Ein europäisches Rechenzentrum macht Ihre Cloud noch nicht souverän

Ein Unternehmen verlagert sensible Arbeitslasten aus einem US-Rechenzentrum nach Frankfurt und teilt dem Vorstand mit, dass sich die Daten nun in Europa befinden. Das trifft auf die Server zu. Der Anbieter könnte jedoch weiterhin einer US-Muttergesellschaft unterstehen, den Support von mehreren Ländern aus betreiben, die Verschlüsselungsschlüssel kontrollieren und Software verwenden, die europäische Kunden nicht eigenständig bedienen können.

Brüssel beginnt nun damit, diese Fragen in die Vergabevorschriften aufzunehmen. Der vorgeschlagene Rahmen für staatliche Cloud-Dienste befasst sich damit, wer die Kontrolle über den Dienst und die Lieferkette hat, wo sich die Infrastruktur befindet, wie die Anbieter Daten verarbeiten und wer für die Cybersicherheit zuständig ist. Für Daten aus den Bereichen Verteidigung und Gesundheitswesen würden strengere Anforderungen gelten als für routinemäßige Verwaltungsaufgaben.

AWS, Microsoft Azure und Google Cloud halten zusammen einen Anteil von etwa 70 Prozent am europäischen Markt für Cloud-Infrastruktur. Auf europäische Anbieter entfallen rund 15 Prozent, was einem Rückgang gegenüber den 29 Prozent im Jahr 2017 entspricht. Europäische Unternehmen treten daher in die Debatte um die Souveränität ein, wobei ein Großteil ihrer Technologie bereits an US-amerikanische Plattformen gebunden ist.

Der Anbieter ist genauso wichtig wie der Server

Unternehmen haben sich selten mit einer einzigen Entscheidung für diese Abhängigkeit entschieden. Ein Team entschied sich für Azure, weil es bereits Microsoft-Produkte einsetzte. Entwickler stellten neue Dienste auf AWS bereit, weil die entsprechenden Tools dort verfügbar waren. Bei KI-Projekten kamen später Modell-APIs, Datenbanken und Sicherheitsdienste derselben Plattform hinzu.

Ein Anbieterwechsel bedeutet mehr als nur den Austausch von Rechenkapazität. Ein Azure-Kunde, der OpenAI-Dienste über die Plattform nutzt, stützt sich möglicherweise auch auf die Identitätsverwaltung, die Protokollierung und die Datenbanken von Microsoft. Die Verlagerung der Anwendung an einen anderen Ort bedeutet, dass diese Verbindungen neu aufgebaut und anschließend in Betrieb genommen werden müssen.

Europäische Alternativen können hinsichtlich Funktionen, Integration oder Preis nicht immer mit den größten US-amerikanischen Plattformen mithalten. Ein Beschaffungsteam muss daher entscheiden, in welchen Bereichen es sich lohnt, für Unabhängigkeit zu zahlen, anstatt diese Anforderung pauschal auf jede Arbeitslast anzuwenden.

Das von der EU geplante Modell spiegelt dies wider. Brüssel erwägt vier Stufen der Cloud-Souveränität und erwartet von den Mitgliedstaaten, dass sie diese auf bestimmte Anwendungsbereiche im öffentlichen Sektor abstimmen. Für ein Verteidigungssystem und eine öffentliche Informationswebsite würden nicht dieselben Anforderungen gelten.

Wer hat eigentlich Zugriff auf die Daten?

Der Speicherort der Daten lässt sich leicht vertraglich festlegen. Der administrative Zugriff ist schwieriger zu regeln. Ein Anbieter kann Kundendaten in Frankfurt speichern, während Ingenieure an anderen Standorten weiterhin privilegierten Zugriff darauf haben. Support-Systeme können Protokolle oder Telemetriedaten außerhalb der Region kopieren. Der Anbieter kann die Verschlüsselungsschlüssel verwahren und den Identitätsdienst kontrollieren, über den Administratoren auf die Umgebung zugreifen.

IT-Einkäufer müssen wissen, wo diese Zugriffsrechte liegen. Sie benötigen die Namen der Organisationen, die den Dienst verwalten, die Länder, von denen aus die Support-Teams tätig sind, sowie die Umstände, unter denen der Anbieter auf Kundendaten zugreift.

Änderungen bei der Verschlüsselung Das ändert jedoch wenig, wenn derselbe Anbieter die Daten speichert und die Schlüssel verwaltet. Mehrere US-amerikanische Cloud-Anbieter haben darauf mit europäischen Angeboten reagiert, die den Zugriff einschränken und den Kunden mehr Kontrolle über Verschlüsselung und Verwaltung gewähren. Käufer müssen dennoch prüfen, was sich technisch ändert. Ein europäischer Produktname oder die Adresse eines Rechenzentrums in Europa geben keine Antwort darauf, wer letztendlich die Möglichkeit hat, die Daten zu lesen, zu ändern oder den Dienst auszusetzen.

Was passiert, wenn der Anbieter den Zugang sperrt?

Die US-Sanktionen gegen den Internationalen Strafgerichtshof haben die Debatte um die Souveränität bereits zu einer praktischen Frage gemacht. Von den Sanktionen betroffene europäische Richter haben keinen Zugang mehr zu Webdiensten, die von amerikanischen Unternehmen bereitgestellt werden.

Für die meisten Unternehmen ist es unwahrscheinlich, dass sie mit Sanktionen rechnen müssen. Sie sind nach wie vor in weitaus mehr Bereichen als nur bei der Hardware von Anbietern abhängig, und es muss nicht unbedingt zu einem Ausfall beim Anbieter kommen, damit ein Kunde den Zugriff verliert.

Ein Unternehmen verfügt zwar möglicherweise über Sicherungskopien, ist aber dennoch auf den Identitätsdienst, die Datenbanktechnologie, die Sicherheitstools oder die proprietären APIs des ursprünglichen Anbieters angewiesen. Durch den Export der Daten wird die Anwendung nicht an anderer Stelle neu erstellt.

Notfallwiederherstellungspläne sollten daher auch den Ausfall des Anbieters selbst berücksichtigen. Die Teams müssen wissen, welche Systeme als Erstes ausfallen, wo sie eine unabhängige Kopie kritischer Daten aufbewahren und welche Zugangsdaten, Zertifikate und Verschlüsselungsschlüssel sie benötigen, um den Betrieb an einem anderen Standort wieder aufzunehmen.

Außerdem benötigen sie einen realistischen Zeitrahmen für die Umstellung. Ein Vertrag, der Datenportabilität verspricht, ist nur von begrenztem Nutzen, wenn die Entwickler sechs Monate benötigen, um die Dienste rund um die Daten zu ersetzen.

Auch europäische Anbieter sind von bestimmten Faktoren abhängig

Der Kauf bei einem europäischen Unternehmen beseitigt nicht jede Abhängigkeit vom Ausland. Ein lokaler Anbieter nutzt möglicherweise US-amerikanische Server, Sicherheitssoftware oder Netzwerkausrüstung. Würde man verlangen, dass jede Komponente aus Europa stammt, gäbe es kaum noch praktikable Cloud-Umgebungen.

Beschaffungsteams müssen Abhängigkeiten, die einen Dienst beeinträchtigen könnten, von Komponenten unterscheiden, die lediglich im Ausland hergestellt werden.

Ein US-amerikanischer Prozessor in einem europäischen Rechenzentrum birgt ein anderes Risiko als eine ferngesteuerte Plattform, deren Betreiber ein Kundenkonto sperren kann. Ein in den Stack integriertes amerikanisches Sicherheitstool birgt nicht dasselbe Risiko wie die Übergabe der Kontrolle über jeden Verschlüsselungsschlüssel an den Anbieter.

Der geplante EU-Rahmen konzentriert sich auf die Kontrolle der Dienstleistungs- und Lieferkette, anstatt die geografische Lage als einziges Kriterium heranzuziehen. Unternehmen können diese Analyse bereits jetzt durchführen.

KI treibt Unternehmen immer stärker in den Einflussbereich der Hyperscaler

Generative KI liefert einen weiteren Grund, bei den größten Cloud-Anbietern zu bleiben. Sie bündeln Modelle, Rechenkapazität, Datenbanken, Identitätsmanagement-Tools und Sicherheitsfunktionen in Umgebungen, die Unternehmen bereits nutzen.

Ein Entwicklungsteam auf Azure kann OpenAI-Dienste hinzufügen, ohne einen weiteren Anbieter einrichten zu müssen. AWS und Google bieten ähnliche Möglichkeiten für den Einstieg in ihre eigenen KI-Stacks. Eine spätere Verlagerung der KI-Workloads bedeutet, dass auch die zugehörigen Daten und Anwendungsdienste mitverlagert werden müssen.

Europäische Anbieter stehen infolgedessen vor einem wirtschaftlichen Problem. Sie benötigen genügend Kunden, um eine vergleichbare Infrastruktur zu finanzieren, während sich die Käufer unter anderem deshalb für die Hyperscaler entscheiden, weil diese bereits über eine umfangreichere Infrastruktur verfügen.

Das öffentliche Beschaffungswesen könnte europäischen Anbietern mehr Nachfrage bescheren. Private Unternehmen haben mehr Spielraum bei der Aufteilung der Arbeitslasten. Ein Hersteller könnte beispielsweise seine Kollaborationssoftware weiterhin bei einem globalen Anbieter betreiben, sensible technische Daten jedoch an einem anderen Ort speichern. Eine Bank könnte KI-Experimente von Systemen trennen, in denen regulierte Kundendaten gespeichert sind. Der Betrieb mehrerer Umgebungen ist mit höheren Kosten verbunden, daher müssen Unternehmen entscheiden, welche Daten und Anwendungen dies rechtfertigen.

Souveränität ist mit Betriebskosten verbunden

Eine Multi-Cloud-Architektur erfordert Ingenieure, die sich mit mehreren Plattformen auskennen. Unabhängige Wiederherstellungsumgebungen beanspruchen Speicherplatz und Rechenleistung. Kleineren europäischen Anbietern fehlen manchmal Managed Services, die bei großen Plattformen zum Standard gehören.

Es macht wenig Sinn, diese Kosten für jede einzelne Anwendung zu tragen. Ein Marketingsystem mit austauschbaren Daten erfordert nicht dieselben Kontrollmaßnahmen wie Krankenakten, Verteidigungsinformationen oder das geistige Eigentum, das dem Hauptprodukt eines Unternehmens zugrunde liegt.

Die Beschaffungsmaßnahmen beginnen mit der Ermittlung der Systeme, auf die das Unternehmen nicht verzichten oder die es nicht gefährden darf. Für jedes einzelne System müssen die Teams wissen, welcher Anbieter den Zugriff kontrolliert, welche Rechtsordnung gilt, wo sich die Verschlüsselungsschlüssel befinden, inwieweit die Anwendung proprietäre Dienste nutzt und wie lange eine Umstellung dauern würde.

Ein Server in Frankfurt gibt lediglich Auskunft darüber, wo sich der Rechner befindet. Souveränität hängt davon ab, wer weiterhin darüber bestimmt, was mit ihm geschieht.