#129 - Mehr als nur Server in Europa: Was Digitale Cloud-Souveränität wirklich bedeutet

Digitale Souveränität ist die strategische Entscheidung über die Kontrolle deiner Daten, Technologien und Operations. Im Gespräch mit Marc Achsnich decken wir die drei entscheidenden Dimensionen der Cloud-Souveränität auf und zeigen, wie du von der Theorie zur praktischen Umsetzung kommen.

Souveränität beginnt dort, wo du wirklich die Kontrolle über deine Daten und Technologien übernimmst.

Marc Achsnich Head of Cloud  synaigy GmbH
„Trump ist unser bester Vertriebler.“ – Mit dieser provokanten These startete ein Gespräch zwischen Joubin Rahimi und Marc Achsnich. Und so absurd das zunächst klingt, steckt doch Wahrheit darin: Kaum ein Thema hat in diesem Jahr so viel Aufmerksamkeit erzeugt wie digitale Souveränität. Unternehmen sind aufgeschreckt, unsicher und fragen sich: Wie viel Kontrolle haben wir eigentlich noch über unsere Daten und Technologien?

Was Souveränität wirklich bedeutet – jenseits von „Server in Europa“

Viele setzen Souveränität fälschlicherweise mit „deutscher Cloud“ oder „Rechenzentrum in Europa“ gleich. Das greift zu kurz. Souveränität bedeutet vor allem Freiheit und Kontrolle: Du steuerst, wer wann welche Daten sehen darf (Datensouveränität), du wählst Technologien unabhängig und behältst Wahlfreiheit über deren Einsatzdauer (technologische Souveränität), und du sicherst die juristische Trennung gegenüber außereuropäischen Zugriffsrechten (operationale Souveränität). Gerade die operative Ebene wird häufig unterschätzt. Hier geht es nicht nur um die physische Datenlokation, sondern um rechtliche Abschirmung gegenüber extraterritorialen Gesetzen wie dem US Cloud Act – ein zentraler Punkt für regulierte Branchen, kritische Infrastrukturen und Unternehmen mit hohem Compliance-Anspruch. Schlagworte, die du kennen solltest • Digitale Souveränität, Datensouveränität, technologische Souveränität, operationale Souveränität • Cloud-Compliance, Datenschutz, Datenlokation, Rechenzentrum EU, Rechtsraumtrennung • Cloud Act, FIS-Themen, Schrems-Entscheidungen (Schrems I/II/III), Schutzbedarfsanalyse

Rechtlicher Kontext: Schrems-Entscheidungen, FIS/Cloud-Act & Co.

Der transatlantische Datentransfer bleibt ein dynamisches Feld. Schrems-Urteile und fortlaufende Anpassungen zeigen, wie sensibel der Rechtsrahmen ist. Für dich bedeutet das: Compliance ist kein Zustand, sondern ein Prozess. Was heute zulässig ist, kann morgen strittig sein – und umgekehrt. Deshalb brauchst du ein Governance-Modell, das Rechtsprechung und Standardvertragsklauseln (SCCs) nicht nur kennt, sondern operationalisierbar macht.

Eine praxisnahe Leitfrage: Welche Datenkategorien verarbeitest du, welcher Rechtsraum ist involviert und welche Schutzmaßnahmen sind nachweisbar etabliert? Erst aus dieser Kombination ergeben sich belastbare Entscheidungen zu Provider-Wahl, Betriebsmodell (Public, Private, Hybrid), Verschlüsselung und Netzwerksegmentierung.

Schutzbedarfsanalyse: der pragmatische Einstieg in Datensouveränität

Nicht alle Daten sind gleich kritisch. Genau deshalb ist die Schutzbedarfsanalyse dein bestes Werkzeug, um angemessene Sicherheitsniveaus festzulegen – effizient, auditierbar und skalierbar. • Unkritische Informationen (z. B. öffentlich verfügbare AGB): geringe Schutzanforderung. • Vertrags- und Geschäftsdaten: Ende-zu-Ende-Verschlüsselung, gesicherte Speicherdienste, klare Berechtigungen. • Hochsensible Daten (Gesundheitsdaten, Rezepturen, KRITIS-Bezug): Zonenkonzepte, eigene Netzsegmente, strikte Schlüsselverwaltung und juristisch abgeschirmte Betriebsmodelle. Ziel ist Verhältnismäßigkeit: maximaler Schutz, wo nötig und ein schlanker Betrieb, wo möglich. So verbindest du Compliance, Risiko-Reduktion und Kosteneffizienz.

Von der Strategie zur Umsetzung: Provider-Interpretationen und Betriebsmodelle

Marktführer interpretieren „Souveränität“ unterschiedlich, von europäisch betriebenen Clouds über Customer-Managed Keys bis hin zu rechtlich entkoppelten Betriebsmodellen. Entscheidend ist, dass du die Angebote anhand deiner Schutzbedarfe, Use Cases und Audit-Anforderungen bewertest. Unser Whitepaper hilft dabei, Begriffe zu entwirren, Architekturoptionen einzuordnen und Entscheidungsvorlagen zu schaffen.

    Praxisnutzen

    • Klarheit über Daten-Kritikalität und Rechtsräume
    • Abgleich mit Provider-Capabilities (z. B. Datenlokation, Schlüsselhoheit, Supportmodell)
    • Roadmap von „Quick Wins“ bis „Target Operating Model“

    Du möchtest dir die Folge in voller Länge anhören?
    Hier findest du den Podcast des Interviews:

    Du möchtest dir die Folge lieber ansehen? Kein Problem!
    Hier findest du eine Aufzeichnung des Interviews:

    Du möchtest lieber lesen? 

    Hier ist der Inhalt:

    Joubin Rahimi

    Grandios, dass ihr wieder dabei seid zu einer neuen Folge von Insights! Mein Name ist Joubin Rahimi und heute mit dabei: Marc Achsnich. Hallo Marc.

     

    Marc Achsnich

    Hi Joubin.

     

    Joubin Rahimi

    Und wir haben ein ganz spannendes Thema. Bevor wir losstarten, erst mal eine Anekdote dazu. Und zwar: Bei einem unserer Partner durfte ich einen Webcast halten und hatte Slides vorbereitet, wo dass ich Trump drauf hatte und gesagt habe: Trump ist unser bester Vertriebler. Wollten sie nicht drauf haben, weil sie haben auch Amerika-Geschäft und haben Angst davor, dass es dafür einen Rüffel gibt. Und das verstärkt einfach noch mal diese Vertriebsmentalität von Trump, denn es geht das Thema Souveränität, was in diesem Jahr doch einfach so einen richtigen Boost bekommen hat. Deswegen freue mich total, dass Marc da ist. Marc ist Fellow bei der TIMETOACT GROUP. Das sind unsere Spezialisten, Trusted Advisor über die gesamte Gruppe und macht das Thema Managed Services. Und gerade auch Souveränität ist dir ja ans Herz gewachsen über die letzten Jahre, dann innerhalb der synaigy. Aber Souveränität, jetzt habe ich gesagt, das ist das beste Vertriebspferd im Stall bei uns, also Trump. Ist das so? Nimmst du das auch so wahr?

     

    Marc Achsnich

    Ja, auf jeden Fall. Also am Ende ist es so, dass wir jetzt auch viele neue Anfragen bekommen haben aus Bereichen, die vielleicht vorher gar nicht so typisch gewesen sind, die jetzt auch einfach Aufregung spüren, Verunsicherheiten haben und einfach nicht wissen, wie sie das jetzt für sich beurteilen sollen.

     

    Joubin Rahimi

    Ist es denn Souveränität? Man hört das ja ganz häufig so: Da nimmst du irgendwas deutsches oder europäisches. Bin ich damit gleich souverän Oder wie geht man da richtig ran?

     

    Marc Achsnich

    Ja, das ist tatsächlich ein bisschen komplizierter. Verrückt? Ja, es ist nicht immer ganz einfach. Und zwar, das Thema ist, wenn die Leute von Souverän sprechen, meinen die damit meistens einfach nur, irgendwas soll verschlüsselt sein oder es muss halt irgendwo in Deutschland liegen. Aber der Grundgedanke geht einfach ein Stück tiefer in das Detail, weil es geht eher die Freiheit. Und der Souveränitätsgedanke wird in drei Richtungen gespielt. Der eine ist die Freiheit über die Kontrolle seiner Daten. Das heißt, man ist in dem Bereich datensouverän, wenn man einfach entscheiden kann, wer wann, welche Daten sehen darf. Dann gibt es die technologische Souveränität, wo man einfach frei entscheiden kann, welche Technologie eingesetzt wird und dort dann auch beispielsweise, solange die einsetzen möchte oder auch nur einsetzen muss, so lange, wie man es möchte. Und der dritte Part, und das wäre dann genau dieser Part von Europa, ist ja einfach die operationale Souveränität. Und da geht es dann darum, dass dann nicht nur das Rechenzentrum in Europa liegt, sondern dass dann die auch so juristisch voneinander getrennt sind, dass durch den FIS Act oder den Cloud Act jetzt konkret dann keine Daten dann ermittelt werden können.

     

    Joubin Rahimi

    Was ist genau der FIS Act? Weil ich glaube, das ist ein ganz wichtiger Bestandteil in der Diskussion.

     

    Marc Achsnich

    Der FIS Act, das war im Prinzip immer eine Art von Katz-und-Maus-Spiel. Und zwar gibt es Gesetzesentwürfe, Entwürfe von Amerika beispielsweise, und die werden dann angefochten. Und da ist genau dann einer dieser Fälle, dass dann einfach festgestellt wurde, dass da Klauseln drin sind, die für unseren Staat einfach nichtig sind.

     

    Joubin Rahimi

    Ich glaube, wenn jemand googeln will, ist es Schrems. Genau, Schrems. Schrems. Nein, Schrems.

     

    Marc Achsnich

    Genau, und da gibt es Schrems eins, Schrems zwei, weil er einfach schon zwei Versuche hat. Und ich meine, es gibt mittlerweile, ich weiß nicht, ob schon der veröffentlicht wurde, den Schrems drei oder der ist jetzt gerade noch auf dem Weg raus.

     

    Joubin Rahimi

    Und was würdest du einfach Kunden und Unternehmen raten, die sagen, Souveränität ist mir wichtig, was sie tun sollten?

     

    Marc Achsnich

    Da wiederum, es kommt halt drauf an, was sie jetzt konkret meinen. Oder brauchen. Genau, was sie meinen und was sie brauchen, weil letztendlich ist es so, dass auch gerade beispielsweise die Datensouveränität ist ein Part, der vielleicht nicht in jedem Fall immer gleich wichtig oder gleich zu behandeln ist. Genauso geht es halt die technologische Souveränität.

     

    Joubin Rahimi

    Datensouveränität im Sinne von, wenn ich Krankendaten habe oder Produktdaten, Rezepturen, dann will ich das vielleicht nicht teilen?

     

    Marc Achsnich

    Genau, also ganz einfach ausgedrückt. Eine öffentliche AGB, die ist sowieso irgendwo im Internet, die kann da liegen, wo man sie hinlegen möchte. Die muss nicht verschlüsselt sein. Hat man jetzt irgendwelche Vertragsdaten, dann sollten die einfach verschlüsselt sein, aber das ist halt trotzdem egal, wo die liegen. Sind das jetzt Daten aus Kriegbetreibern oder Gesundheitsdaten, da muss man sich in diesem Bereich einfach schon mehr Gedanken machen, wie man die jetzt schützt und dann reicht es auch beispielsweise nicht davon aus, dass man sie einfach schützt. Man braucht ein eigenes Netzwerk, Zonenkonzept und Sonstiges. Das heißt, die Hürde, wie man Daten schützen muss, ist einfach unterschiedlich, je nach Datengüte.

     

    Joubin Rahimi

    Hast du ein Hilfsmittel oder ein Werkzeug dabei, um schnell herauszufinden, wie viel Schutz brauche ich oder wie tief sollte ich in das Thema Souveränität einsteigen?

     

    Marc Achsnich

    Überraschenderweise ja.

     

    Joubin Rahimi

    Nein.

     

    Marc Achsnich

    Das einfache Hilfsmittel heißt Schutzbedarfanalyse und wir hatten uns aber auch Gedanken gemacht. Und zwar, es kam immer wieder die Frage, auch generell zur Souveränität und auch haben wir bemerkt, dass das in den letzten Monaten und Wochen einfach immer weiter zugenommen hat. Und dann haben wir uns einfach die Zeit genommen, um das einfach noch mal zu bewerten und genauer zu beschreiben. Und in In diesem Zusammenhang haben wir beispielsweise jetzt ein Whitepaper herausgebracht, wo wir an sich einmal nüchtern beschreiben, was jetzt in Summe die Souveränität ist, warum die auch wichtiger wird, warum die beispielsweise jetzt in den Medien ist und man vor zwei Jahren gar nichts davon gehört hat. Da konntest du Souveränität sagen und die Leuten war es einfach konkret egal. Und das ist einfach in diesem Jahr komplett anders. Und dafür haben wir jetzt endlich das Whitepaper geschrieben, das einfach all diese Sachen beurteilt und gleichermaßen dann im nächsten Schritt aber auch sagt, wenn jetzt Souveränität ein gewisses Maß an Schutz bedeutet, wie interpretieren das die einzelnen Provider für sich?

     

    Joubin Rahimi

    Dann würde ich sagen, also entweder wir sind in dem Video irgendwo in der Nähe des Whitepapers, dann könnt ihr es einfach direkt runterladen, wahrscheinlich mit einer kleinen Datenwall. Wir freuen uns immer auf eure Kontaktdaten. Wo speichern wir die eigentlich?

     

    Marc Achsnich

    Bei der OVH.

     

    Joubin Rahimi

    Bei der OVH? Ist der verrückt? Also souverän.

     

    Marc Achsnich

    So ist das.

     

    Joubin Rahimi

    Genau. Und wir rufen dann auch an. Wir gehen auch gerne in den Dialog. Wenn es dann nicht passt, dann ist das auch vollkommen okay. Falls ihr uns aber auf dem Video seht, wo wir nicht direkt in der Nähe des Whitepapers seid, schreibt mir Marc Achsnich an, auf LinkedIn gut zu finden oder auch mich und wir senden euch das zu. Marc, danke für die Insights und danke auch für das Whitepaper und die ganzen Checklisten, die du erstellst. Gerne doch. Ja, und danke fürs Zuhören und Zuschauen.

     

    Du hast Fragen oder Feedback?

    Dann kontaktiere uns gerne direkt.

    Joubin Rahimi
    Managing Partner synaigy GmbH

    Vertiefe dein Wissen mit uns

    Jetzt Blog abonnieren und keine News mehr verpassen

    ✔️kostenlos ✔️jede Woche News ✔️Expertenwissen

    Bleiben Sie mit dem TIMETOACT GROUP Newsletter auf dem Laufenden!