Auf den Punkt: Digitale Souveränität entscheidet sich nicht bei der Repatriation, sondern bereits bei Unterschrift des Cloud-Vertrags – über Kontrollstruktur, Drittlandzugriffe und technische Zugriffsmöglichkeiten des Anbieters.
Wer Rechtsordnung, Betreiberzugriff und Ausstiegsoptionen nicht vor Vertragsabschluss mit dem Cloud-Anbieter klärt, verhandelt spätestens bei der Repatriation aus einer schwachen Position. Ein Fragenkatalog zeigt, welche Punkte vorab in den Vertrag gehören.
Die Bindung an einen Cloud-Anbieter wächst über Jahre – durch Schnittstellen, proprietäre Funktionen, Datenmengen und eingespielte Betriebsabläufe. Wer diese Bindung erst beim Ausstieg, also bei der Repatriation von Daten und Workloads, hinterfragt, hat kaum noch Verhandlungsmasse. Vieles lässt sich dagegen bei Vertragsabschluss oder Verlängerung noch gestalten. Für Unternehmen mit ISO-27001-Zertifizierung ist das seit 2022 sogar verpflichtend: Die Norm verlangt, Sicherheitsanforderungen an Cloud-Dienste festzulegen, bevor der Dienst genutzt wird. Der Beitrag nennt sechs Fragen, die dafür frühzeitig zu klären sind.
Erstens: Wer kontrolliert den Anbieter? Der Serverstandort allein sagt wenig aus – entscheidend ist, welcher Konzern und welcher Rechtsordnung der Anbieter unterliegt. Auch europäische Anbieter, die ihre Plattform auf AWS, Azure oder Google Cloud betreiben, können über die Lieferkette eine US-rechtliche Abhängigkeit ins Haus holen. Problematisch wird es, wenn sich die Kontrollstruktur nachträglich ändert, etwa durch Übernahme eines europäischen Anbieters durch einen US-Konzern: Die Daten bleiben am Ort, die Kontrolle wandert aus. Ohne vertragliche Informationspflicht bei Änderungen der Kontrollstruktur fehlen dem Kunden im Ernstfall die Reaktionsmöglichkeiten.
Zweitens: Wie geht der Anbieter mit Zugriffen aus Drittländern um? Wenn Supportteams in Drittländern technische Störungen bearbeiten, sollte offengelegt werden, welche Rollen auf welche Daten zugreifen, wie dies protokolliert wird und ob eine Begrenzung auf europäische Standorte vertraglich vereinbar ist. Weitreichender ist der Fall, dass eine ausländische Behörde Kundendaten anfordert: Der US CLOUD Act kann Anbieter unter US-Jurisdiktion zur Herausgabe verpflichten, selbst wenn die Daten auf europäischen Servern liegen – während die DSGVO eine Weitergabe allein aufgrund einer solchen Anordnung nicht erlaubt. Da die Verantwortung für den datenschutzkonformen Einsatz beim Kundenunternehmen bleibt, sollte der Vertrag den Anbieter zur Information verpflichten, soweit zulässig, sowie zur Begrenzung der Herausgabe auf das erforderliche Maß und zur Nutzung verfügbarer Rechtsmittel.
Drittens: Kann der Anbieter technisch auf die Daten zugreifen? Der Beitrag unterscheidet zwischen der Zusage „Wir greifen nicht zu“ und dem technischen Zustand „Wir können nicht zugreifen“. Nur wenn der Anbieter weder Klartextdaten lesen noch die Verschlüsselungsschlüssel verwenden kann, ist er auch bei behördlicher Anordnung nicht in der Lage, lesbare Inhalte herauszugeben. Besteht dagegen ein technischer Zugriffsweg, entscheiden allein Vertrag und interne Prozesse des Anbieters darüber, ob und wie dieser genutzt wird.
Für CISOs liefert der Fragenkatalog eine Grundlage für Vertragsverhandlungen und Due-Diligence-Prüfungen bei Cloud-Beschaffungen sowie für die Dokumentation im Rahmen von ISO-27001-Audits. Die genannten Punkte – Kontrollstruktur, Drittlandzugriffe und technische Zugriffsmöglichkeiten – lassen sich als Prüfkriterien in bestehende Anbieterbewertungen und Vertragsvorlagen übernehmen, bevor eine langfristige Bindung entsteht.
Quelle: www.it-daily.net · Erschienen 14. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.