Souveränität statt Abhängigkeit – Der strategische Weg zur Cloud-Exit-Fähigkeit

Wenn die Cloud zur Kontrollfrage wird

Für viele europäische Unternehmen und Behörden hat sich die Nutzung von Cloud-Diensten großer US-Anbieter zu einem strategischen Problem entwickelt. Digitale Transformation versprach Skalierbarkeit und Effizienz, führte aber oft zu einem Kontrollverlust über kritische Daten und Infrastrukturen. Angesichts geopolitischer Spannungen, extraterritorialer Zugriffsrechte wie dem CLOUD Act und strenger europäischer Datenschutzbestimmungen (wie DSGVO, NIS-2 und DORA) wird die digitale Souveränität zur Schlüsselanforderung.

Digitale Souveränität ist definiert als die Fähigkeit von Organisationen, selbstbestimmt über ihre Daten und Infrastruktur zu verfügen – unabhängig von externen politischen oder regulatorischen Einflüssen.

1. Die rechtliche und geopolitische Zwickmühle

Die rechtliche Unsicherheit hat sich durch jüngere Entwicklungen weiter verschärft. Zwar hat das EU-U.S. Data Privacy Framework (DPF) durch die Executive Order 14086 neue Garantien eingeführt, aber es ersetzt keine individuelle Risikoprüfung.

Die größten Risiken entstehen durch:

• CLOUD Act: US-Behörden können unter bestimmten Bedingungen auf Daten von US-Anbietern zugreifen, selbst wenn diese physisch in der EU gespeichert sind.
• Intransparenz und Lock-in-Effekte: Selbst bei vorliegenden C5-Testierungen des BSI bleibt die tatsächliche Transparenz über Betriebsprozesse oder Speicherorte begrenzt. Wenn Anbieter nur standardisierte Reports bereitstellen und tiefere technische Details verweigern, erschwert dies die vollständige Compliance-Prüfung. Proprietäre Schnittstellen und enge Dienstabhängigkeiten führen zu Lock-in-Effekten, die im Ernstfall (etwa bei geopolitischen Konflikten) die Geschäftskontinuität gefährden.
• Erhöhter Regulierungsdruck: NIS-2 und DORA verschärfen die Anforderungen an das Lieferkettenmanagement, die Drittparteikontrolle und die Resilienz.

2. Cloud-Exit: Die Fähigkeit zur Handlungsfreiheit

Eine Cloud-Exit-Strategie ist nicht gleichbedeutend mit einer sofortigen Migration. Vielmehr ist es die Fähigkeit, jederzeit handlungsfähig zu sein und im Falle regulatorischer oder geopolitischer Änderungen schnell reagieren zu können. Ohne eine definierte Exit-Option bleibt die Entscheidungsfreiheit theoretisch.

Pragmatische Umsetzung durch Workload-Klassifikation

Der erste Schritt zu einem souveränen Rückzug ist die Priorisierung der Workloads. Die Klassifikation sollte nach Daten- und Systemkritikalität erfolgen, um einen schrittweisen Migrationspfad zu definieren:

1. Unternehmenskritisch: Systeme, deren Ausfall die Geschäftskontinuität unmittelbar gefährdet (z. B. ERP oder Produktionssteuerung).
2. Kritisch: Anwendungen mit hohem Einfluss auf Compliance oder Sicherheit, aber ohne sofortige Betriebsunterbrechung (z. B. HR oder Finanzbuchhaltung).
3. Intern und Öffentlich: Workloads mit begrenztem oder geringem Risiko (z. B. Kollaborationstools oder Marketing-Websites).

Für jede Klasse sollte der Schutzbedarf (Vertraulichkeit, Integrität, Verfügbarkeit) und die Exit-Tiefe (von reinen Backups bis zu aktiv-aktiv Disaster-Recovery-Szenarien) definiert werden.

Architektonische Prinzipien für Portabilität

Um technologische Abhängigkeiten zu minimieren, muss die Architektur auf Portabilität ausgerichtet sein. Die wichtigsten Prinzipien sind:

• Portability by Design: Einsatz von Open-Source-basierten, standardisierten Komponenten und containerbasierten Architekturen (z. B. nach OCI), ergänzt durch Infrastructure as Code (IaC). Dies ermöglicht den flexiblen Betrieb auf Hyperscalern, europäischen Cloud-Plattformen oder On-Premises-Infrastrukturen.
• Schlüsselherrschaft: Unternehmen müssen ihre Schlüssel selbst kontrollieren, idealerweise über Hardware-Sicherheitsmodule (HSM) oder externe Key-Management-Systeme (KMS). Masterkeys sollten grundsätzlich nicht exportierbar sein.
• Zugriffsentkopplung: Nutzung strikter Least-Privilege-Modelle, Just-in-Time-Berechtigungen und getrennte Administrator-Domänen.
• Datenlokalisierung: Sensible Workloads sollten ausschließlich innerhalb der EU verarbeitet werden. Remote-Administrationszugriffe von außerhalb des europäischen Rechtsraums sind bei Kritischen Infrastrukturen (KRITIS) zu vermeiden.

3. Der EU Data Act: Neue Hebel für den strategischen Exit (Externe Aktualisierung/Kontext)

Neue EU-Regulierungen liefern konkrete rechtliche Hebel, um einen Cloud-Exit einfacher und günstiger zu gestalten.

• Verbindliche Wechselrechte: Der EU Data Act (VO (EU) 2023/2854) ist seit 2024 in Kraft, und die meisten Pflichten gelten ab dem 12. September 2025. Er bringt verbindliche Wechselrechte für Cloud-Kunden.
• Ende der Egress-Gebühren: Bis zum 12. Januar 2027 müssen die sogenannten Egress-Gebühren – also Entgelte für das Herausleiten von Daten an andere Plattformen – vollständig entfallen.

Diese Regelungen senken die finanziellen Hürden für Datenmigration erheblich und stärken die Position europäischer Unternehmen gegenüber Hyperscalern. Wer jetzt eine Exit-Strategie plant, sollte diese neuen Rechte aktiv nutzen.

Reifegradmodell: Von Basic zu Resilient

Um die eigene Cloud-Exit-Fähigkeit zu messen, kann ein Reifegradmodell dienen:

Fazit: Souveränität ist eine Gestaltungsoption

Digitale Souveränität ist kein abstraktes Ideal, sondern ein strategischer Imperativ. Unternehmen, die den Exit als Gestaltungsoption begreifen, sichern die Handlungsfreiheit. Die technische und organisatorische Vorbereitung – insbesondere die konsequente Umsetzung von Portability by Design und klarer Schlüsselherrschaft – ist entscheidend, denn ohne sie bleiben auch neue rechtliche Hebel wie der EU Data Act wirkungslos.

Der strategische Cloud-Exit ist wie eine gut geplante Versicherung: Er mag nicht täglich gebraucht werden, aber die Fähigkeit zum kontrollierten Wechsel garantiert die unternehmerische Handlungsfreiheit und Resilienz in einer unvorhersehbaren digitalen Welt.