Sribavan Sovereign Cloud

Der Leitfaden für Systemarchitekten und CTOs
1. Auflage 2026
ISBN: 978-3-367-11656-0
Verlag: Rheinwerk
Format: EPUB
Kopierschutz: 0 - No protection

E-Book, Deutsch, 431 Seiten

Unternehmen und Behörden in Deutschland stehen vor der Frage, wie abhängig sie von internationalen Tech-Anbietern sein wollen – und dürfen. Die regulatorische Anforderungen durch NIS2, den AI Act oder nationale Vorgaben steigen, mit Recht wachsen auch die Bedenken.

Dieser Leitfaden gibt Ihnen Orientierung in einem komplexen Feld aus Technologie, Regulierung und Markt. Sie erfahren, welche souveränen Alternativen es zu AWS, Microsoft & Co. gibt, wie realistisch verschiedene Sovereign-Cloud-Modelle sind und wie Sie fundierte Entscheidungen für Ihre Organisation treffen.

Aus dem Inhalt:

• Digitale Souveränität, Datensouveränität und technologische Souveränität
• Der politische Rahmen in Deutschland
• Die Vorgaben der EU und die nationale Umsetztung
• Das deutsche Ökosystem und internationale Anbieter aus deutscher Perspektive
• Deployment-Modelle und strategische Einordnung
• Technische Architektur
• Sicherheit, Compliance & Zertifizierung
• Souveränitätsanalyse und Entscheidungsmatrix
• Einführung für Wirtschaft & Verwaltung
• Migration & Change Management
• Sovereign AI: Modelle & technische Umsetzung
• Strategische Roadmap: Deutschland, Europa und die Welt

Autoren/Hrsg.

Sribavan, Nish

Inhaltsverzeichnis

  Vorwort ... 19

  1.  Einleitung ... 25

       1.1 ... Warum digitale Souveränität jetzt wichtig ist ... 26

       1.2 ... Die besondere Rolle Deutschlands im internationalen Vergleich ... 28

       1.3 ... Was dieses Buch nicht ist ... 30

       1.4 ... Wer dieses Buch lesen sollte ... 31

       1.5 ... Wie Sie dieses Buch lesen können ... 33

       1.6 ... Was Sie aus diesem Buch mitnehmen sollen ... 35

TEIL I.  Die digitale Souveränität in Deutschland ... 39

  2.  Grundlagen der digitalen Souveränität ... 41

       2.1 ... Datensouveränität, technologische und operative Souveränität ... 42

       2.2 ... Warum Deutschland strukturell verwundbar ist ... 49

       2.3 ... Digitale Souveränität als Standort-, Wettbewerbs- und Sicherheitsfaktor ... 56

       2.4 ... Risiken globaler Abhängigkeiten ... 60

       2.5 ... Europäische Strategien und Regulierungsrahmen ... 67

       2.6 ... Individuelle und gesellschaftliche Souveränität ... 72

       2.7 ... Open Source und offene Standards als Enabler digitaler Souveränität ... 78

       2.8 ... Messung und Steuerung digitaler Souveränität ... 81

       2.9 ... Strategische Handlungsfelder für digitale Souveränität ... 86

  3.  Der politische Rahmen in Deutschland ... 93

       3.1 ... Nationale Strategien ... 93

       3.2 ... Die Souveränitätsziele der Bundesregierung ... 98

       3.3 ... Die operative Bedeutung für Verwaltung und kritische Infrastrukturen ... 100

       3.4 ... Digitalstrategie, Beschaffung und operative Vorgaben ... 102

       3.5 ... Die Rolle der Parlamente und politischen Institutionen ... 107

  4.  Die Vorgaben der EU und die nationale Umsetzung ... 113

       4.1 ... Die Cloud-Regulierungen ... 113

       4.2 ... Extraterritoriale Risiken und Kontrolle durch anwendbares Recht ... 119

       4.3 ... Europäische Sicherheitsstandards und Zertifizierungen ... 121

       4.4 ... Rückbindung an die deutsche Umsetzung ... 123

TEIL II.  Sovereign Cloud: Markt, Anbieter und Realität ... 125

  5.  Das deutsche Ökosystem ... 127

       5.1 ... Deutsche Anbieter ... 127

       5.2 ... Bedeutung für die deutsche Verwaltung und KRITIS ... 130

       5.3 ... Souveränität für Industrie und Mittelstand ... 132

       5.4 ... Markttrends und Herausforderungen ... 133

  6.  Internationale Anbieter aus deutscher Perspektive ... 137

       6.1 ... AWS European Sovereign Cloud ... 137

       6.2 ... Microsoft EU Data Boundary and Sovereign Controls ... 139

       6.3 ... Google Cloud Sovereign Controls ... 140

       6.4 ... Europäische Player: Outscale, OVHCloud ... 142

       6.5 ... Alibaba Cloud als geopolitischer Vergleichspunkt ... 143

       6.6 ... Vergleichende Einordnung und strategische Konsequenzen ... 144

       6.7 ... Referenzarchitektur für eine deutsche Landesbehörde ... 147

  7.  SAP und die deutsche Souveränitätslandschaft ... 151

       7.1 ... Die Rolle von SAP in Deutschland: Staat, Verwaltung, Industrie ... 152

       7.2 ... SAPs Sovereign Cloud: Architektur und Governance-Modelle ... 154

       7.3 ... Partnerschaften: OpenAI, Mistral und Delos ... 157

       7.4 ... Die Schlüsselrolle von SAP im deutschen Markt ... 160

       7.5 ... Relevanz für KRITIS, den öffentlichen Bereich und den Mittelstand ... 161

       7.6 ... Grenzen heutiger Sovereign-Modelle im SAP-Kontext ... 163

  8.  Executive Insights - Markt und Anbieter ... 167

       8.1 ... Drei Anbieterlogiken ... 168

       8.2 ... Zwischen Plattformmacht und Kontrolle ... 171

       8.3 ... Nähe allein schafft noch keine Souveränität ... 174

       8.4 ... Swisscom - Souveränität als nationale Infrastrukturfrage ... 177

       8.5 ... SAP - Geschäftsprozesse als Souveränitätsebene ... 179

       8.6 ... Red Hat - Open Source als Exit- und Kontrollschicht ... 181

       8.7 ... IBM - Technology Optionality als strategischer Kern ... 183

       8.8 ... Die Konflikte des Sovereign-Cloud-Marktes ... 186

       8.9 ... Die Realität souveräner Cloud-Strategien ... 190

TEIL III.  Deployment-Modelle und operative Souveränität ... 197

  9.  Sovereign Cloud: Deployment-Modelle und strategische Einordnung ... 199

       9.1 ... Deployment-Modelle sind Führungsentscheidungen ... 201

       9.2 ... Hosted-Sovereign-Modelle ... 204

       9.3 ... Sovereign Controls bei Hyperscalern ... 207

       9.4 ... Public-Sovereign-Cloud-Ansätze ... 211

       9.5 ... Fully-Sovereign-On-Premises- und Onsite-Modelle ... 215

       9.6 ... Sovereign AI als Bestandteil von Deployment-Strategien ... 217

       9.7 ... Entscheidungslogik für Deployment-Modelle ... 219

10.  Die technische Architektur souveräner Cloud-Umgebungen ... 225

       10.1 ... Identität und Zugriff ohne Fremdzugriff ... 226

       10.2 ... Schlüsselmanagement ... 233

       10.3 ... Netzwerkisolierung, Zero Trust und Mandantentrennung ... 235

       10.4 ... Protokollierung, Überwachung und Auditierbarkeit ... 237

       10.5 ... Datenkontrolle und Sovereign AI in der Architektur ... 238

       10.6 ... Referenzarchitekturen für Behörden, KRITIS und Industrie ... 240

11.  Sicherheit, Compliance und Zertifizierung in Deutschland ... 243

       11.1 ... Warum Compliance-Projekte in der Praxis scheitern ... 243

       11.2 ... BSI C5 und IT-Grundschutz als nationale Basis ... 245

       11.3 ... EUCS und das EU Cloud Sovereignty Framework ... 247

       11.4 ... SecNumCloud, ENS und europäische Benchmarks im Vergleich ... 249

       11.5 ... Prüfbare Souveränität ... 251

12.  Executive Insights - Architektur und Umsetzung ... 255

       12.1 ... Souveränität beginnt mit Klarheit über die Risiken ... 256

       12.2 ... Die größte Lücke liegt in der Governance ... 257

       12.3 ... Die Architektur ist nicht neu, aber die Anforderungen sind schärfer ... 259

       12.4 ... Exit-Fähigkeit wird zur Architekturdisziplin ... 260

       12.5 ... Kosten ... 262

       12.6 ... Multi-Cloud erhöht nicht automatisch die Souveränität ... 264

       12.7 ... Open Source als operative Kontrolloption ... 267

       12.8 ... Souveränität bedeutet Handlungsfähigkeit unter Unsicherheit ... 268

TEIL IV.  Einführung in die Sovereign Cloud: Roadmaps, Kosten und Organisation ... 273

13.  Souveränitätsanalyse und Entscheidungsmatrix ... 275

       13.1 ... Kosten-Risiko-Kompetenz-Matrix ... 276

       13.2 ... Stakeholder-Politik in der Organisation ... 279

       13.3 ... Governance für deutsche Organisationen ... 281

       13.4 ... Reifegradmodell: Sovereign Readiness Assessment ... 284

       13.5 ... Der souveräne Entscheidungsprozess ... 285

       13.6 ... Souveränität über den gesamten Lifecycle ... 287

       13.7 ... Make or buy: Strategische Souveränitätsentscheidung ... 288

       13.8 ... Risikobasierte Szenarioplanung ... 294

14.  Einführungsszenarien für Wirtschaft und Verwaltung ... 297

       14.1 ... Mittelstand: Einstieg und Skalierung ... 298

       14.2 ... Verwaltung: Souveränität im föderalen System ... 299

       14.3 ... Industrie zwischen Innovation und Plattformabhängigkeit ... 301

       14.4 ... KRITIS-Betreiber: Resilienz unter geopolitischem Druck ... 302

       14.5 ... Wie Vorstände Souveränität wirtschaftlich rechtfertigen ... 303

15.  Migration und Change-Management ... 307

       15.1 ... Migrationswege ... 308

       15.2 ... Typische Fehler und Lessons Learned ... 310

       15.3 ... Change-Management in Behörden und Industrie ... 313

       15.4 ... Betrieb und Weiterentwicklung ... 315

       15.5 ... Exit-Planung als integraler Bestandteil ... 317

TEIL V.  KI als neue Souveränitätsschicht ... 321

16.  Der AI Act und Deutschlands Weg zur souveränen KI ... 323

       16.1 ... Der AI Act der Europäischen Union ... 323

       16.2 ... Risiko-Klassen und Compliance-Folgen ... 326

       16.3 ... Warum KI ohne Souveränität nicht mehr möglich ist ... 328

       16.4 ... Die politische Zielsetzung Deutschlands ... 330

       16.5 ... Deutschlands Abhängigkeit bei KI - und wie Sovereign AI sie reduziert ... 331

       16.6 ... Ein Governance-Framework für Sovereign AI ... 334

17.  Sovereign AI ... 339

       17.1 ... Was mit Ihren Daten im LLM (Large Language Model) passiert ... 339

       17.2 ... Europäische Modelle ... 341

       17.3 ... Globale Modelle ... 342

       17.4 ... On-Premises-Ansätze und Edge-Architekturen als Weg zu maximaler Kontrolle mit hohem Aufwand ... 344

       17.5 ... Governance, Auditierbarkeit und Modellkontrolle ... 345

       17.6 ... Foundation Models ... 346

       17.7 ... Die Illusion der Souveränität ... 348

       17.8 ... Architekturmuster für Sovereign AI ... 350

18.  KI im Einsatz ... 353

       18.1 ... Der Einfluss von KI auf die öffentliche Verwaltung ... 353

       18.2 ... Justiz und Sicherheitsbehörden unter Unsicherheit ... 355

       18.3 ... Gesundheitswesen und Energieversorgung als kritische Systeme ... 356

       18.4 ... Industrielle Produktion und Wertschöpfung ... 359

       18.5 ... Souveräne KI als strategische Schlüsseltechnologie ... 362

19.  Executive Insights - KI und Souveränität ... 367

       19.1 ... Warum KI die Souveränitätsfrage verschärft ... 368

       19.2 ... Europäische Modelle zwischen Anspruch und Realität ... 370

       19.3 ... Vertrauen ohne Skalierung reicht nicht aus ... 372

       19.4 ... Souveränität beginnt bei der Recheninfrastruktur ... 374

       19.5 ... Modelle, Kontext und kontrollierte Nutzung ... 376

       19.6 ... Offene Betriebsmodelle und kontrollierbare Plattformen ... 378

       19.7 ... Nationale Infrastruktur als strategischer Faktor ... 379

       19.8 ... Kontrollierte Nutzung statt pauschaler Entscheidungen ... 381

       19.9 ... Souveränität als industriepolitische Aufgabe ... 383

TEIL VI.  Ausblick: Deutschlands digitale Unabhängigkeit 2030+ ... 387

20.  Strategische Roadmap für Deutschland ... 389

       20.1 ... Politik: Leitplanken und Prioritäten ... 390

       20.2 ... Verwaltung: Vom Projekt zum Plattformdenken ... 392

       20.3 ... Wirtschaft: Souveräne Wettbewerbsfähigkeit ... 393

       20.4 ... Infrastruktur: Von Projekten zu Ökosystemen ... 394

       20.5 ... Szenarien: Drei Pfade nach 2030 ... 395

21.  Europas Rolle ... 399

       21.1 ... Europas wirtschaftliche Interessen ... 399

       21.2 ... Europa zwischen Plattformmacht und Regulierung ... 400

       21.3 ... Deutschland als Stabilisator ... 401

       21.4 ... Wohin sich souveräne Cloud und KI entwickeln ... 402

       21.5 ... Das KI-Rennen wird über die Infrastruktur entschieden ... 403

       21.6 ... Drei mögliche Zukunftsszenarien für Europa ... 404

22.  Schlussbetrachtung: Souveränität als strategische Entscheidung ... 407

       22.1 ... Was Deutschland jetzt entscheiden muss ... 408

       22.2 ... Die Illusion vollständiger Unabhängigkeit ... 408

       22.3 ... Warum die nächsten Jahre entscheidend sein werden ... 409

       22.4 ... Handlungsempfehlungen für Politik, Verwaltung und Wirtschaft ... 410

       22.5 ... Schlusswort ... 411

  A.  Executive-Toolkit für souveräne Entscheidungen ... 413

       A.1 ... Strategische Entscheidungsmatrix für souveräne Cloud-Modelle ... 413

       A.2 ... Souveränitätscheckliste ... 414

       A.3 ... Readiness-Assessment zur Souveränität ... 415

       A.4 ... Rollen und Verantwortlichkeiten ... 417

       A.5 ... Regulatorische Schnellübersicht ... 418

       A.6 ... Entscheidungsfragen für die Führungsebene ... 420

  B.  Glossar ... 423

  Index ... 427

Leseproben

Vorwort

Danksagung

Dieses Buch wäre ohne die Unterstützung, den Austausch und das Vertrauen vieler Menschen nicht möglich gewesen.

Mein besonderer Dank gilt allen Interviewpartnern, die ihre Perspektiven, Erfahrungen und Einschätzungen geteilt haben. Stellvertretend danke ich unter anderem Pino Calzo (Swisscom), Tanja Scheller (IBM), Ralph Demuth (IBM), Ingo Böring (Red Hat), Nik Hagl (Delos Cloud), Alex Abawi (SAP), Frank Ruhland (PwC) sowie weiteren Gesprächspartnern aus dem Umfeld von Schwarz Digits/STACKIT sowie Rolf Schuhman (Co-CEO, Schwarz Digits) und weiteren Akteuren aus Technologie, Industrie und dem öffentlichen Umfeld. Viele Gedanken und Einschätzungen aus diesen Gesprächen sind in dieses Buch eingeflossen und haben meinen Blick auf digitale Souveränität entscheidend geprägt.

Dankbar bin ich außerdem Johannes Müllenberg für das Vertrauen, die Unterstützung und die Möglichkeit, dieses Buchprojekt parallel zu den beruflichen Herausforderungen verwirklichen zu können. Besonders in einer Zeit hoher Dynamik und Verantwortung war dieser Rückhalt alles andere als selbstverständlich.

Frank Finkbohner hat dieses Buch über den gesamten Entstehungsprozess hinweg begleitet, hinterfragt und mit wichtigen Impulsen bereichert. Dass er das Vorwort zu diesem Buch geschrieben hat, bedeutet mir sehr viel.

Ebenso danke ich Christoph Meister für die Begleitung dieses Buchprojekts, für die kritischen Hinweise, die wertvollen Anregungen und die Unterstützung auf dem Weg bis zur Veröffentlichung.

Der größte Dank gilt meiner Frau und meinen Kindern. Ein Buch entsteht nicht nur durch Recherche, Gespräche und viele Stunden am Schreibtisch. Es entsteht auch durch Geduld, Verständnis und Rückhalt in den Momenten, in denen dem Autor Zeit und Aufmerksamkeit an anderer Stelle fehlen. Ohne euch wäre das Buch in dieser Form nicht möglich gewesen.

Nish Sribavan

Geleitwort

Es ist ein typischer Wintertag in Deutschland: bewölkt zwischen 6 und 11° Celsius, mit ein bisschen Niederschlag im Osten und im Westen nix Neues. Wir schreiben den 21. Februar 2022.

Um 22:41 mitteleuropäischer Zeit kommen die ersten Meldungen über die Nachrichtenticker: Wladimir Putin ordnet an, Truppen in die Ukraine zu entsenden. »Friedenstruppen«, wie er sie nennt.

Am Morgen des 24. Februar um 4:29 Uhr Kiewer Zeit erfolgt dann der großflächige Einmarsch Russlands in die Ukraine. Nur die wenigsten haben bis zu diesem Zeitpunkt wirklich damit gerechnet, dass Putin einen Krieg mit der Ukraine beginnen würde. In den folgenden Tagen und Wochen offenbarte sich mit einem Schlag, dass Deutschland seine Wirtschaft auf der Abhängigkeit von billigem russischem Gas und Erdöl aufgebaut und sich damit energiepolitisch komplett von einem Aggressorstaat abhängig gemacht hatte. Die Gasspeicher der Bundesrepublik Deutschland, die an die Tochtergesellschaft Astora des russischen Gaskonzerns Gazprom verkauft wurden, sind praktisch leer. Der größte Speicher in Rehden wurde bewusst auf 2 % Füllgrad geleert und die anderen Speicher sind auch nur zu ca. 18–22 % gefüllt. Die verfehlte Energiepolitik ist an diesem Tag wie ein Kartenhaus zusammengebrochen.

Souveränität bedeutet nicht, von einer Abhängigkeit in eine andere zu wechseln. Es wäre für die damalige Bundesregierung einfach gewesen, russisches Erdgas einfach durch amerikanisches Flüssiggas zu ersetzen. Stattdessen setzte die damalige Bundesregierung auf Diversität und Exit-Optionen in ihrer neu ausgerichteten Energiepolitik. Sie forcierte den Wechsel hin zu erneuerbaren Energien und unterzeichnete neue Gaslieferverträge mit unterschiedlichsten Ländern (USA, Kanada, Katar), erweiterte bestehende Verträge mit Norwegen und baute neue Flüssiggasterminals in Rekordzeit. Deutschland schuf sich Wahlmöglichkeiten und damit echte Souveränität.

Die Lehren aus der Energiekrise sind eindeutig: Souveränität bedeutet Diversität und Unabhängigkeit. Diese Erkenntnis gilt auch für die Informationstechnologie – einen weiteren kritischen Bereich, in dem Deutschland und Europa über Jahrzehnte hinweg eine gefährliche Abhängigkeit aufgebaut haben. Ein paar Zahlen zur Verdeutlichung:

• Desktopsysteme: 90–95 % der Desktopsysteme laufen mit Betriebssystemen von Microsoft und Apple.

• Suchmaschinen und KI: Google, Bing (Microsoft), ChatGPT und Gemini dominieren den Markt. Europäische Alternativen werden selten genutzt.

• Social Media: US-Dienste wie Facebook, Instagram, LinkedIn, YouTube und das chinesische TikTok sind de facto alternativlos.

• Messenger: Der Messenger-Markt ist etwas diverser. Die Platzhirsche sind aber immer noch US-Dienste wie X und WhatsApp. WhatsApp ist sogar in Teilen der deutschen Gesellschaft gefühlt Voraussetzung der gesellschaftlichen Teilhabe. Wer nicht in der WhatsApp-Gruppe der Kita, der Schulklasse oder des Vereins ist, ist außen vor.

• Cloud-Infrastruktur: Die US-Giganten Alphabet (Google) und Amazon (AWS) kontrollieren den Markt.

Die wenigsten kennen oder nutzen europäische Alternativen.

Dann kam der 20. Januar 2025. An diesem Tag wurde Donald Trump zum zweiten Mal als Präsident der Vereinigten Staaten vereidigt. Plötzlich wurde aus der akademischen Diskussion über europäische IT-Abhängigkeit eine existenzielle Frage. Der vormals verlässliche Partner USA wurde zum unberechenbaren Faktor für die europäische Wirtschafts- und Sicherheitspolitik.

Einen Vorgeschmack auf das, was Europa erwarten kann, gab Trump, als er vier Richterinnen des Internationalen Strafgerichtshofs, darunter Beti Hohler, Anfang Juni 2025 auf die OFAC-Sanktionsliste setzen ließ. Als Folge wurden alle Vermögenswerte der Richterinnen eingefroren, ihre Kreditkarten gesperrt. Finanztransaktionen über PayPal, Apple Pay und Google Pay waren ihnen nicht mehr möglich, ihre Apple-IDs wurden abgeschaltet und Dienstleistungen über amerikanische Anbieter wie Amazon etc. wurden unterbunden.

Plötzlich wurden bisher eher abstrakte Fragen zur unmittelbaren Realität:

• Was ist, wenn Microsoft Cloud-Dienste wie SharePoint über Nacht sperrt? Was passiert mit meinen Daten?

• Was ist, wenn auf Druck der US-Regierung Microsoft Teams oder die Dienste von Google blockiert werden? Was passiert dann mit meiner kompletten Kommunikation, die über diese Dienste läuft?

• Was ist, wenn Trump anweist, dass AWS seine Dienste für europäische Kunden einstellen muss? Was geschieht dann z. B. mit meinem ERP-System, das bei AWS gehostet ist?

Spätestens nach diesen Ereignissen sollte es jedem europäischen Politiker und Unternehmer klar geworden sein, dass es höchste Zeit ist, über Souveränität in der IT nachzudenken und mittel- und langfristig seine IT- und Geschäftsprozesse neu auszurichten. Wer seine kritische IT-Infrastruktur bei außereuropäischen Anbietern hostet, ist nicht nur wirtschaftlichen, sondern auch geopolitischen Risiken ausgesetzt.

Auf unterschiedlichsten Ebenen zeichnen sich hier mittlerweile Lösungsbeispiele ab:

• Das Bundesland Schleswig-Holstein entschied bereits 2017, langfristig proprietäre Lösungen wie Microsofts Betriebssysteme, Office- und Kommunikationsprodukte durch Open-Source-Software abzulösen. Was anfangs noch als Irrweg belächelt wurde, findet inzwischen immer mehr Nachahmer. Sogar eine bayerische Landesregierung erwägt Alternativen.

• Frankreich geht auf nationaler Ebene einen Schritt weiter. Die staatliche Digitaldirektion DINUM verabschiedete einen detaillierten Ausstiegsplan aus außereuropäischer Software. Auf allen Arbeitsplätzen soll Windows durch Linux ersetzt werden. Frankreich setzt hier auf offene Standards und europäische Anbieter.

Ausschlaggebend dafür ist die Angst vor dem US-amerikanischen CLOUD Act, der der US-Regierung Zugriff auf bei US-Firmen gespeicherten Daten garantiert, unabhängig davon, wo die Daten gespeichert sind.

• Einige europäische Anbieter, darunter z. B. SAP, haben Lösungen für eine souveräne Cloud (Sovereign Cloud) im Angebot, die unter anderem speziell für den europäischen und deutschen Markt zugeschnitten sind. Die Rechenzentren und die Daten befinden sich in Europa. Der Kunde erhält dadurch hohe Sicherheit, was...