Mobile-Menu

Interview mit Gartner-Analyst René Büst Digitale Souveränität ist nahezu unmöglich

Von Dr. Wilhelm Greiner 6 min Lesedauer

Anbieter zum Thema

Gartner Deutschland GmbH
Hyland Software Germany GmbH
STACKIT GmbH & Co. KG
Yorizon GmbH & Co. KG

Die Frage der digitalen Souveränität beherrscht derzeit viele Diskussionen im IT- und Security-Umfeld. Dr. Wilhelm Greiner sprach darüber mit dem Gartner-Analysten René Büst, einem renommierten Experten für das Thema Cloud-Services.

„Hat ein Unternehmen Security-Lösungen aus den USA im Einsatz, dann besteht auch hier das Risiko einer Abschaltung aus der Ferne per Remote-Management“, warnt René Büst, Analyst für Cloud-IT-Services bei Gartner.(Bild: Gartner / KI-generiert)
„Hat ein Unternehmen Security-Lösungen aus den USA im Einsatz, dann besteht auch hier das Risiko einer Abschaltung aus der Ferne per Remote-Management“, warnt René Büst, Analyst für Cloud-IT-Services bei Gartner.
(Bild: Gartner / KI-generiert)

Herr Büst, derzeit trifft man überall auf das Schlagwort digitale Souveränität. Wie äußert sich das in den Anfragen an Gartner?

René Büst: Bereits seit Ende 2023 häufen sich bei uns Anfragen zu Datensouveränität, operationaler und technologischer Souveränität. Der ‚Elefant im Raum‘ ist der Kill Switch, also die Frage: Kann die US-Regierung die Hyperscaler anweisen, uns Services zu verweigern? Aufgrund dieser Verunsicherung betreiben die Entscheider insbesondere in Europa Risikomanagement. Angesichts von Äußerungen Trumps steigen bei uns vor allem die Anfragen aus Kanada und Dänemark stark an. Dänemark ist traditionell sehr Microsoft-lastig. Deshalb überlegt man dort: Wie können wir uns davon unabhängiger machen? Es geht bei diesen Überlegungen nicht zwangsläufig um US-Technologie, sondern generell um das Deployment-Modell.

Wie weit kann die digitale Souveränität Europas im Cloud- und KI-Zeitalter reichen?

Büst: Wir in Europa brauchen die Globalisierung, aber zugleich erschwert sie es uns, digitale Souveränität zu erzielen. Pragmatisch ist es für Europa derzeit nahezu unmöglich, digital souverän zu sein. Das beginnt schon bei der Chip-Ebene. Auch hat Europa keine eigenen namhaften Server-Hersteller mehr. Zwar gibt es Provider wie OVH, die eigene Server bauen, aber die Komponenten kommen auch hier aus Asien.

Wie steht Europa im globalen Vergleich da?

Büst: Es ist für fast jedes Land der Welt – China ist möglicherweise eine Ausnahme – praktisch unmöglich, digitale Souveränität zu erzielen. Das ist selbst in den USA ähnlich: Sie sind Vorreiter bei den Cloud-Plattformen, aber nicht auf der Komponentenebene. Europa hat hier den Vorteil, dass ASML in den Niederlanden ansässig ist. Deren Technik ist die Grundlage für das Chipdesign, ohne ASML bräche der gesamte Chipmarkt zusammen.

Wie beurteilen Sie die europäischen Bemühungen für mehr digitale Souveränität?

Büst: Die EuroStack-Initiative zielt darauf ab, Abhängigkeiten zu verringern und souveräne Strukturen zu schaffen. Auf Infrastruktur- oder Plattform- bzw. Containerebene – also bei den Grundlagen des Applikationsbetriebs – kann Europa durchaus souverän agieren. Denkt man aber an die Cloud-Services, die AWS oder Microsoft praktisch monatlich hinzufügen, dann haben wir in Europa fast nichts Vergleichbares. Und auf der Hardwareebene findet man oft US-Gerätschaft, etwa Cisco-Switches, und diese Produkte nutzen wiederum chinesische oder taiwanesische Komponenten. Anbieter wie zum Beispiel StackIT setzen auf Open Source. Das schafft ein Stück weit Souveränität, denn man hat Kontrolle über den Quellcode, es bedingt aber zugleich Abhängigkeiten von der Open-Source-Community.

Worauf sollten hiesige Unternehmen im Hinblick auf höhere digitale bzw. Datensouveränität achten?

Büst: Der erste Schritt ist zu schauen: Wo befinden sich die Abhängigkeiten? Dann gilt es, diese Abhängigkeiten in den Risikokontext zu setzen, also zum Beispiel bei kritischen Kernsystemen wie etwa einem SAP-System die Abhängigkeiten möglichst zu minimieren. Das bedeutet, diese Umgebung per Cold Standby oder Hot Standby hochverfügbar zu halten, aber die Umgebung so zu designen, dass dabei die Abhängigkeiten von Cloud-Anbietern gering bleiben. Solange ein Unternehmen auf Infrastruktur- oder Containerebene bleibt, kann es seine Workloads flexibler hin und her bewegen. Bezieht es aber höherwertige Services von den großen Anbietern, etwa Serverless Computing wie AWS Lambda, dann ist es viel stärker in deren Infrastruktur eingebettet. Wer souverän agieren will, muss solche Abhängigkeiten reduzieren. Gefragt sind hier offene Architekturen und die Entwicklung beweglicher, also nicht an einen bestimmten Hyperscaler gebundener Lösungen.

Welche potenziellen Nachteile muss man dabei in Kauf nehmen?

Büst: Die Kernaufgabe der Cloud ist es, Innovation zu liefern, und diese Aufgabe erfüllt sie auch. Wer also auf der Containerebene stehenbleibt, muss viel mehr selbst entwickeln. Die ‚Convenience Services‘ der großen Anbieter müsste man, um unabhängig zu sein, somit selbst nachbauen. Gleiches gilt auch für künstliche Intelligenz: Es ist verlockend, fertige LLMs oder KI-Services der Cloud-Anbieter zu verwenden, um KI-Applikationen schneller auf den Markt zu bringen. Ob SAP oder KI: Hier muss jedes Unternehmen für sich die passende Balance finden.

Was bedeutet digitale Souveränität für das Risikomanagement?

Büst: Das Risikomanagement der Unternehmen muss mehrere Dimensionen abdecken: Es gibt Anbieterrisiken, Verfügbarkeitsrisiken, Business-Continuity-Risiken, regulatorische und schließlich Souveränitätsrisiken. Die Kernfragen lauten also: Wie hoch ist die Wahrscheinlichkeit, dass diese Risiken eintreten, und wer hat die Kontrolle darüber?

Welche Handlungsoptionen haben Unternehmen generell, um eine Risikostrategie im Hinblick auf mehr digitale Souveränität in die Tat umzusetzen?

Büst: Manche Unternehmen erwägen einen Wechsel weg von ihrem bislang genutzten Hyperscaler zu einem Deployment-Modell, mit dem sie den Betrieb und damit das Risiko auf mehrere Anbieter verteilen. Das ist zunächst ein Schmerzpunkt, insbesondere wenn sie dadurch Funktionalität verlieren. Zudem ist eine Migration immer mit Kosten verbunden. Im Cloud-Umfeld gibt es verschiedene Optionen wie die angekündigte European Sovereign Cloud von AWS, Google‘s Joint Venture S3NS in Frankreich oder lokale Cloud-Anbieter wie StackIT, Open Telekom Cloud oder IONOS. Kritische Applikationen und Daten kann man also ins Land zurückholen oder aber in eine Private Cloud verlagern.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Cloud Computing

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Welche Rolle kann Open Source dabei spielen?

Büst: Für bestimmte Bereiche kann Open Source eine Option sein, ich denke da etwa an OpenDesk, NextCloud, Sovereign Cloud Stack etc. Das kann man auf eigener Infrastruktur oder per Colocation betreiben. Aber der Aufbau etwa einer eigenen Open-Stack-Umgebung ist schwierig. Zudem benötigt man Fachleute, die das alles einrichten, betreiben und unterhalten können – davon haben wir in Europa nicht so viele. Diese Komplexität darf man nicht unterschätzen. Auch hier kommt es also auf den Einzelfall an.

Im Security-Markt dominieren Lösungen aus den USA und Israel. Sind also auch IT-Security-Lösungen ein Souveränitätsrisiko?

Büst: Hat ein Unternehmen Security-Lösungen aus den USA im Einsatz, dann besteht auch hier das Risiko einer Abschaltung aus der Ferne per Remote-Management. Über dieses Risiko wird derzeit zu wenig gesprochen. Höhere Souveränität lässt sich hier zum Beispiel durch Air-gapped-Lösungen erzielen. Dann bleibt aber die Frage: Was ist, wenn Updates nicht mehr geliefert werden? Dieses Risiko besteht generell bei allen Closed-Source-Lösungen, ebenso bei Open Source mit einem Update-Mechanismus von Unternehmensseite. Ein möglicher Ansatz könnte je nach Einsatzfall darin bestehen, mehr auf Anbieter aus Europa zu setzen.

Welche Rolle spielt dabei die Datensouveränität?

Büst: Datensouveränität ist vorrangig eine Frage des regulatorischen Frameworks wie zum Beispiel der DSGVO [Datenschutz-Grundverordnung, d.Red.]. Davon leitet sich dann die Frage der Datenresidenz ab, also die Frage: Wo liegen die Daten? Die großen Cloud-Anbieter argumentieren: Wenn die Daten des Kunden verschlüsselt sind und das Key-Management beim Kunden liegt, ist seine Datensouveränität gewahrt. Was aber passiert, wenn der Kunde plötzlich keinen Zugriff mehr auf die Daten erhält? Die Lokation der Daten ist im globalen und regionalen Kontext also wichtig. Hier kann es geboten sein, die Daten näher nach Hause zu holen. Für multinational tätige Unternehmen ist das allerdings prinzipbedingt ein Problem.

In welche Richtung sollte sich in diesem Kontext der EU-Gesetzgeber mit seiner Regulierung bewegen?

Büst: Die Regulierung der EU ist in der Tat wichtig, zum Beispiel die Vorschrift, dass Daten regulierter Unternehmen in der EU gespeichert werden müssen. Aber die Lage sollte eben auch nicht überreguliert sein. Wünschenswert wäre auf jeden Fall, dass das von der EU-Security-Agentur Enisa vorgeschlagene EUCS-Framework [European Cybersecurity Certification Scheme for Cloud Services, d.Red.] kommt. Denn es wäre ein wichtiger Schritt, europaweit klare Schutzniveaus für Cloud-Services festzulegen.

(ID:50522684)

Weiterführende Inhalte