Channel Fokus: Sovereign Cloud Souveräne Cloud dringend gesucht

Anbieter zum Thema

1&1 IONOS SE Achim Weiß

Amazon Web Services EMEA SARL,

plusserver gmbh

OVH GmbH

T-Systems

mehr weniger

Impossible Cloud GmbH

Zadara Ltd.

XOPERO SOFTWARE S.A.

weniger

Hinter dem Schlagwort „Souveräne Cloud“ steht eine Definition, die auf zwei Seiten bröselt: der ­technischen und der juristischen Seite. Die ­technische Seite scheint lösbar zu sein. Bei der juristischen hat man sich verrannt.

Souveräne Clouds vereinen in der Idealvorstellung Daten-, Software- und betriebliche Souveränität, sodass Unternehmen selbstbestimmt handeln können. Dem könnte man einen Spruch des österreichischen Schriftstellers Helmut Qualtinger entgegenhalten, nämlich „Die Wirklichkeit ist eine Sense für Ideale.“ Denn in der IT-Praxis ist Souveränität häufig nur ein Schein, ein schöner Begriff, ein Marketing-Buzzword.

Zehn Juristen – zwölf Meinungen

Was nutzt einem beispielsweise die Möglichkeit, den Cloud-Anbieter wechseln zu können, wenn der Aufwand dafür zu groß und risikobehaftet ist? Oder wenn da rechtliche Unsicherheiten formuliert werden, zu denen zehn Juristen zwölf Meinungen haben. Was nutzt das Wort „Souveränität“, wenn das Spektrum an juristischen Standpunkten auch beinhaltet, dass DSGVO und Cloud Act nicht miteinander in Einklang zu bringen sind? Und das geht so: Der Cloud Act ist ein US-­amerikanisches Gesetz, welches US-­Behörden unter Umständen den Zugriff auf außerhalb der USA gespeicherte Daten US-amerikanischer IT-Firmen und Cloud-Provider gestattet. Cloud steht in dem ­Zusammenhang für „Clarifying Lawful Overseas Use of Data“.

Die Sache mit der DSGVO

Eine Rechtsauffassung besagt, dass eine Datenweitergabe auf Grundlage dieses ­Gesetzes in grundsätzlichem Widerspruch zu den ­DSGVO-Prinzipien steht. So dürfen Daten nach Artikel 48 DSGVO nur aufgrund einer ­behördlichen Entscheidung oder eines ­Gerichtsurteils in ein Drittland herausgegeben werden, wenn zwischen diesem und der EU beziehungsweise einem EU-Mitgliedsstaat ein spezielles Rechtshilfeabkommen existiert. „Ein US-Unternehmen mit Server-Standort in der EU verpflichtet sich, US-Behörden Zugriff auf diese Server zu gewähren, obwohl ihm dies die DSGVO untersagen würde“, heißt es dann. In der Thematik steckt viel Potenzial für Streit innerhalb der Jurisprudenz und nachgelagert im IT-Geschäft.

US-Amerikanisches Recht und Server Deutschland

Zum „Team Skepsis“, was die US-Konkurrenz angeht, zählt beispielsweise Andre Engelbertz. Er ist Chief Technology Officer (CTO) Cloud Services bei T-Systems und formuliert seine Bedenken: „Unternehmen und Institutionen in Europa müssen der Datenschutzgrundverordnung folgen und personenbezogene Daten schützen. Darüber hinaus wollen Unternehmen und Institutionen aber auch nicht-­personenbezogene Daten vor dem Zugriff Dritter schützen. Sie wollen die Hoheit über ihre Daten behalten. Die Hyperscaler unterliegen alle dem US-­amerikanischen Recht, das US-Behörden den Zugriff auf Daten erlaubt. Mit der ­Sovereign Cloud bestimmen Unternehmen und Institutionen wer Zugriff auf die Daten hat und für welchen Zweck.“ ­Sovereign Cloud ist ein generischer Begriff, der auch im Marketing der hauseigenen T-Systems-­Lösungen verwendet wird.

„Sovereign-by-design“ – warum also skeptisch sein?

Im Team „US-Hyperscaler“ sieht man das naturgemäß anders: Die „AWS European Sovereign Cloud“ sei „sovereign-by-design“, formuliert es Michael Hanisch, Head of Technology bei AWS Deutschland. Seine Ausführungen laufen darauf hinaus, dass es sich bei der digitalen Souveränitätsfrage um ein mehrdimensionales Thema handelt. Ob die Lösung jedoch wirklich „sovereign-de-jure“ ist, bleibt dennoch – ­zumindest von anderen Marktakteuren und einem Teil der Juristen – umstritten. Die „AWS European Sovereign Cloud“ sei vollständig in der EU angesiedelt und werde unabhängig von bestehenden Regionen betrieben. Sie verfüge außerdem über zusätzliche technische und betriebliche Kontrollen sowie vertragliche Schutzmaßnahmen, um erweiterte Compliance- und Regulierungspläne zu erfüllen. Man arbeite bei AWS seit mehr als einem Jahrzehnt mit Regierungen und Aufsichtsbehörden in ganz Europa zusammen, um die sich wandelnden Anforderungen an Cybersicherheit, Datenschutz, den Ort der Datenverarbeitung und an digitale Souveränität zu verstehen und erfüllen.“, so Hanisch. Man merkt wie wichtig das Thema dem Konzern ist, nichtsdestotrotz wird es ohne klarere Abkommen mit den USA wahrscheinlich immer die kritischen Stimmen geben, die sinngemäß entgegnen: „Ein Produkt wird nicht dadurch „european“ und „sovereign“, nur weil ich es so nenne. Auch wenn die Kritik von einem gewissen Eigeninteresse geprägt sein mag, wenn sie von einem Konkurrenten aus der EU geäußert wird, der sich unter Berufung auf besagte Juristen einen Geschäftsvorteil erhofft. Die Wahrheit – falls es eine ohne entsprechende Gerichtsurteile überhaupt gibt – ist wahrlich schwer zu fassen.

Extraterritoriales Recht

So argumentiert Falk Weinreich, General Manager Central Europe bei OVHcloud unter Berufung auf eine rechtliche Analyse, die vom niederländischen Justizministerium angefordert und von einer niederländischen Anwaltskanzlei im Juli 2022 vorgelegt wurde: „US-Kundenbetreuer unterliegen nach wie vor den US-Vorschriften, einschließlich Cloud Act und FISA“, so Weinreich. Für diese Anbieter bedeute dies, dass der Zugriff auf die Daten durch US-Behörden möglich sei, auch wenn die Daten in Europa gespeichert sind, schlussfolgert der Manager. Auch bei OVHcloud bringt man dies, um eigene Angebote in ein günstiges Licht zu rücken, was wohl in der Natur des Wettbewerbs liegt: ­„OVHcloud hingegen kann als europäischer Hauptakteur garantieren, dass es nicht dem extraterritorialen Recht unterworfen ist. Für uns ist dies ein zentrales Versprechen einer souveränen Cloud“, so der General Manager.

Das nächste Schrems-Urteil wird kommen

Kurt Garloff, CTO des Sovereign Cloud Projektes innerhalb der Open Source Business Alliance, findet, dass sichergestellt sein muss, dass gewisse Daten vor unbefugtem Zugriff geschützt sind. „Dies ist aufgrund von Cloud Act und den Prozessen rund um FISA für Angebote aus dem amerikanischen oder chinesischen Rechtsraum – egal ob jetzt die Rechenzentren in Europa sind oder nicht – nicht ohne weiteres erfüllbar“, so der CTO. Das nächste Schrems-Urteil wird das erneut klarstellen, antizipiert Garloff.

Die technische Seite: der Vendor-Lock-In

Der CTO beschäftigt sich auch mit einem weiteren Aspekt der Cloud-Souveränität, nämlich der Vendor-Lock-In-Problematik, die der Souveränität im eingangs genannten Sinne entgegensteht. Als Lösungsansatz wird der Sovereign Cloud Stack gehandelt, der aus Gaia-X heraus entstanden ist und ein Problem löst, das der originär zugrundeliegende Open Stack mit sich brachte, nämlich dass dieser mit ganz unterschiedlichen Eigenschaften betrieben werden kann, sodass die Migration von Provider A nach Provider B im Open-Stack-Umfeld nicht problemlos läuft.

Lösungsansatz: Sovereign Cloud Stack

„Der Sovereign Cloud Stack bietet die technologische Basis für alle Cloud-­Computing-Umgebungen und -Modelle“, so Garloff. Durch ein Netzwerk verschiedener Anbieter, die dieselben offenen Standards verwenden, könne der SCS für Multi-, Hybrid-, Public- und Private-Cloud-Szenarien verwendet werden, auch im Edge-­Bereich gibt es Möglichkeiten. Der Wechsel zwischen den Anbietern sei jederzeit möglich, die Angebote sind föderierbar und skalierbar. Und technologisch erfüllt SCS alle Anforderungen an die Deutsche Verwaltungs-Cloud.

Prinzip Hotel California

In dieselbe Kerbe – der Souveränitätsfrage im Lichte des Vendor-Lock-Ins – schlägt Christian Schmitz, Director AI & Open Source bei Plusserver, wenn er darauf hinweist, dass gerade der öffentliche Sektor die Vorteile von Open Source Software als wichtigen Aspekt in puncto souveräner IT und Clouds wiederentdeckt. „Auch wenn es oft zumindest keine Walled Gardens gibt und auch der Wechsel zu anderen Anbietern vertraglich möglich ist, herrscht hier doch oft genug das Prinzip ‚Hotel California‘: You can check-in any time you like, but you can never leave.“ In der Praxis werde der Wechsel nämlich häufig erschwert – sei es durch zusätzliche Bearbeitungskosten oder die Bevorzugung bestimmter Container-Technologien, die nicht bei allen Mitbewerbern einwandfrei funktionieren.

Souveräne Infrastruktur als Grundlage

Für Tim Kartali, Head of Global Partner Sales bei Ionos, sollte souveräne Infrastruktur die gleiche Aufmerksamkeit erhalten wie beispielsweise die Verkehrsinfrastruktur oder Glasfaseranschlüsse. Schließlich werde digitale Souveränität für Unternehmen immer wichtiger, um den geopolitischen Herausforderungen zu begegnen. „Sie [die digitale Souveränität] ist kein ‚nice to have‘, sondern dringend notwendig für den Geschäftserfolg und dafür, dass unsere staatlichen Institutionen frei von Einflüssen ausländischer Akteure agieren können.

Das Versagen auf Gesetzesebene

Apropos Staat: In letzter Konsequenz versagen bei dem Thema die Gesetzgeber, beziehungsweise der Staatenbund EU und USA. Auch der so genannte Angemessenheitsbeschluss der EU-Kommission löst die juristischen Fragestellungen zu AWS, Google, Microsoft und Co. nicht wirklich auf. Doch diese Tatsache ist des einen Freud und des anderen Leid (siehe Kommentar).

Kommentar:

Die souveräne Cloud aus Marketing-Perspektive

Wie man es dreht und wendet: Technische Aspekte der Souveränen Cloud scheinen einfacher lösbar zu sein, als die juristischen. Open Source, Gaia-X, Sovereign Cloud Stack – hier gibt es greifbare Lösungen. Doch wann werden die Juristen aufhören zu „meckern“? Wie real ist das Cloud-Act-Problem wirklich? Zuletzt gab es einen „Angemessenheitsbeschluss“ der EU-Kommission, der den transatlantischen Datenverkehr freiräumen soll. Der Cloud Act, der bei Datenhaltung im EU-Raum eine Rolle spielt, soll eh nur ab schweren Verbrechen greifen, was soll also der ganze Zirkus, könnte man durchaus fragen. Auf der anderen Seite laufen sich die Datenschützer bereits warm und so lange vom Gesetzgeber Prozesse wie „Datenschutzfolgenabschätzungen“ gefordert werden, bleibt das „Verkaufsargument“ (die Anführungszeichen wurden bewusst gesetzt) Rechtssicherheit durch EU-Anbieter für viele Kunden bestehen. Und wenn man kein US-Hyperscaler ist, wird man das tendenziell eher gut finden.

Ihnen gefällt dieser Artikel? Mehr exklusive Inhalte finden Sie in unserer E-Paper-Ausgabe!

Aktuell und auf einen Blick lesen Sie hier die Top-News aus dem Channel, sowie fundiert recherchierte Fachbeiträge zu Trends und Themen der Branche!

Hier geht es zum aktuellen E-Paper!

(ID:50054517)