Sovereign Clouds sind Cloud-Architekturen, die in einem bestimmten Land oder einer bestimmten Region betrieben werden und die gesetzlichen und ethischen Datenschutzstandards einer zuständigen Behörde erfüllen. Eine Sovereign Cloud stellt sicher, dass alle Daten einschließlich Metadaten auf souveränem Hoheitsgebiet verbleiben und verhindert so, dass andere Nationen auf Daten regulierter Einrichtungen zugreifen können.
Da die meisten Cloud-Plattformen von US-amerikanischen Hyperscalern betrieben werden, machen sich Unternehmen Sorgen, dass ihre Daten in die Hände dieser Cloud-Service-Provider (CSPs) gelangen. Gesetze wie der Cloud Act (Clarifying Lawful Overseas Use of Data Act), der Organisationen dazu verpflichtet, ihre Daten an US-Behörden weiterzugeben – wann immer diese dies verlangen, selbst wenn die Daten in anderen Ländern gespeichert sind –, verschärfen die Situation zusätzlich.
Auf der Suche nach digitaler Souveränität setzen staatliche Stellen und Organisationen mit geschäftskritischen Workloads auf Sovereign Clouds, die garantieren, dass Daten lokalen Datenschutzgesetzen entsprechen.
Welchem Zweck dient eine Sovereign Cloud?
Sovereign Clouds wurden entwickelt, um offizielle Regierungsdaten, Daten des öffentlichen Sektors und andere regulierte Daten durch strenge Datenschutzvorkehrungen zu schützen und den Zugriff anderer Nationen oder Unternehmen darauf zu verhindern.
Länder erlassen aus verschiedenen Gründen Datenvorschriften – etwa aus Gründen der nationalen Sicherheit oder zum Schutz personenbezogener Daten ihrer Bürger. Die zunehmende Fragmentierung der Datenregulierung entlang nationalstaatlicher Grenzen hat jedoch den Nebeneffekt, dass die internationale Wettbewerbsfähigkeit von Unternehmen erheblich beeinträchtigt wird.
Das wachsende Geflecht bürokratischer Hürden in der internationalen digitalen Wirtschaft stellt zudem eine erhebliche finanzielle Hürde und eine rechtliche Zeitbombe dar, insbesondere für multinationale Unternehmen aus den Bereichen Banken, Gesundheitswesen und Versicherungen.
Um diese Herausforderungen zu bewältigen, werden Sovereign Clouds geschaffen, die die miteinander konkurrierenden Bedürfnisse von Regierungen und Unternehmen miteinander verbinden. Sie ermöglichen es Ländern, ihre Datensouveränität zu wahren, und Unternehmen, in einer vernetzten globalen digitalen Wirtschaft wettbewerbsfähig zu bleiben.
Sovereign Clouds beruhen auf drei grundlegenden Prinzipien:
Datensouveränität
Im Rahmen der Datensouveränität können keine unbefugten Parteien auf Kundendaten zugreifen – nicht einmal die Mitarbeiter des jeweiligen Cloud-Anbieters, bei dem die Daten gespeichert sind. Außerdem können Nutzer ihre Informationen mit einer lokal verwalteten Verschlüsselungsschlüsselverwaltung verschlüsseln.
Betriebliche Souveränität
Betriebliche Souveränität bietet vollständige Transparenz über den Cloud-Betrieb und ermöglicht Nutzern eine umfassende End-to-End-Sicht darauf, wie ihre Daten gespeichert und abgerufen werden.
Software-Souveränität
Software-Souveränität gibt Kunden die Gewissheit, dass sie ihre Workloads jederzeit und überall ausführen können, ohne an einen einzigen CSP gebunden zu sein. Durch die Vermeidung von Abhängigkeiten wird es einfacher, Anwendungen und Services jederzeit auf eine andere IT-Infrastruktur zu migrieren, beispielsweise auf eine unternehmenseigene Infrastruktur.
Für wen sind Sovereign Clouds gedacht?
Sovereign Clouds eignen sich für jedes Unternehmen, das Daten in mehreren Ländern oder Regionen erhebt, speichert und verarbeitet. Besonders relevant sind sie für Unternehmen in stark regulierten Branchen wie der öffentlichen Versorgung, dem Gesundheitswesen, dem Versicherungswesen und dem Finanzsektor, die besonderen Vorschriften wie HIPAA für US-amerikanische Gesundheitsunternehmen oder PCI und EBA im Bankwesen unterliegen.
Staatliche Behörden nutzen Sovereign Clouds schließlich bereits seit mehreren Jahren, um vertrauliche Daten aus Gründen der nationalen Sicherheit zu schützen.
Laut IDC FutureScape: Worldwide Cloud 2023 werden bis 2024 40 % der G2000 10 % ihrer Daten in eine Sovereign Cloud verlagern, um Anforderungen an die Datenkonformität und technische Vorgaben zu erfüllen. Bis 2025 werden 55 % von ihnen Multicloud-Datenlogistikplattformen einsetzen.
Was leisten Sovereign Clouds?
Sovereign Clouds schützen sensible Daten und gewährleisten Zugriffskontrollen gemäß den geltenden Datenschutzgesetzen der Gerichtsbarkeit, also des Landes oder der Region, in der sich die Daten befinden und erhoben werden.
Sie bieten Schutz, Autonomie, Compliance und Leistungsfähigkeit, um den Nutzen für alle beteiligten Parteien zu maximieren: Verbraucher, Unternehmen, Cloud-Service-Provider und Nationalstaaten.
Schutz
Sovereign Clouds schützen sensible Daten wie Kreditinformationen, IP-Adressen und Geolokalisierungsdaten gemäß den Standards des Ortes, an dem diese Daten erhoben und gespeichert werden.
Die deutsche Sovereign Cloud beispielsweise, die in Zusammenarbeit mit T-Systems und Google Cloud entwickelt wurde, schützt Daten, die von in Deutschland geschäftlich tätigen Organisationen erzeugt, erhoben und gespeichert werden – unabhängig davon, ob sich diese physisch dort befinden.
Deutschland teilt Daten jedoch mit vertrauenswürdigen Nationalstaaten, Unternehmen und Clouds. Aufgrund des Cloud Act von 2018 dürfen beispielsweise in den USA ansässige Unternehmen auf Daten zugreifen, die sie in Deutschland verwalten.
Wer zum Zugriff auf Daten in einer Sovereign Cloud berechtigt ist und wer nicht, kann sich infolge geopolitischer Konflikte ändern, wie sie derzeit in der Ukraine ausgetragen werden. Die Entfernung von sieben russischen Banken aus dem SWIFT-Nachrichtensystem ist ein Beispiel für die Volatilität der globalen Datenwirtschaft infolge von Sanktionen gegen ein Land.
Autonomie
Sovereign Clouds bieten sowohl Unternehmen als auch Ländern Autonomie und geben Ländern ein Mitspracherecht bei der Verarbeitung von Daten innerhalb ihrer Gerichtsbarkeit. Sie wirken der Dominanz von CSPs mit Sitz in den USA wie AWS, Azure und Google auf dem Markt entgegen, indem sie sicherstellen, dass Unternehmen nicht gezwungen sind, diese Anbieter zu nutzen.
Da die Migration von Cloud-Daten oft umständlich ist, werden Unternehmen schnell von einem der großen Anbieter abhängig. Sovereign Clouds ermöglichen die Portabilität und Unabhängigkeit von Anwendungen, sodass Unternehmen problemlos den Anbieter wechseln können, ohne Leistung oder Sicherheit zu beeinträchtigen.
Die Open Telekom Cloud von Germany ist ein Beispiel für einen in Deutschland entwickelten und betriebenen Wettbewerber auf dem Markt für Public Clouds.
Compliance
Sovereign Clouds schützen vor sich ändernden Vorschriften wie der Einführung der DSGVO im Jahr 2018 in der EU oder vor Sicherheitsbedrohungen infolge geopolitischer Konflikte.
Wie bereits erwähnt, geben Sovereign Clouds Unternehmen außerdem Autonomie bei der Wahl der von ihnen eingesetzten CSP(s). Anbieter von Sovereign-Cloud-Services verfügen über integrierte Kontrollen, die Unternehmen vor Verstößen schützen. So führt ein Sovereign-Cloud-Anbieter regelmäßige Audits ausschließlich gemäß den aktuell geltenden Vorschriften der Gerichtsbarkeit am Ort durch, an dem die Daten Ihres Unternehmens erhoben und gespeichert werden.
Leistungsfähigkeit
Trotz der staatlichen Regulierung, die Sovereign Clouds zugrunde liegt, ermöglichen sie Unternehmen, ihre Geschäfte in der Cloud zu betreiben, ohne Leistungseinbußen hinnehmen zu müssen. Sovereign Clouds sind effiziente und skalierbare Lösungen, mit denen Unternehmen Daten schnell und sicher in die Cloud übertragen können und dabei konform bleiben.
Wie werden Sovereign Clouds erstellt?
Ihre Organisation kann einige einfache, konkrete Schritte unternehmen, um eine Sovereign-Cloud-Lösung zu implementieren. Dazu gehören zunächst die Planung und Festlegung Ihrer Ziele, anschließend die Klassifizierung Ihrer Daten und schließlich die Auswahl eines qualifizierten Service-Providers.
1. Eine Sovereign Cloud planen
Bevor Sie sich für eine Sovereign Cloud entscheiden, legen Sie anhand der drei Säulen Datensouveränität, Software-Souveränität und betriebliche Souveränität Ihre Souveränitätsziele fest (siehe oben). Anschließend können Sie mit der Klassifizierung Ihrer Daten beginnen.
2. Datenklassifizierung
Kategorisieren Sie Ihre Workloads und Daten nach ihrem Sensibilitätsgrad. Abhängig davon können Sie anschließend die erforderlichen Sicherheitsmaßnahmen umsetzen. Stellen Sie außerdem sicher, dass der CSP Ihre Daten durchgehend verschlüsselt.
3. Auswahl eines Service-Providers
Wählen Sie einen qualifizierten Cloud-Anbieter aus, der die Souveränitätsanforderungen erfüllt, insbesondere in Bezug auf Datenresidenz, Kontrolle durch die zuständige Gerichtsbarkeit, Datensouveränität und grenzüberschreitende Datenübermittlung.
Anbieter von Sovereign Clouds
Um die Datenschutz- und Compliance-Anforderungen ihrer Kunden zu erfüllen, bieten Cloud-Anbieter Sovereign-Cloud-Services an, die den Datenschutzgesetzen verschiedener Länder und Branchen entsprechen. Hier sind einige der zuverlässigsten Anbieter.
Google Sovereign Cloud
Die Google-Plattform bietet Tools, mit denen Kunden ihre Souveränitätsanforderungen erfüllen können. Für europäische Kunden hat GCP beispielsweise Assured Workloads entwickelt, die eine Reihe strenger Sicherheitskontrollen bereitstellen und es Behörden sowie stark regulierten Organisationen ermöglichen, Compliance-Anforderungen zu erfüllen.
Mit Assured Workloads erhalten Kunden problemlos Kontrollen für die Datenresidenz, Kontrollen des Personalzugriffs, Echtzeitüberwachung auf Compliance-Verstöße und die automatische Durchsetzung von Bereitstellungsstandorten für Produkte.
VMware Sovereign Cloud
VMware Sovereign Cloud basiert auf den folgenden Prinzipien:
- Datensouveränität und Kontrolle durch die zuständige Gerichtsbarkeit
- Datenzugriff und -integrität
- Datensicherheit und Compliance
- Datenunabhängigkeit und Mobilität
VMware-Cloud-Anbieter, die Teil der Initiative VMware Sovereign Cloud sind, sind Cloud Verified und können mandantenfähige Hybrid-Clouds bereitstellen, während sie zugleich die Souveränität der zuständigen Gerichtsbarkeit und den Datenschutz wahren.
Oracle Sovereign Cloud
Um Souveränitätsanforderungen zu erfüllen, bietet Oracle Cloud Infrastructure (OCI) mehrere Bereitstellungsmodelle an, die die Datenschutz-, Datenresidenz-, Sicherheits- und Compliance-Anforderungen seiner Kunden erfüllen.
Oracle Sovereign-Cloud-Regionen ermöglichen Kunden, ihre Optionen anzupassen, einschließlich des Zugriffs und der Speicherung ihrer Daten sowie des Umgangs mit behördlichen Datenanfragen.
OCI plant außerdem, Oracle EU Sovereign Cloud später im Jahr 2023 mit Rechenzentren in Deutschland und Spanien einzuführen, damit Organisationen sensible Daten in einer Cloud speichern können, die den Souveränitätsanforderungen der EU entspricht.
Tipps für Nutzer von Sovereign Clouds
Hier finden Sie einige Tipps für eine reibungslose Nutzererfahrung, wenn Ihre Organisation eine Sovereign Cloud nutzt oder deren Einsatz erwägt.
- Zunächst müssen Sie festlegen, was Sie mit einer Sovereign Cloud erreichen möchten. Auf dieser Grundlage können Sie die Workloads bestimmen, die Sie in eine Sovereign Cloud verlagern möchten.
- Machen Sie sich mit den Gesetzen der Gerichtsbarkeit vertraut, unter denen Ihr Anbieter von Sovereign-Cloud-Services tätig sein wird.
- Wählen Sie einen Anbieter anhand von Kundenfeedback, seiner Erfolgsbilanz, Garantien zur Datenresidenz und der Einhaltung der Datenschutzgesetze in Ihrer Gerichtsbarkeit aus.
- Führen Sie vor dem Wechsel in die Cloud eine Datenschutz-Folgenabschätzung durch.
- Entwickeln Sie die richtige Migrationsstrategie, mit der Sie Ihre geschäftskritischen und sensiblen Workloads in den jeweils passenden Clouds bereitstellen.
- Arbeiten Sie eng mit Ihrem Sovereign-Cloud-Anbieter zusammen, um die Souveränität und Sicherheit Ihrer Daten zu maximieren.
Fazit: Schutz
In den kommenden Jahren ist mit einer zunehmenden Überschneidung von internationalem Recht und Technologiebranche zu rechnen. Cloud-Service-Provider werden mehr staatliche Aufträge zum Aufbau von Sovereign Clouds annehmen, die den Datenschutzgesetzen eines Landes entsprechen. Auch auf supranationaler Ebene werden mehrere Länder mit gemeinsamen Datenethik-Grundsätzen Vereinbarungen schließen, aus denen regionale und transkontinentale Sovereign Clouds hervorgehen. Die Zusammenarbeit mit starken, etablierten Anbietern von Sovereign Clouds wird Unternehmen und Behörden dabei helfen, sich in diesen zunehmend komplexen Gewässern zurechtzufinden.
Hier finden Sie eine Liste einiger der besten Cloud-Service-Provider für den Aufbau von Sovereign Clouds – sowie, für zusätzlichen Schutz, der besten Tools für Cloud Security Posture Management ebenfalls.