Datensouveränität hat zwei Dimensionen
Wird Datensouveränität auf die Beschaffung verengt, auf die Wahl des Anbieters und des Standorts, verfehlt die Debatte den Kern. Eine nationale Cloud auf Schweizer Boden klingt zwar nach Souveränität, sie beantwortet aber nur eine von zwei Fragen. Wer nur den passenden Standort gewählt hat, ist deshalb noch nicht souverän. Souverän ist, wer zugleich kontrolliert, wer die eigenen kritischsten Daten technisch lesen kann. Beides gehört zusammen, und beides ist eine Führungsfrage, nicht eine IT-Frage.
Warum diese Frage zur Geschäftsleitung und zum Verwaltungsrat gehört
Technik und die Aufgaben rund um Technik lassen sich auslagern. Die Verantwortung dafür nicht, denn die Oberaufsicht des Verwaltungsrats gehört nach Art. 716a Abs. 1 Ziff. 1 OR zu den unübertragbaren Aufgaben. Wer sie innehat, kann ihre sorgfältige Wahrnehmung nicht an einen Dienstleister abtreten. Ein Outsourcingvertrag verschiebt die Ausführung, nicht die Verantwortung. In regulierten Umgebungen ist die Konzentration auf wenige Anbieter zudem längst als eigenständiges Risiko anerkannt, nicht als technisches Detail.
In über hundert Transformationsprojekten habe ich dieses Muster immer wieder gesehen: Die Delegation der Aufgabe wird stillschweigend als Delegation der Verantwortung missverstanden. Das trägt bis zum ersten ernsten Vorfall. Dann richtet sich die Frage nicht an den Dienstleister. Sie richtet sich an die Geschäftsleitung und den Verwaltungsrat.
Datensouveränität hat zwei Dimensionen
Die erste Dimension ist der Standort, und damit die Jurisdiktion. Sie beantwortet, welches Recht auf die Daten und auf den Betreiber zugreift. Ein Betreiber, der einer ausländischen Rechtsordnung untersteht, kann dort zur Herausgabe verpflichtet werden, unabhängig davon, wo die Daten physisch liegen. Und unter dem Deckmantel der nationalen Sicherheit kann schon mal das Recht gebogen werden, wie historisch gut dokumentiert. Eine nationale Cloud mit Schweizer Betreiber und Schweizer Recht adressiert genau diese Dimension. Das ist real und für regulatorisch heikle Daten oft entscheidend.
Die zweite Dimension ist die technische Kontrolle, und sie entscheidet sich an den kryptografischen Keys. Hält die Organisation die Keys selbst, hat der Betreiber der Systeme keinen direkten Zugriff auf die unverschlüsselten Daten. Hat sie die Keys übergeben, hat der Betreiber direkten Zugriff auf die Daten. Der Standort ändert daran nichts.
Der verbreitete Fehler ist, eine Dimension für das Ganze zu nehmen. Eine nationale Cloud, deren Betreiber die Keys hält, ist juristisch geschützt, aber die Daten sind dennoch nicht sicher. Umgekehrt verschiebt das Halten eigener Keys nicht die Jurisdiktion, der der Betreiber untersteht. Für die wirklich kritischen Daten ist deshalb beides nötig:
«Die Daten liegen ja in der Schweiz» ist so wenig ein Sicherheitskonzept wie «wir vertrauen dem Anbieter». Beides sind Risikopositionen, keine Kontrolle.
Was Geschäftsleitung und Verwaltungsrat konkret verlangen müssen
Vier Entscheide trennen ein Gremium, das Souveränität besitzt, von einem, das nur darüber spricht.
- Die eigenen Daten kennen. Ohne Klassifizierung gibt es keine Kontrolle. Solange nicht entschieden ist, welche Daten Kronjuwelen sind, welche regulatorisch heikel und welche unkritisch, wird über Souveränität ohne Gegenstand diskutiert. Diese Einteilung ist keine IT-Aufgabe. Sie ist eine Führungsentscheidung darüber, was überhaupt geschützt werden muss.
- Den Standort bewusst wählen. On-Premises, nationale Cloud und globaler Hyperscaler sind kein Entweder-oder. Sie bilden ein Spektrum aus Kontrolle, Leistungsfähigkeit und Kosten. Der eigene Perimeter ist die einzige Konfiguration, in der Standort und Zugriff vollständig in eigener Hand liegen. Das spricht nicht für «alles On-Prem». Es spricht dafür, die Kronjuwelen anders zu behandeln als den Rest. Für regulatorisch heikle Daten kann eine nationale Cloud der richtige Mittelweg sein, für unkritische Prozesse der Hyperscaler die wirtschaftliche Wahl. Entscheidend ist, dass diese Zuordnung bewusst getroffen wird und nicht aus Bequemlichkeit entsteht.
- Die Key-Hoheit klären. Eine einzige Frage trennt Kontrolle von Illusion: Halten wir die Keys zu unseren kritischsten Daten selbst, oder haben wir sie dem Betreiber überlassen. Wer die Antwort nicht kennt, hat die Frage nie gestellt. Und wer sie stellt, verlangt einen Nachweis, keine Zusicherung. Aus meiner Sicht ist vertraglich verbotener Zugriff nicht dasselbe wie technisch ausgeschlossener Zugriff. Wo ausgelagert wird, kann Technik den Betreiber ausschliessen, doch auch dann gilt: prüfen, nicht den Sicherheitsversprechen der Hersteller glauben.
Den potenziellen Exit beim Projektstart planen
Eine Exit-Strategie, die erst beim Wechselbedarf entsteht, ist keine. Die Wechselfähigkeit entscheidet sich beim Aufbau, nicht beim Ausstieg: in der Architektur, in offenen Datenformaten, in der Frage, ob Daten und kryptografische Keys jederzeit vollständig und in nutzbarer Form zurückgeholt werden können. Wer das nicht zur Bedingung des Projekts macht, kauft die Abhängigkeit von Anfang an mit ein. Anbieterbindung ist deshalb kein Beschaffungsdetail. Sie ist eine Frage der strategischen Beweglichkeit, und sie gehört in den Projektauftrag, nicht in die spätere Schadensbegrenzung. Ein Wechsel, der nie geplant und nie getestet wurde, sollte als nicht möglich gelten. Das gilt besonders für proprietäre, geschlossene Lösungen, deren Komplexität die Abhängigkeit vergrössert und den Ausstieg verteuert.
Über diesen Entscheiden steht eine Bringschuld an den Verwaltungsrat: eine Berichterstattung, die ihn tatsächlich steuern lässt. Er braucht keine technischen Details. Er braucht die Gewissheit, dass Kontrolle über Standort und Zugriff durchgesetzt und nicht nur zugesichert ist.
Worauf es am Ende ankommt
Das Ziel ist nicht «keine Cloud». Für viele Prozesse ist ausgelagerte Verarbeitung wirtschaftlich und richtig. Das Ziel ist Kontrolle über Standort und Zugriff dort, wo der Verlust nicht tragbar wäre. Diese Linie zu ziehen ist eine Führungsaufgabe, kein Projekt der IT-Abteilung.
Ein Verwaltungsrat, der Datensouveränität als technisches Thema behandelt, hat damit bereits eine Entscheidung getroffen. Nach meiner Überzeugung die falsche. Wenn etwas schiefgeht, soll die Antwort ein Entscheid sein, den das Gremium bewusst gefällt hat. Und nicht einer, von dem es nie wusste, dass es ihn an einen Standort oder einen Vertrag delegiert hatte.