Datensouveränität: Zwischen Illusion und echter Kontrolle
Datensouveränität ist vom operativen Thema zum Risiko für den Verwaltungsrat geworden. Der Auslöser ist geopolitisch: sich verschiebende Allianzen, extraterritoriale Gesetzgebung und eine wachsende Bereitschaft staatlicher Akteure, digitale Infrastruktur als Machthebel einzusetzen. Was früher still gehandhabt wurde, geschieht heute offen.
Der Reflex in Europa und in der Schweiz ist vorhersehbar: weg von US-Anbietern, hin zur europäischen Cloud. Diese Reaktion ist nachvollziehbar, verwechselt aber einen Beschaffungsentscheid mit einer Souveränitätsstrategie. Hyperscaler und Cloud-Dienste sind in den meisten Organisationen tief verankert. Die Frage ist nicht, ob man sie nutzt. Die Frage ist, ob die Organisation kontrolliert, was mit ihren Daten geschieht, wenn sie es tut.
Datensouveränität entsteht nicht durch ein Herkunftsland-Label. Sie entsteht durch Kontrolle, die technisch und organisatorisch durchgesetzt wird. Und das ist eine Architekturfrage, kein Beschaffungsentscheid.
Warum «europäisch» nicht automatisch «souverän» bedeutet
Europa hat wichtige Bereiche harmonisiert, der Datenschutz ist das sichtbarste Beispiel. In der Praxis ist Europa jedoch kein einheitlicher Vollzugsraum. Aufsicht, Durchsetzung, Gesetze zur nationalen Sicherheit und zum Strafverfahren sowie die Umsetzung von EU-Richtlinien unterscheiden sich von Land zu Land erheblich.
Das ist nicht nur Theorie. Zwei konkrete Beispiele zeigen das.
DSGVO: ein Regelwerk, unterschiedlicher Vollzug. Die DSGVO gilt EU-weit, wird aber von nationalen Datenschutzbehörden vollzogen, jede mit unterschiedlichen Prioritäten, Geschwindigkeiten und Sanktionspraktiken. Der One-Stop-Shop-Mechanismus soll das harmonisieren, schafft in der Praxis aber regelmässig Spannungen zwischen nationalen Behörden und dem Europäischen Datenschutzausschuss. Der Fall WhatsApp/Meta zeigte das direkt: Der Ausschuss griff über das Streitbeilegungsverfahren ein und beeinflusste den Entscheid der irischen Behörde massgeblich; das Verfahren liegt inzwischen beim Gerichtshof der EU. Selbst mit derselben Rechtsgrundlage in der ganzen EU ist das Vollzugsrisiko nicht identisch.
Verdeckte Fernmeldeüberwachung: fragmentierte nationale Regeln. Der Zugriff von Strafverfolgungs- und Sicherheitsbehörden auf Kommunikationsdaten ist EU-weit nicht einheitlich geregelt. Die Jurisdiktion spielt eine Rolle, ist aber nicht dasselbe wie Kontrolle. «Daten in Europa» heisst nicht «ein einheitliches Zugriffsszenario».
Der entscheidende Punkt ist: Wer nur den Anbieter wechselt, verschiebt vor allem Abhängigkeiten. Betriebsmodelle, Zugriff durch Dritte und Support, Betriebsstandorte, Lieferketten, Lock-in- und Exit-Optionen bleiben relevant. Geografische Nähe kann bestimmte Risiken senken. Ein Kontrollmechanismus ist sie nicht.
Die eigentliche Frage: Architektur vor Anbieter
Datensouveränität ist keine Frage des Vertrauens. Sie ist eine Frage der architektonischen Beherrschbarkeit. Die für den Verwaltungsrat massgebliche Definition ist einfach:
Souverän ist, wer den Zugriff, die Nutzung und die Portabilität seiner kritischen Daten technisch durchsetzen kann, unabhängig vom Anbieter.
Entscheidend ist «technisch durchsetzen». Die Kontrolle muss im System angelegt sein, statt nur vertraglich zugesichert oder gesetzlich erwartet, damit das Unternehmen sie in der Praxis auch ausüben kann.
Eigene Infrastruktur ist keine Ideologie: Für bestimmte Datenkategorien ist sie die einzige Architektur, die nachweisbare Kontrolle liefert. Kann ein Unternehmen technisch und unabhängig nicht belegen, dass der Zugriff auf seine Kronjuwelen begrenzt ist, besitzt es keine Souveränität. Es besitzt nur einen Vertrag und lebt in der Illusion der Souveränität.
Der Verwaltungsrat sollte hier klar gegenüber der Geschäftsleitung auftreten: Bei den Daten mit dem höchsten Risiko ist «wir vertrauen dem Anbieter» keine akzeptable Kontrolle. Die Frage ist nicht, ob eigene Infrastruktur bequem ist. Die Frage ist, ob das Risiko, sie nicht zu haben, tragbar ist.
Drei Fragen, die jeder Verwaltungsrat beantworten können muss
Der Verwaltungsrat muss keine technischen Details kennen. Aber er muss die richtigen Fragen stellen und überprüfbare Antworten verlangen.
- Wissen wir, welche Daten geschäftskritisch sind? Ohne Klassifizierung gibt es keine Kontrolle. Viele Unternehmen diskutieren über Datensouveränität, ohne ihre Daten sauber in Kronjuwelen, hochsensible Personendaten, regulatorisch relevante Daten und unkritische Daten eingeteilt zu haben. Kennt der Verwaltungsrat diese Klassifizierung nicht, ist das Unternehmen strukturell exponiert.
- Ist die Kontrolle technisch durchgesetzt, oder nur vertraglich behauptet? Verträge und Rechtsgrundlagen zählen. Sie ersetzen aber keine technische Durchsetzung. Verträge und Gesetze können Zugriff untersagen, sie verhindern ihn nicht automatisch. In einer Krise zählt, ob der Zugriff technisch begrenzt ist, durch Key-Hoheit, Rollen- und Berechtigungskonzepte, Logging, Funktionstrennung und klare technische Grenzen.
- Sind wir anbieterfähig, oder anbieterabhängig? Anbieterfähigkeit heisst, das Unternehmen kann den Anbieter wechseln, ohne dass das Geschäft zusammenbricht. Anbieterabhängigkeit heisst, Migrationskosten, Zeit und operationelles Risiko sind so hoch, dass ein Wechsel praktisch unmöglich wird. Das ist kein Cloud-Detail. Das ist strategische Beweglichkeit.
Ein pragmatisches Modell statt Ideologie
Nicht jedes System braucht denselben Schutzgrad. Datensouveränität ist keine «alles selbst betreiben»-Strategie. Sie ist ein risikobasiertes Betriebsmodell.
- Kronjuwelen unter direkter Kontrolle. Geschäftskritische Daten, geistiges Eigentum und hochsensible Daten verlangen maximale technische Durchsetzung: Key-Hoheit, starke Isolation, restriktive Zugriffsmodelle und nachvollziehbare Zugriffsketten. Für diese Kategorie ist «wir vertrauen dem Anbieter» keine Kontrolle. Es ist ein Risiko.
- Regulierte Daten und Prozesse: extern ist möglich, aber nur unter Bedingungen. Auslagerung ist oft machbar, aber nicht automatisch. Voraussetzungen sind nachweisbare Kontrollen, transparente Subunternehmer (etwa Drittanbieter) und Lieferketten, getestete Vorfallprozesse, getestete Exit-Optionen sowie klare Datenflüsse einschliesslich Backups, Logs und Metadaten.
- Unkritische Workloads: pragmatisch auslagern. Für viele Prozesse ist die Cloud wirtschaftlich und sinnvoll. Mindeststandards gelten trotzdem: Identitäts- und Zugriffsmanagement, Logging, Patch-Management, klare Verträge und klare Zuständigkeiten.
Zur Klarstellung: Das Ziel ist nicht «cloudfrei», und das ist in vielen Fällen schlicht nicht möglich. Das Ziel ist kontrolliert.
Der häufigste Fehler: die Governance-Lücke
Das Hauptproblem ist selten fehlende Technologie. Es ist fehlende Governance. Typische Symptome sind fehlende Datenklassifizierung und fehlende klare Verantwortung, keine systematische Übersicht über Subunternehmer, keine getesteten Exit-Szenarien, keine technische Durchsetzung der vertraglichen Logik und kein Reporting, das den Verwaltungsrat tatsächlich steuern lässt.
Fazit
Datensouveränität ist eine Aufgabe des Verwaltungsrats, kein IT-Projekt.
Der Entscheid, Daten von Virginia nach Frankfurt zu verschieben, kann bestimmte Risiken senken. Souveränität schafft er nicht. Souveränität verlangt, dass Kontrolle technisch durchgesetzt, organisatorisch verankert und strategisch geführt wird. Diese Kombination entsteht nicht aus einem Anbietervertrag. Sie verlangt einen bewussten Architekturentscheid und aktive Aufsicht durch den Verwaltungsrat.
Drei Dinge sollte der Verwaltungsrat nach der Lektüre von der Geschäftsleitung verlangen:
- Eine Datenklassifizierung einfordern, die Kronjuwelen von Commodity-Daten unterscheidet. Existiert diese Klassifizierung nicht, ist sie die erste Governance-Lücke, die zu schliessen ist.
- Nachweis technischer Kontrolle verlangen, keine vertragliche Zusicherung. Die Frage ist nicht, was der Anbieter zugesagt hat. Die Frage ist, was das Unternehmen unabhängig durchsetzen kann.
- Anbieterunabhängigkeit auf die Risikoagenda setzen. Die Fähigkeit, den Anbieter ohne operativen Zusammenbruch zu wechseln, ist ein Mass für strategische Beweglichkeit. Wurde diese Fähigkeit nie getestet, ist davon auszugehen, dass sie nicht besteht.
Technik und die Aufgaben rund um Technik lassen sich delegieren. Die Verantwortung nicht. Ein Verwaltungsrat, der Datensouveränität als technisches Thema behandelt, hat damit bereits eine Governance-Entscheidung getroffen. Aus meiner Sicht die falsche. Geht etwas schief, und in diesem Bereich ist das eine Frage des Wann, nicht des Ob, richtet sich die Frage nicht an die IT-Abteilung oder den Outsourcing-Partner. Sie richtet sich an den Verwaltungsrat.