Portfolio gestalten im Zeichen von Cloud Act, DSGVO und Co. Wie bleiben Dienstleister digital souverän?

Anbieter zum Thema

Dierck Group

BOETTICHER Rechtsanwälte

Cloudian B.V.

plusserver gmbh

PRW Rechtsanwälte

mehr weniger

PCO Personal Computer Organisation GmbH & Co. KG

Fsas Technologies GmbH

Impossible Cloud GmbH

weniger

Unter dem Cloud Act können US-Behörden Einsicht und Herausgabe von Daten von Unternehmen fordern, die ihrer Jurisdiktion unterstehen. Was aber, wenn ein deutscher „souveräner“ Anbieter, von einem US-Unternehmen übernommen wird? So geschehen bei Hornetsecurity, das von Proofpoint gekauft wurde.

Souveräne Datenräume erfreuen sich seit der Amtsübernahme von US-Präsident Donald Trump größter Aufmerksamkeit. Kein Wunder: Unternehmen behalten darin die Hoheit über ihre Daten, können sie aber mit Geschäftspartnern für gemeinsame Projekte nutzen – ohne Angst, dass Dritte – etwa Geheimdienste – sie einsehen können. Das hat zu einem gewaltigen Boom in diesem Segment geführt, berichtet unter anderem. Tobias Meier, Chief Operating Officer bei Plusserver: „Wir erhalten deutlich mehr Anfragen nach Cloud-Lösungen, die in Deutschland betrieben werden, DSGVO-konform sind und auf europäische Standards setzen. Viele Unternehmen suchen gezielt nach Anbietern, denen sie in puncto Datenschutz und Sicherheit vertrauen können.“

Was sind Neo-Clouds?

Auch in den USA wird diese Bewegung wahrgenommen. So will der Storage-Spezialist Cloudian künftig weniger die Hyperscaler, dafür verstärkt den Markt für lokale Managed Service Provider (MSP) bedienen, wie Peter Sjoberg, lange Jahre selbst bei AWS mitverantwortlich für den Geschäftsausbau rund um S3 und heute als VP WW Solution Architects beim Storage-Spezialisten Cloudian tätig, berichtet. Er bestätigt, dass die Hyperscaler „Bedenken in Bezug auf die Kontrolle über Anwenderdaten hervorrufen.“ Der Fokus von Cloudian liege daher auf dem Wachstumsmarkt der lokal agierenden MSPs, darunter auch die von ihm so genannten „Neo-Clouds“, die sich auf hochperformanten Speicher für GPUs spezialisiert haben.

Bildergalerie

Bildergalerie mit 7 Bildern

Deadline: 12. September 2025

Cloud Switching: Akteure im Zugzwang

Tatsächlich würden die lokalen MSPs mit ihren regionalen Cloud-Offerten insbesondere für kleine und mittlere Unternehmen immer interessanter, wie Marcel Bensmann, seit Januar Geschäftsleiter bei PCO, erklärt: „Das Thema hat in den letzten Jahren besonders im gehobenen Mittelstand massiv an Bedeutung gewonnen. Unsere Kunden fragen aktiv nach Speicherort, Zugriffsmöglichkeiten und rechtlicher Absicherung ihrer Daten. Gerade im Bereich Security Operations Center (SOC) und Logmanagement ist die Frage nach digitaler Souveränität heute wichtiger denn je, da hier hochsensible Betriebsdaten verarbeitet werden.“

Vertragliche Auswirkungen bei Übernahmen

Digitale Souveränität ist also für viele Anwender ein ausschlaggebender Faktor bei der Auswahl von Lösungen und Partnern – das beflügelt viele in Europa beheimatete Provider. Dumm nur, wenn solch ein Anbieter von einem US-Wettbewerber geschluckt wird, so geschehen kürzlich im Falle von Hornetsecurity, das von Proofpoint gekauft wurde. Hornetsecurity hat in der DACH-Region über 120 Partner – diese haben wiederum unzählige Kunden vor allem aus dem klassischen Mittelstand. Die Übernahme wirft Fragen auf hinsichtlich der digitalen Souveränität und den Verträgen, die Dienstleister mit ihren Kunden haben.

Neue Herausforderungen für IT-Dienstleister

Hornetsecurity unter Proofpoint: Auswirkungen auf Verträge und digitale Souveränität

So haben nicht nur YourIT, sondern auch viele andere Partner Hornetsecurity in ihr Portfolio aufgenommen, weil sie explizit einen deutschen Sicherheits-Anbieter für ihre Kunden vorweisen wollten, bekräftigt Thomas Ströbele, Geschäftsführer von YourIT. Nun stehen alle Beteiligten einer völlig neuen Situation gegenüber.

Was ändert sich dadurch für die Partnerunternehmen – für PCO laut Bensmann zunächst einmal nichts. Man beobachte die Entwicklung insbesondere im Hinblick auf Datenschutz, Support-Strukturen und langfristige Produktstrategie sehr aufmerksam. „Für uns ist entscheidend, ob sich die Werte, die uns mit Hornetsecurity verbinden, auch unter dem Dach von Proofpoint fortsetzen lassen“, so der Geschäftsführer.

Vertrauen ist eine wichtige Währung

Auch der Managing Director der Dierck Group, Andreas Kreft, will zunächst einmal abwarten: „Hornetsecurity ist in unser Gold-Partnerschaft ein fester Baustein im Security Portfolio.“ Der Security-Anbieter sei insbesondere wegen seines Standorts in Deutschland „passend“ gewesen – „nun hat die Unternehmensleitung einen anderen Weg eingeschlagen.“ Dierck vertraue aber weiterhin auf den langjährigen Weggefährten: „Wir werden unsere Kunden informieren und hoffen, dass kein Kunde dieses zum Anlass nimmt, einen Produktwechsel vorzunehmen. Wir wissen bereits, dass zwei Kunden nun dieses Produkt nicht nehmen werden, da sie im Bereich Rüstung / Sicherheit tätig sind.“

Müssen Verträge und Kommunikation geändert werden?

Wird die veränderte Situation zu veränderten Verträgen führen? Bensmann sieht dafür „derzeit keine akute Notwendigkeit“, man werde aber gegebenenfalls gemeinsam mit den Kunden entsprechende Anpassungen prüfen. Kreft gibt zu bedenken, dass der überwiegende Teil der Kunden einen Managed-Service-Vertrag eingegangen sei: „Nicht allen davon ist das Produkt direkt bekannt, wir stellen eine beschriebene Leistung zum monatlichen Preis zur Verfügung. Alle anderen Verträge und Unterlagen werden gesichtet und wenn notwendig geändert.“ In jedem Fall werde man sämtliche Veränderungen, auch potenzieller Art, offen und transparent kommunizieren. Dasselbe plant Bensmann: „Datenschutz, Cloud Act und digitale Souveränität sind zentrale Themen in unseren Beratungsgesprächen – nicht erst seit der Übernahme.“

IT-BUSINESS Podcast – Folge 6

Podcast „IT ImPuls“: Digitale Souveränität

Ströbele von YourIT begleitet seit über zehn Jahren Systemhaus-Partner und mittelständische Unternehmen als Berater für Datenschutz und Informationssicherheit. Aufgrund dieser Doppelrolle schätzt er die Situation nicht nur technisch, sondern vor allem regulatorisch ein: „Die Frage ist nicht, ob ein Zugriff über den Cloud Act stattfindet – sondern wie wir das gegenüber unseren Kunden bewerten und dokumentieren müssen“, erklärt er. Als externer Datenschutzbeauftragter sehe er die Systemhäuser in der Pflicht, „ihre Kunden zu informieren, AV-Verträge anzupassen und die Lieferkette kritisch zu prüfen – nicht zuletzt aufgrund von NIS2 und ISO 27001.“

Lehren aus der Übernahme

Hornetsecurity ist nicht der erste, und wird auch nicht der letzte Fall dieser Art sein. Wie wollen die Dienstleister künftig in solchen Fällen vorgehen? Bensmann von PCO erklärt, seine Firma könne neue Anbieter grundsätzlich kurzfristig technisch anbinden – die Migration von Hornetsecurity auf einen anderen Anbieter sei abhängig von der Systemkomplexität „technisch meist gut machbar“. PCO setze auf vereinheitlichte Migrationsprozesse und begleite die Kunden eng in jeder Phase. Die größten Herausforderungen lägen oft in der Akzeptanz und Umgewöhnung der Anwender.

„Wichtig ist, dass wir alle neuen Lösungen auch bei PCO verproben, um ein Gefühl dafür zu bekommen. Unser Portfolio ist handverlesen“, so Bensmann. „E-Mail Security mag ein standardisiertes Thema sein, allerdings erstreckt sich die Suite von Hornetsecurity mittlerweile über verschiedene Lösungen, die es nur schwer in einem neuen Tool gibt. Es ist also die Abwägung, ob mehrere Speziallösungen angeboten werden, oder die Suite bestehen bleibt.“

Kreft von der Dierck Group zeigt sich über Hersteller aus der DACH-Region oder Europa erfreut und nimmt sie gern ins Portfolio auf. Dabei gehe man jedoch flexibel vor: „Wenn ein amerikanischer Hersteller eine nicht austauschbare Leistung bietet oder gar allein führend in einem Thema ist, empfehlen wir dieses Produkt auch.“ Grundsätzlich werde aber bei jeder Hersteller- und Produktauswahl darauf geachtet, dass sie möglichst aus Deutschland, der DACH-Region oder aus Europa kommen. „Wenn die Leistung aber nicht dort verfügbar ist, nehmen wir auch Hersteller aus Amerika oder anderen Ländern; aus China allerdings nicht.“

Auch Kreft sieht Lösungen beim Kunden als vergleichsweise einfach austauschbar: „Nur, machen wir uns aber nichts vor: Je länger ein Produkt beim Kunden eingeführt ist, umso schwieriger ist es, das Produkt auszutauschen. Außerdem wissen wir nie, wer mit wem morgen zusammen geht oder übernommen wird.“

Lesen Sie auch unsere aktuelle E-Paper-Ausgabe!

Aktuell und auf einen Blick lesen Sie hier die Top-News aus dem Channel, sowie fundiert recherchierte Fachbeiträge zu Trends und Themen der Branche!

Hier geht es zum aktuellen E-Paper!

Wie bleiben Dienstleister souverän?

Wenn Digitale Souveränität heutzutage so wichtig ist – wie stellen dann die Dienstleister sicher, dass auch ihr Angebot souverän ist und bleibt? Beide Geschäftsführer, sowohl Bensmann als auch Kreft, setzen auf ein strenges Auswahlverfahren: „Wir wählen unsere Partner nach klaren Kriterien aus: Datenhoheit, Standort der Datenverarbeitung, Vertragsklarheit und Unabhängigkeit von außereuropäischen Zugriffsgesetzen“, so Bensmann. „Hierbei realisieren wir zunehmend Lösungen auf Basis von Open Source, bei denen PCO den Betrieb vollständig übernimmt. Das Hosting erfolgt in deutschen Rechenzentren, während Wartung und Weiterentwicklung bei PCO liegen.“

Datensouveränität in Zeiten von Cloud Act und PRISM

Souverän ist, wer Nein sagen kann!

Nach Ansicht von Kreft sind die Europäer aber durchaus selbst in der Verantwortung, sich souverän aufzustellen. „Unsere Kunden folgen unserer Strategie, das beste Produkt wirtschaftlich möglichst aus der DACH-Region oder Europa angeboten und supportet zu bekommen. Sie folgen uns auch meistens, wenn wir dann einen Hersteller aus Amerika nehmen. Leider haben wir in Europa aber nur noch sehr wenige Lösungen, die von der Leistung und Preis ganz vorne stehen.“

Rechtliche Einordnung

Die Meinung der Partnerunternehmen ist das eine, wie aber ist der Vorgang rechtlich zu bewerten? Wilfried Reiners, geschäftsführender Rechtsanwalt bei der PRW Group in München, rät Dienstleistern, „im Falle einer Übernahme durch ein amerikanisches Unternehmen unverzüglich eine Risikobewertung hinsichtlich ihrer Datenverarbeitungsprozesse durchzuführen“. Hierzu gehöre die Evaluierung der aktuellen Datenflüsse und die Bewertung, ob deren Verarbeitung weiterhin datenschutzkonform möglich sei. „Zum anderen ist wichtig, bestehende Kundenbeziehungen über die veränderte Unternehmensstruktur und deren mögliche Auswirkungen zu informieren.“

Letztlich sollte auch erwogen werden, ob ein Ausweichen auf alternative Anbieter mit ausschließlich europäischer Rechtsbindung möglich ist. „Gerade Microsoft baut beispielsweise auf Grundlage seiner digitalen Zusicherungen für Europa unter dem Stichwort ‚Microsoft Cloud for Sovereignty‘ die europäische Cloud-Infrastruktur weiter aus, um Technologien und Konfigurationen anbieten zu können, die einerseits das Souveränitätsbedürfnis und andererseits Sicherheits-, Datenschutz- und Compliance-Anforderungen erfüllen. Ob die Verlagerung der Verantwortung und Steuerung des Datenmanagements auf die Kunden durch souveräne Modelle die Lösung für das europäische und amerikanische Spannungsfeld sein wird, bleibt abzuwarten.“ Auf jeden Fall behielten bestehende Verträge ihre Gültigkeit, so Reiners. Sie sollten aber auf Ihre Aktualität geprüft und gegebenenfalls angepasst werden.

Der auf IT-Recht spezialisierte Anwalt Sven Schlotzhauer von der Partnerschaftsgesellschaft Boetticher rät ebenfalls zur Inventur der geschlossenen AV-Verträge. „Unabhängig davon rate ich dazu, auf Hornetsecurity zuzugehen und Auskunft zu fordern über die Frage, ob der in den USA ansässige Erwerber zukünftig in die Leistungserbringung eingeschaltet wird oder nicht.“ Die Dienstleister seien Auftragsverarbeiter ihrer Kunden und damit datenschutzrechtlich bestimmten Pflichten und nicht zuletzt den Weisungen der Kunden unterworfen. „Sollte der Erwerber Proofpoint zukünftig Unterauftragnehmer von Hornetsecurity werden, müsste das beim Kunden gemeldet werden. Der Kunde hätte dann ein Widerspruchsrecht.“

Ein Fall für Kooperationen?

Eigentlich ein klassischer Fall, bei dem Kooperationen ins Spiel kommen könnten, da sich dort die Partner ja austauschen. Sandra Balz, Vorständin bei Kiwiko, hat sich bereits bei den Mitgliedern umgehört. „Innerhalb des IT-Expertennetzwerks beschäftigt die Thematik selbstverständlich auch. Die Frage, die immer wieder aufkommt ist, welche konkreten Alternativen es gibt. Auf der anderen Seite gibt es Partner, denen die Tragweite und die möglichen Auswirkungen noch nicht so bewusst sind. Insofern ist es wichtig, dass sich die Kooperationen hier austauschen und über die Risiken aufklären. Die Entscheidung liegt letztlich bei jedem Partner selbst.“

Datenschutzrechtliche Absicherung

Ferner sei zu beachten, dass Anwender eine datenschutzrechtliche Absicherung einer etwaigen Auslandsübermittlung benötigen könnten. Alle AV-Verträge müssten eine Verpflichtung enthalten, dass diese Absicherung beim Einsatz von Unterauftragnehmern an diesen weiterzureichen ist. Das heißt: „Wenn nun Hornetsecurity zuvor zugesagt hatte, keinerlei Auslandsübermittlung von personenbezogenen Daten vorzunehmen, dann steht nun zumindest wegen des Cloud Act die Möglichkeit im Raum, das eine solche in Zukunft stattfindet – unabhängig davon, ob der Erwerber Proofpoint wirklich in die konkrete Datenverarbeitung eingebunden ist“, so Schlotzhauer. Seine Kanzlei habe „dieselbe Diskussion bei Microsoft und seiner irischen Tochtergesellschaft“.

Schlotzhauser macht zusätzlich eine Besonderheit des Falles aus: „Proofpoint ist nach dem EU-U.S. Data Privacy Framework zertifiziert. Das bedeutet, dass bereits eine datenschutzrechtliche Absicherung für eine etwaige Auslandsübermittlung implementiert ist – auch wenn das Data Privacy Framework natürlich weiter unter Beschuss ist. Wegen der Zertifizierung nach Data Privacy Framework müsste aber nicht unbedingt ein Vertragszusatz, die EU-Standardvertragsklauseln, abgeschlossen werden. All diese Instrumente - DPF, Standardvertragsklauseln – stehen aber bekanntlich ohnehin auf wackeligen Füßen, hier kann sich täglich etwas ändern.“

Präventive Maßnahmen

Wie ließen sich Fälle von plötzlichen Veränderungen durch Übernahmen vermeiden? Reiners und seine Kollegen haben die jüngsten Entwicklungen zum Anlass genommen, ein neues Leistungsbild zu entwickeln, das eine Risikobewertung von US-Software zum Inhalt hat. „Damit soll zum einen Klarheit über die aktuelle Risikosituation beim Einsatz von US-Cloud-Diensten und zum anderen eine fundierte Entscheidungsgrundlage für den rechtskonformen Einsatz dieser Dienste in der jeweiligen Organisation geschaffen werden. Zudem schafft unsere Risikobewertung eine rechtliche Absicherung für die Entscheiderebene durch die klare Bewertung technischer und juristischer Risiken.“

„Kunden könnten natürlich mit den Dienstleistern außerordentliche Kündigungsrechte für den Fall einer solchen Veränderung vereinbaren“, so Schlotzhauer. „Wirklich zu vermeiden sind die Veränderungen jedoch nicht. Wie bereits erwähnt steht der Kunde bzw. der Dienstleister selbst ohne ausdrückliche vertragliche Regelung nicht rechtlos da: Soll der US-Anbieter als Unterauftragnehmer fungieren, kann dem widersprochen werden. In allen anderen Fällen muss die Sachlage eingehend geprüft werden.“

(ID:50458713)