Was bedeutet es, eine IT-Architektur auf Souveränität zu bewerten?

Eine Souveränitätsbewertung prüft strukturiert, wie unabhängig und selbstbestimmt eine Organisation ihre IT betreiben kann. Bewertet wird nicht nur die Sicherheit, sondern die Kontrolle, also wer im Ernstfall über Betrieb, Daten und Weiterentwicklung entscheidet. Als Raster dienen die sechs Souveränitätsdimensionen des BSI C3A, von der strategischen und rechtlichen über die Daten- und operative bis zur Lieferketten- und technologischen Souveränität.

Welche Dimensionen umfasst die Bewertung nach C3A?

Der C3A strukturiert Souveränität in sechs Dimensionen. Die strategische Souveränität betrifft die grundsätzliche Handlungsfähigkeit. Die rechtliche betrifft die Jurisdiktion. Die Datensouveränität betrifft Speicherort und Schlüsselkontrolle. Die operative betrifft Betrieb und administrativen Zugriff. Die Lieferkettensouveränität betrifft die Transparenz über Komponenten. Die technologische betrifft die Fähigkeit, den Dienst unabhängig weiterzubetreiben. Die reinen Sicherheitsaspekte sind bereits über den C5 abgedeckt.

Was ist Sovereignty Washing?

Sovereignty Washing beschreibt Angebote, die als souverän vermarktet werden, aber nur Teilaspekte erfüllen. Ein Rechenzentrum in Frankfurt oder Amsterdam macht eine Cloud noch nicht souverän, wenn die Technologiebasis und die Updates aus einem Nicht-EU-Land stammen. Der Begriff stammt aus einem Whitepaper des Zentrums für Digitale Souveränität. Er mahnt, Anbieteraussagen an prüfbaren Kriterien zu messen statt am Label.

Reicht ein deutscher Serverstandort für Souveränität?

Nein. Ein Serverstandort in Deutschland ist ein wichtiger Baustein, aber allein kein Beweis für Souveränität. Unterliegt der Anbieter oder sein Mutterkonzern einer Jurisdiktion außerhalb der EU, etwa dem US CLOUD Act oder FISA 702, kann ein Datenzugriff rechtlich möglich bleiben, unabhängig vom physischen Standort. Deshalb bewertet eine seriöse Prüfung die Jurisdiktion, den Betrieb und die Abkoppelbarkeit, nicht nur den Standort.

Was ist der Disconnect-Test?

Der Disconnect-Test prüft, ob ein Cloud-Dienst weiterläuft, wenn er von seiner Betreiberplattform außerhalb der EU abgekoppelt wird. Nach den C3A-Kriterien muss der Betrieb ohne Einbußen bei Verfügbarkeit, Integrität und Vertraulichkeit fortbestehen. Es genügt nicht, das zu behaupten. Der Betreiber muss einen dokumentierten Abkopplungsprozess vorhalten und ihn mindestens einmal jährlich testen. Für die Architekturbewertung ist dieser Test der aussagekräftigste Einzelnachweis.

Wie werden die Souveränitätsziele gewichtet?

Das Cloud Sovereignty Framework der EU-Kommission gewichtet acht Souveränitätsziele unterschiedlich. Die Lieferkettensouveränität trägt mit rund 20 Prozent am stärksten zum Ergebnis bei. Strategische, operative und technologische Souveränität folgen mit je rund 15 Prozent. Rechtliche, Daten- sowie Sicherheitssouveränität fließen mit je rund 10 Prozent ein, die ökologische Nachhaltigkeit mit rund 5 Prozent. Diese Gewichtung hilft, Prioritäten in der eigenen Bewertung zu setzen.

Muss jede Anwendung maximal souverän sein?

Nein. Sinnvoll ist ein risikobasierter Ansatz, bei dem das nötige Souveränitätsniveau je nach Anwendungsfall bestimmt wird. Hochsensible oder regulierte Systeme brauchen ein hohes Niveau, weniger kritische Anwendungen ein geringeres. Dieser abgestufte Zugang entspricht auch dem vergaberechtlichen Grundsatz der Verhältnismäßigkeit und vermeidet unnötige Kosten, ohne den Schutz dort zu senken, wo er wirklich zählt.

Welche Werkzeuge unterstützen eine Souveränitätsbewertung?

Es gibt mehrere Selbstbewertungswerkzeuge, die sich in ihrem Fokus unterscheiden. Einige betonen die technologische Unabhängigkeit und die Vermeidung von Vendor Lock-in über offene Ansätze. Andere richten sich stark an EU-Standards aus und ordnen Organisationen in abgestufte Souveränitätsstufen ein. Wieder andere sind als geführter Beratungsprozess angelegt oder legen den Schwerpunkt auf Datenschutz und Datenverarbeitung. Für den Einstieg helfen sie, ein erstes strukturiertes Bild zu gewinnen.

Was sind typische Schwachstellen bei der Bewertung?

Häufige Schwachstellen sind eine unklare Sicht auf die Lieferkette, also welche Komponenten woher stammen, fehlende Kontrolle über die Verschlüsselungsschlüssel, ein administrativer Zugriff durch Personal außerhalb der EU sowie eine ungetestete oder gar nicht vorhandene Abkoppelbarkeit. Auch fehlende Portabilität ist ein Risiko, weil sie einen späteren Anbieterwechsel erschwert. Genau diese Punkte sollten in einer Bewertung besonders geprüft werden.

Wie hängt die Architekturbewertung mit der Softwareauswahl zusammen?

Die Architekturbewertung liefert die Kriterien, an denen sich eine Auswahl messen lässt. Wer den eigenen Schutzbedarf und die Lücken kennt, kann in der Auswahl gezielt Nachweise verlangen, etwa zu Jurisdiktion, Betrieb und Abkoppelbarkeit. Souveränität wird so zu einem prüfbaren Kriterium neben der fachlichen Passung. Beides gehört in eine strukturierte, anbieterneutrale Bewertung, damit die Entscheidung nachvollziehbar bleibt.