Mobile-Menu

So bleiben Unternehmen handlungsfähig Datensouveränität in unsicheren Zeiten

Ein Gastbeitrag von Dennis Schiedat und Mark Großer 6 min Lesedauer

Anbieter zum Thema

Detecon International GmbH
WatchGuard Technologies GmbH
Impossible Cloud GmbH
XOPERO SOFTWARE S.A.

Das EU-U.S. Data Privacy Framework gerät zunehmend unter Druck – regulatorisch wie politisch. Eine robuste Datenstrategie und ein risikobasierter Cloud-Ansatz schaffen die Grundlage, um auch in unsicheren Zeiten handlungsfähig und regelkonform zu bleiben.

Die weltweite geopolitische Lage bleibt angespannt – und mit ihr die Unsicherheiten im Datenschutz.(Bild: Dall-E / KI-generiert)
Die weltweite geopolitische Lage bleibt angespannt – und mit ihr die Unsicherheiten im Datenschutz.
(Bild: Dall-E / KI-generiert)

Das EU-U.S. Data Privacy Framework (DPF) steht unter starkem Druck. Auf der einen Seite bemängeln Datenschützer unzureichenden Schutz personenbezogener Daten, auf der anderen Seite kritisieren Hyperscaler regulatorische Unsicherheiten und potenzielle Handelshemmnisse. Nun drohen weitere Risiken durch die Trump-Administration: Geplante Eingriffe in die US-Datenschutzaufsicht könnten das DPF weiter schwächen und den transatlantischen Datentransfer erschweren.

Für Unternehmen stellt das eine doppelte Herausforderung dar. Einerseits setzt die DSGVO klare Maßstäbe für den Datentransfer in Drittländer. Andererseits sorgen politische Entwicklungen – nicht nur in den USA, sondern auch in anderen Nicht-EU-Staaten – für fortwährende Unsicherheit. Einzelne Compliance-Maßnahmen sind daher zu wenig. Unternehmen benötigen stattdessen eine langfristige Strategie, die sowohl auf regulatorische Anpassungen reagieren kann, als auch wirtschaftliche Flexibilität sichert. Um hier auf sicheren Füßen zu stehen, sollten Unternehmen ihren Kurs überlegt abstecken. Eine solide Datenstrategie dient dabei als verlässlicher Kompass.

Durch Transparenz die Grundlagen bereiten

Der erste und wichtigste Schritt ist eine gründliche Analyse in Form einer „Datenlandkarte“, die aufzeigt, welche Daten wo verarbeitet und gespeichert werden. Sie geht dabei über eine reine Bestandsaufnahme hinaus. Sie kategorisiert Daten nach Sensibilität, dokumentiert Datenflüsse und identifiziert kritische Prozesse. Besonders wichtig ist dabei die Unterscheidung zwischen personenbezogenen Daten, die unter die DSGVO fallen, und anderen geschäftskritischen Informationen.

Richtlinien zum Schutz der Daten legen fest, welche Daten wie geschützt werden müssen – etwa durch Verschlüsselung, Zugangsbeschränkungen und den Einsatz von Multi-Faktor-Authentifizierung (MFA). Regelmäßige Sicherheitsüberprüfungen wie Penetrationstests und Datenschutz-Folgeabschätzungen (DSFA) dienen dazu, potenzielle Schwachstellen frühzeitig zu erkennen und zu beheben.

Um organisatorisch den Datenschutz zu gewährleisten, empfiehlt sich die Implementierung eines Information Security Management Systems (ISMS) sowie regelmäßige Schulungen der Mitarbeitenden im sicheren Umgang mit sensiblen Daten. Ein durchdachtes Rollen- und Berechtigungskonzept sorgt dafür, dass nur autorisierte Personen Zugriff auf kritische Informationen erhalten.

Löschrichtlinien definieren, welche Abteilungen oder Rollen bestimmte Daten löschen müssen, wann die Löschung zu erfolgen hat und welche technischen Verfahren dabei zum Einsatz kommen. Die sorgfältige Dokumentation der Löschvorgänge gewährleistet die Einhaltung gesetzlicher Vorgaben und des „Rechts auf Vergessenwerden“.

Multi-Cloud als strategische Option

Neben der Compliance müssen Unternehmen weitere Faktoren beachten, so etwa bei der Auswahl ihrer Cloud-Anbieter. Um Abhängigkeiten zu reduzieren, einen Vendor-Lock-in zu vermeiden und flexibel auf Markt- und Regulierungsänderungen zu reagieren, sollten sie einen Multi-Cloud-Ansatz wählen. Entscheidend ist eine Strategie, die sowohl den laufenden Betrieb sichert, als auch den Wechsel zwischen Anbietern ermöglicht. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt daher klare Exit-Strategien. Technisch bildet eine anbieterunabhängige Verschlüsselung mit sicherer Schlüsselverwaltung die Grundlage. Ergänzend sorgen Cloud Access Security Brokerage (CASB) für eine bessere Kontrolle über Cloud-Anwendungen und Data Loss Prevention (DLP) für den Schutz sensibler Daten. Strenge Zugriffskontrollen nach dem Least-Privilege-Prinzip gewährleisten, dass nur autorisierte Personen auf geschützte Informationen zugreifen.

Eine erfolgreiche Multi-Cloud-Strategie erfordert zudem eine durchdachte Architektur. Unternehmen sollten ein einheitliches Identitäts- und Zugriffsmanagement über alle Clouds hinweg sicherstellen, standardisierte Schnittstellen und Datenformate für Cloud-übergreifende Prozesse nutzen und ein zentrales Security Operations Center (SOC) zur Überwachung etablieren. Automatisierte Compliance-Checks und regelmäßige Sicherheitsprüfungen helfen, Verstöße frühzeitig zu erkennen.

Der Weg zur souveränen Cloud-Nutzung

Die Einführung einer sicheren Cloud-Strategie erfolgt schrittweise und teilweise analog zu der Datenstrategie: Datenschutzrisiken analysieren, eine detaillierte Datenlandkarte erstellen und eine Sicherheitsarchitektur definieren. Danach folgt die Auswahl passender Cloud-Provider. Parallel dazu durchlaufen die Mitarbeitenden gezielte Schulungen zu Cloud-Sicherheit und neuen Prozessen. Denn nur qualifizierte Teams können die Einhaltung der Sicherheitsrichtlinien im täglichen Betrieb gewährleisten. Erst nach erfolgreicher Qualifizierung des Teams beginnt die eigentliche Migration unter kontinuierlicher Überwachung aller Systeme. In der Umsetzungsphase bauen Unternehmen schließlich eine robuste Sicherheitsinfrastruktur auf, migrieren ihre Daten kontrolliert und etablieren Monitoring-Systeme.

Wissen, was läuft

Täglich die wichtigsten Infos aus dem ITK-Markt

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Governance als kontinuierlicher Prozess

Der Erfolg einer Cloud-Strategie hängt von kontinuierlicher Weiterentwicklung ab, die Migration markiert daher erst den Anfang eines kontinuierlichen Anpassungsprozesses. Um Risiken frühzeitig zu erkennen, helfen dabei automatisierte Compliance-Checks, regelmäßige Audits und ein strukturiertes Incident-Management. Ein zentrales Governance-Team steuert diesen Prozess und passt Sicherheitsmaßnahmen an neue Anforderungen an. Dabei integriert das Team auch regionale Besonderheiten in das globale Sicherheitskonzept.

Datenschutzexperten wie Dr. Fabian Niemann, Partner der Anwaltskanzlei Bird & Bird, warnen davor, sich ausschließlich auf das DPF zu verlassen. Ein politischer Umschwung in den USA könnte dazu führen, dass der Europäische Gerichtshof (EuGH) – wie bereits bei Safe Harbor und Privacy Shield – auch das DPF für unzureichend erklärt. Unternehmen sind daher gut beraten, ergänzend auf bewährte Mechanismen wie Standardvertragsklauseln (SCCs) oder Binding Corporate Rules (BCRs) zu setzen, so der Datenschutzexperte. Diese lassen sich meist mit vertretbarem Aufwand implementieren und erhöhen die Resilienz gegenüber regulatorischen Umbrüchen. Gleichzeitig ist das EU-U.S. Data Privacy Framework derzeit geltendes Recht und bildet weiterhin eine valide Grundlage für den Datentransfer in die USA – bis zu einer anderslautenden Entscheidung der EU-Kommission oder des EuGH. Ein integrativer Governance-Ansatz sollte daher sowohl den derzeitigen Rechtsrahmen als auch potenzielle Entwicklungen im Blick behalten.

Auch langfristige Verträge mit geprüften Anbietern, Datenschutzvereinbarungen und durchdachte Kündigungsfristen sichern Unternehmen zudem gegen regulatorische und wirtschaftliche Risiken ab. Diese systematische Überwachung und Anpassung ermöglicht es Unternehmen, Daten auch in der Cloud souverän und rechtskonform zu verarbeiten.

Die Erfahrung zeigt: Radikale Schnellschüsse sind selten zielführend. Stattdessen gilt es, einen ausgewogenen Ansatz zu finden, der sowohl die DSGVO-Anforderungen erfüllt als auch wirtschaftliche Handlungsspielräume erhält. Dabei hilft eine differenzierte Betrachtung: Für Massendaten können andere Lösungen sinnvoll sein als für besonders sensible Informationen.

Mit stabilem Kurs in die Zukunft

Die weltweite geopolitische Lage bleibt angespannt – und mit ihr die Unsicherheiten im Datenschutz. Neue Eingriffe der Trump-Regierung in die US-Datenschutzaufsicht und offene Fragen zum Data Privacy Framework zeigen, dass auch die regulatorische Situation volatil ist. Unternehmen sollten daher flexibel bleiben und ihre Datenstrategie kontinuierlich anpassen, um rechtlichen und politischen Veränderungen standzuhalten.

Ein risikobasierter Ansatz hilft, Compliance-Anforderungen und wirtschaftliche Ziele in Einklang zu bringen. Wer frühzeitig in eine durchdachte Cloud-Strategie investiert, stärkt nicht nur die eigene Widerstandsfähigkeit, sondern auch seine Wettbewerbsfähigkeit. Moderne Sicherheitstechnologien, Security by Design und eine starke Data Governance schaffen Transparenz und Effizienz. Unternehmen, die Datenschutz, IT-Sicherheit und digitale Innovation ganzheitlich denken, bleiben langfristig flexibel und widerstandsfähig.

Über die Autoren:

Dennis Schiedat ist Principal und berät Unternehmen der Energie- und Fertigungsbranche bei der digitalen Transformation. Sein Fokus liegt auf IT-Security, Datenschutz im Vertrieb sowie digitalen Geschäftsmodellen und IT-Architektur. Er unterstützt Unternehmen bei der Umsetzung regulatorischer Anforderungen, entwickelt Datenschutzstrategien und integriert Datenschutzmaßnahmen in digitale Prozesse. Im DACH-Raum hat er große Projekte an der Schnittstelle zwischen Business und IT geleitet. Sein Ziel: Datenschutz nicht nur als Pflichtaufgabe, sondern als strategischen Vorteil für eine vertrauenswürdige, zukunftsfähige Digitalisierung zu etablieren.

Mark Großer ist Principal bei Detecon und verantwortet die Beratungsfelder Security & Compliance. Mit über 20 Jahren Erfahrung berät er Unternehmen in den Bereichen Cyber-Security, IT-Sicherheit, Risk Management und Datenschutz. Seine Schwerpunkte liegen in den Branchen Finanzdienstleistungen, Energie, öffentlicher Sektor und Automobilindustrie. Als Bankkaufmann und Diplom-Volkswirt hilft er Unternehmen, ihre Geschäftsmodelle sicher und zukunftsfähig zu gestalten.

(ID:50429025)

Weiterführende Inhalte

Jobs