Der reine Speicherort ist nicht entscheidend Datensouveränität im Zeitalter der KI

Anbieter zum Thema

Cerabyte

Keepit Germany GmbH c/o Bird&Bird LLP

A3 Communications

Scality SA

euroNAS GmbH

mehr weniger

Veeam Software

DataCore Software GmbH

weniger

Führungskräfte aus den Bereichen Storage, Backup und Recht sind sich einig: Datensouveränität umfasst heute weit mehr als den reinen Speicherort von Daten. Unternehmen müssen nicht nur wissen, wo ihre Daten gespeichert sind, sondern auch, wer die tatsächliche Kontrolle über diese Daten ausübt.

Fragt man Storage-Teams von Unternehmen nach der Souveränität ihrer Daten, lautet die erste Antwort häufig lapidar: Frankfurt (oder London). Nach Einschätzung von zehn Branchenexperten, mit denen wir uns unterhalten haben, greift diese rein auf Lokalität ausgerichtete Betrachtungsweise jedoch zunehmend zu kurz und entwickelt sich zu einem der zentralen Missverständnisse der Enterprise-IT.

Wir haben CEOs, CTOs, einen CISO und einen Wirtschaftsanwalt gefragt: Wie ist es heute um die Datensouveränität bestellt, und in welche Richtung wird sie sich in den kommenden 12 bis 18 Monaten entwickeln? Trotz unterschiedlicher Perspektiven zeigt sich ein bemerkenswert konsistentes Bild: Datensouveränität wird längst nicht mehr allein durch geographische Faktoren bestimmt. Entscheidend sind zunehmend die operative Kontrolle über Daten und Systeme, die rechtliche Zuständigkeit sowie die technologische und architektonische Unabhängigkeit.

Die Falle der Datenresidenz

„Die gefährlichste Annahme ist, dass sich Datensouveränität allein durch die Wahl der richtigen Cloud-Region sicherstellen lässt“, sagt Aleksander Ragel, CEO und Mitgründer von Leil Storage. Diese Einschätzung bildet sozusagen die Grundlage für nahezu alle folgenden Aussagen zum Thema. Über unterschiedliche Perspektiven hinweg zeigt sich ein klares Bild: Unternehmen setzen Datenresidenz nach wie vor häufig mit Datensouveränität gleich, obwohl beide Begriffe grundlegend unterschiedliche Sachverhalte beschreiben.

Paul Speciale, CMO bei Scality, bringt den Unterschied auf den Punkt: „Bei der Datenresidenz geht es um den geografischen Speicherort, bei der Datensouveränität hingegen um die Frage, welchen Rechtsordnungen der Zugriff auf Daten unterliegen kann. Das sind zwei grundlegend unterschiedliche Aspekte.“ Alexander Lefterov, Gründer und CTO von Tiger Technology, erläutert, warum diese Unterscheidung wichtig ist: „Nach dem US Cloud Act können US-Behörden US-amerikanische Anbieter dazu verpflichten, Daten herauszugeben, die in Frankfurt oder Dublin gespeichert sind, ohne Sie darüber zu informieren. Bei Souveränität geht es darum, wer den gesamten Stack kontrolliert, nicht darum, wo die Server stehen.“

Für Edwin Weijdema, Field CTO EMEA und Cybersecurity Lead bei Veeam, reicht das Missverständnis weit über den physischen Speicherort hinaus. „Viele setzen Souveränität noch immer mit Datenresidenz gleich und gehen davon aus, dass die Speicherung von Daten in einem bestimmten Land oder einer bestimmten Region automatisch Compliance und Kontrolle gewährleistet. In der Praxis ist Datenresidenz notwendig, aber nicht hinreichend. Souveränität hängt ebenso von der rechtlichen Exponierung, Zugriffs- und Schlüsselverwaltung, der operativen Kontrolle sowie der Fähigkeit ab, Governance durchgängig und End-To-End nachzuweisen.“ Andere Gesprächspartner bestätigen diesen Wandel mit ergänzenden Blickwinkeln.

Kim Larsen, CISO bei Keepit, ist beispielsweise überzeugt, dass viele Unternehmen das Thema Souveränität noch immer falsch angehen. „Eine der nicht mehr zeitgemäßen Vorstellungen ist, dass sich Datensouveränität durch den Aufbau eines ‚neuen Microsoft‘ erreichen lässt, also durch den Austausch eines Hyperscalers gegen einen anderen. Das greift allerdings viel zu kurz. Bei Datensouveränität geht es nicht um Skalierung, sondern um Kontrolle.“ Martin Kunze, Gründer und CMO von Cerabyte, beobachtet unterdessen, dass Unternehmen zunehmend grundlegende Fragen stellen. „Die entscheidende Herangehensweise wird künftig nicht mehr nur lauten: ‚Wo werden meine Daten gespeichert?‘, sondern: ‚Wer kann darauf zugreifen, wer kann sie beeinflussen, von welcher Infrastruktur hängen sie ab, und kann ich sie bei Störungen unabhängig bewahren?‘“ Zusammengenommen ist die Botschaft eindeutig: Datensouveränität ist keine Beschaffungsentscheidung mehr, die sich anhand geografischer Kriterien treffen lässt. Sie entwickelt sich zu einer architektonischen Disziplin, die auf Kontrolle, Unabhängigkeit und Verantwortlichkeit basiert.

Regulierung verändert die Definition von Souveränität

Wenn operative Kontrolle die Datensouveränität innerhalb eines Unternehmens maßgeblich bestimmt, verändert sich zugleich das externe Umfeld mit hoher Geschwindigkeit. Über das gesamte Panel der Befragten hinweg herrscht weitgehend Einigkeit darüber, dass die Ära eines einheitlichen globalen Ansatzes für Data-Governance einem zunehmend fragmentierten regulatorischen Umfeld weicht.

„Wir sind bereits dort“, sagt Ragel von Leil. „Die EU hat die DSGVO und den sich weiterentwickelnden Data Act, China sein Data Security Law, Indien den DPDP Act, und in den USA entsteht eine zunehmend fragmentierte Landschaft aus Datenschutzgesetzen auf Ebene der Bundesstaaten. Diese Regelwerke bewegen sich nicht aufeinander zu, sondern laufen auseinander, und jede größere handelspolitische Spannung beschleunigt diese Divergenz.“ Larsen von Keepit ist überzeugt, dass Unternehmen die Auswirkungen bereits spüren. „Wir beobachten die Entstehung von Datenblöcken, angetrieben durch Regulierungen wie den EU Data Act und auch durch umfassendere geopolitische Spannungen. Dies wird Datenbewegungen grundlegend verändern. Unternehmen werden sich mit strengeren Vorgaben konfrontiert sehen hinsichtlich des Speicherorts von Daten, und wie diese grenzüberschreitend bewegt werden können.“ Anstelle einer einheitlichen globalen Architektur zeichnet sich zunehmend ein Modell ab, in dem Unternehmen mehrere regionale Umgebungen betreiben. Diese werden durch übergreifende Richtlinien gesteuert und zugleich an die jeweiligen lokalen Anforderungen angepasst.

Speciale von Scality beschreibt diesen Wandel als Abkehr vom uneingeschränkten globalen Datenverkehr: „Die Idee freier Datenbewegung aus den 2010er-Jahren wird durch einen kontrollierten Datenstrom ersetzt, bei dem an jeder Grenze Einwilligungen, Verträge und Bedingungen berücksichtigt werden müssen. In der Praxis bedeutet das, dass global tätige Unternehmen künftig nicht mehr davon ausgehen können, mit einer einzigen Cloud-Architektur sämtliche Regionen abzudecken. Stattdessen werden sie Architekturen entwickeln, die regionale Autonomie mit einer übergreifenden globalen Governance verbinden. Dazu gehören mehrere Data-Planes, die jeweils an die lokalen rechtlichen Anforderungen angepasst sind und über gemeinsame Metadaten und Richtlinien statt durch Datenreplikation miteinander verbunden werden.”

Weijdema von Veeam ist der Ansicht, dass Unternehmen Souveränität nicht als einmalige Compliance-Maßnahme behandeln sollten. „Sowohl regulatorische als auch geopolitische Rahmenbedingungen entwickeln sich kontinuierlich weiter. Unternehmen müssen Souveränität daher als dauerhafte Disziplin verstehen. Strategien müssen fortlaufend überprüft und angepasst werden, um wirksam zu bleiben.“ Tvrtko Fritz, CEO von euroNAS, stellt die Dimension nationaler Interessen in den Vordergrund. „Regierungen werden voraussichtlich weitere Vorschriften erlassen, die festlegen, wo bestimmte Kategorien von Daten, geistiges Eigentum und geschäftskritische Informationen gespeichert, verarbeitet und abgerufen werden dürfen“, erklärt er. Unternehmen sollten sich daher „auf eine Zukunft einstellen, in der digitale Souveränität zu einem dauerhaften Bestandteil ihrer IT-Strategie wird“.

Valery Guilleaume, CEO von Nodeum, setzt einen etwas anderen Akzent. Seiner Einschätzung nach wird der Schwerpunkt „weniger auf einer strikten geopolitischen Trennung und stärker auf der sorgfältigen Einhaltung regionaler Vorschriften für die Speicherung, Übertragung sowie den Zugriff auf Daten“ liegen.

Weshalb Recht vor Geografie steht

Wenn die Regulierung erklärt, warum sich Datensouveränität verändert, zeigt die Frage der Rechtszuständigkeit, weshalb die lokale Speicherung von Daten allein nicht mehr ausreicht. Ein Punkt zieht sich durch die Antworten: Unternehmen konzentrieren sich häufig darauf, wo ihre Daten gespeichert sind, während sie der Frage deutlich weniger Aufmerksamkeit schenken, welche Rechtsordnungen letztlich den Zugriff auf diese Daten bestimmen.

Wie Ragel von Leil formuliert: „Die rechtliche Zuständigkeit wird wichtiger werden, und genau diese Dimension wird von den meisten Unternehmen noch immer unterschätzt.“ Er führt aus: „Ein Petabyte an Daten, das in Frankfurt gespeichert ist, bedeutet für sich genommen wenig, wenn das Mutterunternehmen der Storage-Plattform von einem US-Bundesgericht verpflichtet werden kann, diese Daten herauszugeben, unabhängig davon, wo sie physisch tatsächlich gespeichert sind. Der Cloud Act hat dies ausdrücklich klargestellt, und wir haben die vollständigen Auswirkungen auf die Durchsetzung noch nicht erlebt.“ Larsen von Keepit erwartet, dass eine weitere rechtliche Auseinandersetzung diese Fragen erneut in den Fokus rücken könnte: „Wir steuern wahrscheinlich auf einen weiteren ‚Schrems-Moment‘ zu, der die Frage nach US-amerikanischen Zugriffsgesetzen wieder stärker ins Zentrum rücken wird.“ Er ergänzt: „Selbst wenn Daten in Europa liegen, können sie je nach Anbieter weiterhin einer ausländischen Rechtsordnung unterliegen. Unternehmen sollten darauf reagieren, indem sie ihre Abhängigkeit von Anbietern reduzieren, die widersprüchlichen Rechtsordnungen unterliegen, und Architekturen entwickeln, bei denen Kontrolle, Zugriff und Verschlüsselung fest in eigener Hand bleibt.”

Paul Haswell, Partner bei Hill Dickinson, ist der Ansicht, dass Unternehmen Speicherort und Rechtszuständigkeit als untrennbar miteinander verbunden betrachten sollten. „Wo Daten gespeichert sind und wer darauf zugreifen kann, lässt sich nicht voneinander trennen. Beide Aspekte gehören zusammen. Unternehmen benötigen einen einfachen und sicheren Zugriff auf ihre Daten. Dieser Zugriff kann voraussetzen, dass die Daten innerhalb der eigenen Rechtsordnung gespeichert und geschützt werden.“ Lefterov von Tiger ist überzeugt, dass Unternehmen diese Überlegungen bereits in den Beschaffungsprozess integrieren sollten. „Den Standort können Sie auf einer Karte sehen. Die rechtliche Zugriffsmöglichkeit ist hingegen unsichtbar. Eine ausländische Behörde kann Ihren Anbieter zur Herausgabe verpflichten, ohne Sie darüber zu informieren.“ Er ergänzt: „Betrachten Sie die rechtliche Präsenz eines Anbieters als Beschaffungskriterium und nicht als nachträgliche Überlegung. Wo das Mutterunternehmen seinen Sitz hat und rechtlich eingetragen ist, ist ebenso relevant wie der Standort des Rechenzentrums.“

Daraus ergibt sich eine grundlegende Veränderung der Bewertung von Souveränität. Geografie bleibt wichtig, reicht allein jedoch nicht mehr aus. Unternehmen müssen zunehmend nicht nur wissen, wo ihre Daten gespeichert sind, sondern auch, wer letztlich die rechtliche Befugnis besitzt, darauf zuzugreifen.

Wie es weitergeht

Die Gesprächspartner sind sich einig: Datensouveränität hat ihre traditionelle Definition hinter sich gelassen.

Von Unternehmen wird zunehmend erwartet, nachweisen zu können, wer ihre Daten kontrolliert, wer darauf zugreifen kann, welche Rechtsrahmen gelten und ob ihre Infrastruktur unabhängig von externen Rechtsordnungen betrieben werden kann.

Damit wird Souveränität zu einer Architekturentscheidung. Sie beeinflusst, wie Unternehmen Storage-Plattformen konzipieren, Resilienzstrategien entwickeln und Technologieanbieter bewerten.

Für viele Unternehmen bedeutet dies einen grundlegenden Perspektivwechsel. Statt lediglich zu prüfen, ob ihre Daten am richtigen Ort gespeichert sind, stellt sich zunehmend die Frage, ob sie während des gesamten Datenlebenszyklus tatsächlich die Kontrolle über diese Daten behalten.

Dieser Wandel dürfte die Beschaffungsentscheidungen der kommenden 12 bis 18 Monate maßgeblich prägen. Unternehmen werden ihren Fokus zunehmend über die reine Geografie hinaus auf operative Unabhängigkeit, rechtliche Sicherheit und nachweisbare Kontrolle richten.

* Die Autorin: Federica Monsone, CEO und Gründerin von A3 Communications

(ID:50959079)