Glossar
Was ist Datensouveränität und warum ist sie wichtig?
Cloud-Lösungen sind für viele Unternehmen mittlerweile unverzichtbar geworden. Doch die Nutzung solcher Technologien ist mit einigen Herausforderungen verbunden und bereitet insbesondere streng regulierten Branchen Kopfzerbrechen in Bezug auf Compliance, Datensicherheit und Datenschutz. Gerade für für stark regulierte Branchen wie dem Finanz- und Versicherungssektor, der Sicherheits- und Verteidigungsindustrie oder der Gesundheits- und Pharmabranche spielt die Datensouveränität – also die Hoheit über die eigenen Daten – eine große Rolle. Was genau darunter zu verstehen ist und wie es den Unternehmen gelingt, die vollständige Kontrolle über ihre Daten zu behalten, zeigt dieser Beitrag.
Keyfacts
- Unter Datensouveränität versteht man die vollständige Kontrolle über die eigenen Daten.
- Datensouveränität ist nicht dasselbe wie Datenschutz oder Datensicherheit.
- Die Datensouveränität ist die strategische Grundlage für die Einhaltung regulatorischer Vorgaben.
- Datensouveränität erfordert ein Zusammenspiel aus organisatorischen und technologischen Maßnahmen.
Jetzt Whitepaper “Wann dürfen Geheimnisträger Cloud-Dienste nutzen?“ herunterladen!
Auch wenn es keine allgemeingültige Definition von „Datensouveränität“ gibt, lässt sie sich prinzipiell als „vollständige Kontrolle über die eigenen Daten“ oder „Datenhoheit“ beschreiben. Im Zusammenhang mit Cloud-Computing bedeutet Datensouveränität, dass diejenige Person oder Institution, der die Informationen gehören, selbstbestimmt damit umgehen kann. Dazu muss es dem Datensouverän möglich sein, nicht nur die Herkunft der Daten jederzeit nachzuvollziehen, sondern auch festzulegen, wer darauf zugreifen darf, wie sie zu speichern sowie zu schützen sind und wozu sie eingesetzt werden dürfen. Insbesondere für die Speicherung und Verarbeitung sensibler Informationen ist die Datensouveränität von enormer Bedeutung.
- Zu beachten: Datensouveränität ist nicht zu verwechseln mit Datenschutz oder Datensicherheit:
- Gegenstand des Datenschutzes ist der Schutz personenbezogener Daten vor unzulässiger Erfassung, Speicherung, Verarbeitung und Weitergabe.
- Die Datensicherheit hingegen zielt auf Datenintegrität und Verfügbarkeit der Informationen ab.
- Datensouveränität wiederum legt den Fokus auf die Hoheit über die eigenen Daten – unabhängig davon, ob es personenbezogene, anonymisierte, technische oder Unternehmensdaten sind.
☝ Schon gewusst?
Die Datensouveränität ist ein Teilaspekt der digitalen Souveränität. Bei dieser handelt es sich um die selbstbestimmte und sichere Nutzung von digitalen Medien und Serviceleistungen. Der „Souverän“ kann dabei entweder ein Individuum sein oder eine Institution, ein Unternehmen oder sogar die Gesellschaft oder der Staat. Digitale Souveränität erfordert moderne Technologien, entsprechende digitale Kompetenzen und zudem die vollständige Souveränität über die eigenen Daten.
Ein effektives Konzept für Datensouveränität ist die strategische Grundlage für die Einhaltung regulatorischer Vorgaben. Denn Cloud-Lösungen bieten zwar Flexibilität und Effizienz, bergen aber auch Risiken: Steuert allein der Cloud-Provider den Zugriff auf die Informationen sowie ihre Migration und Sicherheit, verliert das Unternehmen die Kontrolle über die eigenen Daten. Dies kann zu einer Abhängigkeit führen (Vendor Lock-in), die beispielsweise beim Wechsel des Anbieters problematisch wird – etwa, wenn Daten in proprietären Formaten gespeichert sind, die der neue Anbieter nicht unterstützt, oder der Export der Daten mit hohen Kosten oder rechtlichen Hürden verbunden ist. Klare Kontrollmechanismen sind daher essenziell, um die Datensouveränität des Unternehmens zu sichern.
☝ Schon gewusst?
Vorteile der Datensouveränität:
- Gewährleistung von Compliance mit regulatorischen Vorgaben, Branchenstandards und ethischen Verpflichtungen
- Gesteigerte Unternehmenseffizienz dank verbesserter Verarbeitungsprozesse und zielgerichteter Analysen der Daten
- Optimierte Digitalisierung durch sicheren und gezielten Einsatz von Daten
- Datengetriebene Entwicklung innovativer Produkte und Geschäftsmodelle
- Unabhängigkeit von Cloud-Providern durch klare Richtlinien für die Datenspeicherung und -nutzung (wie Verschlüsselung, Zugriffskontrollen)
- Langfristige Wettbewerbsvorteile aufgrund des kontrollierten Umgangs mit Daten
- Aufbau von Vertrauen bei Partnern und Kunden durch Kontrolle über Kunden- und Geschäftsdaten und höchste Sicherheitsstandards
3. Welche Herausforderungen gefährden die Datensouveränität?
Dank neuer Technologien wie Big-Data-Anwendungen steigt nicht nur die Menge an gesammelten Daten enorm an – die Informationen lassen sich zudem binnen kürzester Zeit analysieren. Doch der rasante technologische Fortschritt kann aus mehreren Gründen problematisch in Bezug auf die Datensouveränität sein:
- Unkontrollierte Datenflüsse: Kommen globale Cloud-Infrastrukturen zum Einsatz, erfolgt die Speicherung und Verarbeitung der Informationen oft an verschiedenen Orten. Hierbei bleibt häufig unklar, wo genau die Daten liegen und wer Zugriff darauf hat.
- Abhängigkeiten von Tech-Giganten: Der Markt wird zunehmend von den Plattformen nur einiger weniger Technologieunternehmen dominiert. Die deshalb oft fehlende Wahlfreiheit kann die Unternehmen in der selbstbestimmten Nutzung ihrer Daten einschränken – und somit in ihrer Datensouveränität.
- Staatliche Überwachung: In manchen Ländern fordern Regulatorien, dass staatliche Institutionen Zugriff auf Datenbestände erhalten. So etwa verpflichtet der US Patriot Act die Cloud-Provider dazu, Informationen an Gerichte oder Behörden herauszugeben, sollten sie dazu aufgefordert werden. Ähnlich der US CLOUD Act: Dieser soll US-Behörden wie etwa Geheimdiensten den Zugriff auf Daten verschaffen, die bei US-Cloud-Providern gespeichert sind – selbst dann, wenn die Daten in Servern außerhalb der USA liegen.
Für die betroffenen Branchen und Unternehmen heißt es also, ihre Datensouveränität gezielt zu stärken und so die Integrität und Sicherheit sensibler Informationen zu wahren.
In diesem Whitepaper erfahren Sie, wie Sie sensible geschäftskritische Daten bestmöglich schützen.
☝ Schon gewusst?
Begrifflichkeiten wie Datensouveränität oder digitale Souveränität gewannen erst nach den Enthüllungen von Edward Snowden im Jahr 2013 an Bedeutung. Damals wurde bekannt, wie eng große US-Tech-Konzerne mit den amerikanischen Geheimdiensten zusammenarbeiten. Unerheblich ist dies nicht, denn Amazon, Apple, Facebook, Google (Alphabet), Microsoft & Co. sammeln Unmengen an Daten, die sich nicht nur zu Werbezwecken, sondern auch zur Kontrolle und Verhaltenssteuerung nutzen lassen. Somit verfolgen diese kommerziellen Unternehmen dasselbe Ziel wie die Geheimdienste: Möglichst viele Informationen über möglichst viele Personen zu erhalten. Nicht zuletzt deshalb hat die EU mit Maßnahmen wie der DSGVO, und Projekten wie Gaia-X gezielt auf die Stärkung der Datensouveränität hingearbeitet, was es Dateninhabern gestatten soll, die Herrschaft über kritische Informationen zurückzugewinnen.
4. Welche regulatorischen Anforderungen fördern die Datensouveränität?
Um Unternehmen, Institutionen und Einzelpersonen dabei zu unterstützen, die Souveränität über ihre Daten zu bewahren und diese selbstbestimmt zu verwalten, hat die EU eine Vielzahl rechtlicher Regelungen und Initiativen ins Leben gerufen. Die wichtigsten Instrumente sind:
- Die EU-Datenschutzgrundverordnung (DSGVO)
Die DSGVO ist das zentrale Datenschutzgesetz der EU und betrifft primär die Rechte von Einzelpersonen (Betroffenenrechte). Dazu legt sie klare Vorgaben für den Umgang mit personenbezogenen Daten fest. Zudem regelt sie die Übermittlung von Informationen in Regionen außerhalb des europäischen Wirtschaftsraums (EWR), beispielsweise in die USA. Dies soll verhindern, dass personenbezogene Daten unkontrolliert in Länder außerhalb des EWR gelangen und sich dort dem Einflussbereich europäischer Datenschutzbehörden entziehen. Ziel der DSGVO ist es insbesondere, Einzelpersonen ihre Datensouveränität zurückzugeben. Durch Rechte wie das auf Auskunft, Berichtigung und Löschung von zu ihrer Person gespeicherten Informationen erhalten Einzelpersonen wieder die Kontrolle über ihre eigenen Daten.
- Das IT-Sicherheitsgesetz (Deutschland)
Dieses Gesetz zielt darauf ab, die Informationssicherheit von Unternehmen, Institutionen und Behörden zu verbessern und den Schutz für digitale Infrastrukturen zu erhöhen. Zudem soll es verhindern, dass fremde, potenziell feindlich gesinnte Staaten Einfluss auf kritische Infrastrukturen gewinnen. Unternehmen, die zu den kritischen Infrastrukturen (KRITIS) zählen, sind daher verpflichtet, ihre IT-Systeme auf dem aktuellen Stand der Technik zu halten und ihre Informationssicherheit regelmäßig überprüfen zu lassen. Dies sorgt dafür, dass das Risiko eines unbefugten Zugriffs auf ein Minimum reduziert wird und fördert somit die Datensouveränität.
- Der Digital Operational Resilience Act (DORA)
Die EU-Verordnung DORA zielt darauf ab, die digitale Widerstandsfähigkeit des Finanzsektors innerhalb von Europa zu stärken. Unternehmen in diesem Bereich sind dazu verpflichtet, robuste IT-Sicherheitsstrategien umzusetzen und sorgfältig zu überwachen, wie ihre Geschäftspartner (Drittanbieter) mit Risiken umgehen. Damit behalten sie die Kontrolle über ihre digitalen Prozesse und minimieren Abhängigkeiten, die die Souveränität über ihre Daten gefährden.
- Die NIS2-Richtlinie
Sinn und Zweck EU-Richtlinie NIS2 ist es, ein einheitliches hohes Sicherheitsniveau für kritische Infrastrukturen und andere essenzielle Dienste zu gewährleisten. Betroffene Unternehmen sind dazu angehalten, organisatorische und technische Maßnahmen zu installieren, um ihre IT-Systeme und Netzwerke vor Cyberangriffen zu schützen und Risiken effektiv zu managen. Dies unterstützt sie dabei, die digitale Resilienz zu stärken und die Kontrolle über ihre Daten zu behalten.
- Das KRITIS-DACH-Gesetz
Das KRITIS-DACH-Gesetz soll kritische Infrastrukturen umfassend absichern – gegen Gefahren unterschiedlichster Art. Dazu zählen Naturkatastrophen, Sabotage, Terroranschläge, menschliche Fehler, unterbrochene Lieferketten, Personalmangel sowie Bedrohungen aus dem Cyberraum. Da all diese Risiken erhebliche Störungen der öffentlichen Sicherheit nach sich ziehen können, müssen betroffene Unternehmen Maßnahmen zum Schutz ihrer Systeme und Prozesse ergreifen (All-Gefahren-Ansatz), um ihre eigene Datensouveränität sicherzustellen.
- Gaia-X
Dieses Projekt soll eine selbstbestimmte, sichere und leistungsstarke europäische Dateninfrastruktur auf Basis von Open-Source-Technologien schaffen. Ziel dieser Cloud-Initiative ist es, die Abhängigkeit europäischer Unternehmen und Einzelpersonen von großen außereuropäischen Cloud-Anbietern zu verringern, die Interoperabilität zwischen verschiedenen Cloud-Diensten zu fördern und Datensouveränität in Europa zu gewährleisten.
Datensouveränität erfordert ein Zusammenspiel aus organisatorischen und technologischen Maßnahmen. Besonders diese folgenden Vorkehrungen haben sich dabei bewährt.
Organisatorische Maßnahmen
- Data Governance
Eine solide Data-Governance-Strategie bildet das Fundament für die Datensouveränität. Klar definierte Richtlinien, Verantwortlichkeiten und Prozesse für den Umgang mit Daten sollen Transparenz innerhalb des Unternehmens schaffen und eine effiziente, verantwortungsvolle Nutzung der Daten unter Einhaltung gesetzlicher Vorschriften gewährleisten. Hierzu gehören auch Vorgaben zur Datensicherheit und zum Schutz vor Datenverlusten.
- Datenklassifizierung und Zugriffsmanagement
Nicht alle Daten sind vertraulich. Durch eine sorgfältige Klassifizierung der Daten können Unternehmen festlegen, welche Informationen sensibel und besonders schützenswert sind und welche eher weniger (kostspieligen) Schutzbedarf haben. Ein darauf abgestimmtes Zugriffsmanagement sorgt dafür, dass nur autorisierte Personen Zugang zu sensiblen Daten erhalten – eine Grundvoraussetzung für die Einhaltung von Compliance-Richtlinien. Zudem lassen sich aus der Klassifizierung auch die erforderlichen technischen Schutzmaßnahmen für jede der ermittelten Datenkategorien ableiten. So wäre es beispielsweise denkbar, sensible Kundendaten zu verschlüsseln, Finanzinformationen durch striktere Zugriffskontrollen abzusichern und interne Dokumente mit einem Basisschutz zu versehen.
Sie möchten mehr zum Thema Datenklassifizierung erfahren? Dann sollten Sie unseren Guide – Schutz kritischer Geschäftsinformationen herunterladen!
- Bewertung von Cloud-Lösungen und Dienstleistern
Nicht jede Cloud-Lösung erfüllt die Anforderungen an Datensouveränität. Unternehmen sollten Cloud-Dienstleister auf Sicherheitsstandards, Compliance und Transparenz prüfen. Entscheidend ist auch, ob der Anbieter Mechanismen wie Verschlüsselung und klare Exportmöglichkeiten zur Verfügung stellt, die eine problemlose Migration oder Löschung von Daten erlauben. Eine sorgfältige Bewertung minimiert den Kontrollverlust über die eigenen Daten.
Technologische Maßnahmen
- Verschlüsselung und Zugriffskontrollen
Technologien wie Verschlüsselung und fein abgestufte Zugriffskontrollen stellen sicher, dass Daten nur von autorisierten Personen eingesehen werden können. Insbesondere bei der Übertragung, Verarbeitung und Speicherung sensibler Daten in der Cloud sind solche Maßnahmen ein Muss.
- Monitoring und Anomalieerkennung
Eine kontinuierliche Überwachung der Datenflüsse ist ein weiteres Fundament für Datensouveränität. Monitoring-Systeme helfen dabei, unbefugte Zugriffe oder ungewöhnliche Aktivitäten frühzeitig zu erkennen und entsprechende Gegenmaßnahmen zu ergreifen.
- Souveräne Clouds und Sealed-Cloud-Technologie
Souveräne Clouds bieten Unternehmen die Möglichkeit, Daten in einer kontrollierten Umgebung zu speichern und zu verarbeiten, die strenge Anforderungen an Datenschutz, Datenlokalität und regulatorische Vorgaben erfüllt. Die Sealed-Cloud-Technologie erweitert dieses Konzept um einen zusätzlichen Schutzmechanismus: Sie stellt sicher, dass weder der Betreiber noch Dritte Zugriff auf gespeicherte Daten haben (Betreiberausschluss). Unternehmen profitieren somit von einem geschützten und rechtskonformen Datenaustausch, der höchsten Datenschutz- und Sicherheitsanforderungen entspricht. Secure-Content-Collaboration-Tools oder hochsichere Datenraumsoftware auf Basis der Sealed Cloud bieten höchsten Schutz sensibler Daten – sowohl während ihrer Übertragung als auch ihrer Speicherung und Verarbeitung.
☝ Schon gewusst?
Unter dem Begriff Betreiberausschluss versteht man technische und organisatorische Maßnahmen, die sicherstellen, dass der Betreiber einer IT-Infrastruktur –beispielsweise der Service-Anbieter – keinerlei Zugriff auf gespeicherte oder verarbeitete Daten hat. Dieses Prinzip, das häufig in hochsicheren Cloud-Umgebungen wie souveränen Clouds Anwendung findet, verhindert unbefugte Zugriffe und gewährleistet die Einhaltung von Datenschutzvorgaben. Die technische Umsetzung erfolgt beispielsweise durch Verschlüsselung, Confidential Computing oder die Sealed-Cloud-Technologie.
Andere Begriffe, die dieses Prinzip beschreiben, sind unter anderem:
- Schutz vor Betreiberzugriff
- Sichere Datenverarbeitung in der Cloud ohne Betreiberzugriff
- Vertrauliche Cloud-Lösungen ohne Fremdzugriff
- Technischer Betreiberausschluss
- Betreiberabschirmung
- Betreibersicherheit
Übrigens: Bei virtuellen Datenräumen auf Basis der Sealed Cloud sind sogar sämtliche privilegierten Zugriffe ausgeschlossen. Somit hat nicht einmal der Administrator Zugang zu den Daten.
Sie möchten Näheres zum Datenaustausch auf Basis der Sealed-Cloud-Technologie erfahren?
Unser Whitepaper verrät, was es damit auf sich hat.
Expertentipp:
Wenn Sie Daten in die Cloud migrieren, sollten Sie folgende Punkte beachten, um Ihre Datensouveränität zu gewährleisten:
- Unabhängigkeit vom Anbieter: Ist es möglich, Daten problemlos zu exportieren, zu löschen und zu einem anderen Cloud-Dienst zu übertragen?
- Daten- und IT-Sicherheit: Lässt sich einfach nachvollziehen, wer Zugang zu den Daten hat? Sind unbefugte Zugriffe zu jeder Zeit technisch ausgeschlossen?
- Compliance: Ist zu jeder Zeit transparent, wo die Daten gespeichert und verarbeitet werden? Entspricht dies den geltenden rechtlichen Anforderungen? Verfügt der Anbieter über Zertifizierungen wie ISO 27018, das Trusted-Cloud-Datenschutzprofil (TCDP), das Trusted-Cloud-Zertifikat oder das Trust Seal, die hohe Sicherheits- und Datenschutzstandards nachweisen? Solche Zertifikate bilden die Grundlage für die Einhaltung regulatorischer Vorgaben wie der DSGVO.
Eine sorgfältige Prüfung dieser Kriterien ist besonders in regulierten Branchen unverzichtbar.
6. FAQs
Datensouveränität und digitale Sicherheit unterscheiden sich in ihrem Fokus und Ziel: Während Datensouveränität die Hoheit und Kontrolle über die eigenen Daten sicherstellt, zielt digitale Sicherheit darauf ab, diese Daten vor Bedrohungen wie unbefugtem Zugriff, Diebstahl oder Verlust zu schützen. Datensouveränität legt Wert auf Selbstbestimmung, Unabhängigkeit und die Einhaltung von Compliance-Vorgaben, wohingegen die digitale Sicherheit durch technische und organisatorische Maßnahmen wie Verschlüsselung, Firewalls und Zugriffskontrollen die Integrität, Vertraulichkeit und Verfügbarkeit von Daten gewährleistet. Digitale Sicherheit ist somit ein wesentlicher Baustein der Datensouveränität.
Unter Datenintegrität versteht man die Unversehrtheit und Konsistenz von Daten. Daten, die „integer“ sind, sind nicht nur korrekt, sondern auch vollständig und vertrauenswürdig – selbst bei wiederholtem Zugriff oder häufiger Verarbeitung. Datensouveränität wiederum betrifft die Hoheit und Kontrolle über die eigenen Daten. Sie umfasst die Entscheidungsfreiheit darüber, wer Zugang zu den Daten hat, wie diese genutzt und wo sie gespeichert oder verarbeitet werden dürfen. Damit geht Datensouveränität über die reine Datenqualität hinaus und adressiert rechtliche und organisatorische Aspekte des Umgangs mit Daten.
Datenschutz und Datensouveränität verfolgen unterschiedliche Ziele. Datenschutz zielt darauf ab, personenbezogene Daten zu schützen und die Privatsphäre zu wahren. Er definiert die rechtlichen Rahmenbedingungen, um den Missbrauch von Daten zu verhindern. Datensouveränität hingegen stellt sicher, dass Unternehmen und Einzelpersonen die Kontrolle über alle Daten behalten – unabhängig davon, ob diese personenbezogen sind oder nicht. Sie beinhaltet sowohl die Transparenz über die Nutzung der Daten als auch die Möglichkeit, aktiv über deren Einsatz zu entscheiden.
Unter dem Begriff “souveräne Cloud” versteht man eine Cloud-Plattform, die entweder von einer Regierung, einer staatlichen Institution oder einem zertifizierten, vertrauenswürdigen Anbieter betrieben wird. Diese Plattformen ermöglichen die Speicherung und Verarbeitung von Daten in einer kontrollierten Umgebung, häufig mit garantierter Datenlokalität – beispielsweise der Speicherung im Inland. Somit gewährleisten sie, dass die Kontrolle über die Daten und die Datenverarbeitung innerhalb eines bestimmten Landes oder Rechtsraums bleibt. Dies minimiert die Abhängigkeit von globalen Tech-Konzernen und schützt gleichzeitig vor (datenschutz)rechtlichen Unsicherheiten, die durch grenzüberschreitende Datenflüsse entstehen könnten.
Ein zentrales Ziel souveräner Clouds ist die Einhaltung nationaler gesetzlicher und regulatorischer Anforderungen. Diese Cloud-Lösungen eignen sich daher besonders für stark regulierte Branchen wie den Finanz- und Versicherungssektor, die Gesundheits- und Pharmabranche oder die Sicherheits- und Verteidigungsindustrie, da sie sowohl Sicherheit als auch rechtliche Konformität gewährleisten.
