6 Einleitung Ihre Daten existieren nicht im luftleeren Raum. Sobald sie eine Grenze überschreiten – physisch oder logisch –, gelangen sie in eine andere Rechtsordnung. Mit anderen Regeln dazu, wer darauf zugreifen darf, wie lange Sie sie aufbewahren müssen und was passiert, wenn eine Regierung anklopft. Für Unternehmen, die in mehreren Regionen tätig sind, ist Datensouveränität kein bloßes Compliance-Häkchen mehr. Sie ist eine zentrale Infrastrukturentscheidung, die Speicherarchitektur, Anbieterauswahl, Backup-Strategie und Disaster-Recovery-Planung betrifft. Dieser Leitfaden behandelt die wichtigsten Best Practices für Datensouveränität für IT- und Datenschutzteams – praktische Schritte, die Sie umsetzen können, nicht nur Grundsätze auf dem Papier. Was ist Datensouveränität (und warum wird sie schwieriger)? Datensouveränität bezeichnet den Grundsatz, dass Daten den Gesetzen des Landes unterliegen, in dem sie gespeichert oder verarbeitet werden. Sie ist verwandt mit, aber verschieden von Datenresidenz (wo Daten physisch liegen) und Datenschutz (wie Daten geschützt werden). Die Herausforderung: Moderne Unternehmensinfrastruktur ist von Natur aus verteilt. Daten werden über Verfügbarkeitszonen repliziert, bei Cloud-Anbietern gesichert, an Edge-Standorten zwischengespeichert und von SaaS-Plattformen Dritter verarbeitet. Jeder dieser Schritte ist ein potenzielles Souveränitätsereignis. Zu den Vorschriften, die Datensouveränität betrieblich komplex machen, gehören: DSGVO (EU): Beschränkt die Übermittlung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums ohne angemessene Schutzmaßnahmen NIS2 (EU): Verschärft die Sicherheits- und Meldepflichten für Betreiber kritischer Infrastrukturen DORA (EU-Finanzdienstleistungen): Schreibt operative Resilienz und Datenlokalisierung für Finanzunternehmen vor CJIS (USA): Verlangt, dass Daten der Strafjustiz unter strengen Zugriffskontrollen in US-Hoheitsgebiet verbleiben PDPL in Saudi-Arabien und PDPL in den VAE: Neue Vorschriften in der Golfregion mit ausdrücklichen Anforderungen zur Datenlokalisierung DPDP Act in Indien: Beschränkt grenzüberschreitende Datenübermittlungen und schreibt für sensible Datenkategorien eine Lokalisierung vor Ist Ihr Unternehmen in mehreren dieser Regionen tätig – USA, Großbritannien, DACH, Nordeuropa, Golfregion, Südostasien –, unterliegen Sie wahrscheinlich mehreren dieser Vorschriften gleichzeitig. 1. Daten erfassen, bevor Sie sie kontrollieren können Souveränität lässt sich nicht für Daten durchsetzen, deren Speicherort Sie nicht kennen. Die erste Best Practice ist eine umfassende Datenlandkarte, die folgende Fragen beantwortet: Welche Datenkategorien halten wir vor (personenbezogen, finanziell, gesundheitsbezogen, operativ)? Wo wird jede Kategorie gespeichert, verarbeitet und gesichert? Welche Rechtsordnungen berührt jeder Datensatz? Wer – intern und extern – hat Zugriff darauf? Das ist keine einmalige Übung. Datenlandkarten müssen lebende Dokumente sein, die aktualisiert werden, wenn Sie neue Anwendungen bereitstellen, Workloads migrieren oder neue Anbieter einbinden. Für Teams, die Speicherinfrastruktur betreuen, heißt das: Object-Storage-Buckets, NAS-Volumes und Backup-Repositories nach Datenklassifizierung und Geografie kennzeichnen. Metadatenmanagement wird so zum Werkzeug für Souveränität, nicht nur für den Betrieb. 2. Souveränitätsdomänen auf Infrastrukturebene trennen Logische Trennung reicht nicht aus. Echte Durchsetzung von Souveränität erfordert eine physische oder infrastrukturseitige Trennung der Daten nach Rechtsordnung. Bewährte Verfahren sind hier: Dedizierte Speichercluster pro Region. Verlassen Sie sich nicht auf eine einzige globale Speicherplattform in der Annahme, dass Zugriffskontrollen die Souveränität schon sicherstellen. Betreiben Sie in jeder regulierten Region separate Object-Storage-Cluster, ohne regionsübergreifende Replikation souveräner Daten – es sei denn, sie ist ausdrücklich erforderlich und zulässig. Air-Gap-Backup-Kopien für regulierte Daten. Halten Sie für die sensibelsten regulierten Workloads – Behörden, Finanzdienstleistungen, Gesundheitswesen – Backup-Kopien vor, die physisch isoliert und von außerhalb der Rechtsordnung nicht erreichbar sind. Unveränderlicher Object Storage mit S3 Object Lock wird hier häufig eingesetzt. Getrenntes Schlüsselmanagement pro Rechtsordnung. Verschlüsselung ist nur so souverän wie die Schlüssel. Werden Ihre Schlüssel von einem US-Cloud-Anbieter verwaltet, kann ein US-Gerichtsbeschluss den Zugriff erzwingen – unabhängig davon, wo die Daten physisch liegen. Nutzen Sie ein Schlüsselmanagement innerhalb der jeweiligen Rechtsordnung oder Hardware-Sicherheitsmodule (HSMs) in der regulierten Region. 3. Cloud- und Anbieter-Lieferkette prüfen Eines der häufigsten Souveränitätsversäumnisse ist keine Fehlkonfiguration, sondern eine Anbieterbeziehung, die nicht gründlich genug geprüft wurde. Wenn Sie Cloud-Anbieter, Hersteller von Backup-Software und Managed Service Provider bewerten, fragen Sie: Unter welcher Rechtsordnung ist der Anbieter gegründet? Wo befinden sich seine Support- und Betriebsteams – und haben diese Zugriff auf Ihre Daten? Welche Zugriffsersuchen von Behörden hat er erhalten, und wie geht er damit um? Kann er die Einhaltung relevanter Rahmenwerke nachweisen (ISO 27001, CSA STAR, FedRAMP, SecNumCloud)? Insbesondere für europäische Unternehmen machen die Aufhebung des Privacy Shield und die anhaltende Prüfung US-amerikanischer Hyperscaler dies zu einem realen Risiko – nicht zu einem theoretischen. Die französische SecNumCloud-Zertifizierung etwa untersagt Nicht-EU-Unternehmen ausdrücklich den Zugriff auf zertifizierte Infrastruktur. On-Premises- oder souveräne Cloud-Anbieter – darunter Neoclouds, die innerhalb bestimmter Rechtsordnungen arbeiten – werden zunehmend gezielt gewählt, um diese Souveränitätsrisiken in der Lieferkette zu vermeiden. 4. Kontrollen zur Datenresidenz in der Backup-Architektur umsetzen Bei Backup und Disaster Recovery brechen Souveränitätsrichtlinien am häufigsten. Unter dem Druck, RTO- und RPO-Ziele zu erreichen, replizieren Teams Daten dorthin, wo Wiederherstellungsinfrastruktur verfügbar ist – und das kann bedeuten, Grenzen zu überschreiten. So wahren Sie die Souveränität in Ihrer Backup-Architektur: Residenzrichtlinien auf Ebene der Backup-Richtlinien festlegen. Ihre Backup-Software sollte es ermöglichen festzulegen, dass bestimmte Workloads nur auf Ziele innerhalb einer definierten geografischen Grenze gesichert werden dürfen. Setzen Sie das in den Richtlinien durch, nicht nur in der Praxis. Geografisch begrenzten Object Storage als Backup-Ziel nutzen. S3-kompatibler Object Storage, der in einem bestimmten Land oder einer bestimmten Region bereitgestellt wird – On-Premises oder in einer souveränen Cloud –, bietet Ihnen ein konformes Backup-Ziel ohne Abhängigkeit von der Geografie der Hyperscaler. Wiederherstellung innerhalb der Rechtsordnung testen. DR-Tests, bei denen Workloads in Cloud-Regionen außerhalb der Rechtsordnung hochgefahren werden, können technisch gegen Souveränitätsanforderungen verstoßen, selbst wenn Produktionsdaten diese nie verlassen. Testen Sie innerhalb Ihrer Souveränitätsgrenze. Den Datenpfad dokumentieren. In regulierten Branchen fragen Prüfer nicht nur, wo Daten gespeichert sind, sondern auch, welchen Weg sie bei Backup, Replikation und Wiederherstellung nehmen. Kennen Sie Ihren vollständigen Datenpfad. 5. Klare Richtlinien für Aufbewahrung und Löschung festlegen Bei Souveränität geht es nicht nur darum, wo Daten liegen, sondern auch darum, wie lange sie existieren und was nach Ablauf der Aufbewahrungsfristen geschieht. Das Recht auf Löschung nach DSGVO in Verbindung mit branchenspezifischen Aufbewahrungspflichten (Finanzunterlagen nach MiFID II, Gesundheitsdaten nach HIPAA oder lokalen Entsprechungen) bedeutet, dass Sie ein Aufbewahrungs-Framework brauchen, das sich auf der Speicherebene durchsetzen lässt. Bewährte Verfahren sind: Objekt-Lifecycle-Richtlinien einführen, die Daten nach Ablauf der Aufbewahrungsfrist automatisch löschen oder archivieren WORM-Speicher (Write Once, Read Many) für Aufzeichnungen nutzen, die aufbewahrt werden müssen und nicht verändert werden dürfen – das erfüllt sowohl Anforderungen an die Unveränderlichkeit als auch regulatorische Aufbewahrungspflichten Ein Audit-Log aller Löschvorgänge führen, einschließlich der Angabe, wer die Löschung wann veranlasst hat Sicherstellen, dass Backup-Kopien in die Aufbewahrungs- und Löschrichtlinien einbezogen sind – ein gelöschter Produktionsdatensatz, der in einer unkontrollierten Backup-Kopie fortbesteht, bleibt ein Compliance-Risiko 6. Auf Zugriffsersuchen von Behörden vorbereiten Die Governance der Datensouveränität muss ein festgelegtes Verfahren für den Umgang mit behördlichen Zugriffsersuchen umfassen – von der eigenen Regierung wie von ausländischen Rechtsordnungen. Das bedeutet: Die rechtlichen Pflichten in jeder Rechtsordnung kennen. Manche Länder verlangen, dass Sie Daten an Behörden herausgeben, ohne die betroffene Person zu informieren. Andere verbieten die Herausgabe von Daten an ausländische Regierungen ohne Beschluss eines lokalen Gerichts. Einen lokalen Datenschutzbeauftragten oder rechtlichen Vertreter benennen – in jeder Rechtsordnung, in der dies erforderlich ist (die DSGVO schreibt dies für Nicht-EU-Organisationen vor, die Daten von EU-Bürgern in großem Umfang verarbeiten). Alle Zugriffe auf souveräne Daten protokollieren. Audit-Trails sind sowohl rechtlicher Schutz als auch betriebliche Notwendigkeit. Wird außerhalb normaler Muster auf Daten zugegriffen – auch durch privilegierte interne Benutzer –, müssen Sie das wissen. Einen Eskalationspfad festlegen. Wenn ein Ersuchen eingeht, sollte Ihr IT-Team keine rechtlichen Entscheidungen unter Zeitdruck treffen. Legen Sie ein Eskalationsverfahren fest, das die Rechtsberatung einbezieht, bevor Daten herausgegeben werden. 7. Souveränität als fortlaufendes Programm behandeln, nicht als Projekt Compliance bei der Datensouveränität ist kein Vorhaben, das man abschließt und zu den Akten legt. Vorschriften entwickeln sich weiter, Ihre Infrastruktur verändert sich, und ständig kommen neue Datenkategorien hinzu. Verankern Sie Souveränität in Ihren betrieblichen Routinen: Vierteljährlicher Abgleich der Datenlandkarten mit der aktuellen Speichertopologie Jährliche Risikobewertungen der Anbieter mit Souveränitätskriterien Kontinuierliche Beobachtung regulatorischer Änderungen in Ihren Tätigkeitsregionen Einbindung der Souveränitätsanforderungen in das Change Management – jeder neue Workload, jeder neue Anbieter und jede neue Region sollte eine Souveränitätsprüfung auslösen Unternehmen, die Souveränität als Infrastruktur behandeln – nicht nur als Compliance-Thema –, sind besser aufgestellt, um bei Änderungen der Vorschriften schnell zu reagieren, neue Märkte zu erschließen oder Audits ohne Hektik zu bestehen. Wie Object Storage die Datensouveränität unterstützt Moderner S3-kompatibler Object Storage wird zunehmend als Grundlage souveräner Dateninfrastruktur eingesetzt, weil er Unternehmen direkte Kontrolle darüber gibt, wo Daten liegen, wie sie verschlüsselt sind und wer darauf zugreifen kann. Zu den wichtigsten Funktionen, die Souveränitätsanforderungen unterstützen, gehören: Geografisch begrenzte Bereitstellung: Object-Storage-Cluster lassen sich On-Premises oder in souveränen Cloud-Umgebungen innerhalb einer bestimmten Rechtsordnung bereitstellen – ohne Abhängigkeit von der Infrastruktur der Hyperscaler S3 Object Lock / WORM: Erzwingt Unveränderlichkeit für regulatorische Aufbewahrungsanforderungen Verschlüsselung mit lokalem Schlüsselmanagement: Im Ruhezustand verschlüsselte Daten mit Schlüsseln, die die Rechtsordnung nie verlassen Richtlinien auf Bucket-Ebene und IAM: Feingranulare Zugriffskontrollen, die Zugriffsbeschränkungen nach Rechtsordnung durchsetzen können Audit-Logging: Lückenlose Aufzeichnung aller Zugriffsereignisse für das Compliance-Reporting Für Unternehmen mit Betrieb in mehreren Regionen ermöglicht Object Storage mit einer einheitlichen S3-kompatiblen API ein einziges Betriebsmodell über souveräne Bereitstellungen in verschiedenen Regionen hinweg – ohne Abstriche bei der Isolation, die Souveränität erfordert. Zusammenfassung: Checkliste mit Best Practices für Datensouveränität Alle Daten nach Kategorie, Speicherort und Rechtsordnung erfassen Speicherinfrastruktur nach Souveränitätsdomäne trennen Verschlüsselungsschlüssel innerhalb jeder Rechtsordnung verwalten Anbieter- und Cloud-Lieferketten auf Souveränitätsrisiken prüfen Datenresidenz in Backup- und DR-Richtlinien durchsetzen Aufbewahrung und Löschung auf der Speicherebene umsetzen und automatisieren Ein festgelegtes Verfahren für behördliche Zugriffsersuchen vorbereiten Souveränitätsprüfungen in laufende Betriebs- und Change-Management-Prozesse einbinden Weiterführende Artikel Datensouveränität vs. Datenresidenz: die wichtigsten Unterschiede DSGVO-Anforderungen an die Datenspeicherung für IT- und Speicherteams Was ist NIS2? Die EU-Cybersicherheitsrichtlinie erklärt Digital Operational Resilience Act (DORA) erklärt S3 Object Lock: Unveränderlichkeit und WORM
