Nach 15 Jahren Cloud-Hype rücken Jurisdiktion, Haftung und Exit-Fähigkeit in den Vordergrund. Europäische Anbieter positionieren sich mit Souveränität statt mit einer Flut an Diensten.
Cloud-Souveränität: Europäische Anbieter setzen auf eigene Stärken
Im „heise meets …“-Podcast erklärt Uwe Geier, Vice President IONOS Cloud und Informationssicherheitsbeauftragter bei IONOS, warum der Wettlauf um die meisten Cloud-Dienste in die Irre führt und welche Fragen Unternehmen heute wirklich stellen sollten.
Die Cloud sei in einer Reifephase angekommen, so Geier. Niemand frage mehr, ob Cloud oder nicht, sondern zu welchem Preis und unter welchem Recht. Die Datenhaltung mache nur rund zehn Prozent der Debatte aus, 90 Prozent entfielen auf Betrieb und Haftung.
Souveränität: Prüfbare Kriterien ersetzen leere Versprechen
Rechenzentren in Frankfurt oder deutsche Tochtergesellschaften allein lösen die Probleme nicht. US-Anbieter können auch dann dem CLOUD Act unterliegen, wenn sie Daten außerhalb der USA speichern – sofern diese ihrer Kontrolle unterliegen. Ein europäischer Anbieter ohne vergleichbare außereuropäische Abhängigkeiten schafft hier eine andere Ausgangslage.
Mit dem BSI-Kriterienkatalog C3A wird Cloud-Souveränität anhand überprüfbarer Kriterien bewertbar. Der Katalog umfasst sechs Bereiche, darunter strategische, rechtliche, operative und technologische Souveränität sowie Datenhoheit und Lieferketten. ISO 27001 und das BSI-Testat C5 ergänzen die unabhängige Bewertung des Informationssicherheitsniveaus.
Portabilität: Infrastructure as Code sichert den Ausstieg
Die meisten Workloads benötigen laut Geier rund ein Dutzend Dienste statt Hunderter: Compute, Storage, Netzwerkfunktionen, Kubernetes und Database as a Service. Entscheidend sei der Reifegrad dieser Dienste sowie eine transparente, vorhersagbare Kostenstruktur.
Eine Exit-Klausel im Vertrag reicht nicht. Nur wer seine Infrastruktur von Beginn an als Code beschreibt und auf offene Schnittstellen setzt, bleibt wechselfähig. Diese Verpflichtung liege immer beim Kunden selbst, betont Geier.
Mit Confidential Computing geht IONOS einen Schritt weiter: Der Schlüssel zur virtuellen Maschine liegt im Prozessor, der Anbieter kann technisch nicht mehr auf die Laufzeitumgebung zugreifen. Für Finanzdienstleister unter DORA oder Patentanwaltskanzleien mit strafbewehrter Schweigepflicht entsteht so Verbindlichkeit statt bloßes Vertrauen.
Bei generativer KI warnt Geier vor unbedachten Prompts. Der Standort der Telemetrie sei der Standort der Inhalte – und ein Prompt könne durchaus die Erfindung vor der Patentanmeldung enthalten. Die vollständige Analyse zu Souveränität, Confidential Computing und Edge Computing hören Sie im aktuellen „heise meets …“-Podcast.
