Digitale Souveränität in der Cloud: Was ist möglich, was ist realistisch?

Cloud-Services sind ein fester Bestandteil der IT-Architektur vieler Unternehmen. Sie sind schnell verfügbar, skalierbar und ermöglichen den Zugang zu Technologien, die sich intern kaum wirtschaftlich realisieren lassen. Gleichzeitig wächst jedoch die Abhängigkeit von einzelnen Anbietern, Plattformen und Ökosystemen. Damit rückt das Thema digitale Souveränität stärker in den Fokus.

Hyperscaler bieten hohe Leistungsfähigkeit, schnelle Innovation und zahlreiche Dienste, die Unternehmen direkt nutzen können. Das gilt besonders für KI, Datenanalyse, globale Plattformdienste oder Entwicklungsumgebungen. Digitale Souveränität bedeutet jedoch nicht, jede Cloud-Abhängigkeit zu vermeiden. Entscheidend ist, welche Abhängigkeiten bewusst eingegangen werden. Nicht jede Anwendung hat denselben Schutzbedarf. Ein Kollaborationstool ist beispielsweise anders zu bewerten als ein System mit Kundendaten, Produktionsinformationen oder geschäftskritischen Prozessen. Souveränität beginnt mit der Frage, welche Workloads wohin gehören.

Durch KI wird die Frage nach digitaler Souveränität noch konkreter. Viele leistungsfähige KI-Dienste laufen über grosse Cloud-Plattformen. Für Unternehmen ist das attraktiv, weil sie so neue Funktionen schnell nutzen können. Gleichzeitig stellt sich die Frage, welche Informationen in Prompts, Analysen oder Automatisierungen einfliessen. Vor allem bei Kundendaten, internen Geschäftsprozessen, Forschungsinformationen oder in regulierten Bereichen sind klare Regeln erforderlich. KI darf nicht dazu führen, dass sensible Daten in Anwendungen gelangen, bei denen nicht ausreichend nachvollziehbar ist, wie diese Daten verarbeitet, gespeichert oder weiterverwendet werden.

Multi-Cloud bedeutet nicht automatisch mehr Unabhängigkeit

Viele Unternehmen nutzen mehrere Cloud-Plattformen parallel. Das kann sinnvoll sein, schafft aber nicht automatisch mehr Unabhängigkeit. Ohne klare Architektur, saubere Dokumentation und einheitliche Sicherheitsprozesse entsteht schnell zusätzliche Komplexität. Ein Vendor Lock-in zeigt sich selten sofort. Er entsteht schrittweise durch proprietäre Services, individuelle Schnittstellen, gewachsene Datenflüsse oder Berechtigungskonzepte, die eng an eine Plattform gebunden sind. Ein Wechsel ist dann zwar theoretisch möglich, praktisch aber sehr aufwendig.

Der EU Data Act setzt hier ein wichtiges Signal: Wechselbarrieren im Cloud-Markt sollen reduziert, Datentransfers erleichtert und Switching Charges schrittweise abgeschafft werden. Das hilft gegen Vendor Lock-in, löst aber nicht das Kernproblem. Die eigentliche Herausforderung bleibt technisch und organisatorisch bestehen, denn Daten lassen sich in der Regel leichter verschieben als Anwendungen, Identitäten, Automatisierungen und Betriebsprozesse.

Digitale Souveränität beginnt mit Transparenz

Unternehmen müssen wissen, welche Cloud-Dienste sie nutzen, welche Daten sie dort verarbeiten und welche Systeme für ihren Betrieb kritisch sind. Daraus ergeben sich zentrale Fragen, die im Ernstfall darüber entscheiden, ob ein Unternehmen handlungsfähig bleibt.

• Welche Daten sind besonders schützenswert?
• Welche Systeme dürfen bei einem Cloud-Ausfall nicht stillstehen?
• Welche Abhängigkeiten bestehen zu einzelnen Anbietern?
• Wer kontrolliert Identitäten, Zugriffe und Berechtigungen?
• Wie werden Daten verschlüsselt und wer verwaltet die Schlüssel?
• Gibt es realistische Exit- oder Fallback-Szenarien?

Digitale Souveränität bedeutet nicht, die Cloud zu meiden. Vielmehr geht es darum, Cloud-Dienste bewusst zu nutzen, Abhängigkeiten zu kennen und sensible Daten gezielt zu schützen. Vollständige Unabhängigkeit ist nicht realistisch. Realistisch ist eine Cloud-Strategie, die zwischen Nutzen, Innovation, Sicherheit und Kontrolle unterscheidet. Wer weiss, welche Daten wo liegen, welche Dienste kritisch sind und welche Alternativen im Ernstfall bestehen, gewinnt echte Handlungsfähigkeit.

GENESIS unterstützt Unternehmen dabei, ihre Cloud-Landschaft transparent zu bewerten, Risiken sichtbar zu machen und Sicherheits- sowie Architekturkonzepte so aufzubauen, dass Cloud-Nutzung und Kontrolle zusammenpassen.