In der heutigen digitalisierten Welt sind Daten das Herzstück sämtlicher Geschäftsprozesse. Diese Daten gilt es bestmöglich zu vor unbefugtem Zugriff zu schützten sowie die volle Kontrolle darüber zu haben, wo die Daten gespeichert werden und wie diese verarbeitet werden, um als Unternehmen die sicherheitsrelevanten und wirtschaftlichen Interessen zu bewahren.

 

In diesem Zusammenhang spielt der Begriff einer Souveränen Cloud eine zu Rolle. Eine souveräne Cloud Infrastruktur sind Cloud -Systeme, die unter strikter Beachtung geltender EU Richtlinien und nationaler Gesetzte (z.B. DSGVO) Daten innerhalb einer bestimmten geografischen Region – in unserem Fall Deutschland verarbeiten. 

 

Für viele Verfechter von Software-as-a-Service und Cloud Anbietern wie Micosoft mit Azure und O365, Amazon mit  AWS oder Google mit GCP stellt sich an dieser Stelle die Frage, warum es überhaupt wichtig ist, sich von solchen Anbietern zu lösen.

 

Ohne Frage: Die Cloud Angebote dieser Hyperscaler, also Anbietern von Rechenzentren mit nahezu unbegrenzter, weltweit zur Verfügung stehenden Rechenleistung bieten integrierte Lösungen an, die so gut wie alle Geschäftsprozesse digitalisierbar machen. Sie liefern ein Universum an digitalen Dienstleitungen, die für Administratoren scheinbar einfach zu verwalten und vielseitig in die IT-Landschaft integrierbar sind.

 

Die Nutzung dieser Dienste birgt aber durchaus Risiken, die für IT-Entscheider oder Administratoren zunächst nicht offensichtlich sind. Eines vorneweg – eine starke Integrationstiefe der Dienste sowie das bloße Funktionieren der Services, die oftmals in der günstigsten Produktvariante zum Einsatz kommen, bedeutet für die IT Abteilung nicht, dass die Dienste IT-sicherheitstechnisch richtig konfiguriert sind und datenschutzkonforme Voreinstellungen getroffen wurden, um nationalen Gesetzten zu entsprechen und IT-Sicherheitsstandards einzuhalten.

 

Besonders kritisch zu sehen ist, wenn Daten weltweit in Rechenzentren gespeichert werden. Der US-Cloud Act beispielsweise ermächtigt die US-Behörden unter bestimmten Voraussetzungen auf Daten von US-Unternehmen zuzugreifen, auch wenn diese Daten in Rechenzentren in Deutschland oder der EU speichern.

 

Diese Tatsache wird von Datenschutzbehörden als äußerst problematisch angesehen, insbesondere wenn sensible personenbezogene (z.B. biometrische Daten bei Videokonferenzen, Gesundheitsdaten) Daten verarbeitet werden. Bei günstigen Serviceangeboten (z.B. Videokonferenzlösungen) ist der Serverstandort oft nicht wählbar, sodass Userdaten gezwungenermaßen auf Servern beispielsweise in China oder in anderen Drittstaaten mit niedrigen Strompreisen verarbeitet werden. Für Unternehmen besteht hier ein hohes Risiko, dass durch die ausländische Regierungen Daten ohne Wissen und Zustimmung der Unternehmen einsehbar sind oder verwendet werden.

 

Diese ausländischen Anbieter geben nur begrenzt Informationen darüber preis, wo und wie die Daten verarbeitet werden, wodurch es für europäische Unternehmen oft schwierig nachzuweisen ist, dass der Datenschutz und die IT-Sicherheit eingehalten werden. Im Vergleich dazu ist bei souveränen Cloud Anbietern genau nachvollziehbar, welche technischen und organisatorischen Maßnahmen eingesetzt werden, um ein ausreichendes Maß an IT-Sicherheit zu bieten und die datenschutzrechtliche Compliance zu gewährleisten.

 

Sanktionen oder Handelsbeschränkungen (Embargos) sowie politische Spannungen zwischen USA und der EU, oder auch auf weltpolitischem Terrain könnten zudem die Nutzung von US-Clouddiensten verkomplizieren oder einschränken, sowie die Preise durch mögliche Zölle in die Höhe treiben.

 

Einer der wichtigsten Punkte, der bei der Wahl des Cloud Anbieters unbedingt beachtet werden sollte, welcher aber in den meisten Fällen von Entscheidern missachtet wird, ist eine durchdachte Austrittsstrategie. Diese stellt für den Kunden sicher, dass sie im Falle einer Kündigung oder eines Anbieter Wechsels Ihre Daten vollständig, sicher und effizient aus der Cloud zurückerhalten.

 

Dies beinhaltet standardisierte Datenexporte in gängigen Formaten sowie eine transparente Dokumentation des gesamten Migrationsprozesses, die einen nahtlosen Anbieterwesel ermöglichen. Eine Cloud-Austrittsstrategie ist zudem wesentlicher Bestandteil von ISO 27001 Zertifizierungen und stützt den Kunden vor erheblichen Preissteigerungen der Global Players.