Datensouveränität: so behalten Sie die Kontrolle über Ihre Daten in der Cloud

Datensouveränität gehört in die Auswahlkriterien für jeden Cloud-Vertrag. Geschäftsführung, IT-Leiter im Mittelstand, IT-Integratoren und Telekom-Reseller stellen dabei dieselben vier Fragen. Wer darf rechtlich Zugriff verlangen? Wer hält die Schlüssel? Wer verarbeitet die Daten? Und wie kommt das Unternehmen wieder heraus, ohne Verluste?

Ein Rechenzentrum im EU-Rechtsraum liefert die geografische Antwort. Die Kontrollfrage bleibt offen, solange Administrationswerkzeuge, Support-Zugänge oder die Kette der Auftragsverarbeiter an einem Recht außerhalb der EU hängen. Genau an dieser Stelle entscheiden sich Audits, Ausschreibungen und Anbieterwechsel.

Was Datensouveränität konkret bedeutet

Datensouveränität bedeutet, dass Ihr Unternehmen bestimmt, wer die Daten liest, verarbeitet, kopiert und wieder herausgibt. Dazu gehören die Verschlüsselungsschlüssel, die Administrationskonsolen, die Protokolle, die Backups und das Ausstiegsformat am Vertragsende. Die Kontrolle liegt auf zwei Ebenen gleichzeitig: im Recht und in der Software.

Datenresidenz beantwortet die Frage nach dem Ort

Datenresidenz sagt, wo die Daten liegen. Das ist eine Adresse. Datensouveränität sagt, wer über Zugriff, Verarbeitung, Schlüssel, Backups, Protokolle und Rückgabe entscheidet. Das ist eine Machtfrage, und sie steht im Vertrag.

Ein Bild hilft beim Sortieren. Ein Schließfach in einer Frankfurter Bankfiliale schützt Sie nur begrenzt, wenn der Zweitschlüssel, die Öffnungsprozedur und die Verwaltungsgesellschaft einem fremden Recht unterliegen. Der Ort zählt. Die Kontrolle zählt mehr.

Die Softwareebene entscheidet mit

Im laufenden Betrieb verliert europäisches Hosting seine Wirkung an vier Stellen. Diese Wege führen aus dem EU-Rechtsraum heraus, obwohl die Server in Europa stehen:

• Hersteller oder Muttergesellschaft unterstehen einem außereuropäischen Recht.

• Administrationswerkzeuge erlauben Fernzugriff von außerhalb der EU.

• Backups und Drittdienste schreiben in eine andere Region.

• Metadaten und Protokolle laufen durch eine Komponente ohne Souveränitätsnachweis.

Für die Abwägung zwischen eigener Anlage im Serverraum und Cloud-Betrieb liefert der Vergleich on-premise und Cloud im direkten Gegenüber die Fragen, die vor einer Migration auf den Tisch gehören.

Warum Datensouveränität zur Chefsache wird

Die Entscheidung bindet das akzeptierte Risikoniveau des ganzen Unternehmens, deshalb liegt sie über der IT-Abteilung. Beschaffung, Compliance und Krisenmanagement hängen mit daran, ebenso die Fähigkeit, einen Anbieter in vertretbarer Zeit zu ersetzen.

In fast jedem ernsten Projekt tauchen dieselben Auswirkungen auf:

• Betriebskontinuität. Bei einem Cyberangriff, einer Insolvenz oder einem Vertragsstreit muss das Unternehmen Daten, Historien, Protokolle und Konfigurationen zu vorab vereinbarten Bedingungen zurückbekommen.

• Vertragliche Kontrolle. Viele Cloud-Verträge bleiben vage beim Thema Auftragsverarbeiter, Support-Zugriffe, Datentransfers, Backups und Rückgabe.

• Branchenspezifische Compliance. Manche Tätigkeiten müssen belegen, wer von wo mit welchen Rechten auf Daten zugreift.

• Wettbewerbsfähigkeit. Ausschreibungen verlangen präzise Angaben zu Standort, Administration, Subunternehmerkette und Reversibilität.

Projekte verzögern sich regelmäßig aus einem organisatorischen Grund. Niemand hat geklärt, wer die Administrationsschlüssel hält, wer im Third-Level-Support eingreifen darf und in welcher Frist die Daten in einem verwertbaren Format zurückkommen. Der Preis und die Technik stehen dann längst fest.

Was sich in der Beschaffung verändert hat

Geschäftsführung und IT-Leitung wägen heute zwischen Einführungsgeschwindigkeit, Funktionsumfang und Kontrolltiefe ab. Den Vorzug bekommt der Dienst, dessen rechtliche, technische und vertragliche Abhängigkeiten verstanden, akzeptiert und dokumentiert sind. Der bekannteste Anbieter gewinnt diesen Vergleich nur manchmal.

Für einen Integrator oder Reseller hat sich damit die Kundenerwartung verschoben. Er muss erklären können, was das Unternehmen im Ernstfall tatsächlich schützt.

Der europäische Rechtsrahmen

Die Datenregulierung in Europa verteilt sich über mehrere Texte mit unterschiedlichen Zielen. Diese Schichtung macht das Thema für einen Mittelständler anspruchsvoll, denn ein Häkchen bei „DSGVO-konform" im Datenblatt deckt nur eine der Schichten ab.

Was die DSGVO abdeckt

Die DSGVO regelt den Schutz personenbezogener Daten, die Rechte der Betroffenen, die Pflichten der Verantwortlichen und den Umgang mit Auftragsverarbeitern. Sie enthält auch Betriebspflichten. Artikel 33 verlangt die Meldung einer Datenschutzverletzung an die Aufsichtsbehörde innerhalb von 72 Stunden, und Artikel 32 nennt die Fähigkeit, die Verfügbarkeit der Daten nach einem Zwischenfall wiederherzustellen. Nachlesen können Sie beides im Volltext der Datenschutz-Grundverordnung bei EUR-Lex.

Der Schutzbereich der Verordnung ist eng gefasst. Sie schützt personenbezogene Daten und regelt weder die Konzernstruktur eines Anbieters noch dessen Bindung an ein außereuropäisches Gesetz. Eine DSGVO-konforme Leistung kann deshalb einem extraterritorialen Zugriffsanspruch unterliegen.

Innerhalb von EU und EWR findet keine Drittlandsübermittlung statt. Ein Hosting in Deutschland, in den Niederlanden oder in Luxemburg steht datenschutzrechtlich also auf derselben Grundlage. Die eigentliche Prüffrage betrifft danach den Betrieb. Wer administriert, wer verarbeitet, wer hält die Schlüssel?

Zur Betriebskontinuität gehört ein geprobter Plan. Wie ein Notfallplan für den Ausfall kritischer Dienste aufgebaut wird, hängt direkt an der Frage, wie schnell Sie an Ihre eigenen Daten kommen.

Nachweise über die DSGVO hinaus

Der EU-Rahmen ist in den letzten Jahren dichter geworden. Der EU Data Act adressiert Zugang, Weitergabe und Portabilität von Daten. NIS 2 hebt die Sicherheitsanforderungen für wesentliche und wichtige Einrichtungen. DORA verlangt von Finanzunternehmen eine belastbare Steuerung ihrer IKT-Drittdienstleister, samt Ausstiegsstrategie.

Auf der Prüfebene arbeitet der deutsche Markt mit dem Kriterienkatalog C5. Herausgeber ist das Bundesamt für Sicherheit in der Informationstechnik, und ein C5-Testat zeigt einem Prüfer, wie ein Anbieter seinen Cloud-Betrieb kontrolliert. Eine Immunität gegen außereuropäische Zugriffsansprüche bescheinigt es nicht.

Beim Lesen eines Angebots trennt diese Übersicht die Nachweise voneinander.

Risiken und Gewinne im Mittelstand

Eine schlecht gefasste Souveränitätspolitik fällt selten am ersten Tag auf. Die Rechnung kommt beim Audit, in der Ausschreibung, während einer Migration oder wenn ein wichtiger Kunde Garantien zu Standort, Zugriff und Verarbeitung verlangt.

Was eine Lücke kostet

Das juristische Risiko trifft zuerst. Ein Unternehmen hält sich für regelkonform, weil die Daten in der EU liegen, während der Anbieter einem außereuropäischen Gesetz untersteht oder in einer undurchsichtigen Subunternehmerkette arbeitet.

Das technische Risiko liegt neben den Nutzdateien. Betriebsrelevant sind auch Backups, Protokolle, Konfigurationen, Historien, Exporte und die Schnittstellenflüsse zwischen den Anwendungen. Eine Architektur, die zu neunzig Prozent souverän ist, bricht an der einen Drittkomponente, am Fernwartungswerkzeug oder an einer unscharfen Rollentrennung.

Das kommerzielle Risiko wirkt in regulierten Branchen am schnellsten. Ein Anbieter ohne Dokumentation seiner Souveränität fliegt früher aus der Auswahl als ein funktional schwächerer Wettbewerber mit klarer Datengovernance.

• Vertrauensverlust beim Kunden. Ohne klare Auskunft zu Recht und Auftragsverarbeitung zieht sich jede Verhandlung.

• Blockade in der Ausschreibung. Lastenhefte fordern Belege statt Zusagen.

• Strategische Abhängigkeit. Ein Anbieterwechsel wird teuer, sobald Daten, Historien und Parametrierung nicht saubereer herauskommen.

Warum reife Unternehmen gewinnen

Unternehmen, die das Thema früh anpacken, verkürzen ihre Due-Diligence-Runden und schließen blinde Flecken in der eigenen digitalen Lieferkette. Eine IT-Leitung, die eine Karte der Datenflüsse, die Ausstiegsbedingungen, die Verantwortlichkeiten der Auftragsverarbeiter und den Verbleib der Schlüssel einfordert, wählt in der Regel stabilere Partner.

Für einen IT-Integrator oder Telekom-Reseller wird diese Reife zum Unterscheidungsmerkmal. Der Kunde kauft eine Architektur, die er seiner eigenen Compliance, seiner Sicherheit und seiner Geschäftsführung vorlegen kann.

Technische Maßnahmen für eine wirksame Souveränität

Der Test läuft über die Kontrolle, die Ihr Unternehmen über Schlüssel, Administrationszugänge, Softwarekomponenten und den Ausstieg ausübt. Ein Standort in Deutschland allein bewegt keine dieser vier Größen.

Schlüssel, Zugänge, Protokolle

Wirksame Souveränität verlangt die juristische und technische Hoheit über die Verschlüsselungsschlüssel, eine echte Kontrolle der Administrationszugänge und Sichtbarkeit über alle Nebenflüsse. In regulierten Branchen ist das inzwischen Prüfstoff im Audit.

Diese Fragen klären den Kern:

1. Wer besitzt und verwaltet die Verschlüsselungsschlüssel? Kann der Anbieter Schlüssel allein erzeugen, widerrufen oder benutzen, dann liegt die Zugriffshoheit bei ihm.

2. Wer kommt in die Konsolen, die Support-Werkzeuge und die Protokolle? Administrationsrechte gehören begrenzt, protokolliert, regelmäßig überprüft und an eine dokumentierte Prozedur gebunden.

3. Welche Komponenten liegen außerhalb des ausgewiesenen Bereichs? Backup, Monitoring, Suchindex, Log-Analyse und Fernwartung brauchen dieselbe Prüfung wie der Kernbetrieb.

Eine Zertifizierung ersetzt diese Prüfung nicht. ISO 27001 und C5 belegen ein Sicherheitsniveau im Betrieb, und über das anwendbare Recht sagen sie nichts.

Reversibilität, getestet statt beschrieben

Die Reversibilitätsklausel beruhigt die Rechtsabteilung. Der Reversibilitätstest schützt den Betrieb.

Ein Anbieter sollte vor einer langen Bindung vorführen, wie die Daten zurückkommen, in welchem Format, mit welchen Metadaten und in welcher Frist. Ohne diese Vorführung kauft das Unternehmen ein Ausstiegsversprechen.

Der Test deckt mehrere Schichten ab:

• Rohdaten. Dateien, Geschäftsobjekte, Anhänge, Aufzeichnungen.

• Metadaten. Zeitstempel, Status, Rechte, Strukturen, Beziehungen zwischen Objekten.

• Historien. Aktivitätsprotokolle, Versionen, Administrationsereignisse, Nachvollziehbarkeit.

• Ausgabeformat. Dokumentiert, lesbar und ohne herstellereigenes Werkzeug weiterverwendbar.

• Softwareabhängigkeiten. Skripte, Konnektoren, API-Schemata und Parameter für den Neustart des Dienstes an anderer Stelle.

• Rückgabefrist. Passend zur Betriebskontinuität, nicht zum Komfort des Anbieters.

Hier entscheidet sich die Souveränität im Alltag. Ein Unternehmen kann seine Dateien zurückerhalten und dabei Rechte, Historien, Workflows und die Anwendungslogik verlieren, die den Daten ihren Wert gibt. Dann liegt eine Kopie vor, kein nutzbarer Datenbestand.

Ein Probeexport und sein Reimport in eine fremde Umgebung messen die technische Bindung an einen Anbieter, bevor eine Unterschrift fällt.

Eine glaubwürdige Architektur trägt auf beherrschter Verschlüsselung, eingegrenzten Administrationszugängen, einer Karte der Datenflüsse und einer nachgewiesenen Reversibilität. Bleibt ein Anbieter bei einem dieser Punkte unscharf, wandert das Risiko vom Vertrag in den Betrieb und von dort in die Bilanz.

Checkliste für die Auswahl eines souveränen Cloud-Anbieters

Die Auswahl beginnt beim Rechtsrahmen, bei der Governance und beim Ausstieg. Funktionslisten kommen danach. Für Kommunikationswerkzeuge gilt das besonders, weil eine Telefonanlage Verbindungsdaten, Gesprächsaufzeichnungen und Kontaktverzeichnisse verarbeitet. Wie eine virtuelle Telefonanlage technisch aufgebaut ist, zeigt, welche Datenarten dabei überhaupt anfallen.

Fragen vor der Unterschrift

Diese Punkte gehören als feste Fragen ins Lastenheft:

• Welchem Recht untersteht die Muttergesellschaft? Bei einem außereuropäischen Sitz steht die Analyse der extraterritorialen Exposition vor jedem weiteren Gespräch.

• Wo werden die Daten gespeichert und verarbeitet? Die Antwort muss Produktion, Backup, Monitoring und Support abdecken.

• Ist die Subunternehmerkette offengelegt? Der Anbieter benennt die kritischen Auftragsverarbeiter und deren Rolle.

• Verbietet der Vertrag Transfers aus der EU heraus? Eine ausdrückliche Klausel trägt, eine Absichtserklärung im Angebotstext nicht.

• Gibt es eine betriebsfähige Reversibilitätsklausel? Sie nennt Format, Frist, Umfang und die vollständige Löschung.

• Darf der Kunde auditieren? Auditierbarkeit ist die Grundlage jeder dauerhaften Zusammenarbeit.

Warnsignale im Auswahlprozess

Bestimmte Antworten bremsen einen Beschaffungsprozess sofort.

Ein gutes Raster sortiert außerdem Angebote, die auf dem Papier gleich aussehen. Der Unterschied liegt oft in der Governance und nicht in der Funktionsliste.

Ihre Souveränitätsstrategie aufbauen

Datensouveränität ist eine Steuerungsdisziplin. Sie verbindet Beschaffung, Architektur, Sicherheit, Recht und Betrieb um eine Frage: Behält das Unternehmen die tatsächliche Kontrolle über seine kritischen Daten?

Der erste Arbeitsschritt ist eine Karte. Sie listet die sensiblen Anwendungen, die Datenflüsse, die Backups, die Support-Zugänge, die Auftragsverarbeiter und alles, was den EU-Rechtsraum verlässt.

Der zweite Arbeitsschritt ist vertraglich. Bestehende Anbieter werden gegen ein festes Raster gelesen: anwendbares Recht, Subunternehmerkette, Transferverbot, Exportmodalitäten, Rückgabefristen, nachgewiesene Löschung am Vertragsende und Auditrecht.

Der dritte Arbeitsschritt ist technisch. Das Team prüft, wer die Schlüssel hält, wie privilegierte Zugriffe protokolliert werden, wohin die Protokolle laufen und ob die Reversibilität schon einmal an einem echten Ausschnitt getestet wurde. Die meisten Abweichungen tauchen an dieser Stelle auf.

Kommende Ausschreibungen führen die Souveränität in den Auswahlkriterien, in den Konzeptionsworkshops und in den Vertragsanforderungen. Nehmen Sie die vier Fragen aus der Einleitung, stellen Sie sie Ihrem heutigen Anbieter und schreiben Sie die Antworten auf.

Für Unternehmen, die ihre Telefonie modernisieren und dabei die Kontrolle über ihre Daten behalten wollen, betreibt Voxbi eine Cloud-Telefonanlage mit Hosting und Datenverarbeitung in der Europäischen Union. Voxbi liefert die Software und das Voxbi Cockpit, Mixvoip liefert Rufnummern und die Anbindung ans Netz der Betreiber. Fragen zur Datenverarbeitung gehen an hello@voxbi.com.