Datenhoheit vs. Datensouveränität

Datenhoheit und die Cloud

Datenautonomie oder Datenhoheit ist eine unterschätzte Herausforderung in der Digitalisierung. Denn die Cloud ist das zentrale Werkzeug der digitalen Transformation der meisten Unternehmen. Doch viele zögen unnötig oder sind gar zu offenherzig dabei, alle ihre Anwendungen und Datenschätze in fremde Hände zu geben. Hier fehlt eine Strategie, die eigene Datensouveränität in der Cloud zu sichern.

Digitale Souveränität, Datenhoheit oder Datensouveränität: Diese Begriffe sind aktuell noch vergleichsweise selten in IT-Anforderungen oder Unternehmensstrategien zu finden. Nur elf Prozent der Unternehmen haben bereits eine Strategie für ihre Datenhoheit vollständig umgesetzt*. Dabei hat die Datenhoheit potenziell große Auswirkungen auf Compliance und Handlungsfähigkeit des Unternehmens in der Digitalisierung. Dennoch ist selbst der Begriff noch unscharf definiert und wird häufig unterschiedlich verwendet. Grundsätzlich geht es darum, in der Cloud sowohl Transparenz als auch Kontrolle über die eigenen Daten zu behalten und Unabhängigkeit zu bewahren. Wie und wo werden Daten gespeichert, ist Interoperabilität zwischen Anbietern möglich und kann das Unternehmen im Zweifel seine Daten und Anwendungen praktikabel und kosteneffizient vom Anbieter wegmigrieren? 

Inhalt

• Die Unterschiede zwischen „Digitale Souveränität“, Datenschutz und Datenhoheit
• Warum ist Datenhoheit überhaupt wichtig?
• Die Bedeutung des Rechtsraums
• Strategien für Cloud-Souveränität entwickeln (Checkliste & Entscheidungsmatrix)

Die Unterschiede zwischen „Digitaler Souveränität“, Datenschutz und Datenhoheit

Im Umgang mit Daten sprechen wir von mehreren Ebenen. Der „Datenschutz“ ist die bekannteste dieser Ebenen und bezieht sich auf den erlaubten Umgang mit und die Speicherung persönlicher Daten. Hier geht es um den rechtlichen Schutz vor Missbrauch von Informationen. „Datensicherheit“ bezieht sich auf den technischen Schutz der Daten vor Diebstahl oder Manipulation. Beide Aspekte unterscheiden sich deutlich von der Souveränität.

Da wo der Datenschutz aufhört, fangen Datenhoheit oder Datensouveränität erst an. Hier geht es um technische sowie rechtliche Nachvollziehbarkeit und Unabhängigkeit. „Digitale Souveränität“ ist als Dachbegriff noch eine weitere Ebene darüber angesiedelt und beschreibt die grundsätzliche Unabhängigkeit und Selbstbestimmung von Unternehmen und Organisationen in der digitalen Welt, beispielsweise durch Open-Source-Strategien und Initiativen wie Gaia-X.

Warum ist Datenhoheit überhaupt wichtig?

Der Begriff Datenhoheit bezieht sich auf ganz praktische Fragen: Wo werden meine Daten physisch gespeichert und in welchen Formaten? Habe ich vertraglich und technisch die Möglichkeit, meine Daten jederzeit vom Anbieter abzuziehen oder mit externen Diensten zu nutzen?

Ein großer Teil der Souveränität befasst sich demnach mit der Frage, ob das Unternehmen von einem Anbieter abhängig werden könnte und somit die eigene Handlungsfähigkeit einschränkt. Insbesondere wenn Unternehmen geschäftskritische Daten in die Cloud migrieren, benötigen sie eine Strategie für ihre Datenhoheit.

Bisher hat die Diskussion um die DSGVO in den vergangenen Jahren Compliance-Fragen zur Cloud dominiert. DSVGO-Konformität sagt jedoch nicht aus, ob beispielsweise die Rückführung von Daten möglich ist. Oder ob proprietäre Lösungen des Anbieters die Mobilität der Daten erschweren. Oder ob Unternehmen eventuell ihre Kundenverträge verletzen, weil sie den zugesicherten Umgang mit Daten nicht mehr garantieren können.

Datenhoheit ist wichtig, wenn:

• Transparenz und Kontrolle beim Umgang mit Firmendaten gewünscht ist
• Unternehmen strenger Regulierung unterliegen (wie im Finanz- und Gesundheitswesen)
• Geschäftsgeheimnisse oder sensible Kundendaten sicher vor Zugriff und Rechtszugriff von Drittstaaten sein müssen
• Sicherheit vor Übergang des Rechtsraumes wichtig ist (zum Beispiel in den Einflussbereich des CLOUD Acts)
• Man nicht alles auf einen Anbieter setzen möchte (für Redundanz oder zukünftige Flexibilität)

Die Bedeutung des Rechtsraums

Cloud-Computing kann für die IT-Compliance eine Herausforderung sein, wenn das Unternehmen strenger Regulierung unterliegt und bei Kundendaten oder Geschäftsgeheimnissen nichts dem Zufall überlassen kann. Denn auch „DSGVO-konforme“ Anbieter können unter die Gesetzgebung von Drittstaaten fallen, was echte Datenhoheit unmöglich macht.

In der Praxis kann es bereits kritisch sein, wenn der Support des Cloud-Anbieters in einem Drittstaat sitzt und für einen Supportfall Einsicht in Daten nimmt. Unternehmen, die völlige Transparenz suchen, machen die Erfahrung, dass es bei manchen Cloud-Providern nicht einfach ist, alle Details über den Umgang mit den eigenen Daten zu erhalten:

Wo werden diese gespeichert, welche Rechtsräume werden beim Transport und Speichern der Daten womöglich berührt?

Viele Cloud-Anbieter können bestimmte Dinge nicht zusagen, beispielsweise, dass die Services vollständig außerhalb des Zugriffs von Drittstaaten sind. Selbst Anbieter von Middleware können Gesetzgebung unterliegen, die es unmöglich macht, echte Datenhoheit zu garantieren.

• Mit 33 Prozent ist „garantierte Datenhoheit” das wichtigste Kriterium bei der Wahl eines Cloud-Anbieters. 
• Mehr als jedes vierte Unternehmen fürchtet, wegen fehlender Datenhoheit bei einem Cloud-Anbieter festzustecken. 
• 75 Prozent aller IT-Entscheider:innen finden Datenhoheit in der Cloud „wichtig“ oder „sehr wichtig“.
  Quelle: IDC Whitepaper „Datenhoheit in der Cloud“, Januar 2023

Strategien für Cloud-Souveränität entwickeln

Datenschutz, Datensicherheit und Datenhoheit können nur gemeinsam existieren. Denn die Bewertung und Kategorisierung von Daten nach Sensibilität ist hier der erste Schritt. Dazu müssen die IT und Fachbereiche eng zusammenarbeiten. So können sie Anforderungen definieren und jeweils passende Lösungen finden. Das kann in der Praxis bedeuten, je nach Datenklasse und Workload unterschiedliche Cloud-Anbieter zu nutzen oder auf die Lösung zu setzen, die alle Anforderungen für die sensibelsten Daten erfüllt. Laut IDC* ist Datenhoheit in der Cloud für drei Viertel aller IT-Entscheider:innen ein wichtiges Thema. Ob ein Anbieter jedoch echte Datenhoheit in der Cloud gewährleisten kann, hängt von der Technologie, den Datenformaten dieses Anbieters und den Vertragsbedingungen ab.  

plusserver hat für Sie eine Checkliste und eine Entscheidungmatrix erstellt. Diese können Sie mit diesem Abstract zur Datenhoheit herunterladen.

*Quelle: IDC Whitepaper „Datenhoheit in der Cloud“, Januar 2023