Souveräne Cloud einfach erklärt: Kontrolle, Sicherheit und Vertrauen in der digitalen Welt

Durch die drei Bausteine Monitoring, Logging und Tracing können Systeme übergreifend beobachtet werden. Alle Betriebs- und Sicherheitsdaten laufen dabei an einer Stelle zusammen. So können Sie nicht nur technische Aspekte überwachen, sondern auch sicherheitsrelevante Ereignisse sowie mögliche Compliance- und Datenschutzverstöße frühzeitig erkennen.

SIEM (Security Information and Event Management) sammelt sowie korreliert Sicherheitslogs, um auffällige Muster zu erkennen. Ein SOC (Security Operations Center) nutzt diese Informationen für die Überwachung und reagiert im Ernstfall nach festgelegten Prozessen.

Hardwarebasierte Verschlüsselung der Compute-Umgebung. Zum Beispiel über eine vertrauenswürdige Laufzeitumgebung (Trusted Execution Environment, kurz: TEE) wie Intel SGX oder AMD SEV. Viele Cloud-Provider stellen dafür bereits Kubernetes oder andere Laufzeitumgebungen in einem solchen Environment als PaaS-Service zur Verfügung.

Zum Beispiel CNCF-Stack, um Workloads zwischen Clouds flexibler zu gestalten und Abhängigkeiten von Anbietern (sogenannte Vendor-Lock-ins) zu reduzieren.

Containerisierte Anwendungen werden mit Hilfe der Open-Source-Plattform Kubernetes automatisiert bereitgestellt, skaliert und überwacht. Wenn Sie Workloads auf Kubernetes aufsetzen, müssen Sie das Kubernetes an sich meist nicht selbst aufsetzen: Viele Cloud-Anbieter stellen dieses als PaaS bereit. Gleichzeitig schaffen Sie damit eine einheitliche Basis, die den Wechsel zu einem anderen Provider deutlich einfacher macht.

Ein Multi-Tenant-fähiges Identity and Access Management (IAM) ist die zentrale Instanz für Identitäten und Berechtigungen. Es trennt Zugriffe sauber zwischen verschiedenen Teams, Abteilungen oder Kunden und macht nachvollziehbar, wer (oder was) worauf zugreifen darf, bzw. nicht darf. Grundprinzip ist dabei „deny by default“: Zugriffe sind zunächst nicht erlaubt und werden nur dann freigegeben, wenn ein explizites Recht vergeben wurde. Das erfolgt typischerweise über eine rollenbasierte Zugriffskontrolle (RBAC) oder attributbasierte Zugriffskontrolle (ABAC).

Zentrale, effiziente Verwaltung von digitalen Benutzeridentitäten und Zugriffsrechten über die gesamte Organisation hinweg. Das schafft nicht nur Transparenz darüber, wer welche Rechte hat, sondern ermöglicht schnelle, kontrollierte Änderungen, etwa bei Rollenwechseln oder Offboarding.

Autorisierte Benutzer greifen mit denselben Anmeldedaten auf verschiedene Apps und Systeme zu, auch über Organisationsgrenzen hinweg. Dadurch erhalten Sie mehr Kontrolle und somit mehr Souveränität, da Sie Identitäten zentral steuern und Zugriffe übergreifend entziehen können. Gleichzeitig sinkt der Administrationsaufwand. Umgesetzt wird dies über Standards wie SAML, OIDC und OAuth2.

Zugriffe werden bei jeder Anfrage geprüft, unabhängig davon, ob sie aus dem internen Netz oder von außen kommen.

Einheitlich definierte Vorgaben für Zugriffe, Verschlüsselungen, Netzwerke und Workloads. Idealerweise werden diese Policies automatisiert ausgerollt und durchgesetzt, zum Beispiel über Policy-Engines wie OPA Gatekeeper oder Kyverno. Provider-spezifische Landing Zones liefern dafür oft vordefinierte Policies, die als Template dienen und erweitert werden können. Das ist besonders wichtig, wenn die Anzahl der Software in der Cloud wächst. Neue Umgebungen können sich so immer nur im Rahmen der Policies bewegen. Ergänzend dazu sorgt eine automatisierte Konfigurationsüberwachung für eine kontinuierliche Kontrolle. Dabei werden die Systeme laufend auf Abweichungen von den Sicherheitsstandards geprüft.

Sie verwalten Ihre kryptografischen Schlüssel selbst. Zum Beispiel über kundenseitig verwaltete Schlüssel (Customer Managed Keys, kurz: CMKs) oder das Sicherheitsprinzip Hold Your Own Key (HYOK), bei dem Einzelpersonen oder Organisationen die Kontrolle über ihre Verschlüsselungsschlüssel behalten. Für besonders hohen Schutz werden Schlüssel in einem Hardware-Sicherheitsmodul (HSM) gespeichert, entweder als eigenes Gerät oder als entsprechender Cloud-Dienst.

Viele Souveränitäts-Anforderungen sind noch nicht als klare Standards festgelegt. Initiativen wie GAIA X, die das Ziel haben, in der EU einen gemeinsamen Rahmen für vernetzte, vertrauenswürdige Daten zu schaffen, sind noch im Aufbau. Anbieter interpretieren Souveränität daher bislang unterschiedlich. Das führt zu Fragmentierung: Anforderungen, Labels und technische Umsetzungen variieren je nach Anbieter, was Vergleiche und Entscheidungen erschwert.

Durch die Nutzung proprietärer APIs, Datenbanken oder Identity-Systeme großer Hyperscaler entstehen Abhängigkeiten. Das heißt, Sie werden so stark an einen Anbieter gebunden, dass ein späterer Wechsel nur mit hohem Aufwand möglich ist. Für mehr Portabilität müssen Anwendungen oft refaktoriert werden. Das bedeutet, Code und Architektur werden gezielt umgebaut, sodass sie mit standardisierten Schnittstellen arbeiten und auch in anderen Cloud Umgebungen laufen können. Das kostet Zeit und Ressourcen.

Schlüsselmanagement und Verschlüsselungskonzepte wie CMK, HYOK oder HSM sind essenziell für eine souveräne Cloud, aber anspruchsvoll im Betrieb. Gleiches gilt für komplexe IAM-Systeme und Berechtigungskonzepte.

Know-how zu Cloud Sicherheit, Kryptographie, DevSecOps und Zero Trust ist knapp. Ohne diese Skills steigt die Gefahr von Fehlkonfigurationen und Projektverzögerungen.

Für eine souveräne Cloud müssen Prozesse und Verantwortlichkeiten häufig grundlegend neu gestaltet werden. Weil das etablierte Abläufe und Zuständigkeiten verändert, stößt die Umsetzung in bestehenden Strukturen oft auf Widerstand.

Auch Rollen, Richtlinien und Verantwortlichkeiten müssen neu definiert werden. Oft ist zunächst unklar, wer die Position des Schlüsselverantwortlichen, Identity Owners oder Policy Owners übernimmt.

Souveräne Lösungen sind häufig teurer als Standardangebote. Bei EU-Providern fehlen häufig PaaS-Services (Platform as a Service: fertige, vom Anbieter betriebene Dienste wie Managed-Datenbanken oder Monitoring). Dadurch muss betriebliches Know-how wieder vermehrt intern aufgebaut oder extern eingekauft werden. Das erhöht Aufwand und laufende Kosten.

Souveräne Clouds bedeuten mehr Flexibilität, aber auch mehr Eigenverantwortung. Damit neue Tools und Betriebsmodelle zuverlässig laufen, braucht es Schulungen, Zertifizierungen und systematischen Kompetenzaufbau. In der Praxis wird das häufig unterschätzt und die Transformation dauert länger als geplant oder Wissen verteilt sich ungleich.

Neben der Technik prägen Gesetze, Vorgaben und Nachweispflichten den Handlungsspielraum. Gleichzeitig können langwierige Verfahren und wechselnde Rahmenbedingungen die Umsetzung der souveränen Cloud ausbremsen.

Lieferketten für Hardware, Chips und Sicherheitskomponenten können durch geopolitische Spannungen beeinflusst werden. Das widerspricht dem Ziel, Abhängigkeiten zu reduzieren.

In der Praxis treffen drei Zielsysteme aufeinander: Der Staat fordert maximale Souveränität und Nachweisbarkeit. Die Wirtschaft möchte Kosten- und Innovationseffizienz, während die Anbieter ihre eigenen Cloud-Plattformen durchsetzen möchten.