Das Thema digitale Souveränität beschäftigt heute viele unserer Kunden. In einer neuen Artikelreihe im Infohub zeigen wir daher, wie wir Ihnen helfen können, die Kontrolle über Ihre digitale Infrastruktur zu behalten. Im ersten Teil der Reihe geht es um den Aspekt der Datenhoheit.
Als IT-Dienstleister begleiten wir heute zahlreiche Unternehmen und Organisationen aus dem öffentlichen Sektor auf ihrem Weg zu mehr digitaler Souveränität. Die Diskussion beginnt dabei fast immer mit derselben Frage: Wo sollen wir unsere Daten speichern, um selbstbestimmt über unsere digitale Zukunft entscheiden zu können?
Auf den ersten Blick scheint die Antwort einfach. Wer seine IT im eigenen Rechenzentrum betreibt, fühlt sich auf der sicheren Seite. Cloud-Plattformen dagegen werden häufig mit Risiken und Abhängigkeiten in Verbindung gebracht. Doch die Realität ist komplexer. Selbst wenn Daten physisch im eigenen Rechenzentrum oder in einer Cloud-Umgebung innerhalb der EU gespeichert sind, bedeutet das nicht automatisch, dass eine Organisation die vollständige Kontrolle über ihre Daten und Systeme hat.
Ein zentraler Baustein digitaler Souveränität ist die sogenannte Datenhoheit. Dieser Begriff geht über den physischen Speicherort hinaus und beschreibt die Entscheidungs- und Handlungsmacht über Daten und ihre Nutzung.
Datenhoheit umfasst dabei mehrere Dimensionen:
Organisationen müssen jederzeit wissen, wo ihre Daten gespeichert und verarbeitet werden.
Es muss klar geregelt sein, wer technisch oder organisatorisch Zugriff auf Daten erhält.
Bei der Speicherung und Verarbeitung von Daten müssen die gesetzlichen Vorschriften eingehalten werden.
Datenhoheit bedeutet auch, Daten und Anwendungen bei Bedarf zu anderen Plattformen oder Anbietern migrieren zu können.
Diese Aspekte zeigen bereits, dass Datenhoheit nicht allein durch den physischen Speicherort garantiert werden kann. Auch wenn alle Daten in einem europäischen Rechenzentrum liegen, können rechtliche oder technische Abhängigkeiten bestehen – etwa durch internationale Gesetzgebung, proprietäre Plattformen oder eingeschränkte Exportmöglichkeiten von Daten.
Unmittelbare Auswirkungen auf die Datenhoheit könnte etwa der US CLOUD Act (Clarifying Lawful Overseas Use of Data Act) haben. Dieses Gesetz verpflichtet US-Unternehmen unter bestimmten Umständen dazu, Daten an US-amerikanische Behörden herauszugeben – selbst dann, wenn diese Daten in Rechenzentren außerhalb der USA gespeichert sind. Für europäische Organisationen bedeutet das: Der tatsächliche Zugriff auf Daten hängt nicht nur vom Standort des Rechenzentrums ab, sondern auch davon, welchem Recht der Betreiber der Infrastruktur unterliegt.
Damit entsteht ein Spannungsfeld zwischen unterschiedlichen Rechtsräumen. Während die DSGVO hohe Anforderungen an Datenschutz, Zweckbindung und Zugriffskontrolle stellt, können internationale Gesetze andere Verpflichtungen für Anbieter schaffen. Für Organisationen im öffentlichen Sektor stellt sich deshalb zunehmend die Frage, wie sich diese unterschiedlichen Rahmenbedingungen miteinander vereinbaren lassen.
Dass diese Diskussion keineswegs rein theoretisch ist, zeigt auch ein aktueller Bericht von Reuters: Im Februar 2026 wies die US-Regierung ihre Diplomaten an, sich gegen internationale Initiativen zur Datenhoheit oder Datenlokalisierung einzusetzen. Die Frage, wer langfristig die Kontrolle über Daten und digitale Infrastrukturen ausübt, hat damit längst auch eine geopolitische Dimension angenommen.
Wo sollten Verwaltungseinrichtungen und Unternehmen ihre Daten nun künftig speichern? Eine pauschale Antwort auf diese Frage gibt es nicht. Jede Organisation hat unterschiedliche Anforderungen – beispielsweise hinsichtlich Datenschutz, Skalierbarkeit, Betriebskompetenzen oder regulatorischer Vorgaben.
In unseren Projekten betrachten wir daher immer mehrere mögliche Betriebsmodelle und bewerten gemeinsam mit unseren Kunden, welche Architektur langfristig am besten zu ihren Anforderungen passt.
Der klassische Betrieb im eigenen Rechenzentrum bietet auf den ersten Blick ein hohes Maß an Kontrolle. Daten liegen innerhalb der eigenen Infrastruktur, Zugriffe lassen sich direkt steuern und viele Organisationen verfügen bereits über etablierte Betriebsprozesse.
Allerdings bringt dieses Modell auch Herausforderungen mit sich. Rechenzentren müssen kontinuierlich modernisiert werden, neue Kapazitäten lassen sich nur begrenzt kurzfristig bereitstellen und die Komplexität des Betriebs steigt mit jeder zusätzlichen Plattform. Zudem können auch hier Abhängigkeiten und Vendor-Lock-Ins entstehen – etwa durch proprietäre Virtualisierungstechnologien oder spezialisierte Hardwareplattformen.
Private Cloud-Modelle gewinnen derzeit deutlich an Bedeutung, insbesondere im öffentlichen Sektor. Sie kombinieren viele Vorteile moderner Cloud-Plattformen – wie etwa automatisierte Bereitstellung und flexible Skalierung – mit einer stärkeren Kontrolle über Infrastruktur und Daten.
In Deutschland entstehen zunehmend solche Angebote speziell für Behörden und öffentliche Einrichtungen. Ein Beispiel ist die Thüringer Verwaltungscloud, die vollständig auf Open Source Software basiert und IT-Ressourcen für Verwaltungseinrichtungen zentral bereitstellt. Auch kommunale IT-Dienstleister und Landesrechenzentren bauen aktuell vergleichbare Plattformen auf.
Private Clouds können daher eine attraktive Option sein, wenn Organisationen Cloud-Technologien nutzen möchten, gleichzeitig aber klare Anforderungen an Datenstandort, Governance und Betrieb haben.
Public Cloud-Plattformen bieten erhebliche Vorteile, etwa bei der schnellen Bereitstellung von IT-Ressourcen, der Skalierung von Anwendungen oder beim Zugang zu Technologien wie Datenanalyse oder künstlicher Intelligenz. Auch im öffentlichen Sektor werden solche Plattformen zunehmend genutzt.
Die großen Public Cloud-Anbieter entwickeln mittlerweile spezielle Angebote für europäische Kunden wie etwa die Microsoft Sovereign Cloud oder die AWS European Sovereign Cloud. Diese Infrastrukturen sollen zusätzliche Anforderungen an Sicherheit und Compliance berücksichtigen. Dennoch bleiben einige Fragen zu Datenhoheit, internationaler Gesetzgebung und langfristigen Abhängigkeiten offen.
Neben den globalen Hyperscalern rücken daher auch europäische Public Cloud-Angebote in den Fokus – etwa IONOS Cloud, OVHcloud, STACKIT oder die Open Telekom Cloud. Diese Plattformen speichern Daten ausschließlich in europäischen Rechenzentren und unterstützen DSGVO-Konformität und digitale Souveränität.
In der Praxis entscheiden sich viele Organisationen heute für eine Hybrid- oder Multi-Cloud-Strategie. Dabei werden unterschiedliche Betriebsmodelle kombiniert: Besonders sensible Daten und Anwendungen verbleiben im eigenen Rechenzentrum, während andere Workloads in einer Cloud-Umgebung betrieben werden.
Solche Architekturen können helfen, die Vorteile verschiedener Modelle miteinander zu verbinden. Gleichzeitig stellen sie aber auch hohe Anforderungen an Interoperabilität, Governance und Betrieb. Voraussetzung dafür ist zudem eine klare Klassifizierung der Daten – etwa nach Sensibilität, regulatorischen Anforderungen oder Verfügbarkeitszielen. Auf dieser Basis lassen sich die Workloads gezielt auf unterschiedliche Umgebungen verteilen.
Ein Beispiel für einen digital souveränen Multi-Cloud-Ansatz ist die Deutsche Verwaltungscloud, die derzeit von Bund und Ländern aufgebaut wird. Sie verbindet verschiedene Cloud–Plattformen der öffentlichen Verwaltung über gemeinsame Standards und Schnittstellen. Dadurch entsteht eine flexible, föderierte Cloud–Infrastruktur, die über ein zentrales Cloud Service–Portal genutzt werden kann.
Bei der Entscheidung über den Speicherort von Daten müssen neben technischen Aspekten immer auch rechtliche, organisatorische und strategische Faktoren berücksichtigt werden.
In der Praxis verfolgen wir daher einen strukturierten Beratungsansatz. Ziel ist es, zunächst Transparenz über die bestehende IT-Landschaft und die relevanten Anforderungen zu schaffen – und auf dieser Basis eine Architektur zu entwickeln, die langfristig Datenhoheit, Sicherheit und Wechselfähigkeit gewährleistet.
Schritt 1: Transparenz über Daten, Plattform und Abhängigkeiten schaffen
Zu Beginn analysieren wir gemeinsam mit unseren Kunden die bestehende IT-Umgebung. Dabei geht es nicht nur um technische Komponenten, sondern auch um Datenflüsse und rechtliche Rahmenbedingungen.
Typische Fragen in dieser Phase sind beispielsweise:
Diese Analyse schafft eine wichtige Grundlage, um Risiken und Handlungsoptionen realistisch bewerten zu können.
Schritt 2: Anforderungen an Datenhoheit und Architektur definieren
Im nächsten Schritt werden die Anforderungen an die zukünftige IT-Architektur konkretisiert. Dabei geht es unter anderem um Fragen wie:
Gerade in dieser Phase ist ein strukturierter Bewertungsrahmen nützlich. Ein hilfreicher Orientierungspunkt ist beispielsweise das EU Cloud Sovereignty Framework, das Kriterien zur Bewertung souveräner Cloud-Angebote definiert – etwa in Bezug auf Datenstandorte, rechtliche Kontrolle, Betriebsmodelle und technische Transparenz.
Schritt 3: Zielarchitektur und Exit-Strategien entwickeln
Auf Basis dieser Analyse entwickeln wir gemeinsam mit unseren Kunden eine geeignete Zielarchitektur. Dabei betrachten wir unterschiedliche Betriebsmodelle – von On-Premises über Private Cloud bis hin zu Hybrid- oder Multi-Cloud-Szenarien.
Ein wichtiger Bestandteil dieser Planung ist auch die Frage nach der Wechselfähigkeit. Wir prüfen daher frühzeitig:
Dieses Vorgehen hilft dabei, neue Abhängigkeiten frühzeitig zu vermeiden und langfristige Handlungsspielräume zu sichern.
Der Speicherort von Daten ist eine der zentralen Entscheidungen auf dem Weg zu mehr digitaler Souveränität. Dabei zeigt sich: Weder das eigene Rechenzentrum noch eine bestimmte Cloud-Plattform garantieren automatisch vollständige Kontrolle über Daten und Systeme. Entscheidend ist vielmehr eine durchdachte Architektur, die rechtliche Anforderungen, technische Möglichkeiten und langfristige Wechselfähigkeit gleichermaßen berücksichtigt.
Die Datenhoheit ist dabei nur eine Ebene der digitalen Souveränität. In den nächsten Teilen unserer Blogreihe betrachten wir daher weitere wichtige Aspekte – von der Infrastruktur und den eingesetzten Plattformtechnologien bis hin zu Anwendungen und KI.
„*“ zeigt erforderliche Felder an
„*“ zeigt erforderliche Felder an
Sie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen