Digitale Souveränität entscheidet sich nicht am Standort Wer den Schlüssel hat, hat die Datenkontrolle

Anbieter zum Thema

Utimaco Safeware AG

Fujitsu Technology Solutions GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Digitale Souveränität ist keine Frage des Speicherorts, sondern der Kontrolle. Wer die kryptografischen Schlüssel kontrolliert, kontrolliert die Daten, egal ob sie in einer Public Cloud oder On-Premises liegen. Key Management und zukunftssichere Kryptografie bilden deshalb das Fundament echter Datensouveränität.

Digitale Souveränität entwickelt sich aktuell vom politischen Schlagwort zu einer praktischen Fragestellung für Unternehmen. Zunehmender regulatorischer Druck, wachsende geopolitische Spannungen und mitunter auch die Furcht vor Wirtschaftsspionage zwingen sie, Datenstrategien zu überdenken. Lange Zeit galt Public Cloud als Inbegriff von Skalierbarkeit und Wachstum. Doch inzwischen zeigen sich auch immer mehr Herausforderungen für europäische Unternehmen und sie suchen nach souveränen Wegen mit den großen Hyperscalern oder europäische Alternativen. Klar ist dabei, dass die Rückkehr zu rein lokalen, vollständig abgeschotteten IT-Landschaften weder wirtschaftlich noch technologisch realistisch ist.

Digitale Souveränität sollte also weniger als Frage des Standorts, sondern als Frage von Kontrolle, Transparenz und Vertrauen definiert werden. Im Kern bedeutet digitale Souveränität die Fähigkeit, selbst zu bestimmen, was mit den eigenen Daten geschieht. Unternehmen müssen nachvollziehen können, wo ihre Daten verarbeitet werden, wer darauf zugreifen kann und welche technischen Mechanismen verhindern, dass unautorisierte Dritte Zugriff erlangen. Diese Kontrolle muss auch dann erhalten bleiben, wenn moderne, global betriebene Infrastrukturen genutzt werden.

Harvest Now, Decrypt Later bedroht Confidential Computing

Confidential Computing und die Quanten-Bedrohung

Pragmatische und sichere Cloud-Nutzung

In der Praxis zeigt sich schnell, dass digitale Souveränität nicht mit einem kategorischen Verzicht auf internationale Cloud-Anbieter gleichzusetzen ist. Hyperscaler wie Microsoft oder Amazon Web Services sind aus heutigen IT-Architekturen kaum wegzudenken – sei es wegen ihrer Skalierbarkeit, ihrer Integrationsmöglichkeiten oder ihrer führenden Rolle bei KI-Services. Auch Regulierungs- und Aufsichtsbehörden erkennen diese Realität zunehmend an. So setzt etwa das Bundesamt für Sicherheit in der Informationstechnik mittlerweile stärker auf kontrollierte Kooperationen mit globalen Anbietern.

Die entscheidende Frage lautet daher nicht mehr „Cloud oder nicht Cloud“, sondern: Unter welchen Bedingungen kann Cloud-Nutzung souverän gestaltet werden? Die Antwort liegt weniger in der Infrastruktur selbst als in den Sicherheitsmechanismen, die darübergelegt werden.

Verschlüsselung ist dabei ein zentraler Hebel. Sie sorgt dafür, dass Daten auch dann geschützt bleiben, wenn sie sich außerhalb der eigenen physischen Kontrolle befinden. Doch entscheidend ist nicht allein, dass Daten verschlüsselt sind, sondern wer die Kontrolle über die kryptografischen Schlüssel besitzt. Wer die Schlüssel kontrolliert, kontrolliert auch die Klar-Daten.

Hier kommen Key Management Systeme und Hardware-Sicherheitsmodule ins Spiel, die als kryptografischer „Root of Trust“ fungieren. Sie bündeln Schlüsselmaterial, Identitäten und Zugriffsmechanismen an einer klar definierten, kontrollierten Stelle. Ein solcher Root of Trust schafft Transparenz, reduziert Komplexität und erleichtert die Einhaltung regulatorischer Anforderungen – unabhängig davon, ob es um NIS2, branchenspezifische Vorgaben oder kommende Regelwerke wie den AI Act geht.

Souveräne Schlüsselverwaltung statt Hyperscaler-Lock-in

NIST-Standards ebnen Weg zu quantensicheren Enklaven

Mehrschichtige Souveränität statt Maximalprinzip

Ein weiterer zentraler Aspekt ist, dass nicht alle Daten gleich kritisch und somit schützenswert sind. Digitale Souveränität sollte daher einem mehrschichtigen Modell folgen. Unkritische Kommunikations- oder Kollaborationsdaten müssen nicht denselben Schutzanforderungen genügen wie sensible Geschäftsgeheimnisse oder klassifizierte Informationen. Entscheidend ist, dass Unternehmen bewusst entscheiden, welche Daten sie welchen Plattformen anvertrauen wollen, beziehungsweise dürfen und wo klare Grenzen gezogen werden.

Entsprechend vielfältig sind die Deployment-Modelle für souveräne Sicherheit. Neben klassischen On-Premises-Ansätzen entstehen zunehmend hybride Modelle und „Trust as a Service“-Konzepte. Dabei verbleibt die Schlüsselhoheit beim Kunden oder einem vertrauenswürdigen europäischen Anbieter, während die eigentliche Datenverarbeitung in der Cloud stattfindet, was durchaus auch eine Public Cloud sein kann. Techniken wie Client-seitige Verschlüsselung, z.B. Double Key Encryption sorgen dafür, dass selbst Cloud-Betreiber keinen Zugriff auf Klartextdaten erhalten können. Da es sich hier um technische Verfahren handelt, kann auch keine (zukünftige) Gesetzgebung der Welt etwas an diesem Faktum ändern. Regierungen könnten also höchstens die Herausgabe der verschlüsselten Daten erzwingen, mit denen sie nichts anfangen können – vorausgesetzt, die Algorithmen halten Stand. Hier kommt allerdings eine weitere Komponente ins Spiel.

Security-Insider Podcast – Folge 99

Steht uns der Q-Day bevor?

Neue Technologien, neue Risiken

Quantencomputer bedrohen langfristig etablierte kryptografische Verfahren. Durch ihre überlegene Rechenleistung könnten sie die heutigen Standardalgorithmen, wie z.B. RSA, in reeller Zeit „knacken“. So weit ist es zwar noch nicht, allerdings gewinnt das Szenario „store now, decrypt later“ an Bedeutung: Angreifer speichern verschlüsselte Daten in der Hoffnung, sie in Zukunft entschlüsseln zu können. Zukünftig müssen also Verschlüsselungsmethoden angewendet werden, die auch Angriffen mit Quantenrechnern standhalten können. Entsprechende Algorithmen sind bereits standardisiert und Unternehmen sollten diese bei Bedarf in Kryptosysteme implementieren um so kryptoagil zu werden.

Auch Künstliche Intelligenz verändert die Anforderungen an digitale Souveränität. KI-Modelle werden zu schützenswerten Assets, ihre Ausführung muss abgesichert und nachvollziehbar sein. Gleichzeitig steigt der Bedarf, Entscheidungen von KI-Systemen beweisbar zu machen – etwa durch gesicherte Logs, Zeitstempel und kryptografisch geschützte Evidenzen. Ohne eine vertrauenswürdige Schlüssel- und Identitätsinfrastruktur sind solche Anforderungen kaum umzusetzen.

Vorbereitung auf das Quantencomputing

NIST veröffentlicht Post-Quantum-Kryptographie-Standards

Fazit

Digitale Souveränität ist heute weniger eine geografische als eine architektonische Frage. Wer sich allein auf Datenlokation verlässt, greift zu kurz. Entscheidend ist die konsequente Trennung von Datenverarbeitung und Schlüsselkontrolle. Kryptografie, Verschlüsselung und professionelles Key Management bilden dabei das Fundament, auf dem sich moderne, souveräne IT-Strategien aufbauen lassen. Unternehmen, die diese Prinzipien konsequent anwenden, müssen sich nicht zwischen Innovation und Sicherheit entscheiden. Sie schaffen vielmehr die Grundlage dafür, Technologien wie Cloud und KI kontrolliert zu nutzen und behalten auch in der vernetzten Welt die Hoheit über ihre Daten.

Über den Autor: Nils Gerhardt ist Chief Technology Officer (CTO) bei Utimaco. Zuvor war er bei Giesecke + Devrient in verschiedenen Führungspositionen mit globaler Verantwortung in Deutschland, Kanada und den USA tätig. Als Vorstandvorsitzender der Branchenorganisation GlobalPlatform engagierte sich Nils, um Standards für sichere digitale Dienste und Geräte zu definieren.

Risiko für heutige Verschlüsselung

NIS-2-konform zu Quantenresistenz

(ID:50863942)