Was bedeutet digitale Souveränität in der Cloud?

Digitale Souveränität in der Cloud bedeutet, dass eine Organisation ihre Daten und Systeme selbstbestimmt kontrolliert, auch im Ernstfall. Sie umfasst drei Ebenen. Rechtlich geht es darum, welcher Jurisdiktion ein Anbieter unterliegt. Operativ geht es darum, wer den Betrieb und den administrativen Zugriff kontrolliert. Technologisch geht es darum, ob ein Dienst ohne Abhängigkeit von Anbietern außerhalb der EU weiterlaufen kann. Sicherheit allein genügt nicht, Souveränität ist ein eigenes Anforderungsprofil.

Was ist der Unterschied zwischen BSI C5 und C3A?

Der C5, der Cloud Computing Compliance Criteria Catalogue, regelt die Informationssicherheit einer Cloud, also Verschlüsselung, Zugriffskontrolle und Protokollierung. Der C3A, veröffentlicht vom BSI am 27. April 2026, ergänzt den C5 um die Frage der Souveränität, also wer einen Dienst im Ernstfall tatsächlich kontrolliert. C3A setzt C5 voraus. Vereinfacht gesagt beantwortet der C5, ob eine Cloud sicher ist, und der C3A, ob sie souverän ist.

Ist der C3A verpflichtend?

Der C3A ist an sich nicht verbindlich, sondern ein Orientierungsrahmen. Er kann aber im Rahmen von Gesetzgebung oder in Ausschreibungen zur Mindestanforderung erklärt werden und gilt als möglicher Referenzrahmen für die Bundesverwaltung. Zudem könnten Souveränitätskriterien über EU-Vorhaben wie den Cloud and AI Development Act oder Sicherheitsgesetze wie NIS2 an Bedeutung gewinnen. Für die Praxis heißt das, der C3A wird schnell zum Maßstab bei Vergabe und Risikobewertung, auch ohne formale Pflicht.

Betrifft der US Cloud Act auch Daten in deutschen Rechenzentzen?

Ja, das ist möglich. Der US Cloud Act erlaubt US-Behörden unter bestimmten Voraussetzungen den Zugriff auf Daten, die von einem US-Unternehmen kontrolliert werden, auch wenn sie in einem Rechenzentrum außerhalb der USA liegen. Ein deutscher Serverstandort allein schließt einen solchen Zugriff also nicht sicher aus, wenn der Anbieter oder sein Mutterkonzern US-Recht unterliegt. Genau deshalb betrachten Souveränitätskriterien wie der C3A die Jurisdiktion und die Betriebskontrolle, nicht nur den physischen Standort.

Was sind die sechs Souveränitätsdomänen des C3A?

Der C3A gliedert Souveränität in sechs Domänen, oft als SOV-1 bis SOV-6 bezeichnet. Sie umfassen unter anderem die Jurisdiktion, die Datenkontrolle, den operativen Betrieb mit administrativem Zugriff durch Personen in der EU, die Abkoppelbarkeit von Verbindungen außerhalb der EU, die Lieferkettentransparenz mit einer Software Bill of Materials sowie die technologische Unabhängigkeit. Besonders die Abkoppelbarkeit und die Betriebskontrolle sind für viele globale Anbieter schwer zu erfüllen.

Was ist ES3, der European Sovereign Stack?

ES3 steht für einen europäischen Souveränitätsstandard, der Souveränität technisch messbar machen soll. Er zielt darauf, offene, interoperable und nachvollziehbar souveräne Cloud-Bausteine zu definieren, häufig auf Basis offener Standards. Im Zusammenspiel mit dem C5 und dem C3A entsteht so ein Rahmen, der Sicherheit, Prüfbarkeit und Unabhängigkeit verbindet. Für Anwender liefert er Orientierung, welche Bausteine echte Souveränität stützen und welche nur als Label auftreten.

Muss der Mittelstand alles maximal souverän betreiben?

Nein, das wäre in der Regel weder nötig noch wirtschaftlich. Sinnvoll ist eine abgestufte Strategie, oft als Multi-Cloud beschrieben. Hochsensible Daten und kritische Prozesse werden in souveränen Umgebungen betrieben, während weniger kritische Anwendungen von der Innovationskraft großer Anbieter profitieren können. Entscheidend ist, den Schutzbedarf je Datenklasse zu bestimmen und das Souveränitätsniveau daran auszurichten, statt pauschal zu entscheiden.

Wie prüfe ich, ob ein Cloud-Anbieter wirklich souverän ist?

Ein Label wie souveräne Cloud allein reicht nicht. Belastbar sind prüfbare Nachweise, etwa eine C5-Testierung als Grundlage, dazu Nachweise zur Jurisdiktion, zur Zusammensetzung des Betriebspersonals, ein dokumentierter Disconnect-Test und Transparenz über die Lieferkette. Sinnvoll ist, den Anbieter diese Nachweise konkret vorlegen zu lassen und sie an den sechs Domänen des C3A zu spiegeln, statt sich auf Marketingaussagen zu verlassen.

Gibt es Kritik an den neuen Souveränitätskriterien?

Ja. Der europäische Cloud-Verband CISPE und einige Anbieter kritisieren, dass der C3A Schlupflöcher enthalte, etwa bei den Anforderungen an Subunternehmer, und dass Vorgaben zu Interoperabilität und Portabilität fehlten. Dadurch könne der Rahmen unter Umständen eine Scheinsouveränität legitimieren und bestehende Abhängigkeiten zementieren. Das BSI hält dem entgegen, Souveränität bedeute nicht Abschottung, sondern beherrschbare Abhängigkeit. Für Anwender lohnt es sich daher, nicht nur auf die Konformität, sondern auch auf Portabilität zu achten.

Wo steht die Souveränität im Verhältnis zur Softwareauswahl?

Souveränitätsanforderungen sind ein zusätzliches Kriterium in der Softwareauswahl, kein Ersatz für die fachliche Passung. Zuerst muss eine Lösung die Prozesse und Anforderungen abdecken, danach entscheidet der Schutzbedarf über das nötige Souveränitätsniveau und den passenden Betriebs- und Serverstandort. Beides gehört in eine strukturierte, anbieterneutrale Bewertung eingebettet, damit weder die Funktion noch die Souveränität zu kurz kommt.