Datensouveränität braucht technische Kontrolle 

Datensouveränität wird oft über Speicherorte definiert. Für Unternehmen zählt jedoch zunehmend, wer Daten tatsächlich lesen, entschlüsseln, teilen und nachverfolgen kann – oder technisch dazu in der Lage wäre.

Vertragsunterlagen, technische Zeichnungen oder behördliche Anträge werden heute im Wesentlichen mit Cloud-Diensten bearbeitet, in denen Teams Dateien speichern, teilen, gemeinsam bearbeiten, Projekte organisieren oder externe Partner einbinden können. Für die Sicherheit der Daten ist es dabei nicht nur wichtig, wo diese gespeichert werden. Es ist auch wichtig zu wissen, welchem Rechtsraum der jeweilige Lösungsanbieter unterliegt, wer die Kontrolle über die Daten hat und ob Dritte technisch darauf zugreifen könnten – ganz unabhängig davon, ob es rein vertraglich oder rechtlich ausgeschlossen ist.

Bei der Auswahl solcher Lösungen steht dennoch häufig lediglich der Speicherort als wesentliches Entscheidungskriterium im Vordergrund. Europäische Rechenzentren globaler Anbieter schaffen Vertrauen, unterstützen strenge Compliance-Vorgaben und sind gerade in regulierten Branchen das entscheidende Argument bei der Auswahl. Diese Vereinfachung bei der Entscheidung muss aber kritisch betrachtet werden. Regulatorische Anforderungen und geopolitische Spannungen verschärfen die Frage, wer den Zugriff auf die Daten tatsächlich kontrolliert, unabhängig davon, wo diese gespeichert sind. Datensouveränität ist daher nicht nur ein Thema für die IT, sondern auch für die Geschäftsführung, und alle Abteilungen, die mit diesen Lösungen arbeiten.

Datenresidenz ist nicht gleich Datensouveränität

In Auswahlprozessen für Cloud-basierte Softwarelösungen ist Datenresidenz für viele Organisationen häufig gleichbedeutend mit Datensouveränität. Doch Datenresidenz beschreibt zunächst nur, wo Daten physisch gespeichert werden. Eng damit verbunden und stärker regulatorisch geprägt, ist die Datenlokalisierung. Sie meint rechtliche Vorgaben, nach denen bestimmte Daten in einem Land oder einer Region gehalten werden müssen oder nur eingeschränkt über Grenzen hinweg übertragen werden dürfen. Datensouveränität geht noch einmal deutlich weiter. Sie fragt nicht nur nach dem Speicherort und dem Rechtsraum, der für Anbieter, Dienst und Verarbeitung maßgeblich ist, sondern auch, wer Inhalte und Schlüssel kontrolliert und ob sich externe Zugriffe technisch begrenzen lassen.

„Dürfen“ ist nicht dasselbe wie „können“ 

Genau deshalb greift der europäische Datenstandort als alleiniges Entscheidungskriterium zu kurz, wenn Organisationen Datensouveränität erreichen möchten. Gleiches gilt für vertragliche Zusicherungen und Compliance-Vorgaben, auf die häufig ebenfalls verwiesen wird. Diese schaffen Vertrauen und regeln, wer auf Daten zugreifen darf. Sie beantworten jedoch nicht die Frage, wer technisch auf die Daten zugreifen kann. 

Ein Cloud-Dienst kann Daten in Europa hosten und dennoch einem außereuropäischen Rechtsrahmen unterliegen. Steht der Anbieter beispielsweise unter US-amerikanischer Gerichtsbarkeit, können rechtmäßige Herausgabeverlangen – etwa auf Grundlage des US Cloud Act – auch Daten betreffen, die außerhalb der USA gespeichert sind. Genau hier wird der Unterschied zwischen „dürfen und können“ relevant. Ein Anbieter mag vertraglich vom Datenzugriff ausgeschlossen sein. Ermöglicht die technische Architektur aber grundsätzlich den Zugriff, bleibt diese Möglichkeit bestehen und kann auch ausgenutzt werden.

Unternehmen müssen deshalb genauer hinsehen, wie eine Lösung aufgebaut ist. Sind Daten tatsächlich Ende-zu-Ende verschlüsselt? Wer kontrolliert die kryptografischen Schlüssel? Ist ein Zugriff auf sensible Daten durch den Anbieter oder unbefugte Dritte technisch ausgeschlossen? Wie granular lassen sich Zugriffe steuern oder kontrollieren?

Datensouveränität-by-Design

Datensouveränität entsteht also weder nur durch einen Vertrag noch durch die Wahl eines Rechenzentrums. Sie muss in der technischen Architektur einer Lösung angelegt sein. Dazu gehört, dass unautorisierte Dritte sensible Informationen nicht lesen oder verarbeiten können, dass Schlüssel nicht beim Lösungsanbieter liegen und dass Organisationen Zugriffe jederzeit individuell nach Bedarf steuern und nachvollziehen können.

Ein zentraler Baustein dafür ist echte Ende-zu-Ende-Verschlüsselung. Inhalte werden bereits auf dem Gerät der Nutzerinnen und Nutzer verschlüsselt, bevor sie in die Cloud hochgeladen, übertragen oder geteilt werden. So bleiben sie durchgängig verschlüsselt – „at rest“ und „in transit“ – und können nur von autorisierten Empfängern für die Bearbeitung oder Betrachtung entschlüsselt werden. Der Anbieter der Lösung verarbeitet die Daten zu keinem Zeitpunkt im Klartext, sondern grundsätzlich in verschlüsselter Form. Dies ist besonders relevant, weil viele Dienste, die von Ende-zu-Ende-Verschlüsselung reden, Dateien für Browser-Vorschauen, Suchindizes oder Funktionen zur Zusammenarbeit zumindest kurzzeitig serverseitig verarbeiten und dazu entschlüsseln.

Hinzu kommt Zero Knowledge als zweiter Baustein. In einer solchen Architektur liegen die kryptografischen Schlüssel ausschließlich bei den Anwenderinnen und Anwendern. Der Lösungsanbieter kann Inhalte technisch nicht entschlüsseln. Für Unternehmen ist das von Bedeutung, weil sich Datensouveränität damit nicht nur auf organisatorische oder vertragliche Zusagen stützt, sondern auf eine Architektur, die den Zugriff unberechtigter Dritter von vornherein technisch ausschließt.

Kontrolle und Anwenderfreundlichkeit im Arbeitsalltag

Im Arbeitsalltag muss sich Datensouveränität daran messen lassen, wie einfach sie sich umsetzen lässt. Unternehmen müssen zentral in einem Admin-Center festlegen können, wer Dateien ansehen, bearbeiten, herunterladen oder weitergeben darf. Sollen diese mit einem Wasserzeichen markiert werden? Zugriffe sollten sich zeitlich begrenzen, nachverfolgen und bei Bedarf wieder entziehen lassen. Und für die Erfüllung von Governance-Vorgaben müssen alle Aktivitäten nachvollziehbar sein. Gerade bei der Zusammenarbeit mit externen Partnern wird diese Struktur zur Voraussetzung dafür, dass Unternehmen immer die Kontrolle über ihre Daten behalten. 

Echte Datensouveränität verbindet Rechtsraum, Datenresidenz und technische Kontrolle. Quelle: Tresorit

Technische Kontrolle als zentrales Entscheidungskriterium

Datensouveränität entscheidet sich damit nicht über den Speicherort allein. Sie entsteht im Zusammenspiel aus Rechtsraum, technischer Architektur und operativer Steuerbarkeit. Ende-zu-Ende-Verschlüsselung, Zero Knowledge und Data Governance sorgen dafür, dass Kontrolle nicht nur vereinbart, sondern technisch umgesetzt und im Alltag realisierbar wird.