Datenresidenz: Datenlokation ist nicht gleich Datenhoheit
Datenresidenz entscheidet darüber, wo Daten gespeichert werden (Datenlokation) und wer im Ernstfall darauf zugreifen kann (Datensouveränität). In einer zunehmend cloudbasierten IT-Landschaft geraten dabei nicht nur Geschäfts- und Personendaten in den Fokus, sondern auch administrative Daten und Metadaten. Zwischen Effizienzgewinnen, regulatorischen Anforderungen und geopolitischen Risiken wird die Wahl des richtigen Datenstandorts zu einer strategischen Frage.
Datenresidenz – Kurz & knapp
- In Cloud-Umgebungen geraten neben Geschäfts- und Personendaten auch Metadaten und Admin-Daten in den Fokus, da sie tiefe Einblicke ermöglichen.
- Ein EU-Datenstandort erhöht Rechtssicherheit und Vertrauen, schützt jedoch nicht vollständig vor externen Zugriffen.
- Entscheidend für Unternehmen ist daher die Datenhoheit: Kontrolle über Zugriffe wiegt oft schwerer als der reine Speicherort.
- Für besonders kritische Systeme empfiehlt sich lokale oder EU-basierte Datenresidenz, um digitale Souveränität und Handlungsfähigkeit sicherzustellen.
Physisches Diplomatengepäck passiert internationale Grenzen, ohne kontrolliert werden zu dürfen. Es unterliegt ausschließlich der Hoheit ihres Absenders und selbst
staatliche Behörden haben darauf keinen Zugriff. Unternehmen hätten für ihre sensibelsten Daten gern einen vergleichbaren Schutz.
Doch im digitalen Raum existiert ein solcher Mechanismus nicht. Stattdessen stellt sich für viele Unternehmen eher die Frage nach Datenresidenz, also der physische Standort
und wer tatsächlich im Besitz der gespeicherten Daten ist. Insbesondere, seit in den letzten Jahren der Effizienzdruck immer mehr IT-Prozesse in die Public Cloud getrieben hat.
Was ist Datenresidenz?
Datenresidenz bezeichnet den physischen Speicherort von Daten (Datenlokation) sowie den rechtlichen Rahmen, der bestimmt, welcher Jurisdiktion diese Daten unterliegen. Sie legt damit fest, welche Gesetze, Vorschriften und staatlichen Zugriffsrechte gelten; unabhängig davon, wo ein Unternehmen selbst ansässig ist. Für Unternehmen ist Datenresidenz ein zentraler Faktor für digitale Souveränität, insbesondere in cloudbasierten IT-Umgebungen.
Datenresidenz und Abhängigkeit von Cloud-Anbietern
Doch angesichts weltweiter politischer Instabilität fragen sich viele Entscheider, ob sie sich nicht zu sehr von Cloud-Angeboten aus fernen Reichen abhängig gemacht haben: Laut der
Bitkom-Umfrage wünschen sich 82 % der Befragten europäische Alternativen.
Stets stehen zwei Sorgen im Vordergrund:
- Wie ist es um Vertraulichkeit der Daten in der Cloud bestellt, wenn die Angebote meines Unternehmens für Konkurrenten oder Geheimdienste von Interesse sind?
- Behalte ich Zugriff auf meine Cloud-Ressourcen, wenn mein Unternehmen eines Tages in Konflikt mit den Interessen außereuropäischer Regierungen gerät?
Dass Letzteres ein konkretes Risiko ist, musste der Internationale Strafgerichtshof (IStGH) in Den Haag erfahren: Dieser fiel bei der US-Regierung in Ungnade, als er den israelischen
Regierungschef und Trump-Freund Benjamin Netanjahu anklagte. Und so wurde dem Chefankläger und Richtern der Zugriff auf US-Cloud-Services gesperrt – von E-Mail über Hotelbuchung bis
Kreditkartenzahlung geht für sie nichts mehr, nicht einmal im Inland.
Natürlich ist kaum ein Unternehmen politisch so exponiert wie der IStGH. Doch der Fall zeigt: Unternehmen sollten penibel darauf achten, welche Unternehmensdaten sie welchem Anbieter
überlassen – und ob sie weiter handlungsfähig sind, wenn der Schlüssel zu den Daten einkassiert wurde.
Was für Datenresidenz in der EU spricht
Auch abseits politischer Verwerfungen gibt es gute Gründe, auf lokale Datenresidenz oder – je nach Einsatzfall – einen EU-Datenstandort zu setzen:
- Netzwerklatenz: Oft müssen Daten nahe an der Datenquelle gespeichert werden, um die latenzarme Verarbeitung zu garantieren. Ein Beispiel: KI-gesteuerte Videoüberwachung in der Fabrik erfordert schnelle Datenzugriffe, will man zeitnah auf Vorfälle reagieren.
- Regularien: Die DSGVO untersagt, personenbezogene Daten in Drittstaaten ohne vergleichbares Datenschutzniveau zu übermitteln. Klagen haben wiederholt erfolgreich infrage gestellt, ob dies beim Datenaustausch mit den USA gewährleistet ist (Schrems-II-Urteil des Europäischen Gerichtshof 2020). Je nach Branche besteht so die faktische Pflicht zur EU-seitigen Datenverarbeitung (z.B. bezüglich medizinischer Patientendaten).
- Vertrauen: Die Hyperscaler speichern Daten europäischer Kunden in der EU und beteuern, unbefugte Zugriffe durch technische Maßnahmen und lokale Kooperationen auszuschließen. Doch auch sie unterliegen dem Cloud Act und weiteren Gesetzen, die den US-Behörden Datenzugriffe unabhängig vom Speicherort, somit auch im Ausland, erlauben – und die zugleich Betreibern verbieten, ihre Kunden darüber zu informieren. Deshalb nutzt manch ein Unternehmen Lockvogel-Dateien (Canary Files), um unerwünschte Zugriffe aufzudecken – und baut für den Schutz seiner Kronjuwelen lieber auf bewährte heimische Partner als auf die Cloud.
Datenresidenz im Endpoint Management nicht unterschätzen
Was oft untergeht: Vorsicht ist in puncto Datenresidenz längst nicht nur bei Geschäftsgeheimnissen oder personenbezogenen Daten geboten. Auch Daten und Metadaten der
IT-Administration – etwa des Endpoint-Managements – wollen im Kontext der Datenresidenz mit Bedacht gespeichert sein. Schließlich gewähren Admin-Tools Zugriff auf die kritischsten
Endpunkte im Unternehmen, von Konstruktionsplänen bis zur Produkt-Roadmap. Zudem wissen wir spätestens seit Edward Snowdens Enthüllungen, welche Fülle an Informationen sich allein aus
Netzwerk-Metadaten gewinnen lässt.
Deshalb gilt: Die Residenz der digitalen Schätze strategisch wählen und das Geschehen im eigenen Datenreich stets unter Kontrolle behalten – inklusive Unified Endpoint Management!
Es spricht nichts dagegen, die alltägliche Verwaltung von Windows-Clients mit einschlägigen Cloud-Tools zu erledigen. Aber für das Management unternehmenskritischer
Endpunkte – von den Notebooks der Führungsriege bis zu den Linux-Servern der Forschungsabteilung – ist der Königsweg lokales Management mit lokaler Datenresidenz
(im Haus oder bei einem MSP) und mit einem etablierten Partner aus der EU.
Datenresidenz und digitale Souveränität: Zugriff schlägt Standort
Früher hieß es: mein Server, meine Daten, meine Kontrolle. Heute hingegen reisen die Daten dauernd umher, ohne den ehrwürdigen Schutz des Diplomatiegepäcks. Das beschert
Unternehmenslenkern aber neue Sorgen um Datenkontrolle, -sicherheit und -souveränität.
Mit geeigneten Werkzeugen haben Administratoren ihre Datenpakete immer im Blick – vorausgesetzt, die
zugrunde liegenden Daten sind konsistent und aktuell (Stichwort: Datenhygiene). Und idealerweise reicht dieser Blick bis hin zu den (Meta-)Daten des Endpoint-Managements. Hierbei ist es
nützlich, dass sich Cloud-basiertes und lokales Endpoint-Management problemlos parallel betreiben lassen.
Wer die Datenhoheit über seine sensibelsten Daten behalten will, sollte auch deren Aufenthaltsort, sprich die konkrete Datenlokation, und rechtlichen Rahmen bewusst wählen.
Denn anders als diplomatische Sendungen genießen Unternehmensdaten keine Immunität: Im Zweifel zählt nicht, wo Daten liegen, sondern wer darauf zugreifen darf.
Best Practice Guide: Digitale Souveränität sichern
Viele Unternehmen stehen vor der Herausforderung, steigende Abhängigkeiten von internationalen Technologieanbietern zu managen und gleichzeitig Compliance-Anforderungen einzuhalten.
Unser Best Practice Guide zeigt Ihnen, wie Sie Ihre digitale Unabhängigkeit strategisch stärken, Risiken gezielt minimieren und Ihre IT zukunftssicher aufstellen.
Jetzt Best Practice Guide „Digitale Souveränität“ herunterladen
