Definition: Der Schlüssel zu Datenschutz und Compliance Was sind Souveräne Clouds?

Anbieter zum Thema

netfiles GmbH

Eine Souveräne Cloud erfüllt höchste Anforderungen an Datensicherheit, Datenschutz und Datenkontrolle. Sie ermöglicht eine selbstbestimmte, souveräne Nutzung von Cloud-Computing-Leistungen und entspricht den Gesetzen, Datenschutzvorgaben und Sicherheitsanforderungen eines bestimmten Landes, einer Region oder einer Branche.

Eine allgemeingültige Definition für den Begriff „Souveräne Cloud“ existiert nicht. In der Regel versteht man unter einer Souveränen Cloud eine Cloud-Computing-Lösung oder eine Cloud-Computing-Infrastruktur, die höchste Anforderungen an Datensicherheit, Datenschutz, Datenkontrolle und Compliance erfüllt. Je nach Ausprägung und Einsatzbereich werden Souveräne Clouds manchmal auch als nationale Clouds oder Verwaltungsclouds bezeichnet. Nationale Clouds oder Verwaltungsclouds sind als nationale Lösungen für bestimmte Länder und ihre Rechtsprechung beziehungsweise ihre Gerichtsbarkeit konzipiert und beispielsweise für staatliche Behörden und deren Einrichtungen vorgesehen.

Gemäß den Grundsätzen der digitalen Souveränität, die ein unabhängiges, selbstbestimmtes und sicheres Agieren in der digitalen Welt und einen souveränen Zugang zu digitalen Technologien, IT-Infrastrukturen und Daten sowie deren Nutzung und Kontrolle ermöglichen, erlaubt die Souveräne Cloud die selbstbestimmte, souveräne Nutzung von Cloud-Computing-Leistungen und Cloud-Computing-Infrastrukturen. Sie kann dafür ausgelegt sein, nationale oder unternehmens- beziehungsweise branchenspezifische Anforderungen zu erfüllen. In einer zunehmend vernetzten Welt fördern Souveräne Clouds die digitale Unabhängigkeit und verhindern den Zugriff durch Unbefugte oder durch fremde staatliche Akteure. Auch Abhängigkeiten von globalen Tech-Giganten werden vermieden.

In Europa, im öffentlichen Sektor und für Betreiber kritischer Infrastrukturen spielen Souveräne Clouds eine immer wichtiger werdende Rolle. Sie schützen vor unerwünschter ausländischer Einflussnahme und sorgen dafür, dass die Digitale Souveränität und die Kontrolle über sensible Daten oder Services gewahrt bleiben. Zudem schützen sie die Nutzer der Cloud-Leistungen vor geopolitischen Risiken und machen sie unabhängig von Ausfällen oder Preiserhöhungen der Anbieter.

Die wichtigsten Merkmale Souveräner Clouds

Es gibt zwar keine allgemeingültige Definition für die Souveräne Cloud, dennoch lassen sich einige typische Merkmale nennen, in denen sich Souveräne Clouds von herkömmlichen Cloud-Lösungen und Cloud-Infrastrukturen unterscheiden. Die Merkmale können grob in die drei Kategorien Datensouveränität, betriebliche Souveränität und technologische Souveränität unterteilt werden.

Unter die Kategorie Datensouveränität fallen Merkmale wie Datenresidenz, Datenkontrolle und Datenschutzkonformität. Datenresidenz bezieht sich auf den physischen oder geografischen Ort (oder die Region), an dem die Daten verarbeitet oder gespeichert werden. Der Ort oder die Region sind in einer Souveränen Cloud so gewählt, dass die Gesetze und die Datenschutzbestimmungen und andere regulatorische Vorgaben eines Landes oder einer Region erfüllt werden. Zudem haben die Nutzer der Cloud-Leistungen volle Kontrolle darüber, wer auf die Daten zugreifen darf und wie diese verwendet werden dürfen.

Unbefugte ausländische Zugriffe, wie sie beispielsweise der US CLOUD Act vorsieht, können ausgeschlossen werden. Die Datenschutzkonformität stellt sicher, dass die Services der Cloud-Plattform die an dem Ort des Kunden geltenden Datenschutzbestimmungen bezüglich personenbezogener Daten einhalten. Für Cloud-Nutzer aus der Europäischen Union sind das beispielsweise die Vorgaben der Datenschutz-Grundverordnung (EU-DSGVO).

Die Kategorie der betrieblichen Souveränität umfasst zum Beispiel das Merkmal, dass sich die Cloud-Infrastruktur physisch im jeweiligen Land oder in der jeweiligen Region befindet und dort von vertrauenswürdigen Partnern betrieben wird. Die Prozesse der Cloud, beispielsweise hinsichtlich Datenschutz und Informationssicherheit, sind transparent und zertifizierbar. Sämtliche Zugriffe und Aktionen werden überwacht und können über Protokolle nachvollzogen und auditiert werden.

In der Kategorie der technologischen Souveränität sind Merkmale zu finden wie Interoperabilität und die Verwendung offener Standards und Schnittstellen. Das verhindert den Zwang zur Nutzung von proprietären Technologien und reduziert die Abhängigkeiten von einzelnen Anbietern (Vendor Lock-in). Der Wechsel zu anderen Anbietern wird erleichtert und Daten oder Workloads lassen sich nahtlos verschieben. Auch spezifische Systeme oder Anwendungen sind in solchen interoperablen, offenen Umgebungen leichter zu integrieren. Weitere Merkmale der technischen Souveränität sind Informationssicherheit, Redundanz, Ausfallsicherheit und Disaster Recovery. Dadurch bleiben die Cloud-Services beispielsweise bei Naturkatastrophen, Sabotageakten oder bei Cyberangriffen weiterhin betriebsbereit und nutzbar.

Abgrenzung zwischen einer herkömmlichen Cloud und einer Souveränen Cloud

Im Folgenden eine kurze tabellarische Übersicht der wichtigsten Unterschiede zwischen herkömmlichen und Souveränen Clouds:

Die zunehmende Bedeutung Souveräner Clouds

Souveräne Clouds gewinnen zunehmend an Bedeutung. Das ist darauf zurückzuführen, dass Unternehmen, Behörden und andere Institutionen immer mehr Daten und Anwendungen in die Cloud verlagern. Das verbessert deren Agilität und Flexibilität und reduziert die Kosten, ist aber mit vielen Risiken verbunden. Denn die Cloud wird für sie zu einer unverzichtbaren Infrastruktur. Insbesondere wenn Kerndienste und sensible Daten von Behörden, kritischen Infrastrukturen (KRITIS) oder regulierten Branchen in die Cloud verlagert werden, müssen von den Anbietern der Cloud-Leistungen hohe Anforderungen hinsichtlich Datensicherheit, Datenschutz und Datenkontrolle erfüllt werden.

Diese sind oft nur schwer zu erfüllen, da sich die Anforderungen von Land zu Land oder Region zu Region unterscheiden und Cloud-Anbieter mit überregionalen Angeboten am Markt vertreten sind. Die Cloud-Infrastrukturen sind global verteilt und befinden sich oft außerhalb des Rechtsraums der Cloud-Kunden oder -Nutzer. Daten werden in Ländern oder Regionen gespeichert und verarbeitet, in denen andere Gesetze als in den Ländern oder Regionen der Cloud-Kunden und -Nutzer gelten. Schon aufgrund der gesetzlichen oder regulatorischen Anforderungen bestimmter Länder oder Regionen sind daher souveräne Cloud-Angebote gefragt.

Hinzu kommt, dass große Cloud-Anbieter oft in Ländern beheimatet sind, die eigene geopolitische Interessen verfolgen oder Technologiekontrolle ausüben möchten, um sich Wettbewerbsvorteile zu verschaffen. Beispiele hierfür sind China und zuletzt auch die USA. Zunehmende geopolitische Unsicherheiten und die in jüngster Vergangenheit unberechenbare und protektionistische US-amerikanische Politik haben dazu geführt, dass sich die Nutzung der Cloud-Services großer US-amerikanischer Anbieter wie Amazon, Google oder Microsoft für europäische Unternehmen und Verwaltungen zunehmend zu einem unkalkulierbaren Risiko entwickelt.

Gesetzesakte wie der US CLOUD Act, der US-Behörden den Zugriff auf Daten der US-Cloud-Anbieter erlaubt, selbst wenn sie außerhalb der USA gespeichert sind, sind ein Kernproblem für die europäische Datensouveränität und haben zu einem Vertrauensverlust in US-Cloud-Anbieter geführt. Die Rechtssicherheit kann gefährdet sein, wenn sensible Anwendungen oder Daten in solchen Umgebungen gehostet, betrieben oder verarbeitet werden. Die Standardverträge mit US-Cloud-Anbietern sind in der Regel nicht ausreichend, um Anforderungen wie die der EU-DSGVO, des Data Governance Act, NIS2 oder des Digital Markets Act zu erfüllen. Sowohl Behörden als auch Unternehmen müssen sicherstellen, dass Cloud-Dienste, wie die der US-Anbieter, überhaupt rechtssicher eingesetzt werden können.

Aus diesen Gründen steigt insbesondere in Europa die Nachfrage nach souveränen Cloud-Angeboten und europäischen Alternativen zu US-amerikanischen oder anderen ausländischen Hyperscalern. Für Europa sind Souveräne Clouds zu einer strategischen Notwendigkeit geworden.

Typische Anwendungsszenarien für Souveräne Clouds

Souveräne Clouds kommen überall dort zum Einsatz, wo rechtliche Sicherheit, Vertraulichkeit und nationale oder europäische Kontrolle im Vordergrund stehen. In einigen Bereichen kann die Souveräne Cloud sogar notwendig oder gesetzlich vorgegeben sein. Typische Anwendungsbereiche Souveräner Clouds sind:

• öffentlicher Sektor (Verwaltungen, Kommunen, Ministerien, Justiz und Polizei, Sicherheitsbehörden, Bundeswehr und andere),

• kritische Infrastrukturen (KRITIS) (Energieversorger, Wasserwerke, Telekommunikation und andere),

• regulierte Branchen wie das Gesundheitswesen oder der Finanz- und Versicherungssektor,

• Berufsgeheimnisträger wie Anwälte, Notare und Steuerberater,

• Unternehmen oder Institutionen, die sensible oder personenbezogene Daten erheben und verarbeiten,

• Forschung und Entwicklung (Universitäten, Forschungseinrichtungen und Unternehmen),

• Unternehmen im Hightech-Bereich mit sensiblen oder schützenswerten Daten und Anwendungen,

• Sitzungen und Kommunikation von Gremien wie Aufsichtsräten, Vorständen und anderen.

Public, Private, Hybrid & Co.: Definitionen rund um Cloud Computing

Alle relevanten Schlagworte aus dem Bereich Cloud Computing finden Sie auch gut erklärt in unseren Definitionen. Ganz im Sinne eines kleinen, aber feinen Glossars lesen Sie hier leicht verständliche Erklärungen zu den wichtigsten Begriffen. Als Service für Sie haben wir die hier erklärten Begriffe in unseren Beiträgen auch direkt mit den zugehörigen Lexikoneinträgen verlinkt. So können Sie die wichtigsten Begriffe direkt dort nachschlagen, wo sie im Text auftauchen.  

Zum Special: Definitionen rund um Cloud Computing

(ID:50448356)