. Souverän sei eine IT-Landschaft nur dann, wenn Betrieb, Cloud-Modell, Datenstandort und Wechselpfade transparent geklärt sind, führt der Manager aus.

Grundsatzentscheidung first

Letztlich setzen Anwendungen, Datenbanken, Systeme und Plattformen auf dieser besagten Infrastruktur auf. Deshalb gilt es an dieser Stelle eine Grundsatzentscheidung zu treffen, so Zipser, die er wie folgt formuliert: „Entwickelt man kritische Technologien selbst oder lässt man sie entwickeln?“ Bei der Betrachtung der Anbieter stellt sich die Frage: „Wer ermöglicht die größtmögliche Freiheit?“ Ein KI-Assistent, der nur mit aufwändigen Spezialanpassungen des Herstellers funktioniert, sei keine Innovation, sondern letztlich ein Vendor-Lock-in mit neuem Etikett. Zipser postuliert: „Erst die Offenheit und Integrationsfähigkeit von Lösungen schafft Raum für die digitale Transformation.“ Sie hält Unternehmen anpassungsfähig, auch wenn neue Technologien wie KI oder Automatisierung hinzukommen.

Der Kern digitaler Souveränität ist seiner Meinung nach die Datenhoheit. „Und wenn wir bei Easy über Daten sprechen, dann meinen wir immer auch Dokumente“, so der Manager. Schließlich stecken dort die Informationen, nämlich in:

Verträgen, Rechnungen, technischen Unterlagen, Personalakten, Compliance-Berichten, internen Briefings und Projektdokumenten.

Dokumente sind so betrachtet das operative Gedächtnis eines Unternehmens, das teilweise jahrzehntelang zurückreicht.

Datenhoheit – wer hat den Zugriff?

In der DMS-Branche wollen Kunden nicht nur genau wissen, wo die Dokumente abgelegt sind, sondern auch wer darauf zugreifen darf. „Und das übrigens schon lange vor DSGVO und AI Act – und unabhängig von Branche oder Unternehmensgröße“, blickt Zipser zurück. Wenn beispielsweise externe Dienstleister oder Lieferanten Zugriff auf Systeme erhalten, muss klar geregelt sein, welche Dokumente sie sehen dürfen und welche nicht. Zugriff auf Bestellungen bedeutet daher nicht automatisch Zugriff auf Preislisten, Margen oder interne Auswertungen. „Wer nicht weiß, welche Verträge gelten oder welche Laufzeiten und Kündigungsfristen bestehen, verliert schnell Handlungsspielraum“, weiß der Vorstandsvorsitzende.

Eine Frage der Berechtigungen

Im Dokumentenmanagement wird Datenhoheit über klar definierte Berechtigungen und Zugriffsregeln hergestellt. Grundsätzlich gilt: Je sensibler Dokumente sind, desto höher ist das rechtliche und operative Risiko, das mit ihrer Verarbeitung verbunden ist. „Moderne Dokumenten- und Archivsysteme müssen deshalb mehr leisten, als Informationen lediglich abzulegen“, sagt Zipser. Sie schaffen zentrale und nachvollziehbare Speicherorte, ermöglichen feingranulare Zugriffsrechte und stellen sicher, dass Zugriffe und Änderungen lückenlos dokumentiert werden.

Wie man Dokumente nicht verteilt

In der Praxis heißt das, dass Informationen nicht mehr verteilt über Fileshares, E-Mails oder einzelne Cloud-Dienste vorgehalten werden sollten. Vielmehr gilt es Dokumente zentral zu bündeln, strukturiert abzulegen und revisionssicher zu führen. Zugriffsrechte lassen sich dann bis auf Dokumentenebene steuern, Bearbeitungen bleiben jederzeit nachvollziehbar und jeder Zugriff wird erfasst. „Gerade in stark regulierten Branchen wie der Finanzwirtschaft, dem Gesundheitswesen oder der öffentlichen Verwaltung ist das eine zentrale Voraussetzung, um Compliance-Anforderungen dauerhaft und verlässlich zu erfüllen“, weiß der Manager.

Eine Frage der Identität

Womit wir zum nächsten Knackpunkt kommen: Identitätsmanagement. Derjenige, der mit entsprechenden Rechten zugreift, muss auch wirklich die richtige Person sein. Welche Prinzipien für Zugriffskontrolle und Identitätsmanagement sind vor diesem Hintergrund sinnvoll, welche unverzichtbar, um sensible Dokumente zu schützen? „Diese Frage lässt sich gut beantworten, wenn man zunächst einen Blick auf die rechtlichen und regulatorischen Rahmenbedingungen wirft“, sagt Zipser. „In der EU setzen Regelwerke wie die DSGVO, die NIS2-Richtlinie oder auch internationale Standards wie ISO 27001 klare Anforderungen an den Schutz sensibler Daten.“ Diese Vorgaben verlangen unter anderem Zugriffskonzepte, Identitätsverwaltung sowie technische und organisatorische Maßnahmen, die unbefugten Zugriff verhindern.

Diese Vorgaben gelten für alle Anbieter, die in der EU tätig sind oder hier Dienstleistungen erbringen. Kunden profitieren dadurch grundsätzlich von einem hohen Maß an Rechtssicherheit und Transparenz im Markt, sagt der Manager.

Die Krux mit dem CLOUD Act

Demgegenüber stehen laut Zipser Regelungen wie der US CLOUD Act, der in den vergangenen Jahren immer wieder Kritik und Verunsicherung ausgelöst hat. US-Behörden können demnach unter bestimmten Voraussetzungen auch auf Daten zugreifen, die außerhalb der USA gespeichert sind. Ein Rechtsgutachten der Universität Köln, das im Auftrag des Bundesministeriums des Innern und für Heimat (BMI) erstellt wurde, äußert sich in diese Richtung. Demnach seien Daten, die von US-Unternehmen oder deren Tochtergesellschaften in Europa gehostet werden, nicht grundsätzlich vor einem US-Zugriff geschützt – „auch wenn die Marketingbotschaften oft anderes versprechen“, fügt Zipser hinzu.

Es herrsche vor diesem Hintergrund viel Unsicherheit. Grundsätzlich lasse sich aber sagen: „Bleiben Hosting, Datenverarbeitung sowie Sitz, Führung und Eigentümerstruktur konsequent im europäischen Rechtsraum, ist die eigene Datenhoheit deutlich robuster abgesichert“, so der Easy-Chef.

Das Prinzip der minimalen Rechtevergabe

Diese Gemengenlage sei der Hintergrund, vor dem sich Zugriffskontrollen und Identitätsmanagement in der Praxis abspielen müssen. Ein grundlegender Leitgedanke lautet dabei: „Nicht jeder darf alles sehen oder alles tun“, so Zipser.

Unverzichtbar sei daher auch das Prinzip der minimalen Rechtevergabe. Jeder Nutzer erhält dabei ausschließlich die Berechtigungen, die er für seine konkrete Tätigkeit benötigt. Rollen wie Buchhaltung, Projektleitung oder Einkauf sind dafür mit klar definierten und zentral gepflegten Rechteprofilen ausgestattet. Wechselt eine Person die Rolle, passen sich die Zugriffsrechte entsprechend an.

Wer darf was?

Es gibt eine weitere Dimension in dieser Problematik, denn ergänzend dazu braucht es fein abgestufte Zugriffskontrollen auf Dokumenten- und Prozessebene. „Moderne ECM-Systeme (Enterprise Content Management) ermöglichen es, genau festzulegen, wer ein Dokument ansehen, bearbeiten, freigeben oder archivieren darf. In der Praxis heißt das: Ein Vertriebsmitarbeiter kann ein Angebot beispielsweise einsehen und bearbeiten, aber nicht löschen. Führungskräfte verfügen über weitergehende Rechte, etwa im Freigabe- oder Archivierungsprozess.

Ein Protokoll macht jeden Schritt nachvollziehbar

Eine lückenlose Protokollierung stellt schließlich sicher, dass jederzeit nachvollziehbar bleibt, wer auf welches Dokument zugegriffen hat und welche Änderungen vorgenommen wurden. „Und natürlich sind all diese Mechanismen nur so gut wie ihre regelmäßige Kontrolle“, betont Zipser. Wiederkehrende Prüfungen von Prozessen und Berechtigungen sorgen dafür, dass Zugriffskonzepte nicht statisch bleiben, sondern sich an veränderte Anforderungen, Arbeitsrealitäten und die nächste Runde Compliance-Vorgaben anpassen können.

Die Standortfrage

Mit dem CLOUD Act stellt sich die Rechenzentrumsstandortfrage unter besonderen juristischen Vorzeichen: Wo sollen Ihre Daten physisch liegen – und warum ist das wichtig? Für Easy sei klar, dass die Daten der europäischen Kunden im Falle der langfristigen Speicherung physisch in Europa, also in Rechenzentren innerhalb der EU liegen sollten.

„Das ist für uns keine abstrakte Standortfrage, sondern eine bewusste Entscheidung für Rechtssicherheit und Kontrolle“, sagt der Easy-Chef, der verrät, dass diese Erwartungshaltung „uns übrigens auch sehr klar im Austausch mit unseren Kunden begegnet – und nicht nur dort, wo sensible oder geschäftskritische Informationen verarbeitet werden.“

Europäischer Rechtsrahmen

Der ausschlaggebende Punkt sei an dieser Stelle der gemeinsame europäische Rechtsrahmen. Er schaffe klare und verlässliche Vorgaben zu Datenschutz, Haftung und Compliance, betont der Manager. Das heißt, dass Unternehmen genau wissen, welchen Regeln ihre Daten unterliegen und welche Anforderungen sie erfüllen müssen. Diese Klarheit sei eine zentrale Voraussetzung, um sensible Informationen dauerhaft zu schützen und Verantwortung übernehmen zu können.

Hinzu komme, dass europäische Rechenzentrumsbetreiber und Dienstleister regulatorische Entwicklungen in der Regel frühzeitig antizipieren würden. Diese kennen die branchenspezifischen Anforderungen und setzen neue Vorgaben oft schneller und konsistenter um. „Das erleichtert es uns, regulatorische Veränderungen nicht nur zu erfüllen, sondern planbar in unsere Systeme und Prozesse zu integrieren“, so Zipser. Für Kunden außerhalb Europas würden dabei selbstverständlich die jeweils passenden regionalen Betriebsmodelle und Rechenzentrumsstandorte gelten.

Die Rolle der Hyperscaler

Easy speichert und verarbeitet vor diesem Hintergrund sämtliche Daten ausschließlich innerhalb der Europäischen Union und verzichtet auf den Einsatz transatlantischer Hyperscaler, betont der Manager. Diese Ausrichtung habe man sich auch zertifizieren lassen, mit den Siegeln „Software made in Germany“ und „Software hostet in Germany“. Im Easy-Produkt „Archiv 8.0“ wird beispielsweise ein 24/7-WebClient bereitgestellt, der in einer europäischen Cloud betrieben wird. Damit können dann bestehende On-Premises- oder Managed-Service-Archive um ein Cloud-Archiv ergänzt werden, ohne den Rechtsraum zu verlassen oder neue Abhängigkeiten aufzubauen.

Der Hintergrund sei simpel: „Solange Anbieter rechtlich an außereuropäische Rechtsräume angebunden sind, lassen sich Zugriffsrechte von außen selbst bei europäischen Rechenzentren nicht vollständig ausschließen“, sagt Zipser. Für Easy sei es deshalb konsequenter, solche Abhängigkeiten gar nicht erst entstehen zu lassen, statt sie später über technische Leitplanken abfedern zu müssen.

On-Premises und Cloud

Die Aufteilung zwischen On-Premises und Cloud erfolgt dabei nicht pauschal. Ausgangspunkt sei stets die Bewertung von Schutzbedarf und Prozess auf Kundenseite. Unternehmen prüfen, welche Informationen besonders sensibel oder geschäftskritisch sind und wo gleichzeitig Cloud-Services ihre Stärken ausspielen können, etwa bei Skalierbarkeit oder Automatisierung.

In der Praxis ergibt sich daraus nach der Beobachtung von Zipser häufig ein zweigeteiltes Bild. „Dokumente mit hohem Schutzbedarf und langfristigen Aufbewahrungsanforderungen bleiben lokal, also typischerweise On-Premises“. Dazu zählen beispielsweise Vertragsdokumente oder Anlagenbücher am Produktionsstandort, bei denen Verfügbarkeit, Kontrollbedarf und regulatorische Vorgaben besonders stark ins Gewicht fallen. Standardisierte, weniger sensitive Abläufe lassen sich dagegen gut cloudbasiert abbilden, „vor allem dort, wo ein hoher Automatisierungsgrad sinnvoll ist“. So können beispielsweise unkritische Rechnungen automatisiert in der Cloud verarbeitet werden, während Fachbereiche wie das Marketing ihre Freigabe-Workflows cloudbasiert abbilden.

Exit-Fähigkeit bewahren

Digital souverän ist man nicht, wenn man per Vendor-Lock-In an Systeme gebunden ist. Es gilt also Abhängigkeiten zu vermeiden, sich interoperabel und exit-fähig zu halten – über offene Standards, portable Formate und klare Migrationspfade.

Interoperabilität beginnt für Zipser vor diesem Hintergrund mit einer klaren Haltung: „Systeme dürfen keine Sackgasse sein“. Proprietäre Lösungen fühlen sich am Anfang bequem an, so der Manager, weil sie schnell laufen und vieles aus einer Hand liefern. Das Problem komme später, wenn jede Erweiterung, jede Schnittstelle und jede Weiterentwicklung vom gleichen Anbieter abhängt. In einer Welt, in der sich KI, Automatisierung und Datenanalyse rasant entwickeln, wird genau diese Abhängigkeit schnell zum Risiko, so der Easy-Chef.

(ID:50739342)