Was ist Datenhoheit?

Datenhoheit ist das Prinzip, dass Daten den Gesetzen und Regierungsstrukturen des Landes oder der Gerichtsbarkeit unterliegen, in dem/der sie erfasst oder gespeichert werden. Dies kann die Fähigkeit einer Regierung beeinflussen, rechtliche Autorität über Daten auszuüben, die sich physisch innerhalb ihrer Grenzen befinden, unabhängig davon, wo die Organisation die Daten primär speichert.

Dies ist wichtig, weil der Regelsatz, der Ihre Daten regelt, nicht davon abhängt, wo sich Ihr Unternehmen befindet. Er wird davon bestimmt, wo die Daten gespeichert sind. Beispielsweise unterliegt ein US-amerikanisches Unternehmen, das Kundendaten auf Servern in Frankfurt speichert, für diese Daten sowohl dem EU-Recht als auch dem amerikanischen Recht.

Diese drei Begriffe sind miteinander verknüpft, aber nicht identisch. Die Compliance-Einhaltung kann durch Abweichungen in ihrer Anwendung beeinflusst werden.

•     Datenhoheit ist ein Rechtsbegriff. Das Recht einer Nation, Daten innerhalb ihres Hoheitsgebiets zu regulieren. Es beantwortet die Frage: „Wer ist zuständig?“
•     Datenresidenz ist eine rechtliche oder vertragliche Anforderung, die vorschreibt, wo Daten geografisch gespeichert werden müssen. Es beantwortet die Frage: „Wo ‚leben‘ die Daten?“
•     Die Datenlokalisierung hat die strengste Form. Eine gesetzliche Anforderung, dass Daten sowohl innerhalb eines Landes gespeichert als auch verarbeitet werden müssen, mit Beschränkungen für den grenzüberschreitenden Transfer. Sie beantwortet die Frage: “Können die Daten überhaupt ausgelagert werden?”

Eine souveräne Cloud ist ein Cloud-Dienst, der auf den Anforderungen eines Landes an die Datensouveränität basiert. Um sicherzustellen, dass ausländische Regierungen, Gerichte und Unternehmen keine Daten ohne die Genehmigung des Gastlandes erhalten können, werden souveräne Clouds von lokalen Einheiten (oder durch streng kontrollierte Partnerschaften) betrieben, im Gegensatz zu standardmäßigen Public Clouds, die von globalen Hyperscalern betrieben werden.

•     Lokal verwaltet und im Besitz: Betrieben von einem lokalen Unternehmen oder einem Joint Venture, bei dem die Einheimischen die Mehrheit halten.
•     Jurisdiktionale Abgrenzung: Nationale oder regionale Vorschriften am Datenstandort können den Prozess grenzüberschreitender Datenübertragungen beeinflussen.
•     Regulatorische Übereinstimmung: Sie erfolgen im Einklang mit nationalen Gesetzen, wie etwa der GDPR, Frankreichs SecNumCloud oder Deutschlands C5-Standard.

Geschäftsrisiken umfassen:

Datensouveränität bedeutet nicht nur die Einhaltung gesetzlicher Vorschriften; sie umfasst auch die Verfügbarkeit geeigneter technischer Systeme. Um Souveränität wirklich durchzusetzen, müssen mehrere Technologien kombiniert werden:

1.   Souveräne Cloud-Plattformen bezeichnen lokale Infrastrukturen, die innerhalb definierter rechtlicher und geografischer Grenzen betrieben werden, wodurch eine Abhängigkeit von Systemen, die von ausländischen Mächten kontrolliert werden, vermieden wird.
2.   Kundenverwaltete Verschlüsselungsschlüssel (CMEK) ermöglichen der Organisation die Kontrolle über Verschlüsselungsschlüssel, wodurch die Fähigkeit des Cloud-Anbieters, Daten zu entschlüsseln, potenziell eingeschränkt wird, selbst als Reaktion auf rechtliche Anfragen.
3.   Bring Your Own Key (BYOK) / Hold Your Own Key (HYOK) sind zwei unterschiedliche Ansätze, die dem Kunden die Möglichkeit bieten, den Schlüssel zu behalten. Die Cloud erleichtert typischerweise kryptografische Operationen, entschlüsselt die Daten aber im Allgemeinen nicht.
4.   Datenresidenzkontrollen sind Konfigurationen, die die Datenreplikation oder -sicherung auf bestimmte Regionen beschränken.
5.   Vertrauliches Rechnen bietet Hardware-Unterstützung (z.B. durch Intel SGX oder AMD SEV) zum Schutz von Daten während der Verarbeitung, zusätzlich zu ruhenden Daten oder Daten während der Übertragung.
6.   Die Zero-Trust-Architektur basiert auf der ständigen Überprüfung der Identität und dem Prinzip der geringsten Rechte für den Zugriff.

Die praktische Anwendung von Datensouveränität kann komplexe Überlegungen mit sich bringen. Die Hauptbedenken werden in drei Schlüsselbereiche unterteilt:

1.   Kosten. Die Kosten, die mit dem Aufbau souveräner Cloud-Infrastruktur unterscheidet sich von denen einer Standard- Public Cloud.
2.   Management. Organisationen, die in mehreren Rechtsgebieten tätig sind, müssen in jedem Land unterschiedliche Regeln befolgen.
3.   Gesetze. Souveräne Rechtssysteme können divergierende Auslegungen zulassen, und technische Lösungen stellen möglicherweise keine universell anwendbare Antwort dar.

Weitere zu berücksichtigende Bereiche umfassen:

•     Im Gegensatz zu globalen Hyperscalern kann die Anzahl kleinerer, souveränitätskonformer Anbieter mit deren Funktionsumfang in Verbindung stehen.
•     Unterschiede bei der Normenentwicklung zwischen Ländern können die Entstehung einer konsistenten globalen Compliance-Haltung beeinflussen.