Nutanix Germany GmbH

Es ist noch nicht lange her, dass sich Cloud-Strategien lediglich um Leistung, Preis und Skalierung drehten. Heute geht es um etwas viel Grundsätzlicheres – Kontrolle. In den Vorstandsetagen und Geschäftsführungen in ganz Europa stellen sich dieselben Fragen: Wie können sie dafür sorgen, dass die Daten in ihrem Zugriff bleiben, ohne dass auch außereuropäische Unternehmen und Mächte Zugang dazu bekommen?

So lautet die zentrale Frage der digitalen Souveränität, ein Konzept, das sich in Rekordzeit von einem technischen Fachbegriff zu einem strategischen Imperativ gewandelt hat. Angesichts der jüngsten Entwicklungen in den USA ist es nur folgerichtig, dass die Datenschutzbeauftragte von Schleswig-Holstein schon vor Monaten deutschen Unternehmen geraten hat, sich vorausschauend mit Exit-Strategien zu beschäftigen, um sich unabhängig von US-amerikanischen Cloud-Angeboten zu machen. Dies gilt umso mehr, als die allgemeine geopolitische Situation in ganz Europa Befürchtungen nährt, ausländische Kräfte und Mächte könnten Kontrolle über die eigene digitale Infrastruktur erhalten, was definitiv nicht nur ein Geschäfts-, sondern ein Sicherheitsrisiko für Staat und Gesellschaft darstellen würde.

Vor diesem Hintergrund gilt es, eine unangenehme Wahrheit auszusprechen: Wer sich nicht von seinen digitalen Providern unabhängig machen kann, ist nicht Eigentümer seiner Daten. Vielmehr gleicht seine Situation einem Mietverhältnis, in dem der Mieter hofft, dass der Vermieter dauerhaft freundlich gesinnt bleibt.

Die rechtliche Realität in der Cloud

Das Risiko entsteht an der Schnittstelle von Technik und Recht. Die Auswirkungen des United States CLOUD Act sind weithin bekannt. Und dass die Entlassungen im US-amerikanischen Privacy and Civil Liberties Oversight Board das ordentliche Funktionieren dieses Kontrollgremiums, um den Missbrauch von personenbezogenen Daten von EU-Bürgern zu verhindern, ad absurdum geführt haben, ist ebenfalls kein Geheimnis mehr. Schließlich darf das Negativbeispiel, das dem Chefankläger des Internationalen Strafgerichtshofs widerfahren und durch die Medien gegangen ist, nicht unerwähnt bleiben.

Die Folgen sind klar: Ein deutsches Unternehmen und Kunde eines US-Cloud-Providers mag herausfinden, dass US-Behörden auf seine Daten zugegriffen haben, ohne von diesen Behörden darüber in Kenntnis gesetzt worden zu sein. Angesichts der beschriebenen Situation kann dieses Unternehmen sich zwar beschweren, jedoch ohne substanzielle Konsequenzen, zumindest kurzfristig.

Souveränität braucht Mobilität

Um es klipp und klar zu sagen: Digitale Souveränität meint nicht, die Cloud zu vermeiden. Sie meint vielmehr die Fähigkeit zur Migration, falls nötig. Genau darauf jedoch sind viele Unternehmen immer noch nicht vorbereitet.

In den zurückliegenden zehn Jahren haben sich Unternehmen zu einem hohen Grad von Hyperscaler-Cloud-Plattformen abhängig gemacht. Das stellt keine Kritik an diesen Plattformen dar, bieten sie doch ein unglaubliches Maß an Agilität und Innovationskraft. Allerdings bedeutet diese Situation, dass viele Organisationen keinen Plan B in der Hinterhand haben. Ihnen fehlt eine praktikable und getestete Methode, sich von einem Provider zurückzuziehen für den Fall, dass das Vertrauen leidet, Preise in die Höhe schießen und das geopolitische Klima sich verschlechtert.

Demgegenüber spielen Regierungen eine zunehmend aktive Rolle. So verlangen norwegische Regulierungsbehörden seit Neuestem, dass öffentliche Institutionen Exit-Strategien für ihre Cloud-Services entwickeln. In Deutschland und der Schweiz werden Investitionen in die digitale Infrastruktur nicht mehr nur nach ihren technischen Vorteilen bewertet, sondern auch nach der rechtlichen Unabhängigkeit von deren Anbietern.

Fragen an das Top-Management

Angesichts der beschriebenen Situation sollten Führungskräfte die digitalen Abhängigkeiten ihrer Unternehmen und Organisationen genauso sorgfältig unter die Lupe nehmen wie finanzielle Risiken. Nicht morgen, sondern heute. Die Fragen, die sie sich stellen müssen, lauten:

·      Können sie Workloads migrieren, falls sie müssen?

·      Unterstützen die bestehenden Verträge eine schnelle Migration?

·      Wissen sie, wo ihre Daten liegen und wer darauf aus rechtlicher Perspektive Zugriff hat?

·      Verfügen sie über genügend interne Ressourcen, um hybride oder Multicloud-Umgebungen zu betreiben?

Transparenz bleibt eine große Herausforderung. Laut der Studie Nutanix Enterprise Cloud Index von 2023 haben nur 13 Prozent der IT-Verantwortlichen im öffentlichen Sektor laut eigener Aussage eine vollständige Kenntnis darüber, wo ihre Daten liegen und welcher Rechtsprechung diese unterliegen. Dieser Mangel an Einblick stellt ein nicht hinnehmbares Risiko dar in Zeiten, in denen der rechtliche Zugriff auf Daten genauso wichtig ist wie der physische.

Diese Fragen auf die lange Bank zu schieben, ist keine Option. Schließlich ist es heute schon zu spät, einen sicheren Exit vorzubereiten. Souveränität ist nicht etwas, das man ein- oder ausschalten kann. Stattdessen muss sie in die Unternehmensarchitektur gleichsam eingebaut sein.

Resilienz als Chance

Die gute Nachricht lautet: Moderne, Cloud-native Plattformen befähigen Unternehmen zum einem IT-Betrieb bei verschiedenen Providern ohne Anbieterabhängigkeiten. Hybride Multicloud-Infrastrukturen ermöglichen die Migration von Daten und Anwendungen über verschiedene Umgebungen hinweg, ohne zu Lasten von Leistung und Compliance zu gehen.

Dabei handelt es sich mehr als um eine Vision für die Zukunft. Vielmehr bewegt sich der Zug bereits in diese Richtung. Mittlerweile betrachten 84 Prozent der Organisationen im öffentlichen Sektor die hybride Multicloud als das ideale Betriebsmodell. Die Attraktivität dieses Modells liegt in dessen Fähigkeit, Flexibilität, Resilienz und Compliance im Rahmen ein und derselben Architektur miteinander in Einklang zu bringen.

Nutanix und Kunden im Finanz- und Gesundheitswesen sowie im öffentlichen Sektor arbeiten gemeinsam an der daraus resultierenden Resilienz und sehen Souveränität nicht darin, sämtliche Verbindungen zum weltweiten Cloud-Ökosystem zu kappen. Vielmehr kommt es darauf an, diese Verbindungen auszubalancieren, das heißt dafür zu sorgen, dass sie sich ändern und einer klar definierten Governance unterziehen lassen. Das wahre Ziel lautet nicht Isolation, sondern Unabhängigkeit.

Jetzt ist die Zeit zu handeln

In ruhigen Zeiten ist es einfach, verborgene Abhängigkeiten zu übersehen. Leider sind die Zeiten alles andere als ruhig. Von ökonomischen Unsicherheiten bis zu politischer Fragmentierung – die Risiken durch Untätigkeit steigen.

Souveränität lässt sich nicht im Nachhinein „einbauen”. Souveränität erfordert Planung, Budgetierung und Testverfahren – genau wie jeder andere Pfeiler im Risikomanagement eines Unternehmens. Der Prozess startet mit Transparenz, setzt sich fort mit Strategie und führt unter der Voraussetzung zum Erfolg, dass das Top-Management dahintersteht.

Europäische Entscheidungsträger, insbesondere in den kritischen Bereichen wie Staat, Finanz- und Gesundheitswesen, stehen vor einer wichtigen Entscheidung: Datensouveränität als einen unter vielen Compliance-Punkten abzuhaken oder als Unterscheidungsmerkmal im Wettbewerb zu begreifen.

Die Zeit für Letzteres ist günstig: 72 Prozent der Entscheiderinnen und Entscheider im öffentlichen Sektor sehen ihre Top-Priorität bei Bereitstellungen in der Cloud in der Fähigkeit, Workloads frei über Umgebungsgrenzen hinweg zu bewegen. Denn wahre Souveränität hängt weniger davon ab, wo die eigenen Daten liegen, sondern davon, ob man sie mitnehmen kann.