IT Wissen
Souveräne EU-Cloud: Was die großen Anbieter garantieren und was Sie selbst prüfen müssen
Ein EU-Rechenzentrum ist keine Datenhoheit. Was EU-Regionen, EU Data Boundary und Vertragklauseln leisten und wo die Lücken bleiben.
Zusammenfassung
- Eine EU-Region beschreibt den Speicherort, nicht automatisch alle Zugriffswege.
- Prüfen Sie Anbieterzusagen, Supportabläufe und Schlüsselverwaltung.
- Datenverarbeitung und verfügbare Kontrollen hängen vom konkreten Dienst ab.
- Verschlüsselung kann ein Baustein eines passenden Schutzkonzepts sein.
Ein EU-Rechenzentrum ist keine Datenhoheit. Der Standort des Servers sagt nichts darüber, wer den Schlüssel hält, wessen Recht im Streitfall gilt und wer im Support auf Ihre Daten schauen kann. Die großen Anbieter wissen das und verkaufen trotzdem gern die Flagge. Hier steht, was ihre Zusagen wert sind und welche Hebel Ihnen tatsächlich bleiben.
Was EU-Regionen und Data Boundary leisten
EU-Regionen und Datenabgrenzungen beschreiben, wo bestimmte Daten gespeichert oder verarbeitet werden. Welche Daten, Dienste und Abläufe umfasst sind, hängt von der konkreten Anbieterzusage ab.
Support, Telemetrie, Metadaten, Zugriffsrechte und geltende Regeln sind zusätzliche Fragen, die sich nicht allein aus dem Speicherort beantworten lassen. Prüfen Sie dafür aktuelle Produktinformationen und Vertragsbedingungen. Bei wichtigen Daten kann es sinnvoll sein, technische Kontrollen und fachkundige Beratung einzubeziehen.
Die Hebel, die Ihnen bleiben
Erster Hebel: Schlüssel. Verschlüsseln Sie sensible Ablagen mit eigenen Schlüsseln, verwaltet in Ihrem Schlüsseldienst oder HSM, für das Hochsensible Ende-zu-Ende vor dem Upload. Der Anbieter speichert dann, ohne lesen zu können. Zweiter Hebel: Verträge. Auftragsverarbeitung, Subunternehmerkette, Transferkarte und Supportregeln gehören geprüft in den Ordner, nicht in die Fußzeile des Angebots.
Dritter Hebel: Datenklassen. Nicht jede Ablage braucht Maximalsouveränität. Ordnen Sie Ihre Daten nach Sensibilität und entscheiden Sie je Klasse: Big-Player-Cloud mit eigenen Schlüsseln, europäischer Betriebsspeicher, oder eigenes System im österreichischen Rechenzentrum. Pauschalantworten in beide Richtungen sind Marketing, keine Architektur.
Souveränität ist stapelbar
Die realistische Antwort für KMU ist kein religiöser Ausstieg aus allen US-Diensten, sondern ein Stack: Mail und Zusammenarbeit dort, wo sie gut funktionieren, mit härteren Regeln und eigenen Schlüsseln. Sensible Ablagen und Backups in EU-Betrieb unter eigener Kontrolle. Und ein dokumentierter Plan, wie der Stack aussieht, wenn ein Abkommen fällt. Wer diesen Plan hat, schläft besser als jeder Zertifikatsordner es verspricht.
Konkrete nächste Schritte
- Datenklassen mit Souveränitätsanforderung definieren.
- EU-Regionen und Data-Boundary-Zusagen der Anbieter dokumentieren.
- Eigene Schlüssel für sensible Klassen einrichten.
- Verträge: Auftragsverarbeitung, Subunternehmer, Supportregeln prüfen.
- Den Fall Abkommen fällt einmal durchspielen.
vetosec positioniert genau diesen Stack: Microsoft-365-Betrieb gehärtet und begrenzt, Ablagen und Backups souverän in österreichischen Rechenzentren, Schlüssel in Ihrer Hand. Wenn Sie wissen wollen, welche Ihrer Datenklassen heute wo liegen, kontaktieren Sie uns. Das Erstgespräch ist ehrlich, konkret und frei von Flaggen-Marketing.
Häufige Fragen
Was sollte ich bei EU-Cloud-Angeboten prüfen?
Prüfen Sie, welche Daten und Dienste von einer Standortzusage umfasst sind, wie Support und Zugriffe geregelt sind und welche Schlüssel- und Exportmöglichkeiten bestehen. Die Details können je nach Anbieter und Leistung variieren.
Kann ein adequates Abkommen wie das EU-US-Abkommen wieder kippen?
Ja. Privacy Shield wurde 2020 vom EuGH gekippt, nachdem es 2016 als sicher galt. Angemessenheitsentscheidungen sind rechtlich kündbar und gerichtlich prüfbar. Architekturen sollten so gebaut sein, dass sie einen Wechsel überleben.
Sind europäische Anbieter automatisch die bessere Wahl?
Sie lösen das Rechtszugriffsproblem eleganter, aber Automatik ist es keine. Auch ein EU-Anbieter braucht Härtung, geprüfte Verträge, eigene Schlüssel für sensible Daten und einen getesteten Restore. Souveränität ist die Summe der Kontrollen, nicht die Staatsangehörigkeit des Anbieters.
