Projekt anfragen
Flaggen Deutschlands und der Europäischen Union vor dem Bundestagsgebäude in Berlin

Souveräne Cloud · Kontrolle prüfbar machen

Souveräne Cloud und digitale Souveränität umsetzen

Souveränität ist kein Standort, sondern eine Kette aus rechtlicher, betrieblicher und technischer Kontrolle. Wir machen sie prüfbar, setzen die Architektur um und erproben den Ausstieg, bevor Sie ihn brauchen.

Projekt anfragen Zur Prüfliste
  • 16 schriftlich beantwortbare Prüffragen
  • Offene Standards statt Lock-in
  • Ausstieg erprobt, nicht nur beschrieben

Autor: Ibrahim Yesilay, Gründer und Geschäftsführer Stand:

01

Ein EU-Rechenzentrum beantwortet nur eine von drei Fragen

SKAFFON berät, migriert und betreibt Cloud-Umgebungen für Unternehmen, die Kontrolle über Daten, Betrieb und Technik behalten oder zurückgewinnen wollen. Die Seite richtet sich an IT-Leitung, CTOs und Einkauf, die einen europäischen Anbieter, eine eigene Plattform oder eine Mischform bewerten und dafür eine nachvollziehbare Entscheidungsgrundlage brauchen.

Der Standort der Server ist nur eine von mehreren Fragen. Ein Anbieter kann in einer Ebene stark und in einer anderen schwach sein. STACKIT etwa gibt auf der eigenen Website an, Daten ausschließlich in Europa zu hosten und als Teil der Schwarz Gruppe unabhängig von externen Investoren zu sein (STACKIT); zu Fragen der rechtlichen Zugriffsmöglichkeiten macht diese Seite keine Aussage, und das sollten Sie vertraglich und rechtlich selbst prüfen oder prüfen lassen.

02

Rechtlich, betrieblich, technisch: wo Kontrolle liegen muss

Erst wenn alle drei Ebenen zusammenpassen und ein Ausstiegsweg sie absichert, haben Sie Souveränität statt eines Standortversprechens.

Drei Ebenen der Kontrolle und der Ausstiegsweg Rechtliche, betriebliche und technische Kontrolle bilden gemeinsam digitale Souveränität; die Exit-Fähigkeit sichert alle drei Ebenen ab. Souveränität entsteht, wenn drei Ebenen zusammenpassen Rechtliche Kontrolle Recht und EigentümerDatenzugriff DritterSpeicher- und VerarbeitungsortUnterauftragnehmer, AVV Betriebliche Kontrolle AdministratorzugriffSchlüsselhoheitÄnderungen und AbkündigungenNachweise, z. B. C5-Bericht Technische Kontrolle Offene StandardsInfrastruktur als CodeDatenexport und FormatePortable Architektur Exit-Fähigkeit Dokumentierter, erprobter Ausstiegsweg mit Zeitbedarf, Kosten und Verantwortlichen
Rechtlich: Recht, Eigentümer, Datenzugriff. Betrieblich: Administration, Schlüsselhoheit, Abkündigungen. Technisch: offene Standards, Datenexport, portable Architektur.
Drei Ebenen der Kontrolle und der Ausstiegsweg Rechtliche, betriebliche und technische Kontrolle bilden gemeinsam digitale Souveränität; die Exit-Fähigkeit sichert alle drei Ebenen ab. Souveränität entsteht, wenndrei Ebenen zusammenpassen Rechtliche Kontrolle Recht und EigentümerDatenzugriff DritterSpeicher- und VerarbeitungsortUnterauftragnehmer, AVV Betriebliche Kontrolle AdministratorzugriffSchlüsselhoheitÄnderungen und AbkündigungenNachweise, z. B. C5-Bericht Technische Kontrolle Offene StandardsInfrastruktur als CodeDatenexport und FormatePortable Architektur Exit-Fähigkeit Dokumentierter, erprobterAusstiegsweg mit Zeitbedarf,Kosten und Verantwortlichen
Rechtlich: Recht, Eigentümer, Datenzugriff. Betrieblich: Administration, Schlüsselhoheit, Abkündigungen. Technisch: offene Standards, Datenexport, portable Architektur.

03

Vier Anlässe, die Souveränität zur Projektfrage machen

  • Vorgaben von Kunden und Aufsicht

    Regulatorische oder vertragliche Vorgaben zu Datenstandort und Zugriff.

  • Abhängigkeit von einem Anbieter

    Sorge vor Preis- und Vertragsänderungen eines einzelnen Cloud-Anbieters.

  • Gefordert: eine Ausstiegsstrategie

    Vorstand oder Aufsicht verlangen, dass Sie einen Ausstieg vorweisen können.

  • Ausschreibungen

    Öffentliche Ausschreibungen stellen Anforderungen an Anbieter und Betrieb.

04

Sechzehn Fragen an jeden Cloud-Anbieter

Die Fragen eignen sich für Anbieterauswahl, Ausschreibung und interne Freigabe. Jede Frage sollte schriftlich beantwortbar sein.

Souveränitäts-Prüfliste in vier Blöcken: rechtlich, betrieblich, technisch, Exit
Nr.EbeneFrage
1RechtlichWelchem Recht unterliegen Vertragspartner und Betreiber, und wer sind die Eigentümer?
2RechtlichKönnen Behörden oder Dritte außerhalb Ihrer Rechtsordnung auf Daten zugreifen, und wie geht der Anbieter damit um?
3RechtlichWo werden Daten gespeichert und wo verarbeitet, einschließlich Backups, Logs und Support-Zugriff?
4RechtlichWelche Unterauftragnehmer sind beteiligt?
5RechtlichGibt es eine Auftragsverarbeitungsvereinbarung, und wer in Ihrem Haus hat sie geprüft?
6BetrieblichWer hat Administratorzugriff auf die Plattform, von wo, und wird dieser protokolliert?
7BetrieblichKönnen Sie Schlüssel selbst halten und verwalten, und was passiert bei Verlust?
8BetrieblichWie werden Änderungen, Wartungsfenster und Abkündigungen von Diensten angekündigt?
9BetrieblichWelche Nachweise liegen vor? Beispiel: Ein Testat nach BSI C5 ist ein Prüfbericht eines Abschlussprüfers; das BSI selbst beauftragt die Prüfung nicht und bewertet die Berichte nicht (BSI, C5). Lesen Sie den Bericht, nicht nur das Logo.
10TechnischSetzen Sie auf offene Standards (Kubernetes, PostgreSQL, S3-kompatible Schnittstelle) oder auf proprietäre Dienste?
11TechnischIst die Infrastruktur als Code beschrieben, sodass sie sich anderswo reproduzieren lässt?
12TechnischWelche Daten lassen sich in welchem Format exportieren, und wie lange dauert das bei Ihrer Datenmenge?
13ExitGibt es einen dokumentierten Ausstiegsplan mit Zeitbedarf, Kosten und Verantwortlichen?
14ExitWurde der Ausstieg zumindest für eine repräsentative Anwendung erprobt?
15ExitWelche Dienste des Anbieters haben kein Gegenstück anderswo, und ist diese Abhängigkeit bewusst akzeptiert?
16ExitWelche Vertragslaufzeiten und Kündigungsfristen gelten, und wie lange bleiben Daten nach Vertragsende abrufbar?

Wo mehrere Fragen mit „unbekannt“ beantwortet werden, fehlt Information, nicht Souveränität.

Ein „Nein“ ist kein Ausschlusskriterium

Wo Fragen mit „nein“ beantwortet werden, entscheidet Ihr Schutzbedarf, ob die Lücke tragbar ist, technisch zu schließen ist (etwa durch eigene Schlüsselverwaltung oder portable Architektur) oder die Plattformwahl ändert.

05

Vom Anforderungskatalog zum laufenden Betrieb

Sechs Arbeitspakete, einzeln oder zusammen beauftragbar.

  1. 01

    Anforderungen klären

    Ergebnis: Anforderungen

    Schutzbedarf, Datenklassen, Betriebsmodell, vorhandene Verträge und Abhängigkeiten.

  2. 02

    Plattformen vergleichen

    Ergebnis: Entscheidung

    Europäischer Cloud-Anbieter, eigene Plattform mit Open Source (siehe Infrastruktur, Proxmox) oder Mischbetrieb, entlang Ihrer Kriterien. Anbieterübersicht: Cloud-Plattformen. Für den konkreten Anbieter STACKIT: STACKIT Beratung, Migration und Managed Services.

  3. 03

    Zielarchitektur entwerfen

    Ergebnis: Zielbild

    Kubernetes, Infrastruktur als Code mit OpenTofu, S3-Schnittstelle für Objektspeicher, PostgreSQL für Daten, jeweils mit Blick auf Portabilität.

  4. 04

    Migrieren mit Rückfallweg

    Ergebnis: Umschaltung

    Bestandsaufnahme, Pilot, gestaffelte Umschaltung mit Rückfallweg; Details in Cloud-Migration und für Datenbanken in Datenbankmigration.

  5. 05

    Ausstieg erproben

    Ergebnis: Ausstiegsplan

    Dokumentierter Ausstiegsweg, praktisch erprobt, nicht nur beschrieben.

  6. 06

    Betrieb im Alltag, auf Wunsch durch uns

    Ergebnis: Betrieb

    Auf Wunsch durch uns. Betrieb und Support bieten wir rund um die Uhr (24/7) an; die Reaktionszeiten je Prioritätsstufe ergeben sich aus dem Servicelevel-Modell unter Managed Services und werden je Vertrag vereinbart.

06

Portabel gebaut: der Anbieterwechsel ist von Anfang an eingeplant

Wer Workloads auf Kubernetes, PostgreSQL und einer S3-Schnittstelle für Objektspeicher aufsetzt und die Infrastruktur als Code mit OpenTofu beschreibt, kann sie bei einem Anbieterwechsel andernorts reproduzieren. Genau darauf zielen die Fragen 10 bis 12 der Prüfliste.

  • Offene Standards statt proprietärer Dienste
  • Infrastruktur als Code, reproduzierbar
  • Portabilität als Entwurfskriterium
Schräge Nahaufnahme von farbig hervorgehobenem Programmcode auf einem dunklen Monitor

07

Zugriff nach minimalen Rechten, Schlüssel bei Ihnen

Wir arbeiten mit personalisierten Zugängen nach dem Prinzip der minimalen Rechte, schlüsselbezogene Entscheidungen bleiben bei Ihnen. Identität, Netzwerk, Monitoring und Backup binden wir an Ihre bestehende Umgebung an.

Zur Absicherung: Cloud Security

Nahaufnahme von türkisfarbenen Glasfaser-Patchkabeln, die in ein Netzwerkgerät eingesteckt sind

08

Wo unsere Arbeit endet: kein Zertifikat, kein Rechtsgutachten

Das liefern wir

  • Architektur, Umsetzung und Nachweise der technischen Maßnahmen
  • Eine Plattformauswahl entlang Ihrer Prüfkriterien
  • Einen erprobten, dokumentierten Ausstiegsweg

Dafür sind wir die falsche Adresse

  • Sie erwarten ein Zertifikat oder eine Garantie für „Souveränität“. Das gibt es von uns nicht.
  • Sie suchen Rechtsberatung zu Datenzugriffsrechten fremder Staaten.
  • Ein Hyperscaler erfüllt Ihre Anforderungen nachweislich, und ein Wechsel würde mehr kosten als er bringt. Dann ist Cloud-Beratung der ehrlichere Einstieg.
  • Sie wollen nur Dateiablage oder Collaboration-Software: Hier geht es um Unternehmensinfrastruktur.

09

Ihr Teil vor dem Start: Schutzbedarf, Rechtsbewertung, Zugänge

  • Datenklassifizierung und Schutzbedarf
  • Rechtliche Bewertung durch Ihre Rechts- und Datenschutzverantwortlichen
  • Zugang zu bestehender Umgebung und Verträgen
  • Entscheidung über akzeptierte Restabhängigkeiten

Schicken Sie uns Ihre Anforderungen und offenen Prüffragen

Eine Projektanfrage genügt als Start.

Projekt anfragen