Was ist eine souveräne Cloud?
Eine souveräne Cloud ist ein Cloud-Dienst, bei dem Daten, Betrieb und Kontrolle nach festgelegten Regeln in einer bestimmten Rechtsordnung bleiben. Ein europäischer Speicherort allein reicht dafür nicht. Banken müssen auch wissen, wer die Systeme administriert, wer den Anbieter kontrolliert und ob der Dienst bei einer grenzüberschreitenden Störung weiterläuft.
Souveräne Cloud im Überblick
| Begriff | Souveräne Cloud |
|---|---|
| Kontrollbereiche | Daten, Metadaten, Schlüssel, Administratoren und technische Steuerung. |
| Prüffrage | Welche Stellen können rechtlich oder technisch auf den Dienst zugreifen? |
| Risiko | Ein europäischer Standort kann Abhängigkeiten von ausländischen Diensten und Werkzeugen verdecken. |
| Regeln | DORA, DSGVO und bankaufsichtliche Auslagerungsregeln gelten auch bei Souveränitätsversprechen. |
| Vertiefung | Souveräne Cloud für Banken |
Wie lässt sich eine souveräne Cloud betreiben?
Eine souveräne Cloud trennt Daten, Metadaten, Verschlüsselungsschlüssel und administrative Zugriffe nach überprüfbaren Regeln. Auch Identitätsdienste, Updates und technische Steuerung gehören dazu. Eine EU-Region kann von einem weltweiten Dienst für Anmeldung oder Support abhängen. Die Bank muss diese Abhängigkeiten bis zur Wiederherstellung eines ausgefallenen Dienstes nachvollziehen.
Warum prüfen Banken Cloud-Souveränität?
Banken prüfen Souveränität besonders bei vertraulichen Kundendaten und wichtigen Geschäftsprozessen. Dabei zählt mehr als die Herkunft des Anbieters. Anbieter aus Europa und den USA machen unterschiedliche Zusagen zu Betrieb und Kontrolle. Sicherheitsbetrieb, Leistungsumfang und Portabilität müssen zu den Datenklassen der Bank passen.
Wo liegen die technischen Risiken?
Ein Souveränitätslabel kann eine enge Bindung an proprietäre Datenbanken, Identitätsdienste oder Werkzeuge überdecken. Lokale Speicherung beantwortet auch nicht, wer Schlüssel oder Metadaten lesen kann. Banken testen deshalb Exporte, Ersatzumgebungen, Administratorzugriffe und eingeschränkten Betrieb. So wird eine behauptete Kontrolle überprüfbar.
Welche Regeln betreffen eine souveräne Cloud?
Der Sovereign Cloud Framework der EU-Kommission enthält Beschaffungskriterien für EU-Stellen. Banken prüfen zusätzlich DORA, DSGVO und Auslagerungsregeln. Die Frage nach Zugriffsrechten nach ausländischem Recht wird durch ein Produktlabel nicht entschieden. Maßgeblich sind die tatsächliche Konzernstruktur, technische Zugriffspfade und Verträge.
Welche Aufsicht gilt im DACH-Raum?
BaFin, FMA und FINMA prüfen in ihren Märkten die Verantwortung für Auslagerungen und die Kontrolle wichtiger Dienste. Eine deutsche oder österreichische Bank kann diese Verantwortung nicht an einen Cloud-Anbieter abgeben. In Frankfurt beaufsichtigt die EZB bedeutende Banken des Euroraums und prüft Konzentrations- und Exit-Risiken. Der physische Standort ist ein Teil der Bewertung, nicht ihr Ergebnis.
Über Finance Loop: Souveräne Cloud
Finance Loop verbindet Fachleute aus Banken, Technologie und Aufsicht, die Cloud-Dienste und Datenkontrolle bewerten. Die EZB in Frankfurt beaufsichtigt bedeutende Banken und prüft ihre Risiken bei Anbieterwechseln.
Die Vertiefung zur souveränen Cloud behandelt rechtliche und technische Fragen. Bei Finance-Loop-Veranstaltungen können Fachleute über Verträge, Betriebsabhängigkeiten und Nachweise sprechen. So treffen Bankpraxis und technische Anbieter aufeinander.