Souveränität heißt Wahlfreiheit

DriveLock erweitert sein Angebot um ein souveränes Cloud-Betriebsmodell auf Basis von STACKIT. Im Interview erläutert Martin Mangold, warum es aus seiner Sicht nicht um eine weitere Hosting-Option geht, sondern um einen konsequent souverän ausgerichteten Unterbau – und wie dafür über rund anderthalb Jahre der Software-Stack angepasst wurde.

Im Mittelpunkt steht ein pragmatisches Verständnis von digitaler Souveränität als Wahlfreiheit zwischen on premises, Public Cloud und souveräner Cloud sowie eine durchgängige Kette von Security Controls – vom Endpoint bis zum sicheren Datenaustausch.

Herr Mangold, in den vergangenen Monaten haben wir von Ihnen wie auch Ihren DriveLock- Kollegen verschiedene Beiträge zum Thema „Digitale Souveränität“ bei uns im Magazin gelesen. Dieses Mal kündigen Sie konkret etwas an: Was genau ist neu bei DriveLock?

Martin Mangold: Wir erweitern unser Cloud‑Angebot um ein souveränes Betriebsmodell. Seit diesem April wird die DriveLock HYPERSECURE Platform nicht nur in einer Public-Cloud-Variante oder on premises betrieben, sondern auch in einer souveränen Cloud‑Umgebung – auf Basis von STACKIT von Schwarz Digits.

Viele würden an dieser Stelle sagen: „Ok, das ist eben eine zusätzliche Hosting‑Option.“ Sie widersprechen dem. Warum?

Martin Mangold: Weil es eben nicht einfach bei einem „anderen Rechenzentrum“ oder nur einem bloßen Betreiberwechsel bleibt. Unser klarer Anspruch war es, den technologischen Unterbau der DriveLock HYPERSECURE Platform so zu gestalten, dass sie unabhängig von einzelnen Hyperscalern und insbesondere in einem souveränen Rahmen betrieben werden kann. Warum ist uns das so wichtig? Wir sehen, dass bei großen Public‑Cloud‑Anbietern an Konzepten wie europäischen Daten‑Grenzen gearbeitet wird. Für unsere Kunden – insbesondere dort, wo Souveränität nicht nur ein Schlagwort, sondern ein handfestes Anforderungspaket ist – reicht das in der Praxis aber oft nicht aus.

Deshalb wollten wir einen Schritt weitergehen und ein Betriebsmodell, das konsequent souverän ist. Im Kontext von Cloud-Anbietern wird „Souveränität“ typischerweise entlang mehrerer Dimensionen diskutiert – etwa rechtlich (Datenhaltung und anwendbares Recht), technisch (nachvollziehbarer Stack, Interoperabilität), organisatorisch (Betriebs- und Vertragsmodelle) und wirtschaftlich (Abhängigkeiten). STACKIT beschreibt sein Angebot entlang dieser Dimensionen und ist mit seinem Rechenzentrumsbetrieb in Deutschland und Österreich für unsere und die Anforderungen unserer Kunden die optimale Wahl.

Sie sprechen von der Unabhängigkeit von einzelnen Hyperscalern – meist sind damit die großen US-Anbieter gemeint. Beobachten Sie bei Ihren Kunden einen spürbaren Wandel: Wird heute gezielt nach alternativen Betriebsmodellen jenseits der klassischen Public Cloud gefragt?

Martin Mangold: Aus Kundensicht geht es meist um zwei Ebenen: erstens um Jurisdiktion und Kontrolle über den Technologie‑Stack – und zweitens um die Frage, welche Abhängigkeiten man bei Betrieb und Plattform‑Komponenten eingeht. Wir haben hier unsere „Hausaufgaben“ gemacht. Konkret heißt das: Wir haben unsere Lösung so vorbereitet, dass sie nicht an einen bestimmten Hyperscaler gebunden ist, sondern dass sie im selben Leistungsumfang in einer souverän ausgerichteten Cloud betrieben werden kann.

„Hausaufgaben“ klingt nach viel Umbau. Was mussten Sie technisch und organisatorisch tatsächlich ändern, damit dieses souveräne Modell möglich wird?

Martin Mangold: Wir haben über ungefähr anderthalb Jahre sehr intensiv am Backend‑Software‑Stack gearbeitet – also an den Komponenten, die den Betrieb und die Portabilität der Lösung ermöglichen. Ziel war es, unsere Plattform so zu optimieren und anzupassen, dass wir auf unterschiedlichen Umgebungen stabil laufen können. Erst dadurch entsteht die Möglichkeit, Kundinnen und Kunden echte Wahlfreiheit zu geben: nicht nur bei unseren umfangreichen Endpoint Security Modulen, sondern eben auch beim Betriebsmodell.

DriveLock betont immer wieder, dass Souveränität in Ihrem Verständnis nicht gleichzusetzen ist mit „Abschottung“. Warum?

Martin Mangold: Weil Souveränität aus unserer Sicht nicht bedeutet, sich grundsätzlich von allem zu entkoppeln. Es geht darum, Entscheidungen treffen zu können und handlungsfähig zu sein – und zwar entlang der eigenen Risikobewertung, regulatorischen Vorgaben und Betriebsrealitäten. Für unsere Kunden bedeutet das konkret: Sie können zukünftig wählen, ob sie die Lösung on premises, in einer Public‑Cloud‑Variante oder in einer souveränen Cloud betreiben. Und parallel dazu können sie – wie bisher – die für ihre Sicherheitsstrategie und -architektur passenden Security-Module kombinieren. Das ist für mich der praktische Kern von digitaler Souveränität: Optionen zur Verfügung stellen, statt Optionen zu beschneiden.

Für welche Organisationen ist ein souveränes Cloud‑Betriebsmodell aus Ihrer Sicht besonders relevant?

Martin Mangold: Vor allem für Umgebungen, in denen die regulatorischen Anforderungen hoch sind – und für den öffentlichen Sektor. Dort hat das Thema Souveränität häufig einen besonderen Stellenwert, weil nicht nur klassische IT‑Risiken adressiert werden müssen, sondern auch Governance‑, Beschaffungs‑ und Compliance‑Vorgaben. Wenn eine Organisation hier Cloud nutzen möchte, aber gleichzeitig den Unterbau und die Abhängigkeiten sehr bewusst steuern muss, dann ist ein souveränes Betriebsmodell eine ernstzunehmende und wichtige Alternative.

Wenn wir den Blick auf die DriveLock HYPERSECURE Platform selbst richten: Welche Sicherheitsfunktionen und architektonischen Prinzipien sind aus Ihrer Sicht entscheidend, um die Anforderungen von KRITIS-Organisationen und Hochsicherheitsumgebungen zuverlässig zu erfüllen?

Martin Mangold: Wir haben bewusst die DriveLock HYPERSECURE Platform als integrierte Endpoint Security Platform konzipiert, die zentrale Sicherheitsfunktionen in einem konsistenten Ansatz bündelt. Dazu gehören unter anderem Application Control zur konsequenten Steuerung ausführbarer Software, Device Control zur Kontrolle externer Schnittstellen und Datenträger sowie Verschlüsselungs- und Datenkontrollmechanismen, die den Schutz sensibler Informationen über ihren gesamten Lebenszyklus hinweg unterstützen.

Diese Architektur adressiert gezielt die Anforderungen von Organisationen aus dem KRITIS-Umfeld und aus Hochsicherheitsbereichen, in denen präventive Schutzmechanismen, Transparenz und regulatorische Konformität eine zentrale Rolle spielen. Ein wesentlicher Bestandteil dieses Ansatzes ist, dass DriveLock in Deutschland entwickelt wird – mit dem Ziel, technologische Kontrolle, Nachvollziehbarkeit und langfristige Verlässlichkeit für Kunden sicherzustellen, die Sicherheit und Souveränität nicht nur als Compliance-Thema, sondern als operative Notwendigkeit verstehen.

Wenn wir es aus Perspektive von Security‑Architekturen betrachten: Was ändert sich, wenn eine Endpoint‑Security‑Plattform „in die Cloud“ verlagert wird – und warum ist der Unterbau dabei so entscheidend?

Martin Mangold: Zunächst einmal bleibt der Endpoint der Endpoint – und die Sicherheitswirkung muss dort greifen, wo Risiken entstehen: bei Geräten, Anwendungen, Schnittstellen. Was sich in Cloud‑Szenarien verändert, ist häufig die Betriebs‑ und Vertrauenskette: Wo laufen zentrale Management‑Komponenten, wo liegen Logs, Policies und Steuerungselemente, welche Plattform‑Bausteine sind beteiligt und wer kontrolliert sie? Genau deshalb ist der Unterbau relevant. Wir wollten hier ein Betriebsmodell anbieten, bei dem die Souveränitätsanforderungen nicht erst „obendrauf“ diskutiert werden, sondern im Stack mitgedacht sind.

Sie sprechen von „vollem Funktionsumfang“ in der souveränen Variante. Gibt es Einschränkungen – oder ist das wirklich eine gleichwertige Option?

Martin Mangold: Unser Anspruch ist, dass Kundinnen und Kunden auch in der hochsouveränen Bereitstellung den vollen Funktionsumfang nutzen können. Wir wollten kein „abgespecktes“ Sondermodell bauen, sondern ein echtes drittes Betriebsmodell neben on premises und Public Cloud zur Verfügung stellen.

Sie sprechen auch von „Ende‑zu‑Ende‑Souveränität“ – vom abgesicherten Endpunkt bis hin zur Kollaboration. Was ist mit diesem Begriff gemeint?

Martin Mangold: Wenn man Souveränität ernst nimmt, endet sie nicht am Notebook. Der Endpunkt ist ein Startpunkt: Wir sichern ihn ab und schützen damit auch den Zugang in Cloud‑Dienste – beispielsweise, indem wir das Ausführen nicht autorisierter Software begrenzen oder Schnittstellen und Datenträger kontrollierbar machen. Wenn man das dann weiterdenkt, stellt sich die nächste Frage: Wie tausche ich Daten mit Dritten aus – Partnern, Dienstleistern, Behörden – ohne Souveränität und Kontrolle zu verlieren?

Genau an der Stelle passt die Kombination der DriveLock HYPERSECURE Platform mit den Lösungen unseres Tochterunternehmens idgard: Neben dem abgesicherten Endpoint bekommt man hier zusätzlich eine Möglichkeit, Kollaboration und Datenaustausch in einer hochsicheren, souveränen Cloud-Umgebung zu gestalten.

idgard ist eine Plattform für sicheren Datenaustausch und virtuelle Datenräume. Sie wird – ebenso wie DriveLock – in Deutschland entwickelt. Die „Sealed‑Cloud“‑Technologie schützt vor unbefugtem Datenzugriff.

Wir bieten ein Betriebsmodell, bei dem die Souveränitätsanforderungen nicht erst „obendrauf“ diskutiert werden, sondern im Stack mitgedacht sind.

Martin Mangold, DriveLock SE

Zum Schluss: Was ist aus Ihrer Sicht der wichtigste Impuls für IT Security Verantwortliche, die digitale Souveränität nicht nur diskutieren, sondern konkret machen wollen?

Martin Mangold: Ich würde den Fokus auf Umsetzbarkeit legen – und auf klare Entscheidungsoptionen. Souveränität ist dann hilfreich, wenn sie in der Praxis handhabbar wird: als Wahl zwischen Betriebsmodellen, als Transparenz über Abhängigkeiten, als Möglichkeit, Security‑Kontrollen konsistent einzusetzen.

Herr Mangold, wir danken Ihnen für das Gespräch.