Sovereign-by-Design: Key Management und Data Location in europäischen Clouds

In Europa unterliegt der Umgang mit sensiblen Daten strengen gesetzlichen Vorgaben. Unternehmen stehen in der Pflicht, technische Maßnahmen zu implementieren, um regulatorische Anforderungen dauerhaft einzuhalten – insbesondere beim Einsatz von Cloud-Diensten. Sie müssen sicherstellen, dass Kontrolle, Zugriff und Verarbeitung jederzeit nachvollziehbar und rechtskonform bleiben – unabhängig vom Anbieter.

Zwei technische Grundpfeiler stehen dabei im Mittelpunkt:

• Key Management – die Verwaltung kryptografischer Schlüssel außerhalb der Provider-Infrastruktur – und
• Data Location – die gezielte Festlegung, wo Daten physisch gespeichert und verarbeitet werden.

Gemeinsam bilden sie die Basis für einen Architekturansatz, der digitale Souveränität nicht nachträglich absichert, sondern von Beginn an verankert: Sovereign-by-Design.

Was bedeutet Sovereign-by-Design?

Sovereign-by-Design beschreibt ein Cloud-Modell, das Unternehmen von Anfang an die Hoheit über zwei zentrale Ebenen gibt: Verschlüsselung und Datenstandorte.
Anders als in klassischen Cloud-Architekturen, bei denen Schlüssel, Identitäten und Daten innerhalb der Infrastruktur des Providers liegen, trennt Sovereign-by-Design diese Verantwortlichkeiten konsequent.

Unternehmen verwalten ihre Schlüssel eigenständig – etwa über Hardware Security Modules (HSM) oder API-gesteuerte Key-Management-Systeme (KMS) – und definieren präzise, in welchen Regionen oder Ländern Daten gespeichert und verarbeitet werden dürfen.

Diese Architektur trennt die Control Plane des Providers – also die Ebene, über die Infrastruktur und Management gesteuert werden – von der Data Plane des Kunden, die den eigentlichen Datenverkehr betrifft. Dadurch entstehen klare Trust Boundaries und technische wie rechtliche Kontrolle über alle Zugriffs- und Verarbeitungsebenen – ein zentrales Element, um europäische Souveränitäts- und Datenschutzanforderungen umzusetzen.

Technische Grundlagen: Kontrolle über Speicher und Schlüssel

Damit Sovereign-by-Design funktioniert, müssen zwei zentrale Voraussetzungen erfüllt sein:

1. Data Location – regionale Datenverarbeitung
   Unternehmen legen verbindlich fest, in welchen Rechenzentrumsregionen ihre Daten gespeichert und verarbeitet werden dürfen. Das verhindert ungewollte Übertragungen in Drittländer und reduziert Risiken durch extraterritoriale Zugriffe. Relevante Rahmenwerke sind der EU Cloud Code of Conduct, GAIA-X sowie CISPE-zertifizierte Provider.
2. Key Management – kundenseitige Verschlüsselungskontrolle
   Die Verwaltung kryptografischer Schlüssel erfolgt vollständig außerhalb der Cloud-Infrastruktur des Providers. Dadurch wird sichergestellt, dass weder interne Dienste noch Support-Teams Zugriff auf Dateninhalte erhalten – selbst nicht im Wartungs- oder Ausnahmefall. Typische Modelle sind Bring-Your-Own-Key (BYOK), External Key Management (EKM) oder Self-Managed HSMs.

Diese Kombination etabliert einen abgeschotteten Kontrollraum, in dem Daten auch bei Nutzung globaler Cloud-Dienste rechtlich belastbar und technisch nachvollziehbar bleiben.

Relevanz im europäischen Kontext

Der strategische Stellenwert von Sovereign-by-Design wächst mit jeder neuen regulatorischen Anforderung – nicht nur in der EU, sondern europaweit:

• DSGVO verlangt, dass personenbezogene Daten innerhalb klar definierter Regionen verarbeitet und vollständig kontrollierbar gespeichert werden.
• NIS2 verpflichtet Betreiber kritischer Infrastrukturen, Cloud-Risiken strukturiert zu managen – mit Fokus auf technische Absicherung und Zugriffskontrolle.
• DORA schreibt Finanzdienstleistern EU-weit eine klare Kontrollarchitektur für externe IT-Dienstleister vor.
• In Ländern wie Spanien gelten zusätzliche Auflagen bei der Auslagerung sensibler Verwaltungs- und Gesundheitsdaten – Sovereign-by-Design ist hier Voraussetzung für eine rechtskonforme Cloud-Nutzung im öffentlichen Sektor.

Auch außerhalb der EU, etwa in der Schweiz, gelten spezifische Datenschutzgesetze (z. B. das revidierte DSG), die die Hoheit über Datenverarbeitung explizit adressieren. Unternehmen benötigen hier ebenfalls nachvollziehbare Speicherorte und vollständige Verschlüsselungskontrolle – unabhängig vom gewählten Cloud-Anbieter. Die regulatorischen Anforderungen sind jedoch nicht abstrakt – sie wirken sich konkret auf branchenspezifische Cloud-Strategien aus.

Industrieperspektive: Anwendungsfelder und Compliance-Anforderungen

Die Prinzipien von Sovereign-by-Design wirken sich direkt auf branchenspezifische Cloud-Strategien aus:

• Finance & Tax: Revisionssichere Verschlüsselung, DSGVO-konforme Datenverarbeitung und nachweisbare Drittanbieter-Kontrolle sind regulatorisch gefordert – Sovereign-by-Design liefert die technische Basis.
• Healthcare & Life Sciences: Patientendaten und Forschungsinformationen unterliegen strengen Datenschutzstandards. Datenlokalisierung und externes Key Management machen Cloud-Dienste rechtskonform nutzbar.
• Public Sector & Government: Für hoheitliche Daten gilt besondere Schutzpflicht. Souveräne Architekturen ermöglichen es, föderale Anforderungen mit modernen Cloud-Funktionalitäten zu vereinen.
• Manufacturing & Industry: Produktionsdaten, Steuerungssysteme und Baupläne enthalten wertvolles geistiges Eigentum. Ein klar kontrollierter Zugriff schützt vor Industriespionage und regulatorischen Konflikten.

Wie CONVOTIS Sovereign-by-Design umsetzt

CONVOTIS implementiert Sovereign-Cloud-Architekturen mit vollständiger Daten- und Zugriffskontrolle – betrieben in zertifizierten EU-Rechenzentren und abgestimmt auf geltende europäische Vorgaben. Schlüsselverwaltung bleibt stets kundenseitig, Datenflüsse und Zugriffe sind transparent dokumentiert.

Die Architektur umfasst mandantentrennte Ressourcen, föderiertes Identitätsmanagement, verschlüsselungsbasierte Zugriffskontrollen und automatisierte Governance über Policy-as-Code. Hybride Integrationsszenarien und GAIA-X-Kompatibilität sind dabei integraler Bestandteil des Designs.