Digitale Souveränität ist eine zentrale Aufgabe für die Sicherheit und Verfügbarkeit der IT. Die Fähigkeit, eigene Entscheidungen über digitale Infrastruktur, Daten und Technologien zu treffen, ist dabei mit einem Serverstandort im Inland allein nicht sichergestellt.
Quelle: Bitdefender
Die Absicht, extraterritoriale Datenzugriffe durch Behörden, Richter, Hersteller oder Cloud Provider wirksam zu verhindern, scheitert leider oft an strukturellen, wirtschaftlichen und kulturellen Hindernissen.
Was den Wandel bremst
Da sind zum einem lieb gewordene Abhängigkeiten: Microsoft 365 mitsamt seinen Tools, Kommunikations- und Kollaborationslösungen ist in der Regel tief integriert, eine Migration aufwändig. Ähnliches gilt für AWS-basierte DevOps-Pipelines oder Google-Cloud-AI-Plattformen.
Viele Tools sind zudem für Mitarbeiter selbstverständlich, souveräne Alternativen erstmal kompliziert. Zugegebenermaßen sind nicht alle EU-nativen Alternativen vollständig ausgereift. Die Folge davon ist oft die Emigration in die Schatten IT: Abteilungen melden sich nur für den Anschein einer Compliance an und arbeiten tatsächlich mit den alten Tools weiter.
Der Mangel an Ressourcen ist ein zusätzliches Problem: Souveräne Alternativen verursachen zunächst Implementierungskosten für Hardware, Lizenzen und IT-Personal, die vorher in der Public- Cloud ausgelagert waren. Eine Migration etwa einer 10.000-Nutzer-Organisation von Microsoft 365 dauert erfahrungsgemäß 18 – 36 Monate. Auch ein Zurück zu On-Premises verursacht Mehraufwand und Mehrkosten.
Die Verantwortlichen kennen zudem die rechtlichen Anforderungen nicht. Übervorsichtige Entscheider denken, dass ein Zugriff nach Cloud Act immer möglich sei, obgleich er an einen gerichtlichen Beschluss gekoppelt ist. Andere verlassen sich darauf, dass ein inländischer Standort der Daten einen Zugriff von außen ausschließt. Manche glauben, vor dem Ernstfall sei das Risiko nur hypothetisch. Schon ein nicht dokumentiertes Lieferkettenrisiko ist aber an sich ein bußgeldrelevanter Verstoß gegen NIS2.
Cybersicherheits-Tools als besonders sensible Kategorie
Gerade in der Cybersicherheit ist die Ausgangslage besonders sensibel. Diese Tools verarbeiten Telemetriedaten von Endpunkten, Netzwerk und Applikationen. Sie können Aufschluss über Schwachstellen, Netzwerktopologien oder Nutzerverhalten geben und geheimnisschutzrelevante Informationen bei Regierungs- und Rüstungsunternehmen offenlegen. Gerade hier sind Hersteller solcher Lösungen in der Pflicht – europäische Anbieter haben hier einen großen Vorteil.
Souveränität benötigt letzten Endes geeignete Partner: Hersteller von Sicherheitslösungen und Cloudprovider, die einen EU-inländischen Standort gewährleisten, sowie Sicherheitsexperten, deren Mitarbeiter unter EU-Gesetzen arbeiten. Das lässt sich am besten mit europäischen Herstellern von Sicherheitstechnologien oder Cloudanbietern erreichen.
Für Organisationen, die US-Security-Anbieter nicht kurzfristig ersetzen können oder wollen, bieten sich folgende Maßnahmen an:
➤ Europäische Cloud-Anbieter bieten Souveränität und Sicherheit ohne Einbußen bei Funktionalität oder Innovation.
➤ Air-Gap-Installationen schützen höchst sensitive Daten bei völliger Trennung vom Netz.
➤ Eine eigene Verwaltung der Verschlüsselungsschlüssel (Bring Your Own Key, BYOK) verhindert, dass ein Anbieter auf die Daten im Klartext zugreifen und diese herausgeben kann.
Ein Verzicht auf Souveränität ist keine Option. Abhilfe eine reale Möglichkeit. Dabei kommt es aber auf den richtigen Partner an – einen europäischen Partner.
