Unser Verständnis von Datensouveränität
Souveränität hat Ebenen. Ihr Maß bestimmen Sie.
Datensouveränität heißt, selbst und nachweisbar zu entscheiden, wo Ihre Daten liegen, wer auf sie zugreifen kann und wie Sie wieder herauskommen. Wie viel davon Sie brauchen, ist keine Frage des Prinzips. Es hängt von Ihren Daten ab, von Ihren Pflichten und von Ihren Abhängigkeiten. Wir bestimmen es mit Ihnen und setzen es um.
Drei Ebenen
Drei Ebenen, drei verschiedene Fragen.
Die Europäische Union fragt, wie unabhängig Europa von Recht und Technik aus anderen Staaten ist. Deutschland ergänzt eigene Prüfmaßstäbe und Pflichten für einzelne Branchen. Ihr Unternehmen fragt etwas anderes: ob Sie selbst bestimmen, was mit Ihren Daten geschieht, und ob Sie den Anbieter wechseln können, wenn Sie es wollen.
| Ebene | Worum es geht | Woran es sich zeigt |
|---|---|---|
| Europäische Union | Unabhängigkeit Europas von Recht und Technik aus anderen Staaten | Datenschutzrecht, Regeln für Cloud-Dienste, Souveränitätsstufen der EU-Kommission für ihre eigene Beschaffung |
| Deutschland | nationale Sicherheitsinteressen und Pflichten einzelner Branchen | Kriterien des BSI für Cloud-Sicherheit (C5) und für Autonomie (C3A); Vorgaben für Gesundheitsdaten, Buchführung und Berufsgeheimnisse |
| Ihr Unternehmen | Entscheidungsfreiheit gegenüber jedem einzelnen Anbieter, auch einem europäischen | Wissen, wo Daten liegen; Schlüssel und Verträge in eigener Hand; ein erprobter Weg hinaus |
Die Ebenen bauen aufeinander auf. Ein Angebot, das den Ansprüchen der EU genügt, passt deshalb noch nicht automatisch zu Ihrem Unternehmen. Umgekehrt kann ein Dienst ohne europäischen Bezug für Daten ohne besonderen Schutzbedarf eine vertretbare Wahl sein, wenn Sie sie bewusst treffen und jederzeit wieder herauskommen.
Betriebsmodelle
Der Standort allein sagt wenig.
Dass ein Rechenzentrum in Frankfurt steht, beantwortet die wichtigen Fragen noch nicht. Nach US-Recht etwa müssen Anbieter Daten herausgeben, die sie kontrollieren, gleich wo diese gespeichert sind. Es kommt darauf an, wer betreibt, wessen Recht gilt und wer die Schlüssel hält. Vier Betriebsmodelle, fünf Fragen:
| Public Cloud bei einem EU-Anbieter | „Souveräne Cloud“ | Private Cloud | On-Premise | |
|---|---|---|---|---|
| Wer betreibt? | der Anbieter, auf Infrastruktur, die sich viele Kunden teilen | ein Anbieter mit besonderen Zusagen, etwa zu Betreibergesellschaft, Personal oder Standort | ein Dienstleister oder Sie selbst, nur für Ihr Unternehmen | Sie selbst, in eigenen Räumen |
| Wessen Recht greift? | das der Eigentümer- und Kontrollkette des Anbieters | das der Betreibergesellschaft und, je nach Aufbau, des Technologielieferanten | das des Betreibers | das an Ihrem Standort |
| Wer hat Zugriff und Schlüssel? | regeln Vertrag und Schlüsselverwaltung | meist der Kern der Zusage, im Einzelnen zu prüfen | hängt davon ab, wer betreibt | Sie und wen Sie beauftragen |
| Wie kommen Sie heraus? | über offene Formate und Exportwege; proprietäre Dienste erschweren es | wie bei der Public Cloud | leichter, wenn Plattform und Formate in Ihrer Hand sind | Daten und Systeme liegen bei Ihnen |
| Was müssen Sie selbst können? | Auswahl, Verträge, Exit-Planung | dazu die Prüfung der Zusagen | den Betreiber steuern oder selbst betreiben | Betrieb, Updates, Sicherung, Notfall |
„Souveräne Cloud“ ist eine Marktbezeichnung. Was ein Angebot leistet, zeigt erst die Prüfung: Wer kontrolliert den Betreiber? Läuft der Dienst weiter, wenn der Technologielieferant Updates oder Lizenzen einstellt? Wer hält die Schlüssel? Gibt es einen erprobten Weg hinaus? Öffentliche Maßstäbe dafür entstehen gerade, etwa die Souveränitätsstufen der EU-Kommission und der C3A-Katalog des BSI.
Private Cloud und On-Premise werden oft verwechselt. Private Cloud beschreibt, für wen eine Infrastruktur bereitsteht: exklusiv für eine Organisation, mit den Eigenschaften einer Cloud. On-Premise beschreibt, wo sie steht, nämlich in Ihren eigenen Räumen. Eine Private Cloud kann deshalb auch bei einem Dienstleister laufen, und nicht jeder eigene Serverraum ist eine Private Cloud. Wer selbst betreibt, braucht eigenes Können für Updates, Sicherung und Notfall. Auch dieses Können gehört zur Souveränität.
Ihr Maß
Was Souveränität für Ihr Unternehmen heißt.
Kaum ein Unternehmen braucht für alle Daten die höchste Stufe. Für die kritischen sollten Sie das Niveau aber bewusst wählen und belegen können. Fünf Fragen helfen dabei:
- Welche Daten sind kritisch, etwa Konstruktionsdaten, Kundendaten, Personaldaten oder Geschäftsgeheimnisse?
- Welche Pflichten gelten aus Gesetz, Branche und Kundenverträgen?
- Von welchen Anbietern hängen Sie ab, und was kostet ein Wechsel?
- Was können und wollen Sie selbst betreiben?
- Welches Restrisiko tragen Sie bewusst?
Am Ende steht eine Zuordnung je Datenbestand: was in die Cloud darf, was nach Europa gehört und was ins eigene Haus.
Wo wir stehen
Wir arbeiten auf der Ebene Ihres Unternehmens.
EU und Deutschland setzen den Rahmen und liefern Prüfmaßstäbe. Wir bestimmen mit Ihnen das passende Maß an Souveränität, setzen es um und betreiben es auf Wunsch.
Ihr Verantwortungsbereich.
Sie entscheiden, wo Ihre Daten liegen und wer auf sie zugreift, und Sie können diese Entscheidung jederzeit ändern. Darauf richten wir jede Empfehlung aus.
Nur, was Souveränität ermöglicht.
Die Sovereign Data Systems GmbH stellt nur Produkte und Systeme bereit, die Ihnen Datensouveränität ermöglichen. Wie das im Einzelnen aussieht, unterscheidet sich je Produkt; das Ziel ist dasselbe.
Unabhängig.
Wir bewerten unabhängig. Eigene Produkte nennen wir in der Beratung offen, und Sie können sie abwählen. Wir setzen auf offene Formate und dokumentierte Wege hinaus.
Wo stehen Sie heute?
Die fünf Fragen oben können Sie allein beantworten. Wenn Sie es systematisch und belegbar wollen, beginnen wir mit einer Standortbestimmung: acht Kontrolldimensionen, eine Scorecard, ein Management-Summary und eine Roadmap.