Digitale Souveränität mit AWS

Digitale Souveränität zählt zu den zentralen Themen moderner IT‑Strategien und gewinnt im Cloud‑Umfeld zunehmend an Bedeutung. David Schneider erläutert, wie Unternehmen mit Amazon Web Services digital souverän werden können und welche Rolle die AWS European Sovereign Cloud dabei spielt.

Anders als viele Anbieter stellt SoftwareOne dem Thema bewusst keine eigene, starre Definition von Souveränität voran. Der Grund: Souveränität ist vielschichtig und muss im Einzelfall betrachtet werden. SoftwareOne versteht sich daher weniger als Definitionsgeber, sondern als Partner, der Unternehmen dabei unterstützt, ihre individuellen Souveränitätsziele zu bestimmen und den Weg dorthin gemeinsam zu gehen. Souveränität wird dabei nicht als Verzicht oder Kompromiss verstanden, sondern als Grundlage für zukünftige Handlungsfähigkeit.

Ein wichtiger Ausgangspunkt: Eine souveräne Cloud allein ist noch keine Strategie. Sie ist ein zentraler Baustein digitaler Souveränität, ersetzt aber nicht die strategische Gesamtbetrachtung – Gleiches gilt für den souveränen Arbeitsplatz. Eine Strategie bedeutet, verschiedene Technologien bewusst auszuwählen und konsequent an Prozessen und Governance auszurichten.

Wie komplex das Thema ist, zeigt der Blick auf den Aufbau moderner IT. Von der betreibenden Organisation und ihren Rechenzentren über Hardware, Firmware und Hypervisor bis hin zu Plattformdiensten, Identitäts‑ und Zugriffsverwaltung und schließlich der Datenebene muss jede Schicht im Kontext digitaler Souveränität betrachtet werden. In der öffentlichen Diskussion verengt sich das Thema oft auf die oberste Datenebene oder die Frage, wer die Rechenzentren betreibt; die dazwischenliegenden Schichten geraten dabei leicht aus dem Blick, obwohl auch sie bewusste Entscheidungen erfordern.

Zur Bewertung dieser Ebenen nutzt SoftwareOne in seinen Workshops drei Perspektiven: Compliance, Control und Continuity. Die Compliance‑Perspektive fragt, wie sich legitimes Vertrauen aufbauen und die Einhaltung von Prozessen und Richtlinien nachweisen lässt. Die Control‑Perspektive klärt, wer worüber Kontrolle hat – vom Datenzugriff über Lieferketten bis zu Wartung und Patches. Die häufig unterschätzte Continuity‑Perspektive richtet den Blick auf Resilienz und Verlässlichkeit: Existiert der gewählte Partner auch in fünf, zehn oder zwanzig Jahren noch, und steht die anfangs zugesicherte Souveränität dann weiterhin zur Verfügung?

Souveränität bedeutet auch, das eigene Handeln kritisch zu hinterfragen. Trifft dieselbe Stelle eine Entscheidung und prüft sie zugleich, droht ein Bias. Souveräne Szenarien trennen daher Entscheidung und Prüfung – etwa durch eine unabhängige Instanz –, ohne dass der Kunde die Kontrolle abgibt. Reines Outsourcing nach dem Motto „Souveränität, das macht ihr für mich“ ist dagegen das Negativbeispiel.

AWS selbst definiert digitale Souveränität über zwei Dimensionen. Die Datensouveränität umfasst die Datenresidenz – wo die Daten liegen – sowie die Zugriffskontrolle; im Fall der European Sovereign Cloud liegen die Daten in Europa, konkret in Deutschland, in Rechenzentren einer eigens gegründeten deutschen GmbH, die nach EU‑Recht arbeitet. Die operative Souveränität ergänzt dies um Resilienz und Überlebensfähigkeit sowie um Unabhängigkeit und Transparenz.

Die AWS European Sovereign Cloud ist eine physisch getrennte Partition von AWS, die ausschließlich in der EU betrieben und gezielt auf stark regulierte Märkte und den öffentlichen Sektor ausgerichtet ist. Die ersten Rechenzentren stehen in Brandenburg, weitere Standorte in Europa sind geplant. Der entscheidende Unterschied zu den kommerziellen AWS‑Regionen: In der European Sovereign Cloud verlassen auch Meta‑ und Abrechnungsdaten zu keinem Zeitpunkt die EU‑Grenzen.

Betrachtet man die Plattform aus den drei Perspektiven, ergibt sich ein differenziertes Bild. Aus Compliance‑Sicht wird die Umgebung rein in der EU durch eine europäische Rechtseinheit betrieben, ist DSGVO‑konform und standardmäßig verschlüsselt; marktübliche Zertifizierungen wie SOC 2, C5 Typ 1 und zentrale ISO‑Standards liegen vor, C5 Typ 2 dürfte aufgrund der erforderlichen Prüfzeit folgen. Aus Control‑Sicht bringt die Plattform eine eigene, von Drittstaaten unabhängige Steuerungsebene mit, ein separates Identity‑ und Access‑Management sowie die Möglichkeit, eigene Verschlüsselungsschlüssel mitzubringen und selbst zu hosten. Aus Continuity‑Sicht sprechen die unabhängige Infrastruktur, Disaster‑Recovery‑Fähigkeiten, redundante Availability Zones, ein ausgereiftes Betriebsmodell des Marktführers und eine über Jahre aufgebaute Lieferkettenresilienz für die Lösung.

Besondere Aufmerksamkeit verdient die Verschlüsselung. Neben der Standardverschlüsselung erlaubt AWS ein externes Key Management, bei dem die Schlüssel zu 100 Prozent außerhalb der Region gespeichert werden können – eine Option, die nicht jeder Hyperscaler bietet. Damit lassen sich sensible Daten und geistiges Eigentum selbst gegen Szenarien absichern, in denen Dritte Zugriff erlangen: Ohne den passenden Schlüssel bleiben abgegriffene Daten unlesbar.

Einen hundertprozentigen Schutz vor dem US Cloud Act kann allerdings auch die European Sovereign Cloud nicht bieten, da der AWS‑Mutterkonzern im Hintergrund bleibt. AWS verpflichtet sich jedoch vertraglich, Behördenanfragen anzufechten, die EU‑Recht oder der DSGVO widersprechen, und betroffene Kunden zu informieren. Entscheidend ist die Frage, wovor man sich konkret schützen möchte: Gegen das Auslesen eigener Daten hilft externes Key Management zuverlässig, während der Schutz vor einer Aussperrung aus dem eigenen Account technisch deutlich schwieriger ist.

Die European Sovereign Cloud ist bereits live und für jeden zugänglich. Die Basisdienste stehen zur Verfügung – von virtuellen Instanzen bis hin zu Serverless Computing –, weitere Services folgen schrittweise, da jeder einzelne Dienst gegen die geforderten Zertifikate geprüft werden muss. Eine genaue Roadmap ist öffentlich nicht bekannt, das Portfolio dürfte sich jedoch innerhalb eines Jahres deutlich erweitern.

Besonders interessant ist die Plattform für drei Gruppen: für bestehende AWS‑Kunden, die sensible Workloads bislang aus regulatorischen Gründen im eigenen Rechenzentrum betreiben mussten und nun ein einfacheres Betriebsmodell erhalten; für den öffentlichen Sektor von der kommunalen Ebene bis zum Bund; und für stark regulierte Branchen wie das Finanzwesen sowie den medizinischen und pharmazeutischen Bereich. Darüber hinaus ist sie für jede Organisation relevant, die eine souveräne Zielplattform für Innovation sucht.

Genau hier setzt die Beratung von SoftwareOne an – von der strategischen Zieldefinition über die Bewertung aus Compliance‑, Control‑ und Continuity‑Perspektive bis zur Auswahl, Implementierung und zum Betrieb der passenden Lösung.