gesponsertNutanix Digitale Souveränität: Kontrolle schlägt Ort

Gesponsert von

Nutanix Germany GmbH

„Souveränes Rechenzentrum" ist einer jener Begriffe, die Entscheiderinnen und Entscheidern im Öffentlichen Sektor ein beruhigendes Gefühl vermitteln. Zwar ist das Gefühl berechtigt: Wo Daten gespeichert und verarbeitet werden, ist in der Tat eine regulatorische Anforderung. Aber Datenresidenz und Souveränität sind nicht dasselbe, und genau dieser Unterschied bringt Verwaltungen und Ministerien in Schwierigkeiten.

Laut Marktforschern steigen die weltweiten Ausgaben für Sovereign Cloud 2026 auf 80 Milliarden US-Dollar. Auch Bund, Länder und Kommunen in Deutschland investieren erheblich in den Infrastrukturbetrieb innerhalb der eigenen Landesgrenzen. Dennoch sind laut Thales Data Threat Report 2026 nur 47 Prozent der sensiblen Cloud-Daten verschlüsselt – ein Wert, der zuletzt sogar gesunken ist. Die Investitionen in Kontrollmöglichkeiten hinken den ortsgebundenen Investitionen hinterher. Gerade diese Lücke stellt eine Herausforderung dar, die den Erfolg von Souveränitätsstrategien im öffentlichen Sektor erschwert.

Datenresidenz reicht nicht

Datenresidenz ist eine Standortanforderung: Sie legt fest, wo Daten gespeichert werden müssen. Datensouveränität hingegen ist eine Kontrollanforderung: Sie bestimmt, wer die letztgültige rechtliche und operative Hoheit über diese Daten hat.

Eine Behörde kann Residenzanforderungen vollständig erfüllen und trotzdem bei der Souveränität scheitern. Das klarste Beispiel ist der US CLOUD Act, der US-Behörden erlaubt, amerikanische Unternehmen zur Herausgabe von Daten zu zwingen – unabhängig davon, wo diese gespeichert sind. Eine Kommune, die Workloads in Frankfurt bei einem Anbieter betreibt, der US-Rechtsprechung unterliegt, hat Daten in Deutschland, aber nicht automatisch Daten unter deutscher souveräner Kontrolle. Der Server ist lokal, die Rechtshoheit ist es nicht. Dasselbe gilt für extern gehostete Managementplattformen, fremdkontrollierte Identitätssysteme oder Support-Prozesse mit Drittzugriff auf sensible Verwaltungsdaten – jedes dieser Elemente schafft eine Abhängigkeit außerhalb der eigenen Governance-Grenzen.

Auch im Ernstfall zeigt sich das: Prüfer interessieren sich nicht dafür, wo die Infrastruktur steht, sondern ob dokumentiert ist, wer wann worauf zugegriffen und was er oder sie verändert hat. Dies wird bspw. auch durch die NIS2-Richtlinie unterstrichen, die exakt diese operativen Nachweise, unveränderliche Audit-Protokolle und strenge Zugriffskontrollen (Zero Trust) fordert. Dabei handelt es sich um ein Governance-Problem, nicht um ein Infrastrukturproblem.

Souveränität basiert auf Kontrolle

Echte Souveränität basiert auf operativen Disziplinen, die nichts mit einem konkreten Ort zu tun haben: strikte Zugriffs- und Berechtigungskontrollen nach dem Zero-Trust-Prinzip, Air-Gap-Fähigkeit für kritische Umgebungen, Eigenständigkeit im Betriebsalltag – das heißt patchen, überwachen und wiederherstellen zu können, ohne von unkontrollierten externen Diensten abhängig zu sein – sowie Reversibilität, also die glaubwürdige Option, den Kurs zu ändern, wenn sich Anbieterbeziehungen oder Rahmenbedingungen verschieben.

Gerade an der Eigenständigkeit scheitert das souveräne Rechenzentrum im öffentlichen Sektor am häufigsten, auch wenn bewusst auf Open-Source-Software gesetzt wird, um Herstellerabhängigkeit zu vermeiden. Quelloffener Code allein schafft keine Betriebshoheit; er verlangt kontinuierliches Patchmanagement, Sicherheits-Monitoring und Integrationsarbeit aus eigener Kraft. Genau diese Kapazitäten fehlen der Verwaltung zunehmend: Laut einer PwC-Analyse klafft bis 2030 eine Fachkräftelücke von über einer Million Stellen im gesamten öffentlichen Sektor. Selbst bei Umsetzung aller Gegenmaßnahmen verbleiben 160.000 bis 500.000 unbesetzte Stellen. Diese Knappheit trifft auch die IT- und Digitalisierungsstellen in Ministerien und Behörden, auf allen Ebenen unseres Gemeinwesens. Wo dieses Personal fehlt, entpuppen sich Entwicklung und kontinuierlicher Betrieb von Ersatzlösungen auf reiner Open-Source-Basis als Illusion. So lässt sich die notwendige Kontrolle nicht erreichen. Dieser Mangel lässt sich in der Praxis nur durch ein einheitliches, hochautomatisiertes Betriebsmodell ausgleichen, das komplexe Day-2-Operations wie das Lifecycle- und Patch-Management übernimmt, sodass öffentliche IT-Dienstleister (bspw. auch im Rahmen der Inhouse-Vergabe) skalieren können.

Mit KI-Anwendungen verschärft sich diese Situation zusätzlich: Der EU AI Act verlangt für Hochrisikosysteme nachweisliche Governance über die gesamte Inferenzumgebung, Modellgewichte, Prompt-Zugriffe und Telemetriedaten eingeschlossen. Und nicht jedes System braucht denselben Schutz: Eine Informationsseite verlangt nicht dieselben Kontrollen wie ein Melderegister. Wer nach Risiko klassifiziert und strenge Kontrollen dort konzentriert, wo sie zählen, schont zugleich das knappe Fachpersonal.

Digitale Souveränität ist eine operative Fähigkeit

Digitale Souveränität hängt nicht von Orten oder Gebäuden ab, sondern stellt eine operative Fähigkeit dar. Angesichts fehlender Fachkräfte sollten Entscheidungsträger im öffentlichen Sektor sie nicht als Beschaffungs- oder Lizenzfrage behandeln, sondern als technische Disziplin, die entsprechend ausgestattet und betrieben werden muss. Der Schlüssel dazu sind Lösungen, die hoch automatisiert sind und dem Öffentlichen Sektor in Deutschland die volle Kontrolle und Wahlfreiheit verschaffen.

(ID:50915069)