Die vier Dimensionen der Datenhoheit: Ein praktischer Rahmen

Im ersten Beitrag dieser Reihe habe ich dargelegt, dass die einzige Variable, auf die jede Organisation Einfluss nehmen kann, der physische Speicherort ihrer Daten ist. Das ist der richtige Ausgangspunkt. Es ist aber auch der Punkt, an dem viele Organisationen glauben, sie seien bereits am Ziel. Jede Woche beobachte ich dasselbe Muster: Ein Team wählt eine Speicherregion in der EU aus, vergewissert sich, dass die Daten im jeweiligen Land gespeichert sind, und betrachtet das Thema Souveränität damit als erledigt. Das Kästchen „Standort“ ist angekreuzt, also geht das Projekt weiter. Das Problem bei diesem Ansatz ist, dass der Standort nur eine Dimension der Souveränität darstellt. Er ist die notwendige Grundlage, aber für sich allein genommen macht er noch keine Souveränität aus. In einem von Wasabi¹ gesponserten IDC Spotlight skizziert IDC das Gesamtbild anhand von vier Dimensionen, wobei sich manche Unternehmen ausschließlich auf die erste konzentrieren. Das ist keine Kritik. Der Markt ist voll von Souveränitätsbehauptungen, die einer genaueren Prüfung nicht standhalten, und es ist wirklich schwer, echte Souveränität von einem bloßen Etikett zu unterscheiden. Die Festlegung eines Rahmens hilft, denn dadurch wird aus einer vagen Sorge vier konkrete Punkte, die man überprüfen kann.

Die vier Dimensionen der Datenhoheit

IDC definiert die vier Dimensionen der Datenhoheit wie: Daten, Recht, Betrieb und Technik[1].

Die Dimension „Daten“ legt fest, wo sich Ihre Daten physisch befinden und wer darauf zugreifen darf. Dies ist der Aspekt, über den sich Teams bereits Gedanken machen: Speicherort, Verschlüsselung, Zugriffskontrolle.

Bei der rechtlichen Dimension geht es darum, welcher Gerichtsbarkeit Ihre Daten unterliegen und wer im Falle einer Anfrage die Entscheidungshoheit hat.

Bei der operativen Dimension geht es darum, Kontinuität und Wiederherstellung auch dann zu gewährleisten, wenn es bei einem primären Anbieter zu Ausfällen kommt. Hier kommen unveränderlicher Speicher, WORM-Konformität und ein Backup ins Spiel, das wirklich unabhängig von Ihrer Hauptumgebung ist.

Bei der technischen Dimension geht es darum, die Möglichkeit zu bewahren, sich frei zu bewegen, Daten wiederherzustellen und das System zu verlassen, ohne von einem Anbieter abhängig zu sein. S3-kompatible APIs, keine Auslieferungsgebühren und von Grund auf integrierte Portabilität sind die Faktoren, die diese Tür offen halten.

Wenn Sie alle vier Dimensionen berücksichtigen, erhalten Sie eine praktische Möglichkeit, einzuschätzen, wo Sie in Bezug auf Datenhoheit tatsächlich stehen, denn eine Dimension gut zu berücksichtigen ist nicht dasselbe wie alle vier zu berücksichtigen.

Manche Unternehmen beschränken sich auf die erste Dimension

Die Untersuchungen bestätigen dies und zeigen, dass die Lücke nicht einheitlich ist. Die „IDC CloudOps and Governance Survey“ ergab, dass 38 % der Unternehmen im Hinblick auf die kritischsten Workloads ihre Infrastrukturbeschaffungen beschleunigt haben, um Risiken zu mindern, und 32 % ihre Budgets aufgestockt haben.[1] Das ist eine entschlossene Maßnahme zum Schutz der Daten, auf die es wirklich ankommt.

Eine Ebene tiefer, bei geschäftskritischen Workloads, setzen immer mehr Unternehmen auf mandantenfähige Umgebungen und gehen damit einen Schritt weiter. Die Sorgfalt, die sie bei ihren wertvollsten Daten an den Tag legen, lässt bei den weitaus größeren Datenmengen, über die das Unternehmen verfügt, nach.

Die Risikobewältigung erfolgt uneinheitlich, und genau in dieser Uneinheitlichkeit verbergen sich die Sicherheitslücken. Ein Angreifer oder ein Systemausfall prüft nicht, wie eine Arbeitslast klassifiziert wurde, bevor er zuschlägt. Angreifer nutzen immer die Schwachstelle aus, die am wenigsten geschützt ist.

Das bedeutet jedoch nicht, dass jede Arbeitslast genau gleich behandelt werden sollte. Es bedeutet vielmehr, dass man wissen muss, welche Dimension man bei jeder einzelnen tatsächlich abgedeckt hat, anstatt davon auszugehen, dass das Standortfeld alle abdeckt.

Zwei Wege, und einer davon führt zum Erfolg

Betrachtet man, wie Unternehmen diese Lücke schließen, lassen sich zwei Vorgehensweisen erkennen. Die einen setzen ausschließlich auf den Standort. Sie wählen einen in der EU registrierten Anbieter, behalten alles im Land und bezeichnen dies als „souverän“. Andere verfolgen einen pragmatischeren Ansatz und ziehen Flexibilität und Ausfallsicherheit geografischen Grenzen vor.

Die FERS-Umfrage von IDC zeigt, auf welchen Ansatz die digital am weitesten fortgeschrittenen Unternehmen setzen. Unter den „Digital Natives“ nannten 44 % die Diversifizierung der Lieferanten als ihre Beschaffungsstrategie, während sich nur 20 % für lokale, staatlich betriebene Rechenzentren entschieden.[1]

Was die Ausfallsicherheit betrifft, so legen 35 % in den nächsten 6 bis 12 Monaten den Schwerpunkt auf Investitionen in mehrere Regionen und Verfügbarkeitszonen, während nur 18 % in staatliche oder lokal betriebene Rechenzentren investieren.

Der Kontrast zu weniger ausgereiften Organisationen ist aufschlussreich. Digitale Nachahmer neigen dazu, in die andere Richtung zu gehen – hin zu Richtlinien, die ausschließlich auf den Standort oder ausschließlich auf Anbieter aus der EU ausgerichtet sind, oft ohne dass damit eine entsprechende Verringerung des tatsächlichen Risikos einhergeht. Es fühlt sich sicherer an, weil es einfacher ist, aber eine einfache Abgrenzung und echte Widerstandsfähigkeit sind nicht dasselbe.

Nach Einschätzung von IDC wird die nächste Phase der Autonomie in der EMEA-Region durch Flexibilität und nicht durch „Entweder-oder“-Beschränkungen erreicht werden. Interessant ist dabei die Frage, warum einheimische Unternehmen diversifizieren. Es geht dabei nicht nur um Konzentrationsrisiken oder Kosten. Es ist ebenso sehr die Angst vor einem Ausschluss wie vor einer Bindung.

Die Unternehmen, mit denen ich spreche, möchten nicht, dass ihre digitale Zukunft vollständig in den Händen eines einzigen Anbieters liegt. Sollte dieser Anbieter beschließen, den Zugang zu einem Dienst zu sperren, ist ein Ausschluss genauso schädlich wie eine Bindung an einen Anbieter. Durch die Diversifizierung über offene, kompatible Technologien stellen sie sicher, dass diese Entscheidung niemals in die Hände eines anderen fällt.

Drei Fragen, die Ihre wahre Einstellung auf die Probe stellen

Die IDC Spotlight erfasst das gesamte Konzept in drei Fragen, die jede Führungskraft beantworten können sollte.[1] Ich würde sie als Fragen der Kontrolle formulieren, denn genau das messen sie letztendlich.

1. Haben Sie die Kontrolle über Ihre sensiblen Daten? (Verfügen Sie über Flexibilität und Wahlmöglichkeiten hinsichtlich Standorten, Datentransparenz und Datenportabilität?)

Das ist die Datendimension. Haben Sie echte Entscheidungsfreiheit darüber, wo die Daten gespeichert werden, haben Sie Einblick in diese Daten und können Sie sie verschieben?

2. Können Sie dies eigenständig verwalten und steuern? (Haben Sie die Kontrolle über Sicherheit, Richtlinien, Datenaufbewahrungsort und Verschlüsselung?)

Das ist der Aspekt, den fast niemand genau genug unter die Lupe nimmt. Wer kontrolliert die Sicherheit, und können Sie Ihre eigenen Verschlüsselungsschlüssel erstellen?

Wenn Sie Ihre eigenen Schlüssel mitbringen, ist selbst in dem von allen befürchteten Szenario – dass eine ausländische Regierung eine rechtmäßige Anforderung bezüglich Ihrer Daten stellt – dies kein Problem, da Sie die Schlüssel selbst besitzen. Ohne diese sind die Daten unlesbar. Diese eine Kontrollmaßnahme trägt mehr zu Ihrer Souveränität bei, als ein Adresswechsel es jemals könnte.

3. Können Sie die Daten bei geänderten Bedingungen übertragen? (Ist die Umgebung interoperabel, portabel und transparent?)

Hier entscheiden die Kosten über alles. Viele „souveräne“ Vereinbarungen ermöglichen es Ihnen zwar theoretisch, Ihre Daten zu verschieben, bestrafen Sie dafür in der Praxis jedoch durch Auslieferungsgebühren und Zugangsgebühren, die einen Wechsel so teuer machen, dass man es sich zweimal überlegt. Das ist keine Kontrolle.

Wir bei Wasabi sind davon überzeugt, dass Kontrolle Vorhersehbarkeit bedeutet. Unsere Preisgestaltung ist standardisiert und transparent, sodass ich die Speicherkosten eines Kunden für die nächsten drei bis vier Jahre prognostizieren kann. Und die Gebühren für den Datenzugriff betragen null. Es entstehen Ihnen niemals finanzielle Nachteile, wenn Sie auf Ihre eigenen Daten zugreifen oder diese verschieben.

Beantworten Sie alle drei Fragen mit „Ja“, und Sie verfügen über eine echte Grundlage für Souveränität. Beantworten Sie nur die erste Frage mit „Ja“, dann haben Sie lediglich einen Standort und ein trügerisches Gefühl der Sicherheit.

Was das für Sie bedeutet

Die vier Dimensionen bilden die Landkarte. Die drei Fragen zeigen Ihnen, wo Sie darauf stehen.

Was sie jedoch nicht von sich aus tun, ist, das Ganze aufzubauen. Um alle drei Fragen mit „Ja“ beantworten zu können, bedarf es einer durchdachten Architektur – und nicht nur des Versprechens eines einzelnen Anbieters.

Und genau dort geht es in dieser Serie als Nächstes hin: zu den praktischen Infrastrukturentscheidungen, die dieses Framework in die Realität umsetzen.

Quellen

[1] IDC Spotlight, gesponsert von Wasabi: „Cloud ohne Kompromisse: Datenhoheit in Ihrer Infrastruktur durch einen Ansatz, bei dem Ausfallsicherheit an erster Stelle steht und Risiken minimiert werden“ (Dok. Nr. US54512826, Mai 2026)