Was ist eine Sovereign Cloud?
Eine Sovereign Cloud ist eine Cloud-Infrastruktur, die vollständig der Jurisdiktion eines bestimmten Landes oder Rechtsraums unterliegt. Ziel sind Datensouveränität, Compliance und Unabhängigkeit von ausländischen Zugriffen. Anders als bei klassischen Hyperscaler-Angeboten reicht nicht aus, dass die Rechenzentren in Europa stehen. Entscheidend ist, welcher Gesetzgebung das betreibende Unternehmen unterliegt, wer auf die Daten zugreifen kann und wo die Schlüssel zur Verschlüsselung liegen.
Warum Sovereign Cloud?
Treiber dieser Entwicklung sind vor allem rechtliche und regulatorische Anforderungen. Die Datenschutz-Grundverordnung verlangt einen gesicherten Umgang mit personenbezogenen Daten in der EU. Der US-amerikanische CLOUD Act erlaubt US-Behörden den Zugriff auf Daten von US-Unternehmen, auch wenn die Server in Europa stehen. Das Schrems-II-Urteil hat den unbeschränkten Datentransfer in die USA eingeschränkt, und die NIS2-Richtlinie verschärft die Anforderungen an kritische Infrastrukturen. Besondere Schutzbedarfe gelten zudem in der öffentlichen Verwaltung, im Gesundheitswesen, im Finanzsektor und bei Betreibern kritischer Infrastrukturen.
Merkmale einer Sovereign Cloud
Souveränität entfaltet sich in mehreren Schichten. Datensouveränität bedeutet, dass die Daten die definierte Region nicht verlassen, keine verdeckten Zugriffsmöglichkeiten ausländischer Behörden bestehen und Verschlüsselung mit eigenen Schlüsseln möglich ist. Betriebssouveränität verlangt, dass die Plattform durch lokales Personal betrieben wird und das Management innerhalb der Region liegt. Technologische Souveränität setzt auf offene Standards und Open-Source-Komponenten, um Abhängigkeiten von einzelnen Anbietern zu vermeiden und Portabilität zu sichern.
Anbieter und Modelle
Im europäischen Markt haben sich mehrere Anbieter mit souveränem Anspruch etabliert. Deutsche Häuser wie IONOS, Hetzner, die Open Telekom Cloud, STACKIT aus dem Schwarz-Konzern oder plusserver positionieren sich als Infrastrukturanbieter oder als spezialisierte Managed-Service-Provider, aus Frankreich kommen OVHcloud und Scaleway hinzu. Daneben bieten die großen Hyperscaler eigene Sovereign-Varianten an, etwa Microsoft mit der Cloud for Sovereignty, AWS mit der angekündigten European Sovereign Cloud und Google in Zusammenarbeit mit T-Systems. Angebote für die öffentliche Hand wie die Bundescloud sowie föderierte Initiativen rund um Gaia-X ergänzen das Bild.
Architektur und Schlüsselverwaltung
Im Kern steht eine klare Trennung zwischen der eigentlichen Cloud-Region und potenziellen ausländischen Zugriffspfaden. Workloads und Daten verbleiben im definierten Rechtsraum, sind im Ruhezustand verschlüsselt, das Personal unterliegt lokalem Recht. Eine zentrale Frage ist die Verwaltung der Schlüssel. Beim Bring-Your-Own-Key-Modell stellt der Kunde eigene Schlüssel bereit, die in der Cloud verarbeitet werden. Beim Hold-Your-Own-Key-Modell verbleiben die Schlüssel beim Kunden, oft abgesichert über Hardware Security Modules, sodass selbst der Anbieter die Daten ohne Mitwirkung nicht entschlüsseln kann.
Kosten und Strategie
Im Vergleich zu klassischen Hyperscalern sind souveräne Angebote häufig teurer, weil Skaleneffekte geringer sind und Souveränitätsanforderungen Aufpreise rechtfertigen. Im Gegenzug ist Compliance oft eingebaut, Support steht in der Landessprache zur Verfügung, und das Feature-Set ist fokussiert. Eine Migration verläuft selten als kompletter Wechsel, sondern als bewusste Klassifizierung. Empfehlenswerte Schritte sind:
- Analyse, welche Daten und Workloads tatsächlich souveränitätskritisch sind und welche nicht
- Klassifizierung der Anwendungen nach Schutzbedarf und regulatorischen Anforderungen
- Aufbau eines Hybrid-Modells, in dem kritische Bereiche souverän laufen und der Rest dort, wo es technisch und wirtschaftlich sinnvoll ist
- Festlegung einer Exit-Strategie, die Portabilität und Anbieterwechsel jederzeit ermöglicht
Zertifizierungen
Mehrere Zertifikate dienen als Nachweis für Vertrauenswürdigkeit und Sicherheit. Der C5-Katalog des BSI definiert Anforderungen an Cloud-Sicherheit nach deutschem Standard, ISO 27001 ist die international etablierte Norm für Informationssicherheit, TISAX adressiert die Automobilindustrie, und SOC-2-Berichte sind international verbreitet. Die Auswahl orientiert sich am konkreten Anwendungsfall.
Bedeutung für die Praxis
Für Projekte mit Bezug zur öffentlichen Hand, zu regulierten Branchen oder zu sensiblen personenbezogenen Daten ist die Frage nach einer Sovereign Cloud längst kein Nischenthema mehr. Eine bewusste Entscheidung über Datenort, Schlüsselhoheit und Betriebsmodell schafft Rechtssicherheit und reduziert geopolitische Risiken, ohne die Vorteile cloudbasierter Architekturen aufzugeben.
