Was ist Datensouveränität und warum ist sie wichtig?

In einer Cloud‑First‑Wirtschaft geht es bei der Daten‑Souveränität nicht mehr nur um den Speicherort. Es geht darum, die Kontrolle über Daten, Metadaten, Verschlüsselungsschlüssel, Zugriffspfade, operative Prozesse, Infrastrukturabhängigkeiten und Anbieterbeziehungen zu bewahren. T‑Systems sieht die Souveränität als Teil einer breiteren digitalen Grundlage: Organisationen müssen ihre digitalen Technologien, die Infrastruktur und die Daten nach regionalen Gesetzen, Werten und strategischen Prioritäten steuern. Für Führungskräfte wird die Daten‑Souveränität so zu einem strategischen Enabler. Sie ermöglicht es Unternehmen, Cloud, KI, Analytik und Datenökosysteme zu nutzen, ohne die Kontrolle über sensible Informationen, geistiges Eigentum, regulierte Workloads oder mission‑kritische Services zu verlieren.

Datensouveränität bedeutet, dass Ihr Unternehmen nachweisen kann, wo Daten gespeichert sind, wer darauf zugreifen kann, welche Gesetze gelten, wie sie geschützt sind und wie sie verschoben, gelöscht oder wiederverwendet werden können. Die Souveränität darf die Transformation nicht verlangsamen. Sie sollte die Transformation sicherer, vertrauenswürdiger und belastbarer machen.

T-Systems unterstützt Unternehmen, Organisationen des öffentlichen Sektors und regulierte Industrien dabei, Cloud‑Innovation mit Souveränität zu verbinden. Das Cloud-Services-Portfolio umfasst souveräne Cloud‑Modelle in öffentlichen, privaten, hybriden und hyperscaler‑integrierten Umgebungen, wobei T-Systems als Anbieter positioniert ist, der ein breites Souveränitätsspektrum innerhalb eines einzigen Frameworks abdecken kann.

Datensouveränität ist wichtig, weil die digitale Transformation heute von externen Plattformen, globalen Cloud‑Ökosystemen und zunehmend KI‑gesteuerter Datenverarbeitung abhängt. Diese Technologien schaffen geschäftlichen Mehrwert, bringen jedoch neue Abhängigkeiten mit sich.

Unternehmen können dadurch fremden Gesetzen, unautorisiertem Datenzugriff, Anbieterbindung, Störungen in der Lieferkette und unklarer Kontrolle über kritische digitale Dienste ausgesetzt sein. T‑Systems betont, dass digitale Souveränität in einer von Cloud, KI und globalen Technologie‑Ökosystemen geprägten Landschaft immer kritischer wird, weil Unternehmen die Kontrolle über Daten, Infrastruktur und digitale Abläufe behalten müssen, während sie sich an sich wandelnde regulatorische Anforderungen anpassen.

Dies ist insbesondere in Europa von Bedeutung, wo Datenschutz, digitale Autonomie und Vertrauen eng mit der öffentlichen Politik und der Wirtschaftsstrategie verbunden sind. Sovereign Cloud gewinnt an Bedeutung, weil Unternehmen Cloud‑Skalierbarkeit wünschen, Daten lokal behalten, die EU‑Regulierung unterstützen und sich vor unerwünschtem fremdem Zugriff schützen wollen. 
Für Unternehmen unterstützt Datensouveränität:

• Einhaltung der DSGVO, BSI‑Standards und branchenspezifischer Vorschriften
• Schutz von geistigem Eigentum und sensiblen Unternehmensdaten
• [ZIEL]: Reduzierte Abhängigkeit von einzelnen Anbietern oder nicht‑europäischen Plattformen
• Stärkere Resilienz gegenüber geopolitischen und Lieferkettenrisiken
• Vertrauenswürdige Einführung von KI, Analysen und Datenaustausch‑Ökosystemen
• Bessere Auditfähigkeit für Regulierungsbehörden, Kunden und Partner

Der zentrale Punkt ist einfach: Souveränität ist keine Isolation. Sie steuert die Teilnahme an der digitalen Wirtschaft.

Datensouveränität beginnt mit der Kontrolle über die Daten selbst. Organisationen müssen wissen, wo die Daten gespeichert sind, wer darauf zugreifen kann, wie sie verschlüsselt werden, welche Gesetze gelten und ob Dritte Zugriff erzwingen können. Die übergreifende Botschaft von T‑Systems zur digitalen Souveränität bezeichnet die Datensouveränität als eine der zentralen Säulen von Europas souveräner digitaler Zukunft: vollständige Kontrolle über die eigenen Daten.

Operative Souveränität: Kontrolle über die Betriebsabläufe

Operative Souveränität bedeutet, dass kritische Infrastruktur und Cloud‑Betrieb unabhängig gesteuert werden. Sie umfasst Verwaltung, Support, Monitoring, Sicherheitsoperationen, Incident‑Response und privilegierten Zugriff.Das ist wichtig, denn selbst wenn Daten lokal gespeichert werden, kann der operative Zugriff ein Risiko darstellen. Eine Souveränitätsstrategie für die Cloud muss daher klar festlegen, wer die Infrastruktur betreibt, wo sich das Betriebspersonal befindet und wie Zugriffe genehmigt, protokolliert und überprüft werden.

Software- und technologische Souveränität: Kontrolle über technologische Entscheidungen

Software‑ oder technologische Souveränität reduziert die Abhängigkeit von proprietären oder nicht‑europäischen Technologie‑Stacks. Sie unterstützt Flexibilität, Portabilität, offene Standards und Unabhängigkeit von Anbieter‑Abhängigkeiten.
Die public‑Cloud‑Lösung von T Cloud Public ist vollständig auf Open‑Source‑Technologie aufgebaut und soll volle digitale Souveränität, Unabhängigkeit von nicht‑europäischen Anbietern, geo‑redundante Rechenzentren in Deutschland, Confidential Computing sowie die Einhaltung von Standards wie ISO 27001 und BSI C5 bieten.

Rechtliche Souveränität: Kontrolle nach geltendem Recht

Rechtliche Souveränität konzentriert sich darauf, welche Rechtsrahmen Daten und Infrastruktur regeln. Sie unterstützt Organisationen dabei, Risiken im Zusammenhang mit grenzüberschreitendem Zugriff, ausländischer Gesetzgebung und vertraglichen Risiken zu beurteilen.

Digitale Souveränität: Kontrolle über die digitale Zukunft

Digitale Souveränität ist ein weiter gefasstes strategisches Konzept. Sie ist die Fähigkeit von Regierungen, Organisationen und Gesellschaften, digitale Technologien, Infrastruktur und Daten gemäß regionaler Gesetze, Werte und strategischer Prioritäten zu steuern.
Für Unternehmen bedeutet digitale Souveränität die Fähigkeit, mit Cloud und KI zu innovieren und dabei Resilienz, Compliance und strategische Unabhängigkeit zu wahren.
Digitale Souveränität ist die Fähigkeit, im digitalen Umfeld selbstbestimmte Entscheidungen zu treffen. Sie umfasst Daten, Infrastruktur, Cloud‑Plattformen, Software‑Stacks, Cybersicherheit, KI, Identität, den Betrieb und die Teilnahme am Ökosystem.
T‑Systems definiert digitale Souveränität als die Aufrechterhaltung der Kontrolle darüber, wie digitale Technologien eingesetzt werden, wo Daten gespeichert und verarbeitet werden und wer auf kritische Systeme zugreifen kann.
Für Unternehmen geht es bei digitaler Souveränität nicht darum, globale Technologie abzulehnen. Es geht darum, Technologie zu kontrollierten Bedingungen zu nutzen.

Ein digital souveränes Unternehmen kann:

• Nutzen Sie die Cloud, ohne die Kontrolle über kritische Daten zu verlieren.
• KI einsetzen, ohne sensible Informationen preiszugeben
• Erfüllen Sie die europäischen und branchenspezifischen Vorschriften
• Reduzieren Sie die Abhängigkeit von einzelnen Anbietern
• Geschäftskontinuität schützen
• Auditfähigkeit und Transparenz aufrechterhalten
• Wählen Sie zwischen öffentlichen, privaten, hybriden und souveränen Cloud-Modellen

Die Position von T-Systems ist eindeutig: Souveränität ist zur Grundlage für sichere digitale Transformation und resiliente digitale Ökosysteme geworden.

Warum ist souveräne KI die nächste Herausforderung der Datensouveränität?

KI verändert die Diskussion um Datensouveränität. Es reicht nicht mehr, zu wissen, wo Datenbanken gespeichert werden. Unternehmen müssen zudem wissen, wo Prompts, Embeddings, Trainingsdaten, Fine‑Tuning‑Daten, Inferenz‑Workloads, Protokolle und Modellausgaben verarbeitet werden.
Souveräne KI bedeutet, dass KI‑Systeme entwickelt, bereitgestellt und betrieben werden, um sensible Daten zu schützen, regulatorische Anforderungen zu unterstützen und Unternehmen die Kontrolle über Modelle, Infrastruktur und Datenflüsse zu ermöglichen.

Eine souveräne KI-Strategie sollte beantworten:

• Wo werden KI-Daten gespeichert und verarbeitet?
• Werden Eingaben und Ausgaben protokolliert?
• Können sensible Daten die Gerichtsbarkeit verlassen?
• Werden Unternehmensdaten zum Training externer Modelle verwendet?
• Wer betreibt die KI-Infrastruktur?
• Kann die Organisation die Modellnutzung und den Datenzugriff auditieren?
• Welche Vorschriften gelten, einschließlich DSGVO und dem EU AI Act?

Die aktuelle Positionierung von T-Systems zum Thema Souveränität stellt zudem den Bezug zwischen digitaler Souveränität und KI-Infrastrukturen her. Demnach umfasst digitale Souveränität Daten-, Rechts-, Betriebs- und Technologiesouveränität. Gleichzeitig wird die Industrial AI Cloud der Deutschen Telekom als leistungsfähige KI-Infrastruktur beschrieben, die in München betrieben wird und für das Training sowie den Betrieb großer KI-Modelle ausgelegt ist. KI‑gestützte Observability, Automatisierung und intelligente Betriebsabläufe verbessern die nächste Generation von Managed Services.T-Systems hat sein KI‑gestütztes Managed‑Services‑Portfolio erweitert und damit seinen Fokus darauf bestärkt, Kunden weltweit resilientere, skalierbare und intelligente IT‑Operations bereitzustellen.Für Unternehmen ist die Botschaft klar: KI‑Souveränität beginnt mit Daten‑Souveränität.

Datenresidenz bezeichnet den Ort, an dem Daten physisch oder logisch gespeichert sind. In Cloud‑Umgebungen bedeutet das in der Regel die ausgewählte Cloud‑Region, das Rechenzentrum, die Verfügbarkeitszone oder den Backup‑Standort. Eine einfache Definition lautet Datenresidenz beschreibt, wo Ihre Daten sich befinden.
Datenresidenz ist wichtig für die DSGVO, sektorspezifische Regulierung, Beschaffungen im öffentlichen Sektor, Kundenverträge und interne Risikopolitiken. Allerdings ist die Residenz nur eine Ebene der Souveränität.
Eine Workload kann in Deutschland gehostet werden, wirft jedoch weiterhin Fragen auf zu:

• Wer betreibt die Infrastruktur
• Welche juristische Person kontrolliert den Service
• Wo Metadaten und Protokolle gespeichert werden
• Wer kann auf Verschlüsselungsschlüssel zugreifen
• Ob Support‑Teams außerhalb der EU auf Systeme zugreifen können
• Ob Daten repliziert oder an anderer Stelle verarbeitet werden
• Welche Subunternehmer sind beteiligt

Deshalb geht der Souveränitätsansatz von T-Systems über den „Datenzentrum‑Standort“ hinaus und konzentriert sich auf Daten-, Betriebs-, Software- und digitale Souveränität.

Was ist Datenlokalisierung?

Datenlokalisierung bedeutet, dass Daten innerhalb eines definierten Landes, einer Region oder einer Rechtsordnung bleiben müssen. Sie wird in der Regel durch Gesetze, Vorschriften, Richtlinien des öffentlichen Sektors, Kundenverträge oder branchenspezifische Anforderungen getrieben. Kurz gesagt, Datenlokalisierung definiert, was Daten geografisch dürfen.

Lokalisierungsanforderungen können gelten für:

• Daten des öffentlichen Sektors
• Gesundheitsdaten
• Finanzunterlagen
• Telekommunikationsdaten
• Kritische Infrastrukturdaten
• Daten mit Bezug zur nationalen Sicherheit
• Bürger‑ oder Identitätsdaten
• Bestimmte industrielle oder vernetzte Produktdaten

Datenlokalisierung ist strenger als Datenresidenz. Datenresidenz kann eine Design‑Entscheidung sein. Datenlokalisierung ist eine verbindliche Anforderung.

Der Unterschied liegt in der Kontrolle. Datenspeicherung gibt an, wo Daten gespeichert werden. Datensouveränität beschreibt hingegen, ob eine Organisation nachweisen und sicherstellen kann, wie diese Daten verwaltet, auf sie zugegriffen, sie geschützt und verarbeitet werden. Zum Beispiel: Ein deutsches Unternehmen speichert Kundendaten in einer Cloud‑Region in Frankfurt. Das unterstützt die Datenresidenz. Dasselbe Unternehmen beschränkt den operativen Zugriff auf EU‑basiertes Personal, steuert Verschlüsselungsschlüssel, dokumentiert Metadatenflüsse, prüft Subunternehmer, automatisiert Audit‑Belege und definiert eine Exit‑Strategie. Das unterstützt die Datensouveränität. Datenresidenz kann die Datensouveränität unterstützen, garantiert sie jedoch nicht.

GDPR
Die Datenschutz‑Grundverordnung (DSGVO) ist das zentrale EU‑Rahmenwerk zum Schutz personenbezogener Daten. Sie gilt für die Verarbeitung personenbezogener Daten und enthält Regelungen zum Schutz personenbezogener Daten innerhalb und außerhalb der EU. Für die Souveränität ist die DSGVO wichtig, weil Organisationen die rechtmäßige Verarbeitung, Datenübermittlungen, Pflichten von Auftragsverarbeitern, Sicherheitskontrollen, Rechenschaftspflicht und die Rechte der betroffenen Personen verstehen müssen.

Schrems II und internationale Übertragungen
Das Schrems‑II‑Urteil hat die Prüfung internationaler Datenübermittlungen intensiviert, bei denen ausländische Zugriffsrechte den EU‑Schutz unterminieren könnten. Für Cloud‑Käufer bedeutet das, dass Transfer‑Impact‑Assessments, ergänzende Maßnahmen, Verschlüsselung und Transparenz der Anbieter wichtiger werden.

CLOUD Act
Der US‑CLOUD‑Act wird in europäischen Souveränitätsbewertungen häufig diskutiert, da er Bedenken hinsichtlich eines extraterritorialen Zugriffs auf Daten wecken kann, die von Anbietern unter US‑Jurisdiktion gehalten werden. Unternehmen, die globale Anbieter nutzen, prüfen häufig, ob technische, vertragliche und operative Kontrollen dieses Risiko mindern können.

EU Data Act¹
Der EU Data Act gilt seit dem 12. September 2025. Er ergänzt den Data Governance Act und führt Regeln zu Datenzugriff, -teilung, Interoperabilität und Datenverarbeitungs‑Dienstleistungen ein, einschließlich cloudbezogener Interoperabilitäts‑ und Wechselanforderungen. Für Unternehmen stärkt dies das Souveränitätsprinzip, dass Daten portabel und nutzbar bleiben sollten und nicht in einem Anbieter‑Ökosystem gefangen sind.

EU AI Act²
Der EU AI Act wird schrittweise angewendet, die vollständige Umsetzung ist bis zum 2. August 2027 geplant. Für souveräne KI ist das von Bedeutung, weil die KI‑Governance von kontrollierten Daten, nachvollziehbarer Verarbeitung, Risikomanagement, Transparenz und Verantwortlichkeit abhängt.

BSI C5³
Der BSI Cloud Computing Compliance Criteria Catalogue legt Mindestanforderungen für sicheres Cloud-Computing fest und richtet sich an Cloud-Anbieter, Prüfer und Kunden. Er unterstützt Kunden bei der Bewertung der Sicherheit von Cloud-Anbietern. Für deutsche Unternehmen und Organisationen des öffentlichen Sektors ist BSI C5 ein zentraler Bezugspunkt für Cloud‑Garantie und die Beschaffung souveräner Cloud‑Lösungen.

DORA, NIS2 und branchenspezifische Regeln
Finanzsektor, Gesundheitswesen, öffentliche Verwaltung, Energie, Telekommunikation und kritische Infrastrukturen stehen vor zusätzlichen Anforderungen hinsichtlich Resilienz, Cybersicherheit, Vorfallberichterstattung und Risiken durch Dritte. Die Seite Open Sovereign Cloud verweist ausdrücklich auf regulatorische Anforderungen wie die DSGVO, DORA, NIS2 und gematik in gängigen Kundenszenarien.

Was bedeutet Datensouveränität in Deutschland?

In Deutschland ist Datenhoheit eng verbunden mit Vertrauen, Datenschutz, Cybersicherheit, Verantwortlichkeit des öffentlichen Sektors, industrieller Wettbewerbsfähigkeit und digitaler Unabhängigkeit.
Da die Nachfrage nach souveranen Cloud‑Lösungen weiter in ganz Europa steigt, erweitern Anbieter wie die Deutsche Telekom und T-Systems ihr Angebot, um unterschiedlichen Souveränitätsanforderungen gerecht zu werden. Durch sein T Cloud‑Portfolio liefert T-Systems souveräne Cloud‑Dienste auf verschiedenen Souveränitätsebenen, die es Unternehmen ermöglichen, die Cloud‑Einführung an ihre regulatorischen, operativen und strategischen Bedürfnisse anzupassen. Statt sich auf ein einziges, geschlossenes Ökosystem zu verlassen, verfolgt T Cloud einen Multi‑Cloud‑Ansatz, bei dem hyperscaler‑Plattformen, von der Telekom betriebene Cloud‑Infrastrukturen und spezialisierte Partnerdienste in ein einheitliches Ökosystem integriert werden. Dadurch können Unternehmen Souveränität, Flexibilität und Innovation ausbalancieren und gleichzeitig eine größere Kontrolle über ihre Daten und Arbeitslasten behalten.

Deutsche Organisationen bewerten Souveränität häufig anhand von:

• DSGVO‑ und BDSG‑Konformität
• BSI C5-Cloud‑Assurance
• Sektorspezifische Anforderungen wie Gesundheitswesen, Finanzsektor und öffentlicher Sektor
• Deutscher oder EU‑Rechenzentrum‑Standort
• EU-basierte Operationen und Support
• Transparente Subunternehmer‑Governance
• Verschlüsselung und Schlüsselkontrolle
• Auditierbarkeit und Beweiserzeugung
• Portabilität und Ausstiegsoptionen

Für deutsche Unternehmen ist Datensouveränität nicht nur eine rechtliche Frage. Sie ist eine strategische Unternehmenspriorität, die dazu beiträgt, das Kundenvertrauen zu schützen, industrielles Know‑how zu sichern, die operative Resilienz zu stärken und die langfristige digitale Unabhängigkeit zu unterstützen.

Gesundheitswesen: Sicherung von Patientendaten

Gesundheitsorganisationen müssen Innovationen mit strengen Datenschutz- und Compliance‑Anforderungen in Einklang bringen. Souveräne Cloud macht das möglich. Universitätsklinikum Schleswig-Holstein und Brain+ nutzen beide T Cloud Public, um sensible Daten sicher zu verarbeiten und gleichzeitig Skalierbarkeit über Märkte hinweg zu ermöglichen.

Unternehmens­transformation

TDK hat über 100 Systeme ohne Unterbrechungen in die Cloud von T-Systems migriert, wodurch Sicherheit, Zuverlässigkeit und Kosteneffizienz verbessert wurden und gezeigt wird, wie T Cloud Private großflächige Modernisierung unterstützt. Softwareunternehmen benötigen skalierbare Cloud-Lösungen und zugleich das Management von Risiko, Compliance und Resilienz. Souveräne Cloud ermöglicht Innovation, ohne die operative Kontrolle zu verlieren. Beispielsweise nutzt amber Tech GmbH amberSearch, gehostet auf T Cloud Public, um die Produktivität zu steigern und gleichzeitig die Datensouveränität für regulierte Kunden zu gewährleisten.

Automotive: kontrollierte Datenökosysteme

Automobilunternehmen sind auf Daten aus Fahrzeugen und Systemen angewiesen. Die Volkswagen Group Private Cloud, aufgebaut auf T Cloud Private, zentralisiert Anwendungen und hält Daten innerhalb der europäischen regulatorischen Grenzen.

Öffentlicher Sektor: vertrauenswürdige digitale Dienste

Regierungen benötigen Transparenz und rechtliche Kontrolle. T Cloud Public ermöglicht deutschen Behörden, sicher über ein standardisiertes Rahmenwerk auf Cloud- und KI‑Dienste zuzugreifen.

KI und Compliance

Lösungen wie Legalian demonstrieren, wie die souveräne Cloud KI in sensiblen Bereichen wie der Geldwäschebekämpfung unterstützt und dabei Verantwortlichkeit und Compliance gewährleistet.

Öffentlicher Verkehr: Vorantreiben digitaler Souveränität

Öffentliche Verkehrssysteme können die Cybersicherheit stärken und gleichzeitig die digitale Souveränität erhöhen – beide Ziele können und sollten gemeinsam verfolgt werden. Die Umsetzung erfordert jedoch eine klare, frühzeitige Bewertung der Souveränität‑Anforderungen vor der Implementierung.

Industrielle und Bildungs‑Use Cases

• Scheer Group nutzt souveräne Cloud‑Infrastruktur für sichere industrielle KI‑Automatisierung
• Avendoo gewährleistet die Schweizer Datenresidenz über Swiss T Cloud Public
• DeutschlandGPT’s BildungsLLM, gehostet von T Cloud Public, liefert sichere, regelkonforme KI für Schulen

Verwechslung von Speicherort und Kontrolle
Viele Organisationen glauben, dass die Auswahl einer lokalen Cloud‑Region die Souveränität löst. Das ist nicht der Fall. Souveränität hängt zudem von Operationen, Zugriff, Metadaten, rechtlicher Einheit, Support‑Prozessen, Verschlüsselungsschlüsseln und Nachvollziehbarkeit ab.

Fragmentierte Regulierung
Unternehmen arbeiten länder‑ und branchenübergreifend sowie mit unterschiedlichen Datentypen. GDPR, BSI C5, DORA, NIS2, der EU Data Act, der EU AI Act und branchenspezifische Anforderungen müssen in eine praxisnahe Architektur überführt werden.

Abhängigkeit vom Anbieter
Die Souveränität wird geschwächt, wenn Organisationen Workloads nicht verschieben, Anbieterabhängigkeiten nicht verstehen oder Verträge ohne Unterbrechungen beenden können. Die ⁴ Anforderungen des EU Data Act an Cloud‑ und Datenverarbeitungsdienste erhöhen die Bedeutung von Wechsel, Interoperabilität und Portabilität.

Risiko des operativen Zugriffs
Daten können lokal gespeichert werden, doch Support‑ oder Administrationsaktivitäten können dennoch grenzüberschreitende Risiken erzeugen. Operative Souveränität muss daher bereits bei der Anbieterauswahl und dem Cloud‑Design berücksichtigt werden.

Metadaten und Protokolle
Metadaten, Telemetrie, Protokolle und Support‑Daten können sensible Informationen enthalten. Souveränitätsstrategien müssen diese abdecken, nicht nur primäre Datenbanken.

Fehlende Nachweise
Eine Richtlinie reicht nicht aus. Unternehmen benötigen prüfbare Nachweise: Protokolle, Kontrollberichte, Zugriffsfreigaben, Verschlüsselungsstatus, Datenkarten, vertragliche Schutzmaßnahmen sowie Dokumentation von Incident‑Response‑Prozessen.

KI‑Datenlecks
KI erzeugt neue Datenflüsse. Prompts, Embeddings, Retrieval‑Systeme und Modellausgaben müssen wie andere sensible Datenbestände gesteuert werden.

Eine praxisnahe Umsetzung sollte mit dem Geschäftsrisiko und der Workload‑Sensitivität beginnen, nicht mit einem Cloud‑Produkt.

Schritt 1: Anwendungen und Daten klassifizieren

Identifizieren Sie, welche Anwendungen wirklich sensibel sind. T‑Systems und Detecon betonen, dass die Anwendung das Niveau der Souveränität bestimmt: Nicht jeder Anwendungsfall erfordert die gleiche Souveränitätstiefe.

Daten klassifizieren in:

• Öffentliche Daten
• Interne Unternehmensdaten
• Vertrauliche Daten
• Personenbezogene Daten
• Besondere personenbezogene Daten
• Regulierte Daten
• Kritische Infrastrukturdaten
• Geistiges Eigentum
• KI-Trainings- und Inferenzdaten

Schritt 2: Datenflüsse kartierenDokumentieren Sie, wo Daten erhoben, gespeichert, verarbeitet, gesichert, repliziert, protokolliert und übertragen werden. Berücksichtigen Sie SaaS‑Plattformen, APIs, Analyse‑Tools, KI‑Dienste, Data‑Lakes, Support‑Systeme und Integrations‑Schichten.Schritt 3: Souveränitätsanforderungen nach Workload definierenNicht alle Workloads benötigen eine vollständig isolierte souveräne Umgebung. Legen Sie fest, welche Anforderungen für jeden Workload gelten:

• Nur Datensouveränität
• Daten- und Betriebssouveränität
• Daten-, operative und Software‑Souveränität
• Vollständige digitale Souveränität mit Open-Source- oder dedizierter Infrastruktur

Schritt 4: Wählen Sie das richtige Cloud‑Modell

Ordnen Sie die Workloads dem passenden Modell zu:

• Standard Public Cloud für Workloads mit geringem Risiko, die Skalierbarkeit und schnelle Innovation erfordern
• T Cloud Public für Unternehmen, die cloud‑native Fähigkeiten im Telekom‑Cloud‑Ökosystem suchen und dabei von regionaler Expertise sowie souveränitätsorientierten Kontrollen profitieren.
• Private Cloud für sensible Business‑Anwendungen, die dedizierte Ressourcen, höhere Anpassbarkeit und engere betriebliche Kontrolle erfordern
• Souveräne Kontrollen auf Hyperscalern für regulierte Workloads, die hyperskalare Innovation benötigen, kombiniert mit verbesserter Datenresidenz, Zugriff und betrieblichen Schutzmaßnahmen.
• Gehostete Sovereign Cloud für Organisationen, die stärkere operative Souveränität und kontrollierte Verwaltung benötigen.
• Open Sovereign Cloud für maximale Unabhängigkeit, Transparenz und Open‑Source‑basierte Kontrolle über Infrastruktur und Software
• Hybrid- oder Multi‑Cloud‑Umgebungen für komplexe Unternehmenslandschaften, die Performance, Kosten, Innovation und unterschiedliche Souveränitätsanforderungen über die Workloads hinweg in Einklang bringen müssen.

Schritt 5: Operative Kontrollen entwerfenLegen Sie fest, wer auf Systeme zugreifen kann, von wo aus und nach welchem Genehmigungsverfahren. Verwenden Sie Privileged Access Management, das Prinzip der minimalen Rechte, Protokollierung, Aufgabentrennung und Incident‑Response‑Playbooks, die an die jeweiligen Rechtsvorgaben angepasst sind.

Schritt 6: Verschlüsselung und Schlüssel steuern

Verschlüsselung ist nur dann souverän, wenn die Schlüsselkontrolle souverän ist. Entscheiden Sie, ob Schlüssel vom Anbieter verwaltet, vom Kunden verwaltet oder extern gehalten werden. Für hochsensible Workloads sollten Sie eine nationale oder kundengesteuerte Schlüsselverwaltung evaluieren.

Schritt 7: Auditausweise automatisieren

Souveränität muss nachweisbar sein. Automatisieren Sie die Berichterstellung für Regionskonfiguration, Zugriffsprotokolle, Verschlüsselungsstatus, Backup‑Standort, Datenübertragungen, Administratorzugriff und Anbieterauskünfte.

Schritt 8: Eine langfristige Roadmap erstellen

T-Systems und Detecon empfehlen, souveräne Cloud‑Lösungen strategisch einzubetten, nicht als vollständigen Ersatz, sondern als Ergänzung, wenn Multi‑Cloud‑Szenarien und verschiedene Souveränitätsstufen berücksichtigt werden.

Die Verwaltung sensibler Daten in der heutigen Welt erfordert die beste souveräne Cloud. Skalierbarkeit, Funktionalität und Souveränität: Wählen Sie die Ebenen gemäß Ihrem Bedarf. Entdecken Sie unser Video, um mehr über führende souveräne Cloud-Lösungen für Europa zu erfahren.

Verwenden Sie diese Fragen vor der Unterzeichnung:

• Wo genau werden Daten, Metadaten, Backups und Protokolle gespeichert?
• Wer betreibt die Infrastruktur und aus welcher Gerichtsbarkeit?
• Kann der Zugriff auf EU-basiertes Personal beschränkt werden?
• Wer kontrolliert die Verschlüsselungsschlüssel?
• Welche juristische Person erbringt die Dienstleistung?
• Welche Subunternehmer sind beteiligt?
• Wie werden Anfragen von Strafverfolgungsbehörden bearbeitet?
• Sind BSI C5, ISO 27001 oder andere Berichte verfügbar?
• Kann der Anbieter GDPR, DORA, NIS2 oder branchenspezifische Anforderungen unterstützen?
• Wird der Support‑Zugriff protokolliert, genehmigt und auditierbar?
• Können Workloads ohne übermäßige Bindung migriert werden?
• Ist Open-Source- oder Open-Standard-Architektur bei Bedarf verfügbar?
• Sind KI-Datenflüsse gesteuert und isoliert?
• Kann die Automatisierung von Compliance‑Nachweisen erfolgen?
• Bietet der Anbieter mehrere Souveränitätsstufen?

Das Wertversprechen von T-Systems ist hier besonders stark, weil das Unternehmen Souveränität nicht als ein starres Produkt versteht. Stattdessen bietet T-Systems ein Portfolio aus Public-, Private- und Hybrid-Cloud-Lösungen sowie hyperscalerintegrierten Modellen. So können Unternehmen für jede Workload das passende Maß an Souveränität wählen.

Checkliste zur Auswahl eines datensouveränen Cloud‑Anbieters

Verwenden Sie diese Checkliste als praktischen Einkaufsleitfaden:

• Datenstandort ist eindeutig dokumentiert
• Metadaten, Protokolle und Backups sind in der Bewertung enthalten.
• Cloud‑Operationen berücksichtigen die Rechtsordnung
• Der administrative Zugriff ist eingeschränkt und auditierbar
• Die Kontrolle über Verschlüsselungsschlüssel richtet sich nach der Sensibilität der Workload.
• Der Anbieter unterstützt relevante europäische und deutsche Anforderungen
• BSI C5, ISO 27001 oder vergleichbare Zertifizierung ist verfügbar
• Juristische Person des Anbieters und das anwendbare Recht sind transparent
• Subunternehmer und Unterstützungsketten werden offengelegt
• Datenübertragungsmechanismen werden dokumentiert
• Incident‑Response‑Playbooks entsprechen lokalen Verpflichtungen
• Portabilität und Austrittsoptionen sind vertraglich definiert
• Offene Standards oder Open‑Source‑Optionen stehen bei Bedarf zur Verfügung.
• KI-Nutzungs- und Modell‑Trainingsrichtlinien sind eindeutig.
• Compliance‑Nachweise können automatisch erstellt werden.

Eine an T-Systems orientierte Souveränitätsstrategie setzt beim jeweiligen Workload an. So werden Anwendungen mit geringem Risiko nicht unnötig komplex gestaltet, während die Systeme mit den höchsten Schutzanforderungen gezielt abgesichert werden.

Datensouveränität ist auch zentral für vertrauenswürdigen Datenaustausch. Moderne Unternehmen müssen Daten mit Lieferanten, Kunden, öffentlichen Institutionen, Forschungsnetzwerken und Ökosystempartnern teilen. Doch das Teilen von Daten sollte nicht bedeuten, die Kontrolle darüber zu verlieren. Datenräume unterstützen den kontrollierten Datenaustausch, indem sie festlegen, wer Daten nutzen darf, zu welchem Zweck und unter welchen Regeln. Dies ist relevant für die Ökosysteme von Automobil, Fertigung, Logistik, Gesundheitswesen, Energie und dem öffentlichen Sektor. Für T-Systems‑Kunden verbindet die Souveränität mit geschäftlichem Nutzen: Daten können sicher über Ökosysteme hinweg geteilt werden, während Kontrolle, Rückverfolgbarkeit und Compliance erhalten bleiben.

Wie kann Datensouveränität zu einem Wettbewerbsvorteil werden?

Datensouveränität wird häufig als rein defensive Compliance‑Frage betrachtet. Doch T‑Systems sieht das weiter gefasst: Souveränität stärkt Resilienz, Vertrauen und die Geschäftskontinuität. T‑Systems argumentiert, dass digitale Souveränität nicht mehr nur eine Compliance‑Aufgabe ist; sie stellt einen geschäftlichen Vorteil dar, der Führungskräften hilft, den Betrieb zu sichern, Resilienz aufzubauen und in globalen Märkten wettbewerbsfähig zu bleiben.

Eine starke Datensouveränitäts‑Strategie unterstützt Organisationen:

• Beschleunigen Sie die Cloud-Adoption in regulierten Umgebungen
• Vertrauen von Kunden und Regulierungsbehörden aufbauen
• Abhängigkeit von einzelnen Anbietern reduzieren
• Resilienz gegenüber Störungen verbessern
• Geistiges Eigentum schützen
• Konforme KI‑Innovation ermöglichen
• Unterstützung sicherer Datenfreigabe
• Lock‑in durch Portabilität vermeiden
• Erstellung auditfähiger Nachweise
• Europas digitale Wertschöpfung stärken

Das Ziel ist nicht, Daten unter Verschluss zu halten. Das Ziel ist, Daten sicher, vertrauensvoll und zu den eigenen Bedingungen zu nutzen.

¹ Data Act explained, https://digital-strategy.ec.europa.eu/en/factpages/data-act-explained

² Timeline for the Implementation of the EU AI Act, https://ai-act-service-desk.ec.europa.eu/en/ai-act/timeline/timeline-implementation-eu-ai-act

³ Cloud Computing Compliance Criteria Catalogue, https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html

⁴ Data Act explained, https://digital-strategy.ec.europa.eu/en/factpages/data-act-explained