Wie der neue Cloud-Dienst von Thales und Google die digitale Souveränität deutscher Behörden stärkt

Wenn Cloud-Souveränität nur auf dem Papier steht, wird Beschaffung zum Risiko

Wenn eine Behörde Fachverfahren, Protokolle oder Register in eine US-Cloud verlagert, endet das Risiko nicht an der Rechenzentrumsgrenze. Der Cloud Act verpflichtet amerikanische IT-Anbieter im Zweifel zur Herausgabe von Daten an US-Behörden, unabhängig davon, wo die Systeme physisch stehen [1]. Für deutsche Verwaltungen entsteht damit ein Spannungsfeld zwischen Zugriffspflichten nach US-Recht und den Anforderungen der DSGVO [1].

Genau diese Konstellation beeinflusst, welche Fachverfahren überhaupt in eine Cloud-Architektur überführt werden können. Wo Datenzugriff, Schlüsselverwaltung und operative Kontrolle nicht sauber getrennt sind, blockieren oft nicht die Technik, sondern die Rechts- und Governance-Risiken die Beschaffung. Das trifft besonders Verfahren mit personenbezogenen Daten, geheimhaltungsbedürftigen Verwaltungsinformationen oder langen Aufbewahrungsfristen.

Hinzu kommt die strukturelle Abhängigkeit von US-Hyperscalern. In Europa dominieren wenige internationale Anbieter den Markt, während Behörden gleichzeitig skalierbare Plattformen und moderne KI-Funktionen brauchen [1]. Diese Abhängigkeit schafft einen Zielkonflikt: Je stärker eine Organisation auf proprietäre Cloud-Services setzt, desto schwerer fällt später ein Wechsel, wenn regulatorische Vorgaben oder interne Sicherheitsprüfungen enger werden.

Warum Fachverfahren an der Kontrollfrage scheitern

Viele Projekte scheitern nicht an der Infrastruktur, sondern an der Frage, wer im Zweifel auf Daten zugreifen darf und wer den Zugriff technisch verhindert. Für Behörden ist das besonders relevant, wenn Fachverfahren auf zentrale Identitätsdienste, Analysefunktionen oder verwaltungsweite Datenpools zugreifen sollen. Ohne souveräne Kontrollschicht bleibt oft offen, ob der Betreiber, der Cloud-Anbieter oder ein Drittstaat im Ernstfall die Zugriffshoheit bestimmt [1].

Der neue Cloud-Dienst von Thales und Google soll nach Anbieterangaben eine souveräne Cloud-Plattform in Deutschland aufbauen und den Schutz deutscher Daten vor Zugriffen aus dem Ausland unterstützen [1][2]. Ob das im Einzelfall genügt, hängt jedoch von Einzelfallprüfung, Vertragsgestaltung und der tatsächlichen Betriebsarchitektur ab. Für Behörden ist das kein Marketingdetail, sondern eine mögliche Antwort auf die Frage, wie sich Cloud-Nutzung und Datenhoheit organisatorisch zusammenbringen lassen.

Worauf Beschaffungsstellen jetzt schauen müssen

Wer souveräne Cloud-Dienste bewertet, sollte zuerst die Zugriffskette prüfen: Wer kontrolliert den Betrieb, wer kontrolliert Schlüssel und wer kann im Konfliktfall rechtlich anordnen? Erst danach lohnt der Blick auf Features oder Preis. Für die Beschaffung zählt außerdem, ob ein Angebot als Plattform gedacht ist oder nur als Einzellösung für einen begrenzten Anwendungsfall [2].

Die Governance-Architektur des neuen souveränen Cloud-Dienstes

Wenn digitale Souveränität bei einer Behörde nur im Vertrag steht, aber nicht in der Betriebs- und Zugriffsstruktur, bleibt das Risiko bestehen. Thales will für den souveränen Cloud-Betrieb in Deutschland ein neues Unternehmen gründen, das rechtlich und operativ unabhängig von Google Cloud arbeitet [3][1]. Genau diese Trennung ist der Kern der Governance-Architektur. Sie soll verhindern, dass der Plattformanbieter gleichzeitig den direkten Kontrollzugang zur sensiblen Datenverarbeitung behält [1].

Für Behörden ist das mehr als eine Formalie. Ein souveräner Cloud-Dienst muss nicht nur Daten in Deutschland verarbeiten, sondern auch den Zugriff auf diese Daten organisatorisch begrenzen. Das Modell wird als Treuhand- bzw. Schutzkonzept beschrieben, um Datenzugriffe zu strukturieren und deutsche Daten vor Zugriffen aus dem Ausland abzuschirmen [2]. Damit verschiebt sich die Frage von der reinen Standortpolitik hin zur eigentlichen Kontrollfrage: Wer darf was betreiben, wer darf was sehen und wer trägt die Verantwortung im Konfliktfall?

Rechtliche Abschirmung als Kontrollmechanismus

Die rechtliche Abschirmung beginnt mit der Trennung der Betriebseinheit von Google Cloud. Laut Berichterstattung soll die neue deutsche Gesellschaft unter Kontrolle von Thales stehen und operativ von Google Cloud getrennt arbeiten [1]. Für IT-Leiter in Behörden ist das entscheidend, weil damit ein direkter Zugriffspfad des Plattformanbieters auf den Dienst nicht mehr naheliegt. Die Cloud wird dadurch nicht automatisch sicher, aber die Governance setzt an einer Stelle an, an der viele Public-Cloud-Modelle offen bleiben: bei der Zuständigkeit für Betrieb und Kontrolle.

Das Schutzkonzept adressiert genau diese Lücke. Wenn eine Behörde sensible Verfahren auslagert, reicht es nicht, dass Infrastruktur, Plattform und Applikation technisch zusammenspielen. Die rechtliche Entkopplung soll verhindern, dass externe Zugriffsansprüche unmittelbar auf die Behördenumgebung durchschlagen [2]. Für Beschaffungsstellen ist das ein harter Prüfpunkt: Ohne nachvollziehbare Trennung bleibt die Souveränität abhängig von der Mutterstruktur des Anbieters.

Organisationsmodell: Lokale Verantwortlichkeit

Thales übernimmt in diesem Modell die Rolle des lokalen Vertrauenspunkts. Das Unternehmen soll die Schutz- und Sicherheitsarchitektur steuern und damit die operative Verantwortung für den souveränen Betrieb in Deutschland tragen [2]. Für Behörden ist diese lokale Verantwortlichkeit wichtig, weil sie die Gesprächs- und Eskalationswege verkürzt. Wer ein Fachverfahren mit Schutzbedarf betreibt, muss im Zweifel einen eindeutig zuständigen Betreiber adressieren können. Genau dort setzt das Organisationsmodell an.

Die lokale Gesellschaft ist damit nicht nur juristische Hülle, sondern Governance-Instrument. Sie bündelt Zuständigkeiten für Infrastruktur, Zugriffskontrolle und Sicherheitslogik in einem europäischen Verantwortungsrahmen [2]. Für die Praxis bedeutet das: Behörden können vor der Vergabe prüfen, ob operative Entscheidungen, Supportpfade und Freigaben in einer deutschen Struktur verankert sind oder ob sie doch an einen internationalen Plattformkontext zurückfallen. Gerade bei Verfahren mit hohen Schutzanforderungen ist diese Unterscheidung oft ausschlaggebend.

Warum das Modell für Behörden relevant ist

Der Nutzen für Behörden liegt in der Passung zwischen Governance und Verwaltungsrealität. Das Angebot ist auf den deutschen Markt ausgerichtet und soll vor allem dort relevant sein, wo Beschaffungslogiken, Compliance-Vorgaben und Datenzugriffe eng zusammenhängen [2]. Damit wird die souveräne Cloud nicht als allgemeines Cloud-Produkt positioniert, sondern als Struktur für Fälle, in denen Fachverfahren nur dann migriert werden können, wenn Zugriff und Kontrolle sauber getrennt sind.

Für digitale Verwaltungsprojekte ist das praktisch, weil Governance hier nicht nach dem Rollout nachgezogen werden darf. Wenn eine Behörde etwa ein Register, eine Analyseplattform oder einen geschützten Datenraum auslagern will, muss sie vorab klären, ob der Anbieter die organisatorische Unabhängigkeit tatsächlich trägt. Genau deshalb ist die Thales-Google-Konstruktion relevant: Sie liefert eine Architektur, in der deutsche Anforderungen an Kontrolle und Zugriff im Zentrum stehen [2].

Technische Betriebslogik: Wie der Dienst Datenhoheit umsetzt

Wenn eine Cloud Datenhoheit verspricht, entscheidet nicht die Marketingfolie, sondern die Betriebslogik. Laut Berichterstattung läuft die Plattform auf eigener Infrastruktur und wird ausschließlich von Personal der neuen Gesellschaft betrieben [1]. Genau das trennt den Dienst von einem klassischen Public-Cloud-Setup: Die technische Ausführung bleibt in einer Struktur, die Thales kontrolliert, statt direkt im Zugriff des Plattformanbieters zu liegen.

Für Behörden ist diese Trennung relevant, weil Datenhoheit im Alltag an Zugriffspfaden hängt. Wer darf administrative Aktionen ausführen, wer sieht Metadaten, wer steuert Schlüssel oder Freigaben? Das Treuhand- bzw. Schutzmodell zielt darauf, diese Pfade so zu strukturieren, dass Datenzugriffe begrenzt und kontrollierbar bleiben [2]. Digitale Souveränität ist dabei kein Ja-Nein-Merkmal, sondern ein Bündel aus Datenkontrolle, Zugriffsverwaltung und organisatorischer Zuständigkeit [4].

Zugriffskontrolle und Datenflüsse

Die eigentliche Steuerung beginnt bei den Datenflüssen. Wenn die neue Gesellschaft den Betrieb verantwortet, lassen sich Zugriffsrechte auf operative Rollen, Supportpfade und Freigaben in einer klaren Verantwortungsstruktur bündeln [1]. Das reduziert die Zahl der Stellen, an denen Zugriffe ungeplant aufgehen können.

Das Treuhand- bzw. Schutzkonzept ist dabei mehr als eine juristische Formulierung. Es soll den Zugriff auf deutsche Daten so organisieren, dass externe Interessen nicht direkt in die Betriebsumgebung durchschlagen [2]. Für sensible Verwaltungsverfahren zählt genau diese Segmentierung. Wenn Ihre Behörde Fachanwendungen, Register oder Auswertungen trennt, brauchen Sie eine Cloud, die diese Trennung auf Betriebsebene mitzieht, statt sie nachträglich zu versprechen.

Vergleichsmetriken zur Bewertung von Souveränität

Wer souveräne Cloud-Angebote prüft, sollte sie nicht nach Werbeaussagen vergleichen, sondern nach messbaren Kriterien. Gartner beschreibt digitale Souveränität als mehrstufiges Modell; im Kontext von Oracle werden dabei unter anderem Daten-Souveränität, Interoperabilität, Zugangsverwaltung sowie Geschäftskontinuität und Notfallwiederherstellung als relevante Ebenen genannt [4].

Für Behörden ergibt sich daraus eine einfache Bewertungslogik: Erstens, wo liegen die Daten und wer kontrolliert den physischen und logischen Zugriff? Zweitens, wer verwaltet die Zugänge im Betrieb? Drittens, wie leicht lässt sich der Dienst in eine andere Umgebung überführen, wenn sich Vorgaben ändern? Viertens, wie robust sind Ausfallkonzept und Wiederanlauf? Diese vier Fragen bilden eine tragfähigere Prüfbasis als der bloße Hinweis auf ein europäisches Rechenzentrum [4].

Technische Einordnung im KI-Kontext

Der KI-Boom verändert die technische Bedeutung von Cloud-Infrastruktur. Rechenzentren werden nicht mehr nur als Rechenkapazität betrachtet, sondern als geopolitisch relevante Infrastruktur, weil moderne KI-Modelle enorme Mengen an Leistung, Speicher und Energie benötigen [5]. Genau deshalb rückt die Frage nach digitaler Souveränität stärker in den Fokus.

Für Behörden hat das zwei Folgen. Erstens steigt der Druck, KI- und Analysefunktionen in Umgebungen zu betreiben, deren Kontrolle klar geregelt ist. Zweitens verschiebt sich die Beschaffung von einer reinen Plattformfrage zu einer Infrastrukturfrage. Wer künftig Datenräume, Assistenzsysteme oder Fachverfahren mit KI-Anteilen betreibt, braucht eine Cloud, die nicht nur technische Skalierung liefert, sondern auch organisatorisch belastbare Zugriffspfad-Strukturen [5].

Damit wird die souveräne Cloud von Thales und Google zu mehr als einem Markteintritt. Sie steht für ein Modell, das technische Leistungsfähigkeit mit kontrollierter Betriebsverantwortung verbinden soll. Nachdem die Architektur klar ist, zeigt das nächste Kapitel, welche konkreten Einsatzszenarien für deutsche Behörden entstehen.

Einsatzpotenziale für deutsche Behörden

Wenn eine Behörde sensible Fachverfahren auslagern will, zählt zuerst die Frage, ob Datenhaltung und Zugriff lokal abgesichert bleiben. Genau darauf zielt der neue souveräne Cloud-Dienst von Thales und Google in Deutschland ab [2]. Für IT-Leiter ist das vor allem dort relevant, wo personenbezogene Daten, Schutzbedarfe oder operative Abhängigkeiten zusammenkommen. Die Architektur adressiert damit nicht jedes Szenario, aber sie schafft einen klaren Anwendungsrahmen für Verfahren mit erhöhtem Kontrollbedarf [2].

Der praktische Nutzen liegt in der Trennung zwischen technischer Plattform und operativer Kontrolle. Behörden können dadurch Anwendungen prüfen, bei denen ein reiner Public-Cloud-Betrieb zu viele offene Zugriffsfragen lässt. Dazu gehören Fachverfahren, die nicht nur performant, sondern auch nachvollziehbar abgeschirmt laufen müssen.

Anwendungsfelder mit erhöhtem Schutzbedarf

Am naheliegendsten sind Verfahren mit sensiblen personenbezogenen Daten. Dazu zählen etwa Register-, Melde-, Sozial- oder Gesundheitsprozesse, sobald die jeweiligen Schutzanforderungen eine streng kontrollierte Datenhaltung verlangen [PRÜFEN]. Auch sicherheitskritische Verwaltungsanwendungen kommen in Frage, wenn externe Zugriffe organisatorisch und technisch eng begrenzt werden müssen. Der Hintergrund ist klar: Die Kooperation von Thales und Google soll nach Anbieterangaben sensible Daten vor externem Zugriff schützen [5].

Für Behörden mit digitalen Transformationsprogrammen ist das relevant, weil sie nicht jede Fachanwendung in dieselbe Risikoklasse stecken können. Ein Aktenportal hat andere Anforderungen als eine Analyseplattform für Schutzbedarfe oder ein Datenraum für ressortübergreifende Zusammenarbeit. Die souveräne Cloud wird dort interessant, wo Cloud-Funktionalität gebraucht wird, die Kontrolle über Datenflüsse aber nicht verhandelbar ist [2].

Checkliste: Technische und organisatorische Prüfpunkte für Behörden

Vor einer Beschaffung sollten Behörden nicht mit der Frage „Cloud oder nicht“ starten, sondern mit einer belastbaren Prüfliste. Erstens: Ist die Datenhaltung lokal abgesichert und organisatorisch nachvollziehbar getrennt? Zweitens: Gibt es eine klare operative Unabhängigkeit vom Plattformanbieter? Drittens: Sind Support-, Administrations- und Freigabepfade so dokumentiert, dass sie intern auditierbar bleiben? Viertens: Lassen sich Zugriffsrechte und Schlüsselverwaltung eindeutig einer verantwortlichen Stelle zuordnen? Diese Punkte folgen direkt aus der Architektur des souveränen Angebots [1][3].

Fünftens: Passt das Betriebsmodell zu den eigenen Schutzbedarfsklassen? Sechstens: Können Fachverfahrensdaten so segmentiert werden, dass nur berechtigte Stellen Zugriff erhalten? Siebtens: Ist nachvollziehbar, wie ein Wechsel aus dem Dienst heraus technisch vorbereitet würde? Diese Fragen ersetzen kein Vergabeverfahren, aber sie verhindern, dass Souveränität erst nach dem Go-live geprüft wird.

Offene Compliance-Fragen

Mehrere Prüfstellen bleiben offen. Aus dem vorliegenden Material geht nicht hervor, welche spezifischen Zertifizierungen, behördlichen Freigaben oder technischen Nachweise die neue Gesellschaft für deutsche Behörden im Detail erbringen muss. Ebenso offen bleibt, wie die Einhaltung von Bundes-, Landes- oder Kommunalvorgaben jeweils belegt wird.

Auch die Frage nach der praktischen Anschlussfähigkeit an bestehende Verwaltungs- und Vergabeprozesse lässt sich derzeit nicht abschließend beantworten. Die Kooperation zielt zwar auf den deutschen Markt und auf Anwendungsfälle mit kontrollierbaren Datenflüssen, doch die konkrete Einbettung in interne IT-Governance, Beschaffung und Fachverfahrensbetrieb muss jede Behörde selbst verifizieren [2].

Wirtschaftliche und strategische Auswirkungen auf den deutschen Public Sector

Die Abhängigkeit von US-Hyperscalern ist für europäische Verwaltungen längst kein Randthema mehr. Die Berichterstattung ordnet die neue Thales-Google-Kooperation ausdrücklich in diese Debatte ein und beschreibt die dominante Stellung amerikanischer Plattformen im Markt [1]. Für Behörden bedeutet das: Souveränität wird nicht nur zu einer technischen Eigenschaft, sondern zu einer Beschaffungs- und Risikofrage.

Der wirtschaftliche Hebel liegt weniger in kurzfristigen Kostenvorteilen als in einer veränderten Verhandlungsposition. Wenn ein souveränes Cloud-Angebot in Deutschland verfügbar ist, können Beschaffungsstellen Alternativen zu reinen Public-Cloud-Modellen prüfen, bei denen Datenzugriff, Rechtsraum und Betriebsverantwortung enger zusammenfallen. Genau diese Alternative adressiert das Bündnis von Thales und Google für den deutschen Markt [1].

Für den Public Sector ist das strategisch wichtig, weil sich die Frage nach dem Anbieter künftig stärker mit der Frage nach der Kontrollierbarkeit verbindet. Wer heute Ausschreibungen vorbereitet, sollte deshalb nicht nur Verfügbarkeit und Funktionsumfang bewerten, sondern auch die organisatorische Trennung von Plattform, Betrieb und Zugriffspfaden. Das verschiebt die Verhandlung von einem Preisvergleich hin zu einer Governance-Prüfung.

Wie sich Vergabekriterien verändern könnten

In der IT-Beschaffung werden neue Souveränitätskriterien an Gewicht gewinnen. Entscheidend ist dann nicht mehr allein, ob ein Dienst technisch leistungsfähig ist, sondern ob er Datenhaltung, Zugriffsverwaltung und operative Zuständigkeit nachvollziehbar trennt. Genau diese Trennung wird im Material zur neuen souveränen Cloud als Kern des Modells beschrieben [1][2].

Für Vergabestellen heißt das: Souveränität wird zu einem prüfbaren Kriterium mit eigenen Nachweisen. Wer Ausschreibungen aufsetzt, muss definieren, wie stark die gewünschte Unabhängigkeit vom Plattformanbieter ausfallen soll, welche Betriebsrollen ausgeschlossen oder beschränkt werden und wie sich Datenzugriffe auditieren lassen. Das verschärft die Anforderungen an die Leistungsbeschreibung, weil klassische Kriterien wie Speicherort oder Zertifikatslage allein nicht mehr ausreichen.

Praktisch könnte das zu mehrstufigen Vergabemodellen führen. Ein erster Prüfblock bewertet die Cloud-Infrastruktur. Ein zweiter Block bewertet die operative Trennung. Ein dritter Block bewertet die Anpassung an deutsche Beschaffungs- und Compliance-Vorgaben. Diese Logik passt zu einem Markt, in dem laut Berichterstattung der Bedarf an kontrollierbaren Datenflüssen und klarer Governance wächst [2].

Strategische Abhängigkeiten im KI-Zeitalter

Die wirtschaftliche Relevanz der Kooperation steigt mit dem KI-Boom. Rechenzentren werden zunehmend als geopolitische Faktoren betrachtet, weil moderne KI-Modelle enorme Rechenleistung, Speicher und Energie benötigen [5]. Damit verschiebt sich Cloud-Infrastruktur von einer reinen IT-Frage in den Bereich strategischer Standortpolitik.

Für Behörden ist das doppelt relevant. Erstens brauchen sie für KI-gestützte Verwaltungsprozesse mehr belastbare Infrastruktur. Zweitens wollen sie diese Infrastruktur nicht in eine neue Abhängigkeit von einzelnen US-Anbietern treiben. Die von Thales und Google angekündigte souveräne Cloud versucht genau diesen Spagat: technologische Leistungsfähigkeit nutzen, die Kontrolle über Daten und Betrieb aber europäisch bzw. deutsch absichern [1][5].

Das ist strategisch deshalb wichtig, weil Infrastrukturentscheidungen im KI-Zeitalter länger nachwirken als klassische Softwarekäufe. Wer heute eine Cloud auswählt, legt oft auch fest, wie schnell sich später Analysefunktionen, Automatisierung und KI-Dienste ausrollen lassen. Wenn diese Basis nur über globale Plattformlogiken erreichbar ist, bleibt die Behörde in einer Abhängigkeit, die sich später nur schwer auflösen lässt.

Die souveräne Cloud kann hier als Zwischenlösung wirken. Sie schafft mehr Handlungsraum, ohne die Skalierung moderner Cloud-Technik aufzugeben. Genau darin liegt ihr strategischer Wert für den Public Sector: Sie macht digitale Modernisierung nicht einfacher, aber kontrollierbarer.

Was Behörden jetzt konkret prüfen sollten

Wenn Sie eine souveräne Cloud für einen Verwaltungsverbund bewerten, reicht ein Blick auf Rechenzentrumsstandort und Preisliste nicht aus. Entscheidend ist, ob Datenhaltung, Zugriffskontrolle und operative Zuständigkeit tatsächlich getrennt sind. Genau diese Trennung beschreibt das Thales-Google-Modell als Kern der Architektur: eine neue deutsche Gesellschaft unter Kontrolle von Thales, operativ unabhängig von Google Cloud [3][1].

Für IT-Leiter ist das die relevante Prüfspur. Sie müssen nicht nur fragen, ob ein Dienst technisch leistungsfähig ist. Sie müssen klären, wer Schlüssel verwaltet, wer Zugriffe freigibt und wer im Störfall tatsächlich handlungsfähig bleibt. Die Kooperation zielt auf kontrollierbare Datenflüsse und klare Governance [2].

Die 5 Prüfstellen vor der Beschaffung

Erstens: Ist die operative Unabhängigkeit vom Plattformanbieter vertraglich und technisch belastbar? Das ist der Punkt, an dem viele Souveränitätsversprechen scheitern. Zweitens: Bleibt die Schlüsselverwaltung unter europäischer oder deutscher Kontrolle? Laut Berichterstattung soll genau das beim Angebot von Thales und Google erreicht werden [6]. Drittens: Lassen sich Datenzugriffe intern auditieren, ohne auf externe Freigabepfade angewiesen zu sein? Viertens: Passt das Betriebsmodell zu den Schutzbedarfsklassen Ihrer Verfahren? Fünftens: Gibt es einen realistischen Exit-Pfad, falls die Behörde später den Anbieter wechseln muss?

Diese Prüfpunkte gehören in die nächste Ausschreibungsrunde und in jede Architekturentscheidung vor dem Go-live. Wer sie überspringt, prüft Souveränität erst nach Vertragsunterzeichnung. Das ist für Behörden riskant, weil sich spätere Korrekturen im laufenden Betrieb oft nur teuer umsetzen lassen.

Was in der Vergabeunterlage stehen sollte

Schreiben Sie die Kontrollanforderungen nicht als allgemeine Erwartung, sondern als nachweisbare Kriterien in die Leistungsbeschreibung. Dazu gehören die Zuordnung von Betriebsrollen, die Trennung von Support- und Administrationsrechten sowie die klare Benennung der Stelle, die über Zugriffe entscheidet. Das Angebot von Thales und Google wird auf den deutschen Markt ausgerichtet und auf Anwendungsfälle mit kontrollierbaren Datenflüssen zugeschnitten [2].

Wenn Ihre Vergabestelle schon mit einem Kriterienkatalog arbeitet, ergänzen Sie eine eigene Prüfzeile für digitale Souveränität. Dort gehören rechtliche Unabhängigkeit, operative Unabhängigkeit und Nachvollziehbarkeit der Datenwege hinein. Genau diese Fragen trennt die neue souveräne Cloud von einem normalen Public-Cloud-Angebot [1][3].

Wenn Sie den nächsten Beschaffungszyklus vorbereiten, starten Sie nicht mit Produktnamen. Starten Sie mit den Fragen nach Kontrolle, Zuständigkeit und Exit-Fähigkeit. Wer diese Punkte sauber klärt, kann souveräne Cloud nicht nur bestellen, sondern auch verantwortbar betreiben. Für die vertiefte Prüfung lohnt sich jetzt der Blick auf die interne Vorbereitung der IT-Beschaffung in Behörden und auf die Cloud-Sicherheit für den öffentlichen Sektor.