Multi- und Hybrid-Cloud als Zielbild Digitale Souveränität erfordert differenzierte Cloudstrategien

Anbieter zum Thema

WIIT AG

NCP engineering GmbH

Mein Videotermin Suite | Voigtmann GmbH

xSuite Group GmbH

„Es gibt keine einheitliche Cloud-Lösung für alle Anwendungsfälle”: Gastautor Christoph Herrnkind unterscheidet drei Anwendungskategorien. Er erklärt, wie die dafür passenden Lösungen in einer Cloud-Strategie zu kombinieren sind und worauf es bei der Umsetzung ankommt.

Die digitale Transformation der öffentlichen Verwaltung ist ohne Cloud-Technologien nicht mehr denkbar. Sie ermöglichen Skalierbarkeit, Innovationsfähigkeit und den Betrieb moderner Fachverfahren. Entscheidend ist daher nicht mehr die Frage, ob Cloud eingesetzt wird, sondern wie sie souverän, sicher und regelkonform genutzt werden kann.

Digitale Souveränität geht dabei über regulatorische Anforderungen hinaus. Sie beschreibt die Fähigkeit, Daten, Infrastrukturen und Betriebsprozesse dauerhaft unter Kontrolle zu halten, Abhängigkeiten aktiv zu steuern und auch kritische Anwendungen zuverlässig zu betreiben. Gerade im öffentlichen Sektor ist das von zentraler Bedeutung. Europäische Cloud-Ansätze gewinnen in diesem Kontext an Bedeutung. Sie verbinden technologische Leistungsfähigkeit mit klaren rechtlichen Rahmenbedingungen: Datenverarbeitung innerhalb Europas, Betrieb in zertifizierten Rechenzentren und vollständige Transparenz über Zugriff und Verarbeitung.

Entscheidungen nach Schutzbedarf

Für die Praxis bedeutet das: Es gibt keine einheitliche Cloud-Lösung für alle Anwendungsfälle. Stattdessen müssen Cloud-Modelle gezielt nach Schutzbedarf und Kritikalität ausgewählt werden.

Standardisierte Anwendungen – Public-Cloud-nahe Modelle: Für weniger kritische Anwendungen können skalierbare, standardisierte Public-Cloud-Services sinnvoll sein. Dazu zählen beispielsweise Kollaboration, digitale Bürgerservices ohne sensible Daten oder standardisierte Fachverfahren. Im Vordergrund stehen hier schnelle Bereitstellung, flexible Skalierung und Nutzung standardisierter Services. Diese Modelle entlasten die Verwaltung operativ und schaffen Raum für Innovation. Typisch hierfür sind Cloud-native Anwendungen, containerbasierte Plattformen oder Software-as-a-Service-Lösungen, die keine besonderen Anforderungen an individuelle Sicherheitsarchitekturen oder Datenhoheit stellen.

Kritische Anwendungen – maßgeschneiderte Cloud-Modelle: Sobald es um geschäftskritische oder sensible Verwaltungsprozesse geht, steigen die Anforderungen deutlich. Genau hier liegt der Schwerpunkt europäischer Anbieter: der Betrieb komplexer und kritischer Umgebungen mit höchsten Anforderungen an Sicherheit und Verfügbarkeit. Für diese Szenarien sind individuell zugeschnittene Cloud-Modelle erforderlich, die:

• spezifische Sicherheitsanforderungen abbilden,

• hohe Verfügbarkeit und Resilienz gewährleisten und

• regulatorische Vorgaben technisch umsetzen.

Technisch zeichnen sich diese Umgebungen durch isolierte Infrastrukturen, getrennte Netzwerksegmente sowie klar definierte Betriebs- und Verantwortungsmodelle aus. Solche „Premium“- oder dedizierten Cloud-Modelle werden gezielt auf die jeweiligen Anwendungen abgestimmt und ermöglichen es, auch sensible Workloads sicher in der Cloud zu betreiben.

Hochsensible Daten – souveräne Cloud-Architekturen: Für besonders schützenswerte Daten, etwa im Kontext sicherheitsrelevanter Verwaltungsaufgaben, sind zusätzliche Maßnahmen erforderlich. Ziel dabei ist es, digitale Autonomie sicherzustellen und gleichzeitig regulatorische Anforderungen automatisiert einzuhalten. Hier kommen souveräne Cloud-Architekturen zum Einsatz, die sich durch folgende Merkmale auszeichnen:

• Datenverarbeitung innerhalb europäischer Rechtsräume

• vollständige Kontrolle über Datenzugriffe und Speicherorte

• transparente und auditierbare Betriebsprozesse

Ergänzend werden Verschlüsselungskonzepte mit eigener Schlüsselverwaltung durch die Kunden, strikte Zugriffskontrollen sowie umfassende Protokollierungs- und Auditmechanismen eingesetzt. Dadurch bleibt die datenverarbeitende Stelle auch im Cloud-Betrieb jederzeit handlungs- und kontrollfähig.

Multi- und Hybrid-Cloud als Zielbild

In der Praxis führt diese Differenzierung nicht zu einer einzelnen Lösung, sondern zu Multi- und Hybrid-Cloud-Architekturen. Diese kombinieren standardisierte Cloud-Services für weniger kritische Anwendungen und dedizierte oder souveräne Umgebungen für sensible Workloads. Die öffentliche Verwaltung kann somit Innovation und Effizienz nutzen, ohne die Kontrolle über kritische Daten und Prozesse zu verlieren.

Moderne Plattformansätze integrieren dabei verschiedene Cloud-Modelle. Durch den Einsatz offener Technologien, standardisierter Schnittstellen (APIs) sowie containerbasierter Plattformen vermeiden sie technologische Abhängigkeiten und schaffen die Grundlage für flexible Multi-Cloud- und Hybrid-Cloud-Strategien. Anwendungen werden dadurch portabler und können bei Bedarf zwischen verschiedenen Umgebungen verschoben werden. Das ermöglicht nicht nur Flexibilität im Betrieb, sondern schafft auch realistische Exit-Szenarien und reduziert langfristige Lock-in-Effekte.

Digitale Souveränität konkret umsetzen

Digitale Souveränität zeigt sich nicht in strategischen Leitbildern, sondern in der konkreten Umsetzung. Drei Aspekte sind entscheidend:

• 1. Datenhoheit in Europa sicherstellen: Daten müssen innerhalb klar definierter rechtlicher Räume verarbeitet werden. Idealerweise in europäischen Rechenzentren mit eindeutiger Zuständigkeit. Dabei ist sicherzustellen, dass etwa auch Metadaten, Backups und Protokolldaten diesen Anforderungen unterliegen.

• 2. Kontrolle über kritische Prozesse behalten: Auch im Cloud-Betrieb muss die öffentliche Hand in der Lage sein, zentrale Sicherheits- und Betriebsfunktionen aktiv zu steuern. Dazu zählen eigene Identity- und Access-Management-Systeme und klar definierte Rollenmodelle. Ebenso wichtig sind transparente Administrationsprozesse.

• 3. Abhängigkeiten reduzieren: Offene Technologien und Multi-Cloud-Ansätze verhindern Lock-in-Effekte und sichern langfristige Handlungsfähigkeit. Bereits bei der Entwicklung sollte man darauf achten, Anwendungen möglichst unabhängig von proprietären Plattformdiensten zu gestalten.

Handlungsempfehlungen für die Praxis

Für die Praxis lassen sich vier konkrete Leitlinien ableiten: Erstens ist es sinnvoll, die Cloud differenziert einzusetzen. Denn Schutzbedarf ist das zentrale Kriterium, weshalb nicht jede Anwendung in dasselbe Modell gehört.

Zweitens sollten Verantwortliche auf europäische und souveräne Angebote setzen, um die Grundlage für rechtliche Sicherheit und digitale Autonomie zu schaffen.

Drittens ist es notwendig, kritische Anwendungen gezielt abzusichern. Geeignet dafür ist die Bereitstellung dedizierter Cloud-Umgebungen, um sensible Bereiche zu trennen. Ebenso wichtig ist, dass Verantwortlichkeiten für den sicheren Betrieb eindeutig festgelegt sind. Maßgeschneiderte, hochverfügbare Cloud-Modelle sind hier entscheidend.

Viertens sind Hybrid- und Multi-Cloud strategisch zu nutzen, um Innovationsfähigkeit mit Kontrolle und reduzierten Abhängigkeiten in Einklang zu bringen.

Fazit: Cloud-Technologien sind ein zentraler Hebel für die Digitalisierung der öffentlichen Verwaltung. Digitale Souveränität entscheidet sich dabei nicht an der Frage „Cloud oder nicht“, sondern an der Fähigkeit, Cloud gezielt, differenziert und kontrolliert einzusetzen. Eine zukunftsfähige Cloud-Strategie kombiniert standardisierte Services mit souveränen und maßgeschneiderten Lösungen und schafft so die Balance zwischen Innovation, Sicherheit und Kontrolle.

Geheimhaltungsstufe „Geheim“

Stackit und BSI arbeiten an der „geheimen Cloud“

(ID:50820233)