Datenstandort Deutschland, Kontrolle über Unternehmensdaten und Unabhängigkeit von IT-Anbietern: Worauf Geschäftsführer bei Cloud-Entscheidungen wirklich achten sollten.
Immer mehr Unternehmen beschäftigen sich mit der Frage, wie abhängig sie von ihren IT-Anbietern sind.
Dabei geht es längst nicht mehr nur darum, ob ein Server zuverlässig funktioniert oder ob die monatlichen Cloud-Kosten angemessen sind.
Es geht auch um grundlegendere Fragen:
Wer kann auf unsere Unternehmensdaten zugreifen? Welche rechtlichen Rahmenbedingungen gelten? Was passiert, wenn ein Anbieter seine Preise oder Vertragsbedingungen verändert? Und könnten wir unsere IT bei Bedarf zu einem anderen Dienstleister verlagern?
In diesem Zusammenhang fällt häufig der Begriff digitale Souveränität.
Er klingt zunächst abstrakt. Tatsächlich beschreibt er aber etwas, das für jedes Unternehmen von Bedeutung ist:
Die Fähigkeit, selbstbestimmt über die eigene IT und den Umgang mit Unternehmensdaten zu entscheiden.
Digitale Souveränität bedeutet nicht, dass ein Unternehmen sämtliche IT-Systeme selbst besitzen oder betreiben muss.
Sie bedeutet vielmehr, dass Abhängigkeiten bekannt, Risiken beherrschbar und wichtige Entscheidungen weiterhin möglich bleiben.
Warum digitale Souveränität für Geschäftsführer wichtig ist
Die IT eines Unternehmens besteht heute häufig aus zahlreichen miteinander verbundenen Leistungen.
E-Mails werden über einen Cloud-Dienst verarbeitet. Dokumente liegen auf einer zentralen Plattform. Die Warenwirtschaft läuft auf einem Server im Rechenzentrum. Weitere Anwendungen werden direkt über das Internet genutzt.
Das kann die Arbeit erheblich erleichtern.
Gleichzeitig entstehen Abhängigkeiten.
Wenn ein zentraler Anbieter seine Leistungen verändert, Preise erhöht oder einen Dienst einstellt, kann das unmittelbare Auswirkungen auf den Geschäftsbetrieb haben.
Auch ein Wechsel zu einem anderen Anbieter ist möglicherweise nicht ohne Weiteres möglich.
Daten müssen übertragen, Anwendungen angepasst, Schnittstellen neu eingerichtet und Mitarbeiter auf veränderte Abläufe vorbereitet werden.
Digitale Souveränität bedeutet deshalb auch, solche Abhängigkeiten bereits bei der Auswahl einer Lösung zu berücksichtigen.
Es geht nicht darum, jede Abhängigkeit zu vermeiden. Das wäre in einer arbeitsteiligen IT-Landschaft kaum realistisch.
Es geht darum, Abhängigkeiten bewusst einzugehen, ihre Auswirkungen zu verstehen und Handlungsmöglichkeiten zu bewahren.
Digitale Souveränität besteht aus mehreren Bereichen
Häufig wird digitale Souveränität auf den Standort eines Rechenzentrums reduziert.
Ein Anbieter betreibt seine Server in Deutschland und bezeichnet die Lösung deshalb als souverän.
Der Datenstandort kann ein wichtiger Bestandteil sein.
Er allein reicht jedoch nicht aus.
Für eine fundierte Betrachtung sollten mindestens fünf Bereiche berücksichtigt werden:
- Der Standort und die Verarbeitung der Unternehmensdaten
- Die beteiligten Anbieter und ihre rechtlichen Rahmenbedingungen
- Die Kontrolle über Zugriffe und Berechtigungen
- Die technische Abhängigkeit von einzelnen Produkten und Plattformen
- Die Möglichkeit, Daten und Anwendungen später zu einem anderen Anbieter zu verlagern
Erst das Zusammenspiel dieser Faktoren ermöglicht eine realistische Einschätzung.
1. Wo werden unsere Daten gespeichert und verarbeitet?
Für viele Geschäftsführer ist der Datenstandort die erste Frage.
Das ist nachvollziehbar.
Unternehmen möchten wissen, wo ihre geschäftlichen Informationen liegen und welchen rechtlichen und organisatorischen Rahmenbedingungen die Verarbeitung unterliegt.
Ein Rechenzentrum in Deutschland kann dabei Vorteile bieten.
Beispielsweise lassen sich bestimmte Anforderungen an den Standort und die vertragliche Zusammenarbeit möglicherweise leichter einordnen.
Allerdings muss zwischen verschiedenen Vorgängen unterschieden werden.
Daten können in einem deutschen Rechenzentrum gespeichert sein, während bestimmte Unterstützungsleistungen, Fernzugriffe oder weitere Verarbeitungsschritte durch andere Beteiligte erfolgen.
Auch eingesetzte Softwaredienste können eigene Datenverarbeitungsprozesse haben.
Deshalb reicht die Aussage „Unsere Server stehen in Deutschland“ für eine vollständige Bewertung nicht aus.
Welche Fragen sollten Unternehmen stellen?
Geschäftsführer sollten sich unter anderem erläutern lassen:
- Wo werden die produktiven Daten gespeichert?
- Wo befinden sich Datensicherungen?
- Welche Unternehmen sind an der Verarbeitung beteiligt?
- Sind Zugriffe oder Verarbeitungen aus anderen Ländern möglich?
- Welche vertraglichen Regelungen gelten für diese Vorgänge?
Nicht jede dieser Fragen muss zu einer problematischen Antwort führen.
Wichtig ist zunächst, dass die Antworten nachvollziehbar sind.
Ein bekannter Datenstandort schafft Transparenz. Vollständige digitale Souveränität entsteht dadurch allein noch nicht.
2. Wer steht rechtlich hinter dem Cloud-Angebot?
Ein weiterer wichtiger Punkt ist die Frage, mit welchem Unternehmen ein Vertrag geschlossen wird und welche weiteren Unternehmen an der Leistungserbringung beteiligt sind.
Dabei sollte zwischen dem Vertragspartner, dem Betreiber der Infrastruktur und gegebenenfalls eingesetzten Unterauftragnehmern unterschieden werden.
Diese Unternehmen können unterschiedliche Aufgaben übernehmen.
Für personenbezogene Daten ist insbesondere relevant, welche datenschutzrechtlichen Rollen bestehen und welche Vereinbarungen erforderlich sind.
Eine Vereinbarung zur Auftragsverarbeitung nach Artikel 28 der Datenschutz-Grundverordnung kann dabei eine wesentliche Grundlage sein, wenn ein Dienstleister personenbezogene Daten im Auftrag verarbeitet.
Sie regelt unter anderem bestimmte Pflichten und Verantwortlichkeiten der Beteiligten.
Allerdings ersetzt eine solche Vereinbarung weder die Prüfung des konkreten Verarbeitungsvorgangs noch die Bewertung der technischen und organisatorischen Maßnahmen.
Bedeutet ein deutscher Anbieter automatisch vollständige Unabhängigkeit?
Nein.
Auch ein deutscher Anbieter kann Software, Hardware oder Dienstleistungen internationaler Unternehmen einsetzen.
Ebenso kann ein internationaler Anbieter Dienste in deutschen Rechenzentren bereitstellen.
Entscheidend ist deshalb nicht allein der Unternehmenssitz.
Relevant sind die tatsächlichen Vertragsbeziehungen, technischen Abhängigkeiten, Zugriffsmöglichkeiten und rechtlichen Rahmenbedingungen.
Ein Unternehmen sollte diese Zusammenhänge kennen, bevor es eine langfristige Entscheidung trifft.
3. Wer darf auf unsere Unternehmensdaten zugreifen?
Digitale Souveränität bedeutet auch Kontrolle über Zugriffsrechte.
Dabei geht es nicht nur um mögliche Zugriffe durch externe Dienstleister.
Mindestens ebenso wichtig ist die Frage, welche Mitarbeiter innerhalb des eigenen Unternehmens auf welche Informationen zugreifen dürfen.
Ein Mitarbeiter in der Buchhaltung benötigt möglicherweise andere Berechtigungen als ein Mitarbeiter im Vertrieb.
Administratoren wiederum können weitreichende technische Rechte besitzen.
Diese Berechtigungen sollten bewusst vergeben, dokumentiert und regelmäßig überprüft werden.
Welche Maßnahmen können helfen?
Dazu gehören beispielsweise eine eindeutige Benutzerverwaltung, geeignete Rollen- und Berechtigungskonzepte sowie eine zusätzliche Absicherung besonders wichtiger Zugänge.
Auch die Mehr-Faktor-Authentifizierung kann einen wichtigen Beitrag leisten.
Wenn Mitarbeiter das Unternehmen verlassen oder ihre Aufgaben wechseln, müssen Berechtigungen entsprechend angepasst werden.
Bei externen IT-Dienstleistern sollte außerdem geklärt sein, welche administrativen Zugriffe erforderlich sind, wie diese abgesichert werden und wie mit ihnen umgegangen wird.
Kontrolle über Daten bedeutet nicht nur, ihren Speicherort zu kennen. Sie bedeutet auch, Zugriffe nachvollziehbar und angemessen zu begrenzen.
4. Wie abhängig machen wir uns von einem Anbieter?
Eine besonders wichtige Frage wird häufig erst dann gestellt, wenn ein Anbieterwechsel ansteht.
Können wir unsere Daten und Anwendungen überhaupt zu einem anderen Dienstleister mitnehmen?
Die Antwort hängt stark davon ab, welche Technologie eingesetzt wird.
Ein Unternehmen, das eine weitgehend standardisierte Serverumgebung betreibt, hat unter Umständen andere Wechselmöglichkeiten als ein Unternehmen, dessen Geschäftsprozesse auf zahlreichen speziellen Funktionen einer bestimmten Cloud-Plattform aufbauen.
Je stärker Anwendungen an proprietäre Schnittstellen, Datenformate oder Dienste gebunden sind, desto aufwendiger kann ein Wechsel werden.
Dieses Phänomen wird häufig als Vendor Lock-in bezeichnet.
Gemeint ist eine technische oder wirtschaftliche Abhängigkeit von einem bestimmten Anbieter.
Ist eine solche Abhängigkeit grundsätzlich schlecht?
Nicht unbedingt.
Spezialisierte Dienste können erhebliche Vorteile bieten.
Sie können Prozesse vereinfachen, Funktionen bereitstellen und die Entwicklung neuer Lösungen beschleunigen.
Es wäre deshalb nicht sinnvoll, jede besondere Anbieterfunktion grundsätzlich zu vermeiden.
Wichtig ist jedoch, die Konsequenzen zu kennen.
Ein Unternehmen sollte verstehen, welche Kosten und welcher Aufwand entstehen könnten, wenn es die Plattform später verlassen möchte.
Digitale Souveränität bedeutet nicht, auf leistungsfähige Anbieter zu verzichten. Sie bedeutet, die Folgen einer Anbieterentscheidung zu kennen.
5. Können wir den Anbieter später wechseln?
Ein Anbieterwechsel ist mehr als die Übertragung einiger Dateien.
Je nach Lösung müssen auch Anwendungen, Datenbanken, Benutzerrechte, Schnittstellen, Sicherheitskonzepte und betriebliche Abläufe berücksichtigt werden.
Hinzu kommen mögliche vertragliche Bindungen und Lizenzfragen.
Für die digitale Souveränität ist deshalb entscheidend, ob ein Unternehmen realistische Möglichkeiten besitzt, seine IT später anders zu organisieren.
Was sollte vor Vertragsabschluss geklärt werden?
Ein Unternehmen sollte wissen, in welchen Formaten Daten bereitgestellt werden können, welche Unterstützung bei einem Wechsel vorgesehen ist und welche Kosten dafür entstehen können.
Auch Kündigungsfristen und vertragliche Regelungen zur Datenrückgabe und Löschung sind relevant.
Besonders wichtig ist die Frage, wie der laufende Geschäftsbetrieb während eines Wechsels aufrechterhalten werden kann.
Ein Wechsel muss nicht jederzeit ohne Aufwand möglich sein.
Aber er sollte grundsätzlich planbar bleiben.
Was bedeutet digitale Souveränität bei Microsoft 365?
Microsoft 365 ist in vielen Unternehmen ein fester Bestandteil des Arbeitsalltags.
E-Mails, Dokumente, Zusammenarbeit und weitere Funktionen werden über die Plattform bereitgestellt.
Damit entstehen Vorteile, aber auch Abhängigkeiten von den Diensten, Lizenzmodellen und technischen Möglichkeiten des Anbieters.
Ein Unternehmen sollte deshalb unter anderem verstehen, welche Daten in welchen Diensten verarbeitet werden, welche administrativen Einstellungen zur Verfügung stehen und wie sich Informationen exportieren lassen.
Auch die Verwaltung von Benutzerkonten, Berechtigungen und Datensicherungen spielt eine Rolle.
Ein möglicher Wechsel zu einer anderen Plattform kann organisatorisch und technisch aufwendig sein.
Das bedeutet nicht, dass Microsoft 365 grundsätzlich ungeeignet wäre.
Es bedeutet lediglich, dass die Entscheidung für eine solche Plattform bewusst getroffen und langfristig betrachtet werden sollte.
Digitale Souveränität ist deshalb nicht zwingend eine Entscheidung gegen bestimmte Hersteller.
Sie ist vor allem eine Entscheidung für Transparenz, Kontrolle und planbare Abhängigkeiten.
Sind eigene Server automatisch souveräner als Cloud-Lösungen?
Auf den ersten Blick könnte man meinen, dass ein Unternehmen mit eigenen Servern grundsätzlich unabhängiger ist.
Die Hardware steht im eigenen Gebäude und gehört dem Unternehmen.
Doch auch ein eigener Server benötigt Betriebssysteme, Anwendungen, Sicherheitsupdates, Ersatzteile und fachkundige Betreuung.
Viele dieser Leistungen stammen von externen Herstellern und Dienstleistern.
Zudem muss das Unternehmen selbst geeignete Maßnahmen für Sicherheit, Datensicherung und Verfügbarkeit organisieren.
Eigene Hardware bedeutet daher nicht automatisch vollständige Kontrolle über alle technischen und organisatorischen Abhängigkeiten.
Umgekehrt kann eine sorgfältig ausgewählte Cloud-Lösung klare vertragliche Regelungen, transparente Zuständigkeiten und nachvollziehbare Betriebsbedingungen bieten.
Welche Variante mehr Handlungsspielraum eröffnet, hängt von der konkreten Ausgestaltung ab.
Die Frage lautet nicht einfach „Eigener Server oder Cloud?“, sondern „Mit welcher Lösung behalten wir die für unser Unternehmen notwendige Kontrolle?“
Ist eine deutsche Cloud grundsätzlich die bessere Wahl?
Ein deutscher Cloud-Anbieter kann für bestimmte Unternehmen besonders interessant sein.
Das gilt beispielsweise dann, wenn ein klar definierter Datenstandort, transparente Vertragsbeziehungen oder bestimmte organisatorische Anforderungen eine wichtige Rolle spielen.
Allerdings sollten Geschäftsführer nicht allein aufgrund der Bezeichnung „deutsche Cloud“ eine Entscheidung treffen.
Auch hier müssen die konkreten Leistungen geprüft werden.
Dazu gehören beispielsweise Verfügbarkeit, Datensicherung, Sicherheitsmaßnahmen, technische Möglichkeiten und die Unterstützung beim laufenden Betrieb.
Ebenso wichtig sind die tatsächlichen Kosten und die Eignung für die vorhandenen Anwendungen.
Eine deutsche Cloud kann eine sehr gute Lösung sein.
Sie ist aber nicht allein aufgrund ihres Standorts automatisch für jedes Unternehmen die beste Wahl.
Welche Rolle spielen Sicherheitsnachweise und Verträge?
Bei der Auswahl eines Cloud-Anbieters sollten Unternehmen nicht ausschließlich auf Werbeaussagen vertrauen.
Hilfreicher sind nachvollziehbare Unterlagen.
Dazu können beispielsweise Vereinbarungen zur Auftragsverarbeitung, Beschreibungen technischer und organisatorischer Maßnahmen, vertragliche Leistungsbeschreibungen und geeignete Sicherheitsnachweise gehören.
Solche Dokumente ermöglichen es, konkrete Fragen zu stellen und die tatsächlichen Vereinbarungen zu verstehen.
Allerdings sollte zwischen verschiedenen Nachweisen unterschieden werden.
Eine Beschreibung technischer und organisatorischer Maßnahmen dokumentiert bestimmte Schutzmaßnahmen.
Sie ist nicht automatisch ein unabhängiges Zertifikat.
Ebenso wenig garantiert eine Vereinbarung zur Auftragsverarbeitung, dass jede denkbare Sicherheitsanforderung erfüllt ist.
Auch Zertifizierungen beziehen sich jeweils auf einen bestimmten Prüfungsumfang.
Für eine fundierte Entscheidung zählt nicht die Anzahl der Dokumente, sondern ob die Nachweise zu den tatsächlichen Anforderungen des Unternehmens passen.
Drei Beispiele aus dem Unternehmensalltag
Beispiel 1: Ein Unternehmen mit vertraulichen Kundendaten
Ein mittelständisches Unternehmen verarbeitet sensible Informationen seiner Kunden.
Die Geschäftsführung möchte wissen, wo diese Daten gespeichert werden und welche Dienstleister darauf zugreifen können.
Hier ist eine sorgfältige Prüfung des Datenstandorts, der vertraglichen Vereinbarungen und der technischen Schutzmaßnahmen besonders wichtig.
Ein deutscher Rechenzentrumsstandort kann dabei ein relevanter Faktor sein.
Er ersetzt aber nicht die Bewertung des gesamten Datenverarbeitungsprozesses.
Beispiel 2: Ein Unternehmen mit einer speziellen Branchensoftware
Ein Unternehmen betreibt eine Anwendung, die für seine Geschäftsprozesse unverzichtbar ist.
Der Hersteller bietet inzwischen eine eigene Cloud-Version an.
Bevor das Unternehmen wechselt, sollte es prüfen, ob sich die vorhandenen Daten vollständig übernehmen und bei Bedarf später wieder exportieren lassen.
Auch Schnittstellen, Lizenzbedingungen und die langfristige Abhängigkeit vom Hersteller gehören in die Entscheidung.
Eine komfortable Cloud-Anwendung kann sinnvoll sein. Der spätere Handlungsspielraum sollte trotzdem bekannt sein.
Beispiel 3: Ein Unternehmen mit mehreren Cloud-Diensten
Ein Unternehmen nutzt Microsoft 365, eine cloudbasierte Warenwirtschaft und verschiedene weitere Online-Dienste.
Jeder Dienst erfüllt eine wichtige Aufgabe.
Die Geschäftsführung hat jedoch keinen vollständigen Überblick darüber, welche Daten bei welchen Anbietern liegen und wer für die jeweiligen Zugänge verantwortlich ist.
Hier beginnt digitale Souveränität mit Transparenz.
Eine Übersicht der eingesetzten Dienste, ihrer Verantwortlichen und ihrer wesentlichen Abhängigkeiten schafft die Grundlage für weitere Entscheidungen.
Sieben Fragen, die Geschäftsführer ihrem Cloud-Anbieter stellen sollten
1. Wo werden unsere Daten gespeichert und verarbeitet?
Fragen Sie nach den Standorten der produktiven Systeme, der Datensicherungen und möglichen weiteren Verarbeitungsvorgängen.
2. Welche Unternehmen sind an der Leistungserbringung beteiligt?
Lassen Sie sich erklären, wer Ihr Vertragspartner ist und welche weiteren Dienstleister eingesetzt werden.
3. Wer kann auf unsere Systeme und Daten zugreifen?
Klären Sie, welche administrativen und technischen Zugriffsmöglichkeiten bestehen und wie diese abgesichert werden.
4. Welche Sicherheitsmaßnahmen sind nachweisbar umgesetzt?
Bitten Sie um geeignete Vertragsunterlagen, Sicherheitsbeschreibungen und gegebenenfalls vorhandene unabhängige Nachweise.
5. Wie erhalten wir unsere Daten bei einem Anbieterwechsel zurück?
Prüfen Sie Datenformate, Exportmöglichkeiten, vertragliche Regelungen und den erforderlichen Aufwand.
6. Welche Abhängigkeiten entstehen durch die eingesetzte Technologie?
Fragen Sie nach besonderen Schnittstellen, Lizenzbedingungen und Funktionen, die einen späteren Wechsel erschweren könnten.
7. Wer unterstützt uns, wenn wir unsere IT verändern möchten?
Ein Anbieterwechsel, eine Migration oder die Umstellung einzelner Anwendungen sollte organisatorisch und technisch planbar sein.
Digitale Souveränität ist kein einmal erreichter Zustand
Unternehmen verändern sich.
Neue Anwendungen kommen hinzu, bestehende Systeme werden ersetzt und Anbieter entwickeln ihre Produkte weiter.
Auch gesetzliche, wirtschaftliche und technische Rahmenbedingungen können sich verändern.
Deshalb ist digitale Souveränität keine Eigenschaft, die einmal eingekauft wird und anschließend dauerhaft unverändert bestehen bleibt.
Sie muss bei wichtigen IT-Entscheidungen immer wieder berücksichtigt werden.
Dazu gehört, die eingesetzten Dienste zu kennen, Zuständigkeiten zu dokumentieren, Berechtigungen zu überprüfen und wesentliche Abhängigkeiten regelmäßig neu zu bewerten.
Nicht jedes Unternehmen benötigt dafür umfangreiche Dokumentationen oder komplexe Prozesse.
Schon eine nachvollziehbare Übersicht der wichtigsten IT-Dienste und ihrer Verantwortlichkeiten kann ein sinnvoller Anfang sein.
Fazit: Digitale Souveränität bedeutet, handlungsfähig zu bleiben
Digitale Souveränität bedeutet nicht, sämtliche IT-Systeme selbst zu betreiben.
Sie bedeutet auch nicht, grundsätzlich auf internationale Anbieter oder moderne Cloud-Dienste zu verzichten.
Entscheidend ist, dass ein Unternehmen seine Abhängigkeiten versteht und wichtige Entscheidungen weiterhin selbst treffen kann.
Dazu gehören Transparenz über Datenstandorte und Dienstleister, angemessene Kontrolle über Zugriffsrechte, nachvollziehbare Verträge und realistische Möglichkeiten für spätere Veränderungen.
Ein deutscher Rechenzentrumsstandort kann dabei ein wichtiger Baustein sein.
Er allein garantiert jedoch weder vollständige Unabhängigkeit noch umfassende Sicherheit.
Eine souveräne IT ist vor allem eine IT, bei der das Unternehmen weiß, worauf es sich verlässt – und welche Möglichkeiten es morgen noch hat.
Wie geht es weiter?
Sie möchten mehr darüber erfahren, welche Rolle Datenstandort, Sicherheit und Anbieterabhängigkeit bei einer Cloud-Entscheidung spielen?
In unserem Wissensportal finden Sie weitere Informationen zu Cloud-Sicherheit, deutschen Rechenzentren, Datensicherung und den unterschiedlichen Betriebsmodellen.
Weitere Themenwelten entdecken →
Oder nutzen Sie unseren Cloud-Check. Drei einfache Fragen helfen Ihnen dabei, Ihre Ausgangssituation besser einzuordnen.
cloud.hamburg ist ein Wissensangebot der novotec GmbH aus Hamburg. Die Inhalte dienen der allgemeinen Orientierung und ersetzen keine individuelle rechtliche, datenschutzrechtliche oder technische Prüfung.