Souveräne Cloud für regulierte Branchen: Was Compliance wirklich verlangt

Eine souveräne Cloud erfüllt keine Compliance-Anforderung von selbst, aber sie macht die Nachweise möglich, die Aufsicht und Datenschutzbeauftragte verlangen: wo Daten liegen, wer zugreifen kann und ob Sie den Anbieter wechseln könnten. Für Finanz-, Versicherungs- und Logistikunternehmen ist sie deshalb weniger ein Produkt als eine Architekturentscheidung.

Was eine souveräne Cloud ist und was sie nicht ist

Souverän ist eine Cloud-Infrastruktur, wenn Daten den Rechtsraum der EU nicht verlassen, Zugriffe lückenlos protokolliert sind und die operative Kontrolle, also Administrationsrechte und Schlüsselverwaltung, bei Ihnen oder einem europäischen Betreiber liegt. Der Serverstandort allein reicht nicht: Ein Rechenzentrum in Frankfurt, das ein US-Konzern betreibt, unterliegt weiterhin dem US CLOUD Act, und den kann kein Vertrag aufheben.

Nicht souverän ist ein Angebot, das „EU-Region" verspricht, aber Schlüssel, Support und Administration in den Händen eines Konzerns außerhalb Europas lässt. Solche Label gibt es viele. Fragen Sie nach dem Betreiber, nicht nach dem Standort.

Welche Anforderungen eine souveräne Cloud abdeckt

Die DSGVO verlangt, dass personenbezogene Daten nur unter engen Bedingungen in Drittländer gelangen. Für Finanzunternehmen kommen die Anforderungen der Aufsicht an Auslagerungen hinzu, und mit der Verordnung zur digitalen operationalen Resilienz (DORA) die Pflicht, Risiken aus IKT-Dienstleistern zu steuern und Vorfälle zu melden. Branchenstandards wie ISO 27001 und der C5-Katalog des BSI beschreiben, wie ein Betreiber das technisch nachweist.

Eine souveräne Cloud löst diese Pflichten nicht auf. Sie liefert Ihnen die Belege, die Sie dafür brauchen: Zugriffsprotokolle, Standortnachweise, Zertifikate des Betreibers und einen dokumentierten Ausstiegsweg. Ohne diese Belege bleibt jede Compliance-Aussage eine Behauptung.

Vendor-Lock-in vermeiden: offene Standards statt proprietärer Dienste

Wer heute in eine Cloud zieht, sollte den Auszug gleich mitplanen. Das gelingt mit offenen Standards: Kubernetes für den Container-Betrieb, S3-kompatibler Objektspeicher, PostgreSQL als Datenbank, Infrastruktur als Code. Proprietäre Komfortdienste eines Anbieters sind bequem und binden. Für die Aufsicht ist die Ausstiegsfähigkeit kein Nebenaspekt, sondern Teil des Auslagerungsmanagements: Sie müssen zeigen können, dass ein Anbieterwechsel möglich wäre, ohne den Betrieb zu gefährden.

Die Architektur entscheidet, nicht der Anbieter

Compliance entsteht in der Architektur, weil sie festlegt, wo Daten gespeichert, wie sie verschlüsselt und wer darauf zugreifen kann. Drei Bausteine tragen das: Daten bleiben in der EU (Data Residency), Verschlüsselung in Übertragung und Ablage mit Schlüsseln, die Sie kontrollieren, und Zugriffsrechte, die pro Rolle und Dienst vergeben werden. Wer diese Bausteine sauber trennt, kann hybrid arbeiten: sensible Daten im eigenen Rechenzentrum oder bei einem europäischen Betreiber, weniger kritische Lasten woanders.

KI-Daten in der EU verarbeiten, ohne auf KI zu verzichten

Die Frage kommt in regulierten Branchen als Nächstes: Dürfen wir Sprachmodelle einsetzen? Ja, wenn die Daten, mit denen das Modell arbeitet, den Rechtsraum nicht verlassen. In einer souveränen Cloud lassen sich offene Modelle betreiben oder über europäische Anbieter nutzen, sodass Trainings- und Anfragedaten unter Ihrer Kontrolle bleiben. Die KI-Anwendung wird dann Teil derselben Architektur, mit denselben Protokollen und derselben Ausstiegsfähigkeit.

Wie dataso dabei unterstützt

Wir bauen und betreiben Anwendungen auf europäischer Infrastruktur, primär STACKIT, und planen Migrationen von Bestandssystemen schrittweise, sodass der laufende Betrieb weiterläuft. KI-Bausteine kommen dazu, ohne dass Daten die Umgebung verlassen. Welche Compliance-Nachweise am Ende vorliegen, hängt von Ihrer Branche ab; wir sagen vorher, was die Architektur leisten kann und was Ihre Organisation selbst regeln muss.

Häufige Fragen

Worin unterscheidet sich die souveräne Cloud von der Public Cloud? In der rechtlichen und operativen Kontrolle. Public-Cloud-Anbieter aus den USA unterliegen US-Recht, auch mit EU-Rechenzentrum. Eine souveräne Cloud liegt bei einem europäischen Betreiber unter europäischem Recht und setzt auf offene Standards.

Ist sie teurer? Der Einstieg kann teurer sein, vor allem wenn Bestandssysteme angepasst werden müssen. Dem stehen wegfallende proprietäre Lizenzen, vermiedene Compliance-Risiken und die Wechselfähigkeit gegenüber. Eine belastbare Antwort gibt nur die Rechnung für Ihren konkreten Fall.

Wie lange dauert die Migration? Das hängt von der Komplexität der Landschaft ab. Schrittweise Migrationen liefern erste produktive Ergebnisse, lange bevor das letzte System umgezogen ist.

Listen Sie die Systeme auf, in denen personenbezogene oder aufsichtsrelevante Daten liegen, und tragen Sie zu jedem den Betreiber und dessen Firmensitz ein, nicht den Serverstandort. Mit dieser Liste kommen Sie in den Potenzial-Check: eine halbe Stunde, kostenlos, und Sie erfahren, welche Systeme zuerst in eine souveräne Umgebung gehören. Potenzial-Check buchen