CLOUD Act bleibt Risiko trotz EU‑Rechenzentren US‑Recht gefährdet Datensouveränität auch bei EU‑Rechenzentren

Anbieter zum Thema

Mimecast Germany GmbH

sysob IT-Distribution GmbH & Co. KG

FTAPI Software GmbH

Insider Research

Viele Unternehmen setzen auf US‑Cloudanbieter mit EU‑Rechenzentren und übersehen den entscheidenden Faktor: den Rechtsraum. CLOUD Act und Patriot Act erlauben unter Bedingungen Zugriff auf Daten; auch hierzulande. Mit NIS2 und DSGVO steigt der Druck. Warum echte Datensouveränität Anbieter unter EU‑Recht verlangt und welche Weichen jetzt zu stellen sind.

Auf dem Papier wirkt alles solide: Redundante Rechenzentren in der EU, moderne Firewalls, Security-Operations-Center rund um die Uhr. Und dennoch besteht ein Risiko, das in kaum einem Architekturdiagramm auftaucht: Der Rechtsraum. In deutschen Rechenzentren liegt ein Großteil der sensibelsten Unternehmensdaten des Landes und dennoch können US-Behörden unter bestimmten Bedingungen darauf zugreifen. Möglich machen das der CLOUD Act und der Patriot Act: Sie verpflichten US-Unternehmen, Daten unabhängig davon, wo sie physisch gespeichert sind, herauszugeben.

Viele IT-Verantwortliche verdrängen dieses Risiko oder hoffen, dass es sie nicht betrifft. Ein gefährlicher Trugschluss. Denn juristische Bindungen lassen sich nicht durch den Standort eines Rechenzentrums aushebeln. Wer heute einen Cloud- oder Security-Anbieter auswählt, wählt damit auch dessen Rechtsraum. Und der ist für die Frage der Datensouveränität entscheidender als jeder Serverstandort.

Wie realistisch ist der Kill Switch?

Können die USA Europa den Stecker ziehen?

Geopolitik wird zum Sicherheitsfaktor

Wie brisant dieses Thema ist, zeigt die aktuelle Studie von Mimecast: 87 Prozent der befragten deutschen Unternehmen geben an, dass geopolitische Entwicklungen und Fragen der Datenhoheit ihre Entscheidung für einen IT-Sicherheitsanbieter beeinflussen, bei großen Unternehmen mit mehr als 1.000 Beschäftigten sind es sogar fast 93 Prozent. Während früher technische Features und Preislisten dominierten, rücken heute Fragen nach Souveränität und Compliance ins Zentrum. Mit anderen Worten: Datensouveränität ist längst ein Top-Kriterium auf Entscheidungsebene.

Das hat auch damit zu tun, dass neue Vorgaben wie NIS2, BSI-KritisV oder die DSGVO Haftungsfragen verschärfen. Wer personenbezogene Daten, kritische Infrastrukturen oder industrielle Steuerungssysteme schützt, kann sich keine Rechtsunsicherheit leisten. Compliance ist nicht länger Beiwerk, sondern zur sicherheitspolitischen Frage geworden. Und was bislang wie bürokratische Pflicht wirkte, entpuppt sich nun als Katalysator: Nur wer Datenschutz, Compliance und Cyberresilienz integriert denkt, kann moderne Technologien wie KI-gestützte Security-Automatisierung oder Industrial-IoT-Infrastrukturen überhaupt sicher nutzen. Regulierung wird so zur Eintrittskarte in eine souveräne, digitale Zukunft.

Interview mit Gartner-Analyst René Büst

Digitale Souveränität ist nahezu unmöglich

Datensouveränität als neue Leitplanke der Security-Architektur

Dieser Perspektivwechsel ist längst überfällig. Zwei Drittel der befragten Unternehmen nennen in der Studie die „Kontrolle über die Dateninfrastruktur“ als wichtigstes Kriterium für digitale Souveränität, deutlich vor der Fachkompetenz des eigenen Personals. Das ist mehr als ein Stimmungsbild: Es markiert eine strategische Neuordnung.

Denn: Früher wurde IT-Sicherheit oft bottom-up gedacht. Man schützte einzelne technische Komponenten wie Firewalls, Endgeräte oder Netzwerke und hoffte, dass sich daraus ein ausreichend sicherer Gesamtverbund ergibt. Datenschutz spielte dabei meist die Rolle eines nachgelagerten Compliance-Themas. Die neue Haltung stellt dieses Paradigma auf den Kopf: Nicht mehr Technik und einzelne Tools allein, sondern die Kontrolle über die komplette Dateninfrastruktur steht am Anfang, inklusive Cloud-Stacks, Identity- und Access-Management, Kryptographie und Schlüsselverwaltung. Erst wenn klar ist, wer die Hoheit über Daten, Schlüssel und Identitäten hat, kann entschieden werden, wie technische Schutzmaßnahmen überhaupt greifen können.

Security-Insider Podcast – Folge 91

Kontrollverlust oder digitale Souveränität

US-Abhängigkeiten sind ein unterschätztes Risiko

Gerade in Cloud-Umgebungen verstärkt sich das Problem. Security-as-a-Service-Angebote sind bequem, skalierbar und häufig US-dominiert. Doch solange der CLOUD Act den Zugriff auf europäische Daten ermöglicht, hängt über jeder Datei, jedem Backup und jedem KI-gestützten Security-Prozess ein juristisches Damoklesschwert. Viele Unternehmen merken, bis ein Vorfall sie trifft nicht, wie abhängig sie geworden sind. Dann steht nicht nur der Datenschutz auf dem Spiel, sondern auch die eigene Compliance-Bilanz und im schlimmsten Fall die Geschäftsgrundlage.

Der Weg aus dieser Sackgasse führt nicht über symbolische Datentreuhandmodelle, sondern über eine bewusste strategische Entscheidung: Unternehmen sollten Anbieter wählen, die ausschließlich europäischem Recht unterliegen und damit keine externe Zugriffspflicht im Gepäck haben.

Souveränität als strategische Ressource

Diese Sichtweise hat Konsequenzen für die Unternehmensführung: Datensouveränität wird nun als unternehmenskritische Ressource betrachtet, vergleichbar mit Kapital, Marke oder geistigem Eigentum.

Entscheidungen über Anbieter, Cloud-Infrastrukturen oder Security-as-a-Service werden deshalb nicht nur nach technischen oder wirtschaftlichen, sondern vor allem nach rechtlich-strategischen Kriterien getroffen. Genau darin liegt der entscheidende Paradigmenwechsel, den die Studie sichtbar macht und der Europas Unternehmen jetzt zum Umdenken zwingt.

Die folgende Checkliste übersetzt diese Befunde in praxisnahe Schritte für IT- und Unternehmensverantwortliche:

Sicherheitsrisiken durch Abhängigkeit

Trump, Strafzölle, Datenrisiken – Wo bleibt Europas digitale Souveränität?

Checkliste: In 10 Schritten zur Datensouveränität

• 1. Rechtsraum der Anbieter prüfen: Klären, welchem Recht der IT-Sicherheits- oder Cloud-Anbieter unterliegt, nicht nur, wo seine Rechenzentren stehen. Bei der Bewertung geopolitische Risiken in Risikoanalysen einbeziehen

• 2. Kontrolle über die eigene Dateninfrastruktur sichern: Prüfen, ob Schlüsselkomponenten (Speicher, Identitätsmanagement, Schlüsselverwaltung) intern kontrollier- oder auditierbar sind und sie unter eigener Hoheit betreiben.

• 3. Compliance und Datenschutz als strategische Priorität verankern: Vorgaben aus NIS2, BSI-KritisV, DSGVO und anderen Regulierungen aktiv in die Sicherheitsarchitektur integrieren.

• 4. Technologische Unabhängigkeit herstellen: Vermeidung von Lock-in-Effekten durch Multi-Cloud- oder Hybrid-Strategien.

• 5. Security-Awareness und Human Risk Management stärken: Mitarbeitende zu Datenschutz, Phishing, Social Engineering und Umgang mit sensiblen Daten schulen.

So bleiben Unternehmen handlungsfähig

Datensouveränität in unsicheren Zeiten

Von der Pflicht zur Kür

In den kommenden Jahren wird sich zeigen, dass digitale Souveränität kein optionales Sicherheitsfeature, sondern ein strategischer Hebel für Resilienz, Compliance und Marktvorteile ist. Wer die Kontrolle über Daten, Schlüssel und Infrastrukturen selbst bestimmt, kann schneller Innovationen umsetzen, Kundenvertrauen stärken und Marktchancen aktiv gestalten. In einer Zeit, in der Vertrauen und Rechtssicherheit entscheidend sind, trennt sich so die Spreu vom Weizen und (daten)souveräne Unternehmen setzen Standards, statt ihnen hinterherzulaufen.

Über den Autor: Frank Sammüller ist Senior Sales Director DACH bei Mimecast. Mit über 20 Jahren Erfahrung in der IT-Security – unter anderem bei Symantec und McAfee – setzt er sich dafür ein, Sicherheit und Datensouveränität gemeinsam zu denken. Sein Fokus liegt auf klaren Verantwortlichkeiten, transparenten Zugriffsmodellen und moderner Governance in hybriden Arbeitswelten.

Update: Wie sieht die Zusammenarbeit aus?

BSI und Google wollen sichere Cloud-Lösungen entwickeln

(ID:50661256)