Souveräne Cloud oder Cloud Washing? Worauf es bei Datensouveränität und Multicloud wirklich ankommt

Anbieter zum Thema

Flexera Software GmbH

Cloudgermany.de GmbH

Yorizon GmbH & Co. KG

Wenn Ihnen heutzutage eine „souveräne“ Cloud-Lösung angeboten wird, sollten Sie immer kritisch hinterfragen, wer wirklich die Kontrolle über Ihre Daten hat. Wahre Souveränität basiert auf einem agnostischen Ansatz in der Bereitstellung, Kontrolle und Transparenz – jenseits von Marketing-Versprechen und angepriesenen Eigenschaften.

Die Nachfrage und das Angebot an digitaler Souveränität stehen immer höher im Kurs. Wichtige Treiber sind Bedenken hinsichtlich Datenschutz, Einhaltung gesetzlicher Vorschriften und geopolitischer Risiken. Doch Vorsicht: Vor diesem Hintergrund hat sich auch eine neue Art von Zweideutigkeit entwickelt. Unter „Cloud Washing“ verstand man ursprünglich, ältere Bestandslösungen oder nicht cloudbasierte Software mit ein paar sprachlichen Kniffen irgendwie als „cloudbasiert“ zu branden, um vom Hype der Branche mit zu profitieren. Heute allerdings hat der Begriff eine nochmals deutlich heimtückischere Wendung genommen.

Anbieter bezeichnen Cloud-Dienste jetzt als „souverän“ oder sprechen von „Multicloud“, obwohl ihre Infrastruktur, das Routing der Daten und die administrativen Schichten weiterhin eng mit denselben Hyperscaler-Ökosystemen verbunden sind. Das ist letztlich Augenwischerei – und kann die eigentlichen Ziele wie Datenhoheit, Transparenz und Kontrolle gefährden.

All dies bedeutet nun nicht zwangsläufig, dass souveräne Infrastruktur in sämtlichen Anwendungsfällen erforderlich ist. Jedes Unternehmen hat seine ganz eigenen Auflagen und Sachzwänge und kann für bestimmte Workloads durchaus von einer internationalen Public Cloud profitieren. Wenn Souveränität jedoch ein entscheidendes Kriterium für Anwendungen ist, ist es wichtig, dass die gemachten Versprechen auch tatsächlich eingehalten werden.

Souveräne Cloud: Weit mehr als nur ein Schlagwort

Echte digitale Souveränität bedeutet:

• Die Daten bleiben innerhalb der jeweiligen Landesgrenzen.

• Die Kontrolle liegt bei Betreibern vor Ort, nicht dem Mutterkonzern.

• Die Infrastruktur unterliegt keinem Zugriff durch ausländische Regierungen (beispielsweise mit Blick auf den US-CLOUD Act).

Aber Vorsicht: Nicht alles, was auf den ersten Blick glänzt, ist bei näherer Betrachtung auch wirklich “souverän”. Einige Lösungen und Angebote werden unter regionalen Marken oder EU-Partnerschaften vertrieben, bleiben aber im Hintergrund dennoch mit großen Marktteilnehmern außerhalb Europas verbunden.

Wie man Cloud Washing bei „souveränen“ Lösungen erkennt

Die Ansätze variieren und nicht alle sogenannten „souveränen“ Angebote erfüllen dieselben Anforderungen. Bevor eine als souverän vermarktete Cloud-Lösung eingeführt wird, muss deshalb überprüft werden, ob grundlegende Aspekte der Transparenz, Kontrolle und Unabhängigkeit eingehalten werden.

Interessenten sollten immer folgende Fragen stellen:
Wo befinden sich die Daten physisch?
Ist der Anbieter in der Lage, rechtliche Unabhängigkeit von ausländischen Gerichtsbarkeiten zu garantieren?
Besteht eine echte operative Unabhängigkeit von Kontrollebenen oder APIs, die außerhalb Europas gehostet werden?

Die Antworten auf diese Fragen fallen eher vage aus oder der genaue Aufbau der Architektur bleibt intransparent? Dann sollte man die Behauptung, dass es sich um echte Datensouveränität handelt, zumindest mit Vorsicht genießen.

Bevor man sich für eine sogenannte souveräne Cloud-Lösung entscheidet, ist es unerlässlich, deren Architektur und die damit verbundenen Verantwortlichkeiten im Detail zu verstehen:

• Kostentransparenz: Die Preisgestaltung von Hyperscalern ist komplex. Dies gilt insbesondere für datenintensive KI-Workloads, bei denen Gebühren und überdimensionierte Dienste die Kosten in die Höhe treiben können.

• Kontrolle: Durch Rückverlagerung gewinnen Teams die Möglichkeit, Governance auf Hardware-Ebene durchzusetzen, einschließlich der Kontrolle über Colocation und vertrauliche Service Chains.

• Resilienz und Ausfallsicherheit: Bei regionaler Infrastruktur geht es nicht nur um Fragen der Compliance, sondern auch um die Gewährleistung der Geschäftskontinuität angesichts geopolitischer Störungen oder sich verändernder Handelsallianzen.

Wichtig ist: Es geht dabei nicht darum, Public Clouds oder Hyperscaler-getriebene Innovationen generell abzulehnen, sondern vielmehr darum, sie mit Bedacht einzusetzen. Ein ausgereifter Ansatz bewahrt Flexibilität dort, wo sie sinnvoll und hilfreich ist, und identifiziert gleichzeitig Fälle, in denen Kontrolle, Vertrauen und Autonomie unverzichtbar sind – insbesondere bei vertraulichen oder strategisch wichtigen Daten.

Regulierung als Katalysator: Der EU AI Act

Der Drang nach echter Souveränität nimmt zu, denn der EU AI Act trägt dazu bei, die digitale Landschaft neu zu ordnen. Das Gesetz, das im August 2025 in Kraft getreten ist, führt strenge Verpflichtungen in Bezug auf Transparenz, Nachvollziehbarkeit und Dokumentation ein – insbesondere für risikoreiche KI-Systeme und -Modelle.

Diese Compliance-Anforderungen gehen über die Anwendungsebene hinaus und erstrecken sich auch auf die Infrastruktur:
Wo werden die Modelle trainiert und gehostet?
Wer kontrolliert die zugrunde liegenden Daten und die Überwachungsmechanismen?
Kann der Anbieter vollständige rechtliche und operative Unabhängigkeit nachweisen?

Falls ein Cloud-Anbieter ausländischen Überwachungsgesetzen unterliegt oder wichtige Dienste über intransparente globale Regionen geleitet werden, ist die Compliance möglicherweise gefährdet – auch dann, wenn eigentlich „EU-Compliance“ versprochen wurde.

Der neue KI-Verhaltenskodex der EU, der Mitte 2025 eingeführt wurde, bietet erste Orientierungshilfen. Viele Unternehmen verzichten allerdings auf Spekulationen und setzen lieber von Anfang an auf den Aufbau wirklich souveräner und autonomer Umgebungen.

gesponsert Warum Europa jetzt digitale Führungsverantwortung zeigen muss

Souveränitäts-Washing oder echte Unabhängigkeit?

So gewinnen Sie die Kontrolle zurück

„Cloud Washing“ kann nicht nur für sprachliche Unklarheiten sorgen, sondern auch Verantwortlichkeiten verschleiern. In einer Zeit, in der die KI-Governance ausgebaut wird und die Industriepolitik neu definiert wird, kann dies zu einem existenziellen Risiko werden.

Digitale Souveränität zurückzugewinnen bedeutet nicht, Public-Cloud-Angebote grundsätzlich abzulehnen. Aber es bedeutet, genau hinzusehen und zu wissen, worauf es ankommt – je nach Art der Daten, dem Anwendungsszenario und dem erforderlichen Level an Vertrauen. Es bedeutet, die Infrastruktur zu hinterfragen, falsche Gleichsetzungen zu vermeiden und resiliente Umgebungen aufzubauen – egal, ob in Public-, Private- oder Hybrid-Cloud-Infrastrukturen.

Sie müssen die Cloud nicht verlassen. Aber Sie sollten genau wissen, in was für einer Cloud Sie sich befinden – und wer die Schlüssel und Kontrollelemente dazu in den Händen hat.

(ID:50715071)