Digitale Souveränität: Fünf Nachweise statt eines Standortversprechens

Die Anforderung muss zum Geschäftsprozess passen

Wer einen Cloud-Dienst als souverän bezeichnet, sollte erklären können, welche Entscheidungen der Kunde tatsächlich selbst treffen kann. Kann er Zugriffe begrenzen, einen Dienst weiterbetreiben, seine Daten vollständig exportieren und einen anderen Anbieter beauftragen? Diese Fragen reichen über den Standort eines Rechenzentrums hinaus. Sie betreffen Verträge, technische Architektur und die Fähigkeiten der eigenen Organisation.

Die Europäische Kommission hat im Oktober 2025 ein Cloud Sovereignty Framework für eine konkrete Beschaffung vorgestellt. Es betrachtet acht Ziele, darunter rechtliche und operative Aspekte, technologische Offenheit und die Transparenz von Lieferketten. Das ist ein nützlicher Hinweis auf die Breite des Themas. Es bedeutet nicht, dass damit jeder Cloud-Dienst ein allgemeines Gütesiegel oder jede Organisation dieselben Anforderungen erhalten hätte.

Nachweis eins: Wer kann auf welche Daten zugreifen?

Beginnen Sie mit einer Daten- und Zugriffskarte. Sie sollte die eigentlichen Inhalte, Sicherungen, Betriebsprotokolle und erforderliche Verwaltungsinformationen abdecken. Für jede Gruppe wird festgehalten, wo sie verarbeitet wird und welche Stellen darauf zugreifen können. Auch Unterauftragnehmer und Supportfälle gehören in diese Betrachtung. Die Antwort sollte auf den konkret angebotenen Dienst bezogen sein.

Verschlüsselung ist ein Teil dieser Prüfung. Entscheidend bleibt, wer die Schlüssel verwaltet und unter welchen Bedingungen Daten für Verarbeitung oder Unterstützung entschlüsselt werden. Ein eigener Schlüssel kann zusätzliche Kontrolle ermöglichen; seine bloße Existenz beantwortet aber nicht jede Zugriffsfrage. Lassen Sie den normalen Betrieb, einen Supportfall und den Ausfall des Schlüsseldienstes jeweils nachvollziehbar beschreiben.

Nachweis zwei: Wer hält den Betrieb aufrecht?

Dokumentieren Sie, welche Aufgaben der Anbieter übernimmt und welche beim eigenen Team bleiben. Dazu gehören Änderungen, Fehlerbehebung, Sicherheitsaktualisierungen, Wiederherstellung und die Verwaltung privilegierter Konten. Ein Angebot kann bei der Datenspeicherung gut zu den Anforderungen passen und gleichzeitig auf einen Betriebsdienst angewiesen sein, dessen Ausfall niemand überbrücken kann.

Für besonders wichtige Prozesse empfiehlt sich ein konkretes Störungsszenario. Was geschieht, wenn ein Verwaltungsportal vorübergehend nicht erreichbar ist oder ein Dienstleister nicht mehr unterstützt? Welche Funktionen bleiben nutzbar, welche Eingriffe sind noch möglich und welche Personen können sie ausführen? Die Antworten müssen zur vereinbarten Wiederanlaufzeit passen. Eine umfangreiche Funktionsliste allein ist dafür kein Nachweis.

Nachweis drei: Welche Abhängigkeiten lassen sich ersetzen?

Erfassen Sie die wichtigsten technischen Bindungen: Datenbankfunktionen, Identitätsdienste, Schnittstellen, Formate und Werkzeuge zur Bereitstellung. Nicht jede Spezialisierung ist ein Fehler. Ein besonders leistungsfähiger Dienst kann einen bewussten Nutzen bieten. Sichtbar werden muss jedoch, was bei einem Wechsel neu entwickelt, getestet oder beschafft werden müsste.

Der Europäische Interoperabilitätsrahmen von 2017 richtet sich an digitale öffentliche Dienste und behandelt deren Zusammenwirken. Für Unternehmen lässt sich daraus als redaktionelle Empfehlung ableiten, offene und dokumentierte Schnittstellen früh in die Beschaffung einzubeziehen. Eine Spezifikation allein genügt dabei nicht. Ein kleiner Austauschtest mit repräsentativen Daten zeigt, ob zwei konkrete Systeme den vereinbarten Inhalt tatsächlich gleich verstehen.

Nachweis vier: Der Export muss sich wieder verwenden lassen

Vereinbaren Sie einen Ausstiegstest, bevor ein langjähriger Vertrag beginnt. Ein geeigneter Test umfasst einen begrenzten, repräsentativen Datenbestand und die dazugehörigen Metadaten. Danach wird geprüft, ob der Bestand in einer vorgesehenen Zielumgebung nutzbar ist. Ein heruntergeladenes Archiv ist ein Zwischenschritt; die Wiederverwendung ist der maßgebliche Nachweis.

Erfassen Sie dabei Dauer, notwendige Unterstützung, Aufwand und offene Lücken. Rollen und Berechtigungen, Beziehungen zwischen Datensätzen oder anwendungsspezifische Einstellungen können für den weiteren Betrieb ebenso wichtig sein wie die eigentlichen Dateien. Klären Sie außerdem, wie laufende Änderungen während eines späteren Wechsels behandelt werden und wann die Löschung verbliebener Kopien bestätigt wird.

Nachweis fünf: Die Vertragszusage hat einen überprüfbaren Umfang

Verträge sollten die zugesagten Eigenschaften, betroffenen Dienste, Nachweise und Mitteilungspflichten bei Änderungen konkret benennen. Welche organisatorische Änderung muss der Anbieter melden? Welche Unterlagen kann der Kunde prüfen? Welche Unterstützung ist bei Vertragsende enthalten? Einkauf, Technik und die zuständige Rechtsfunktion sollten hier denselben Leistungsumfang beurteilen.

Bei Bewertungen ist außerdem eine Mindestanforderung pro wichtigem Bereich sinnvoll. Die EU-Kommission erläuterte in einer parlamentarischen Antwort vom 5. Januar 2026, dass im angesprochenen Beschaffungsverfahren Mindestschwellen je Ziel gelten. Gute Ergebnisse in anderen Bereichen sollen unzureichende Leistungen an einer entscheidenden Stelle nicht beliebig ausgleichen. Für die eigene Auswahl lässt sich dieses Prinzip übernehmen, ohne die europäische Bewertungsmethode als allgemeine Pflicht auszugeben.

Eine kleine Prüfung ist besser als ein unbestimmtes Etikett

Wählen Sie für den ersten Durchlauf einen Dienst und legen Sie je Prüfbereich die notwendige Eigenschaft, den vorliegenden Nachweis und eine verantwortliche Person fest. Kennzeichnen Sie offene Annahmen sichtbar. Die Entscheidung kann anschließend zwischen nachgewiesen passend, mit einer befristeten Auflage nutzbar und ungeeignet unterscheiden. Ein Gesamtwert sollte diese Einzelentscheidungen nicht verdecken.

Digitale Handlungsfähigkeit entsteht so aus einem wiederholbaren Beschaffungs- und Betriebsprozess. Auch ein sorgfältig ausgewählter Dienst muss erneut betrachtet werden, wenn sich Produktumfang, Eigentümer, Unterauftragnehmer oder die eigene Nutzung wesentlich ändern. Der Nutzen liegt darin, solche Veränderungen bewerten und darauf reagieren zu können.

• Daten, Schlüssel und privilegierte Zugriffe dienstbezogen dokumentieren.
• Betriebsabhängigkeiten anhand eines konkreten Störungsszenarios prüfen.
• Export und Wiederverwendung mit repräsentativen Daten erproben.
• Unverzichtbare Eigenschaften als einzelne Mindestanforderungen festhalten.