Was ist eine souveräne Cloud?
Was ist eine souveräne Cloud?
Eine souveräne Cloud ist eine Cloud-Computing-Umgebung, bei der alle Daten – einschließlich Anwendungen, gespeicherter Daten und über Netzwerke übertragener Daten – innerhalb eines bestimmten Landes oder einer bestimmten Region gespeichert, verarbeitet und verwaltet werden. Dadurch entsprechen sie den Gesetzen und Vorschriften dieses Landes in Bezug auf Datensouveränität bzw. Datenhoheit.
Datensouveränität bezeichnet das Konzept, dass digitale Daten den Gesetzen und Vorschriften des Landes unterliegen, in dem sie erfasst, gespeichert oder verarbeitet werden – selbst dann, wenn sie von einem Unternehmen in einem anderen Land verwaltet werden. Souveränität ist für den Schutz und die Sicherheit von Daten unerlässlich – insbesondere für Behörden und Organisationen in stark regulierten Branchen, beispielsweise im Finanz- oder Gesundheitswesen.
Eine souveräne Cloud gibt Unternehmen die vollständige Kontrolle über ihre Daten, sorgt für Sicherheit und Transparenz und verhindert fremden Zugriff oder Einfluss. In der Regel werden souveräne Clouds von nationalen Stellen oder Unternehmen in Zusammenarbeit mit vertrauenswürdigen lokalen Cloud-Providern betrieben. Dadurch wird die rechtliche und operative Souveränität über die digitale Infrastruktur und Daten gewährleistet.
Für Unternehmen ist eine souveräne Cloud von entscheidender Bedeutung, um die Compliance in Bezug auf digitale Souveränität zu erfüllen.
Souveräne Cloud erklärt
Die häufigste Art von Informationen, die durch Souveränitätsgesetze geschützt sind, sind personenbezogene Daten (Personally Identifiable Information, PII) über Einzelpersonen. Manchmal können auch geistiges Eigentum, Geschäftsgeheimnisse, Geschäftspraktiken, Finanzdaten und mehr dazugehören.
Souveräne Clouds befinden sich in der Regel in großen Rechenzentren von Hyperscalern und können von autorisierten Benutzern entweder über eine sichere Internetverbindung oder über dedizierte, „Air-Gap“- (d. h. nicht mit dem Internet verbundene) Kommunikationsverbindungen aufgerufen werden.
Im Zusammenhang mit Datensouveränität taucht häufig der Begriff „Datenresidenz“ auf. Das sind nicht dieselben Dinge. Der Unterschied besteht darin, dass sich der Begriff „Datenresidenz“ lediglich darauf bezieht, wo Daten physikalisch gespeichert sind. Selbst wenn sich Ihre Daten auf Servern in Deutschland befinden, ist nicht automatisch klar, wer darauf zugreifen kann. Hier kommt die Datensouveränität ins Spiel. Diese schreibt vor, dass Ihre Daten den Gesetzen und Vorschriften des Landes, in dem sie sich befinden, unterliegen. Selbst wenn Ihr Unternehmen seinen Sitz in den USA hat, muss es sich in Bezug auf Ihre Daten, sofern sich diese in Deutschland befinden, an die deutschen Vorschriften halten.
Eine souveräne Cloud ermöglicht es Unternehmen, maximale Kontrolle über ihre Daten, Infrastruktur und Operations zu erlangen und gleichzeitig die Einhaltung nationaler Gesetze und Vorschriften zu gewährleisten. Zu den wichtigsten Merkmalen einer souveränen Cloud gehören:
Eingeschränkter Zugang – Dadurch wird festgelegt, wer auf die Cloud zugreifen und sie nutzen kann. Diese Einschränkungen basieren in der Regel auf geografischen Faktoren, organisatorischen Rollen, Sicherheitsfreigaben oder sogar der Staatsangehörigkeit einer Person. Nur vertrauenswürdige Benutzer können auf die Daten und Systeme innerhalb einer souveränen Cloud zugreifen.
Datenlokalität und -residenz – Unternehmen können festlegen, wo verschiedene Datensammlungen gespeichert werden müssen. Dies kann beispielsweise ein bestimmtes Land, eine bestimmte Region oder sogar ein einzelnes Rechenzentrum sein.
Strenge Compliance-Standards – Diese Standards basieren auf nationalen oder branchenspezifischen Vorschriften und umfassen technische Kontrollen über Daten sowie Vorgaben zur Verarbeitung, Speicherung und zum Schutz von Daten.
Richtlinien für den operativen Support – Diese können die Erfüllung bestimmter Kriterien durch die Mitarbeiter des Cloud-Providers erfordern, wie beispielsweise Staatsangehörigkeit, Wohnsitz und Sicherheitsüberprüfungen. Mitarbeitende, die diese Kriterien nicht erfüllen, können nicht mit der souveränen Cloud arbeiten.
Dediziertes und sicheres Netzwerk – Ein solches ist für souveräne Clouds unerlässlich und kann von isolierten Air-Gap-Umgebungen bis hin zu privaten VPN-Konfigurationen reichen. Dadurch wird die souveräne Cloud vom regulären Netzwerk-Traffic sowie dem Risiko eines unbefugten Zugriffs getrennt.
Erweiterte Verschlüsselung – Diese wesentliche Komponente schützt Daten in souveränen Clouds vor externen Benutzern. Es ist üblich, dass Unternehmen ihre eigenen Verschlüsselungsschlüssel verwalten. Das bedeutet, dass der Cloud-Provider weder Einblick in die Daten in der souveränen Cloud hat noch diese kontrollieren kann.
Verteile der Cloud-Souveränität
Einhaltung der örtlichen Vorschriften
Souveräne Clouds werden entwickelt, um die gesetzlichen Anforderungen bestimmter Länder und Regionen hinsichtlich der Speicherung von Daten zu erfüllen. Unternehmen sind dazu verpflichtet, Datenschutzgesetze, branchenspezifische Standards sowie Vorschriften in Bezug auf Privatsphäre, Sicherheit und Zugriffskontrolle einzuhalten. Unternehmen, die Daten innerhalb definierter rechtlicher Grenzen und unter lokaler Gerichtsbarkeit in souveränen Clouds speichern, können rechtliche Risiken reduzieren. Zudem bleiben sie auditfähig und stärken das Vertrauen von Aufsichtsbehörden und Kunden.
Datensicherheit und -schutz
Souveräne Clouds verbessern die Datensicherheit und den Datenschutz durch strenge Zugriffskontrollen, erweiterte Verschlüsselungstechnologien und eine dedizierte Infrastruktur. Dadurch wird ein unbefugter Zugriff durch fremde Entitäten verhindert. Souveräne Clouds unterliegen nationalen und lokalen Rechtsvorschriften, wodurch das Risiko verringert wird, dass Daten aufgrund ausländischer Gesetze und internationaler Überwachungsprogramme preisgegeben werden. Die hohen Sicherheitsstandards und Datenschutzfunktionen von souveränen Clouds machen sie zu einer wichtigen IT-Komponente für Unternehmen, die mit vertraulichen oder geheimen Daten arbeiten; dazu zählen beispielsweise Regierungsbehörden und Anbieter kritischer Infrastrukturen.
Geringeres Risiko von Datenschutzverletzungen
Souveräne Clouds können potenzielle Datenschutzverletzungen verhindern, indem sie die Beschränkungen für autorisierte Benutzer innerhalb bestimmter Regionen einhalten. In Kombination mit strengen Sicherheitsüberprüfungen und der Einhaltung lokaler Gesetze und Vorschriften ist dies besonders effektiv. Die Infrastruktur bleibt isoliert, während dedizierte Netzwerke und vom Kunden verwaltete Verschlüsselungsschlüssel zusammenarbeiten, um Risiken zu minimieren und einen unbefugten Zugriff zu verhindern. Weitere Sicherheitsmaßnahmen können die Angriffsfläche über die Infrastruktur der Public Cloud hinaus reduzieren und es somit externen und fremden Akteuren erschweren, auf die Daten zuzugreifen.
Operative Flexibilität
Eine souveräne Cloud ermöglicht es Unternehmen, ihre Cloud-Services an ihre spezifischen rechtlichen Vorschriften und Sicherheitsanforderungen sowie ihre Geschäftsziele anzupassen. Unternehmen können selbst entscheiden, wo ihre Daten gespeichert werden und außerdem anhand der Staatsangehörigkeit, Sicherheitsfreigabe oder Rolle innerhalb des Unternehmens festlegen, wer Zugriff darauf hat. Souveräne Clouds bieten zudem Flexibilität bei der Bereitstellung, unabhängig davon, ob ein Unternehmen eine vollständig isolierte Umgebung oder eine hybride Konfiguration benötigt. Diese Flexibilität ermöglicht es Unternehmen, die Kontrolle über ihre Daten zu behalten und gleichzeitig von der Skalierbarkeit und Innovationskraft der Cloud zu profitieren.
Herausforderungen der Cloud-Souveränität
Komplexität hinsichtlich Compliance und Regulierung
Da sich Gesetze und Standards in verschiedenen Ländern und Branchen stark unterscheiden, kann die Einhaltung der Vorschriften schwierig sein. Unternehmen müssen nicht nur eine komplexe Landschaft gesetzlicher Anforderungen bewältigen – darunter Datenresidenz, Zugriffskontrollen, Verschlüsselung und vieles mehr –, sondern sie müssen auch damit rechnen, dass diese Standards häufig überarbeitet werden. Um die Einhaltung der Compliance sicherzustellen, investieren die meisten Unternehmen in Rechtsberatung, spezialisierte Infrastruktur und regelmäßige Audits.
Eine weitere Schwierigkeit ergibt sich, wenn sowohl nationale als auch internationale Compliance-Richtlinien eingehalten werden müssen. Dies ist beispielsweise der Fall, wenn ein Unternehmen sowohl die Gesetze Deutschlands als auch jene der Europäischen Union einhalten muss. All diese Komplexität erschwert die Einführung souveräner Clouds.
Interoperabilitätsprobleme
Bei souveränen Clouds kann Interoperabilität eine Herausforderung darstellen, da sie naturgemäß häufig isoliert sind, um Compliance-Anforderungen zu erfüllen. Diese Isolation schränkt die Integration mit zahlreichen Cloud-Services, Anwendungen von Drittanbietern sowie Multi-Cloud-Umgebungen ein. Eine Vielzahl von Standards und APIs in Verbindung mit regionalen Vorschriften macht den Datenaustausch und die Systemkompatibilität zwischen verschiedenen Clouds schwierig. Auch die Verschiebung von Workloads zwischen souveränen und nicht-souveränen Clouds stellt eine Herausforderung dar. Diese Interoperabilitätsprobleme beeinträchtigen die Agilität eines Unternehmens und verkomplizieren dessen Cloud-Strategien insgesamt.
Abhängigkeit von lokalen Providern
Beim Aufbau und der Bereitstellung einer souveränen Cloud ist es für Unternehmen naheliegend, auf einen einzigen Provider zu setzen. Ein Großteil dieser Arbeit besteht aus Anpassungen an die individuellen Souveränitätsanforderungen des Unternehmens. Zwar tragen diese Anpassungen zur Verbesserung von Sicherheit und Compliance bei, sie schränken jedoch auch die Flexibilität ein und können Hindernisse für einen Wechsel des Providers oder der Plattform schaffen. Die Umstellung auf einen anderen Cloud-Service kann eine umfassende Überarbeitung der Anwendungen sowie eine erneute Zertifizierung erforderlich machen. Ein Vendor Lock-in führt letztlich zu höheren Kosten, bremst die Innovationsgeschwindigkeit und beeinträchtigt die Agilität eines Unternehmens.
Faktoren, die bei der Einführung einer souveränen Cloud zu berücksichtigen sind
Datensicherheit und -schutz
Es ist wichtig, einen Cloud-Provider zu finden, der die Kontrollrichtlinien und Verschlüsselungsstandards erfüllt, die für Ihre relevanten Vorschriften erforderlich sind. Je nach Branche oder Land können diese Vorschriften variieren. Vergewissern Sie sich daher, dass Sie die Fachkenntnisse und Fähigkeiten des Providers gut einschätzen können, um sicherzustellen, dass er Ihre Anforderungen erfüllen kann.
Auswahl des Cloud-Providers
Es gibt verschiedene Arten von Providern souveräner Clouds: Einige werden von Regierungen, andere vom privaten Sektor unterstützt. Wieder andere sind hybride Anbieter, die mit beiden zusammenarbeiten. Staatlich unterstützte Provider legen in der Regel Wert auf nationale Sicherheit, Datensouveränität und die Einhaltung lokaler Gesetze. Sie sind jedoch möglicherweise weniger versiert oder weniger interessiert an kommerziellen Aspekten. Private Anbieter arbeiten häufig mit lokalen Behörden zusammen und bieten in der Regel eine größere Skalierbarkeit sowie modernere Funktionen und Innovationen. Allerdings können Probleme aufgrund ausländischer Eigentumsverhältnisse oder Einflussnahme auftreten. Hybride Provider kombinieren Elemente beider Arten und arbeiten häufig mit staatlichen Stellen und kommerziellen Unternehmen zusammen. Ein hybrider Anbieter kann die Einhaltung staatlicher Vorschriften mit größerer technologischer Flexibilität in Einklang bringen.
Skalierbarkeit und Flexibilität
Die Vorschriften werden sich ebenso wie die Technologie weiterentwickeln. Sie werden sicherlich wollen, dass Sie neue Technologien sofort nach ihrer Einführung nutzen können. Daher sollte der Provider Ihrer souveränen Cloud Lösungen bereitstellen, die die Skalierbarkeit und Flexibilität bieten, die Ihr Unternehmen in Zukunft benötigt. Mit dem Wachstum Ihres Unternehmens muss sich auch Ihre souveräne Cloud weiterentwickeln. Nur so kann sie mit den Fortschritten in den Bereichen KI, Machine Learning, Big Data, Echtzeitanalysen sowie mit zukünftigen Technologien, die wir heute noch nicht kennen, Schritt halten.
Cloud-Souveränität in Europa
In Europa gewinnt das Thema Cloud-Souveränität zunehmend an Bedeutung, da die Bedenken hinsichtlich Datenschutz, Sicherheit und Kontrolle zunehmen – insbesondere angesichts des US-amerikanischen CLOUD Act und der weltweit steigenden Abhängigkeit von digitalen Daten. Die EU hat mit der Datenschutzgrundverordnung (DSGVO) Vorschriften eingeführt, die in allen Mitgliedstaaten gelten und strenge Richtlinien für den Umgang mit Daten, deren Speicherung und Übermittlung durch Organisationen festlegen.
Erschwerend kommt jedoch hinzu, dass einige Länder eigene Gesetze und Vorschriften für souveräne Clouds einführen. Einige Beispiele:
Die französische Initiative „Cloud de Confiance“ schreibt vor, dass zertifizierte Cloud-Services von Anbietern mit Sitz in der EU gehostet werden müssen, um rechtliche Einflüsse von außerhalb der EU auszuschließen.
Deutschland ist an einer strengen Datenlokalisierung interessiert und hat im Rahmen des Verbundprojekts Gaia-X für Dateninfrastruktur mit privaten Partnern zusammengearbeitet.
Andere Länder wie Italien und Spanien drängen auf nationale oder EU-basierte Cloud-Services, um ihre Abhängigkeit von ausländischen Technologiegiganten zu verringern.
Da die Einzelheiten dieser neuen nationalen Vorschriften von Land zu Land variieren, ist die Komplexität für Unternehmen, die in mehreren EU-Ländern tätig sind, zweifellos höher. Unternehmen müssen sowohl die Vorschriften der EU als auch länderspezifische Standards berücksichtigen. Diese können sich auf ihre Cloud-Strategie, die Auswahl von Anbietern und ihre Compliance-Maßnahmen auswirken. Um die rechtliche Compliance sicherzustellen und gleichzeitig den Zugriff auf moderne Cloud-Funktionen zu gewährleisten, ist häufig eine Zusammenarbeit mit lokalen oder hybriden Providern erforderlich.
Die Zukunft der Souveränität
Zunehmender regulatorischer Druck
Mit der Weiterentwicklung der Cloud-Souveränität wird der regulatorische Druck weltweit mit ziemlicher Sicherheit zunehmen. Da Regierungen und Branchen weiterhin strengere Datenschutz- und Lokalisierungsgesetze erlassen, werden Unternehmen zunehmend auf souveräne Clouds zurückgreifen, um die Compliance zu gewährleisten und unbefugten Datenzugriff zu verhindern.
Hybride und Multi-Cloud-Ansätze
Um agil zu bleiben sowie Flexibilität, Innovation und Skalierbarkeit zu gewährleisten, werden Unternehmen zunehmend hybride und Multi-Cloud-Souveränitätslösungen implementieren. Souveräne Clouds können selbst die sensibelsten Unternehmensdaten beherbergen, während Public Clouds für Workloads genutzt werden, die weniger strengen Vorschriften unterliegen.
Sowohl für Unternehmen als auch für Regulierungsbehörden wäre es von Vorteil, internationale Standards und Rahmenwerke zu entwickeln. Dadurch würde sich die Einhaltung der Compliance vereinfachen und die globale Interoperabilität zwischen souveränen Clouds und anderen globalen Cloud-Umgebungen ermöglichen.
Nutanix und souveräne Cloud
Nutanix unterstützt Unternehmen dabei, ihre Cloud-Souveränität zu stärken. Dies wird erreicht, indem die Sicherung von Daten, die Einhaltung von Compliance-Vorschriften und die Entwicklung resilienter Systeme vereinfacht werden – ohne dass die Unternehmen durch Vendor Lock-in oder geopolitische Risiken eingeschränkt werden. Mit Nutanix können Unternehmen komplexe Souveränitätsanforderungen erfüllen und gleichzeitig die Performance sowie die Sicherheit kritischer Workloads verbessern. Führen Sie Anwendungen und Daten in jeder Umgebung aus, setzen Sie strikte Residenzrichtlinien durch, implementieren Sie eine umfassende Verschlüsselung, sorgen Sie für granulare Zugriffskontrollen, bauen Sie resiliente Architekturen auf und operieren Sie nahtlos in getrennten und Air-Gap-Umgebungen.
Die flexible und leistungsstarke Nutanix-Plattform wird einheitlich über Edge-Standorte, Rechenzentren und Public Clouds hinweg verwaltet. Sie bietet Unternehmen Kontrolle über ihre Daten und Operations, unterstützt sie bei der Einhaltung ihrer Anforderungen an die Compliance und ermöglicht es ihnen, schneller, sicherer und intelligenter zu agieren.
