Auf den Punkt: Souveränität muss von Anfang an architektonisch eingeplant werden, nicht als nachträgliches Migrationsziel – und verlangt Backup-Infrastruktur unabhängig vom Hyperscaler-Ökosystem.
Europäische Organisationen haben sich jahrelang Zeit gelassen, Souveränität als Post-Migration-Thema zu betrachten. Doch die operative Abhängigkeit von US-gestützten Hyperscalern ist inzwischen ein direktes Geschäftsrisiko unter NIS2, DORA und DSGVO.
Die weit verbreitete Praxis, Backup-Infrastruktur innerhalb desselben Cloud-Ökosystems zu betreiben – etwa auf Azure oder im selben Microsoft Entra-Mandanten –, schafft ein einzelnes Ausfallrisiko: Ein Ransomware-Angriff oder versehentliches Löschen gefährdet Live-Daten und Wiederherstellungspunkt gleichzeitig. Digitale Souveränität ist daher primär eine architektonische, nicht eine Beschaffungsfrage. Daten physisch in Deutschland zu lagern macht sie nicht automatisch souverän; entscheidend ist die Kontrolle über die zugrunde liegende Infrastruktur, der Zugang durch Unterauftragsverarbeiter und die logische sowie physische Trennung der Backup-Umgebung von den Systemen, die sie schützen soll.
Für CTOs und Datenschutzverantwortliche unter regulatorischem Druck zeigt sich das Problem konkret: Shared-Responsibility-Modelle wie bei Microsoft 365 übertragen die Datenschutzverantwortung auf den Kunden – aber innerhalb eines zentralisierten Anbieterökosystems. Wahre Anbieterunabhängigkeit bedeutet, dass die Backup-Infrastruktur nicht auf demselben Hyperscaler läuft, dessen Dienste gesichert werden, dass keine Unterauftragsverarbeiter Daten hinter den Kulissen verarbeiten und dass unveränderliche Backups gegen Verschlüsselung durch bereits eingedrungene Angreifer schützen. Für NIS2-, DORA- und DSGVO-Compliance ist diese Struktur nicht optional, sondern Compliance-Fundament.
Der regulatorische und geopolitische Druck ist substantiell: Europa hängt für die überwiegende Mehrheit seiner Cloud-Infrastruktur von wenigen US-Hyperscalern ab. Verschiebungen in Washington – sei es regulatorisch oder durch Dienstleistungsänderungen – können die vermeintliche Datenkontrolle europäischer Organisationen unvermittelt schwächen. Ein Anbieter mit Sitz in Europa, der die eigene Infrastruktur nach EU-Recht und ohne US-Muttergesellschaft betreibt, ist rechtlich und strukturell ein kategorisch anderer Vertragspartner als die lokale Filiale eines Hyperscalers.
Souveränität und Cloud-Innovation sind nicht konträr. Die Cloud liefert Skalierbarkeit und Service-Bandbreite; Souveränität definiert die Grenzen – wer auf Daten zugreifen darf, unter welchen Gesetzen und mit welchen Wiederherstellungsgarantien. Dies von Beginn an in das Architektur-Design zu integrieren ist gute IT-Governance, kein Kompromiss.
Quelle: www.it-daily.net · Erschienen 8. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.