Mobile-Menu

Channel Fokus: Sovereign Cloud Die Krux mit der Cloud-Souveränität

Von Dr. Stefan Riedl 9 min Lesedauer

Anbieter zum Thema

Opencloud GmbH
OVHcloud
Climb Channel Solutions EMEA
IONOS SE
plusserver gmbh
mehr weniger
Company-Flyout
Claranet GmbH
Red Hat GmbH
Skaylink GmbH
Impossible Cloud GmbH
XOPERO SOFTWARE S.A.
weniger

Die „souveräne Cloud“ wird häufig darauf reduziert, wie man US-Hyperscaler wegen des Cloud Acts meiden kann. Die Problematik ist jedoch keineswegs schwarz-weiß und pragmatisch gesehen führt an den Hyperscalern kein Weg vorbei – spätestens, wenn es um KI geht.

Agieren europäische Hoster und US-amerikanische Hyperscaler auf derselben Augenhöhe im Markt?(Bild: Midjourney / KI-generiert)
Agieren europäische Hoster und US-amerikanische Hyperscaler auf derselben Augenhöhe im Markt?
(Bild: Midjourney / KI-generiert)

Der Begriff „souveräne Cloud“, also Cloud-Nutzung mit Daten-, Software- und betrieblicher Souveränität durch den Nutzer (siehe Kasten „Hintergrund“) geht schnell von den Lippen, doch ist das Konzept schwerlich realisierbar: „Gerade die Integration in bestehende Multicloud-Strukturen braucht einen umfassenden Blick auf die komplette Infrastruktur“, weiß Andreas Kadler, CEO bei Plusserver. Vor allem, da dies innerhalb oft enger Budgets umgesetzt werden müsse, bei gleichzeitig wachsenden regulatorischen Anforderungen. Zudem müssen klare SLAs (Service-Level-Agreements) festgelegt werden für Haftung, Support sowie Backup und Recovery.

Hintergrund: Souveränität zwischen Idealvorstellung und Wirklichkeit

Souveräne Clouds vereinen in der Idealvorstellung Daten-, Software- und betriebliche Souveränität, sodass Unternehmen selbstbestimmt handeln können. Dem könnte man einen Spruch des österreichischen Schriftstellers Helmut Qualtinger entgegenhalten, nämlich: „Die Wirklichkeit ist eine Sense für Ideale.“ Denn in der IT-Praxis ist Souveränität häufig nur ein Schein, ein schöner Begriff, ein Marketing-Buzzword. Was nutzt einem beispielsweise die Möglichkeit, den Cloud-Anbieter wechseln zu können, wenn der Aufwand dafür zu groß und risikobehaftet ist? Oder wenn da rechtliche Unsicherheiten formuliert werden, zu denen drei Juristen fünf Meinungen haben.

Wir sprechen hier also definitiv nicht von einem Sprint, der sofort Effekte zeigt, sondern von einem strategischen Langstreckenlauf.

Andreas Kadler, CEO bei Plusserver

Souveräne Cloud gleich europäische Cloud?

Bei der Frage, inwiefern US-amerikanische Hyperscaler wie Amazon, Microsoft oder Google trotz ihrer Herkunftslandgesetze, wie dem Cloud Act, eine echt souveräne Cloud-Lösung für Deutschland bereitstellen können, ist Daniel Zielke, Direktor strategische Partnerschaften der Heinlein Gruppe, rigoros: „Kurz gesagt: Gar nicht. US-Anbieter können keine digital souveräne Cloud-Lösung bereitstellen.“ Seine Begründung: „Solange ein Anbieter mit einem Bein in den USA steht, bleibt immer ein Risiko.“ Vor dem Hintergrund dieser Rechtsauffassung wird das Thema „souveräne Cloud“ mitunter gleichgesetzt mit dem Dogma „keine US-Hyperscaler“. Auch Rechenzentren in Frankfurt würden laut Zielke nichts helfen, wenn die Schlüssel am Ende in den USA liegen. Der Cloud Act ermögliche den US-Behörden Zugriff, auch wenn Daten DSGVO-konform in Europa liegen. „Selbst Microsoft musste vor Kurzem einräumen, dass man nicht garantieren kann, dass EU-Daten vor US-Zugriff geschützt sind“, so der Manager. Es brauche daher folgerichtig europäische Anbieter, um Digitale Souveränität zu ermöglichen.

In dieselbe Kerbe schlägt Martin Bichler, Regional Country Manager DACH bei Climb Channel Solutions. Bichler stellt nüchtern fest, dass praktisch alle großen Hyperscaler in den EU-Ländern lokal platzierte Cloud-Rechenzentren im Angebot haben. Dabei seien allerdings zwei Fallstricke zu beachten: Aus seiner Sicht ist die Datensicherheit nicht mehr gewährleistet, und der Schutz vor unerlaubten Datenzugriffen und -abflüssen sei noch brüchiger geworden. Dem sei letztlich nur durch die Nutzung europäischer Hoster zu begegnen.

IT-Verantwortliche im Cloud-Struggle

„Nix gwiß woas ma net“, so eine bayerische Redensart, die gut zusammenfasst, was IT-Verantwortliche beim Thema Cloud in den Grübelmodus bringt. Einerseits sind US-Hyperscaler eine feste Größe im Cloud-Business, zumal sie spezielle Angebote für die geforderte Cloud-Souveränität in Europa bieten. Andererseits kursiert die Rechtsauffassung, dass der Cloud Act in den USA im Lichte einer Datenschutz-Grundverordnung juristische Probleme im Hinblick auf die Datenschutzgrundverordnung verursacht.

Hyperscaler bleiben gesetzt – trotz Souveränitätsdebatte

Es gibt aber ein großes „Aber“ in dieser Debatte: Fabian Dörk, Cloud Services Director bei Claranet, postuliert: „Hyperscaler werden auch künftig relevant bleiben und integraler Bestandteil jeder IT-Strategie sein“.

Ihr Wettbewerbsvorteil bestehe nicht nur in der globalen Reichweite, dem Skalierungsvermögen, dem Zugang zu innovativen Technologien oder gar dem reinen Zugang zu Infrastrukturressourcen (Stichwort GPUs), sondern vor allem in einem breiten Portfolio aufeinander abgestimmter Services. Dieses integrierte Ökosystem biete einen Grad an Transparenz und Automatisierbarkeit, die sich für Compliance- und Security-Maßnahmen effektiv nutzen lasse. Konkret gemeint sind hier beispielsweise Threat Detection, Cloud Security Posture Management, Policy Automation und Audit Logging. Diesen hohen Standard finde man in der Regel weder in On-Premises-Umgebungen noch auf den Plattformen der deutschen Mitbewerber.

Fabian Dörk, Cloud Services Director bei Claranet
Hyperscaler werden auch künftig relevant bleiben und integraler Bestandteil jeder IT-Strategie sein.

Bildquelle: Claranet

Und rechtlich gesehen? Nach aktuellem Stand sei es möglich, DSGVO-konforme und damit rechtssichere Datenverarbeitung unter bestimmten Voraussetzungen und auf Basis konkreter Rechtsgrundlagen in den Clouds der Hyperscaler zu betreiben, so Dörk. Er rekurriert auf das 2023 in Kraft getretene Data Privacy Framework (DPF), welches die Übermittlung an zertifizierte US-Unternehmen inklusive der Hyperscaler ermöglicht. Zu den Voraussetzungen zählen Datenlokalisierung in der EU/EWR und technische Schutzmaßnahmen wie Verschlüsselung unter Verwendung von „Customer Managed Keys“.

Der Staat als Ankerkunde

Tim Kartali, Head of Global Partner Sales bei Ionos findet, dass staatliche Akteure und Institutionen auf souveräne Cloud-Lösungen setzen sollten und damit einer Vorbildfunktion nachkommen. Er wünscht sich den Staat als Ankerkunde, der stärker europäisch investiert. „Neben gezielter Förderung und klaren Regulierungen ist vor allem die Implementierung und Nutzung im öffentlichen Sektor entscheidend, um eine unabhängige und zukunftsfähige digitale Infrastruktur in Europa zu etablieren“, sagt Kartali. Dies sei eine strategische Investition in die digitale Selbstbestimmung Europas. Ionos arbeite vor diesem Hintergrund eng mit einigen öffentlichen IT-Dienstleistern wie IT.NRW, GOVDigital oder dem ITZ Bund zusammen, „da wir Cloud-Lösungen anbieten, die speziell auf die Anforderungen des öffentlichen Sektors zugeschnitten sind“.

Souveränität ist Wahlfreiheit und Transparenz

„Hyperscaler wie Microsoft bieten mit Initiativen wie der EU Data Boundary oder der Microsoft Cloud for Sovereignty wichtige Säulen für vertrauenswürdige Cloud-Lösungen in Europa“, sagt Hermann Ramacher, Geschäftsführer von ADN Distribution, und bringt damit die US-Hyperscaler wieder ins Spiel. Bei ADN sieht man in diesem Zusammenhang große Chancen für Partner, die moderne, KI-fähige, skalierbare Infrastrukturen aufbauen. „Gleichzeitig ergänzen europäische Anbieter wie Ionos oder Gaia-X-basierte Modelle das Portfolio und ermöglichen hybride Szenarien, die leistungsfähig und datenschutzkonform sind“, so der ADN-Chef. Die Digitalisierung – gerade im Kontext von KI – brauche flexible und sichere Cloud-Architekturen. „ADN unterstützt den Channel dabei, diese Vielfalt strategisch zu nutzen und für Kunden passgenaue Lösungen zu entwickeln“, ist Ramacher überzeugt. Denn echte Souveränität entstehe durch Wahlfreiheit und Transparenz.

Wissen, was läuft

Täglich die wichtigsten Infos aus dem ITK-Markt

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Mit Open Source zur Wahlfreiheit

Dass Open Source der Konzeptionierung einer souveränen Cloud zugute kommt, ist in der IT-Branche relativ unstrittig. „Ohne offene Standards und quelloffene Plattformen bleibt Souveränität eine Illusion“, formuliert Gregor von Jagow, Country Manager Deutschland bei Red Hat, den Kerngedanken dahinter. Open Source sei quasi der Schlüssel zu echter Souveränität, denn quelloffene Technologien machen transparent, wie Daten verarbeitet werden, und verhindern einen Vendor-Lock-In.

Gregor von Jagow, Country Manager Deutschland, Red Hat
Quelloffene Technologien machen transparent, wie Daten verarbeitet werden, und verhindern einen Vendor-Lock-in.

Bildquelle: Red Hat

Ein gutes Beispiel dafür sei Künstliche Intelligenz: „Eine offene Hybrid-Cloud-Plattform bietet Unternehmen die Flexibilität, die geeignetste Umgebung für die jeweiligen KI-Workloads zu wählen“, sagt der Red-Hat-Deutschland-Chef. So könne zum Beispiel die Entwicklung und das Training eines KI-Modells in der Public Cloud auf großen GPU-Farmen unter Nutzung öffentlicher und synthetischer Testdaten erfolgen, bevor das Modell in die On-Premises-Anwendung eingebettet wird. Umgekehrt könne man Modelle mit hochsensiblen Daten zunächst im eigenen Rechenzentrum trainieren und anschließend in der Cloud betreiben.

Frank Strecker, CEO von Skaylink
Wollen wir heute wettbewerbsfähige KI-Projekte umsetzen, kommen wir an AWS Bedrock oder Azure OpenAI nicht vorbei. Europäische Alternativen? Praktisch nicht existent auf diesem Niveau.

Bildquelle: Skaylink

Apropos KI: An AWS Bedrock oder Azure OpenAI komme man derzeit bei KI-Projekten nicht vorbei, also auch nicht an den Hyperscalern, formuliert Frank Strecker, CEO bei Skaylink, einen pragmatischen Ansatz. Zumal europäische Alternativen auf diesem Niveau praktisch nicht existent seien. „Seien wir ehrlich“, fordert der Manager, „eine 100-prozentige technologische Souveränität, weder einer rein lokalen oder mit Non-EU-Playern, ist ein Widerspruch in sich.“ Der Cloud Act schaffe rechtliche Realitäten, die nicht ignoriert werden sollen. Aber – und das sei entscheidend – es gebe intelligente Wege, diese Risiken zu managen. Die Lösung liege in hybriden Architekturen und Multicloud-Strategien. „Wir nutzen Hyperscaler für ihre unbestreitbaren Stärken – KI-Services, globale Skalierbarkeit, Innovation – während wir kritische Daten und Prozesse in europäischen Infrastrukturen halten“, lotet der CEO aus. „Zusätzlich setzen wir auf Verschlüsselung mit eigenen Schlüsseln, regionale Datenhaltung und vertragliche Absicherungen.“ Es sei kein perfekter Schutz, aber ein pragmatischer.

Kommentar: Die EU-Chatkontrolle wäre der Datenschutz-Fiebertraum

Wie man es dreht und wendet: Technische Aspekte der souveränen Cloud scheinen einfacher lösbar zu sein als die juristischen. Open Source, Gaia-X, Sovereign Cloud Stack – hier gibt es greifbare Lösungen. Doch wann werden die Juristen aufhören zu „meckern“? Wie real ist das Cloud-Act-Problem wirklich? Zuletzt gab es einen „Angemessenheitsbeschluss“ der EU-Kommission, der den transatlantischen Datenverkehr freiräumen soll. Der Cloud Act in den USA, der bei Datenhaltung im EU-Raum eine Rolle spielt, soll eh nur ab schweren Verbrechen greifen. „Was soll also der ganze Zirkus?“, könnte man fragen.
Auf der anderen Seite laufen sich die Datenschützer bereits warm, und solange vom Gesetzgeber Prozesse wie „Datenschutzfolgenabschätzungen“ gefordert werden, bleibt das „Verkaufsargument“ (die Anführungszeichen wurden bewusst gesetzt) Rechtssicherheit durch EU-Anbieter für viele Kunden bestehen. Und wenn man kein US-Hyperscaler ist, wird man das tendenziell eher gut finden. Auf der anderen Seite: Warum sollte man wie auch immer geartete Abhängigkeiten und Rechtsunsicherheiten in Kauf nehmen? Wie viel ist man bereit, dafür auszugeben? Was davon ist real und was ist mit einem „Buhei-Faktor“ beladen, wie das Buzzword „Killswitch“, das nahelegt, die US-Cloud-Infrastruktur werde sich womöglich vom Rest der Welt abkoppeln. Wer das glaubt, lebt in einer Angstphantasie.
Wie heißt es so schön: Man soll auch vor der eigenen Türe kehren, also werfen wir einen Blick auf das Thema „Chatkontrolle“, welches vermutlich lange nicht vollständig vom Tisch sein wird. Sollte dieser Fiebertraum vom Ende der Ende-zu-Ende-Verschlüsselung der Chat-Dienste – und damit dem Nummer-1-Kommunikationsmedium – wahr werden, kann man sich durchaus fragen, ob man bei US-Diensten nicht grundsätzlich besser aufgehoben ist als in der Überwachungs-EU, die doch tatsächlich anlasslos eine KI über Chatverläufe laufen lassen will. Ohne VPN-Verbindung und ein gerütteltes Maß an zivilem Ungehorsam, den man allenfalls als Privatperson, nicht aber als Unternehmen aufbringen kann, wird das aber nicht gehen.
Was bleibt vom „Datenschutz-Standortvorteil EU“ eigentlich noch übrig, wenn beim Äquivalent zu privatem Briefverkehr digitale Umschläge aufgedampft, die Inhalte per KI gelesen, die Umschläge wieder zugeklebt und dann abgeschickt werden? Meiner Meinung nach nicht viel, denn die moralisch aufgeladene Attitüde zerbröselt dieser Tage bereits, weil so etwas ernsthaft erwogen wird.
Wer den Diskurs rund um die Chatkontrolle verfolgt, kann antizipieren, wie es ausgehen könnte: Nachdem die kritische Berichterstattung und der öffentliche Druck zu groß wurden, hat man seitens der verantwortlichen politischen Akteure „anlasslose Chatkontrolle“ abgelehnt. Kurze Zeit später wird aber bereits munter mit dem Begriff „präventive Kommunikationsüberwachung“ Derartiges begrüßt. Nachtigall, ich hör’ dir trapsen.

Hybrid-Cloud reduziert Abhängigkeit

Andreas Grigull, Sales Director Central Europe bei OVHcloud, plädiert für eine differenzierte Betrachtungsweise: „Wichtig ist, dass wir uns nicht auf eine starre Entweder-oder-Logik zwischen ‚nur europäisch‘ und ‚nur Hyperscaler‘ festlegen.“ Multi- und Hybrid-Cloud-Strategien sind demnach derzeit der realistischste und zugleich strategisch klügste Zwischenschritt für eine flexible Cloud-Infrastruktur. Eine Multicloud kombiniert aus seiner Sicht die Stärken verschiedener Anbieter und Plattformen. So lassen sich etwa die Innovationskraft und globale Skalierbarkeit großer Hyperscaler mit der rechtlichen Sicherheit und Datenhoheit souveräner europäischer Clouds vereinen. Damit könne man Risiken streuen, Abhängigkeiten reduzieren und unterschiedliche Technologien je nach Bedarf nutzen.

Insbesondere für regulierte Organisationen und Unternehmen wie Banken, Versicherungen oder öffentliche Einrichtungen ergeben sich daraus Vorteile, findet Grigull. Denn aus Compliance-Gründen und rechtlichen Regulierungen wie der DORA dürfen sie sich gar nicht vollständig an einen einzigen Cloud-Anbieter binden. Eine hybride Strategie ermöglicht es demnach, sensible Daten und kritische Workloads in einer souveränen europäischen Cloud zu speichern, während weniger kritische Anwendungen oder spezialisierte Dienste – etwa KI-Modelle oder Kollaborations-Tools – bei einem internationalen Anbieter laufen können.

(ID:50575302)

Weiterführende Inhalte

Jobs