Datensouveränität bezeichnet die vollständige und dauerhafte Kontrolle einer Organisation darüber, wo ihre Daten gespeichert und verarbeitet werden, wer auf sie zugreifen kann und welchem Recht sie unterliegen. Datensouveränität umfasst rechtliche, technische und betriebliche Kontrolle gleichermaßen – von der Rechtsgrundlage der Verarbeitung über die Hoheit über die Verschlüsselungsschlüssel bis zur Fähigkeit, den Anbieter zu wechseln. Zentrale Bezugspunkte sind die DSGVO, der EU Data Act und der US CLOUD Act.

Was ist Datensouveränität?

Datensouveränität ist die Fähigkeit einer Organisation, über ihre eigenen Daten selbstbestimmt zu verfügen – rechtlich, technisch und operativ. Der Begriff beantwortet vier Fragen: Welchem Recht unterliegen die Daten? An welchem Ort werden sie gespeichert und verarbeitet? Wer kann technisch auf sie zugreifen? Und lässt sich diese Verfügungsgewalt auch dann noch ausüben, wenn die Beziehung zum Anbieter endet?

Wichtig ist die Unterscheidung zwischen Eigentum und Kontrolle. Dass eine Organisation Inhaberin ihrer Daten ist, steht rechtlich selten in Frage. Datensouveränität beschreibt etwas anderes: die tatsächliche Durchsetzbarkeit dieser Position gegenüber Dienstleistern, Subunternehmern und staatlichen Stellen. Ein Vertrag, der Zugriffe untersagt, begründet noch keine Datensouveränität, solange technisch jemand zugreifen kann, der einer anderen Rechtsordnung unterliegt.

Der Begriff hat sich in den vergangenen Jahren von einer politischen Forderung zu einem operativen Anforderungsprofil entwickelt. In Ausschreibungen, Sicherheitskonzepten und Auditfragebögen wird Datensouveränität heute nicht mehr als Haltung abgefragt, sondern als Nachweis: Hosting-Standort, Konzernstruktur des Anbieters, Schlüsselverwaltung, Support-Zugriffswege, Subunternehmerkette und Exit-Bedingungen. Damit ist Datensouveränität ein Prüfgegenstand geworden, kein Bekenntnis.

Wie unterscheidet sich Datensouveränität von digitaler Souveränität, Datenschutz und Datenlokalisierung?

Datensouveränität ist enger gefasst als digitale Souveränität und weiter als Datenschutz oder Datenlokalisierung. Digitale Souveränität beschreibt die Handlungsfähigkeit eines Staates oder einer Organisation im gesamten Technologiestack – Hardware, Software, Netze, Kompetenzen. Datensouveränität betrifft ausschließlich die Datenebene. Datenschutz wiederum schützt personenbezogene Daten und damit die Rechte betroffener Personen, während Datensouveränität alle Daten einer Organisation umfasst, auch Betriebs-, Einsatz- und Verschlusssachen ohne Personenbezug.

Begriff	Fokus	Verhältnis zur Datensouveränität
Digitale Souveränität	Selbstbestimmung über den gesamten Technologiestack, einschließlich Software, Infrastruktur und Know-how	Übergeordnetes Konzept; Datensouveränität ist eine ihrer Säulen
Datenschutz (DSGVO)	Schutz personenbezogener Daten und der Rechte betroffener Personen	Liefert den rechtlichen Rahmen, deckt aber nur personenbezogene Daten ab
Datenlokalisierung / Data Residency	Physischer Speicherort der Daten	Notwendige, aber allein nicht hinreichende Bedingung
Datenhoheit	Rechtliche Verfügungsgewalt über Datenbestände	Weitgehend synonym verwendet, ohne die technisch-operative Dimension
Informationssicherheit	Vertraulichkeit, Integrität und Verfügbarkeit von Informationen	Stellt die Schutzmaßnahmen bereit, adressiert aber nicht die Frage der Rechtsordnung

Praktisch relevant ist vor allem die Verwechslung mit der Datenlokalisierung. Ein deutscher Serverstandort beantwortet die Ortsfrage, nicht aber die Frage nach der anwendbaren Rechtsordnung und dem technischen Zugriff. Genau an dieser Stelle entstehen die meisten Fehleinschätzungen in Beschaffungsverfahren.

Warum ist Datensouveränität wichtig?

Datensouveränität ist wichtig, weil Kontrollverlust über Daten heute unmittelbare rechtliche, operative und wirtschaftliche Folgen hat. Organisationen verarbeiten geschäftskritische Informationen zunehmend in Cloud-Diensten, deren Anbieter, Muttergesellschaften und Subunternehmer außerhalb des europäischen Rechtsraums sitzen. Damit entsteht eine Abhängigkeit, die im Regelbetrieb unauffällig bleibt und erst in Ausnahmesituationen sichtbar wird – bei behördlichen Herausgabeverlangen, bei kurzfristigen Änderungen von Lizenzbedingungen, bei Ausfällen oder bei politisch motivierten Beschränkungen des Dienstzugangs.

Für Betreiber kritischer Infrastrukturen, Behörden, Einrichtungen des Gesundheitswesens und Organisationen der Gefahrenabwehr kommt hinzu, dass ein Kontrollverlust nicht nur wirtschaftlichen Schaden verursacht, sondern die Aufgabenerfüllung selbst gefährdet. Wer im Einsatzfall auf eine Kommunikationsplattform angewiesen ist, deren Verfügbarkeit und Vertraulichkeit von Entscheidungen außerhalb des eigenen Rechtsraums abhängt, hat ein Kontinuitätsproblem, kein reines Datenschutzproblem.

Hinzu kommt der Nachweisdruck. Aufsichtsbehörden, Wirtschaftsprüfer und Auftraggeber verlangen belastbare Angaben dazu, wo Daten liegen, wer sie verarbeitet und welche Zugriffsrechte Dritte haben. Nach der Rechtsprechung des Europäischen Gerichtshofs zum Drittlandtransfer reicht der Verweis auf einen Vertrag nicht mehr aus; erforderlich ist eine Bewertung der tatsächlichen Rechtslage im Empfängerland samt zusätzlicher Schutzmaßnahmen. Organisationen ohne dokumentierte Datensouveränität können diesen Nachweis nicht führen.

Welche Dimensionen hat Datensouveränität?

Datensouveränität lässt sich in fünf Dimensionen zerlegen, die unabhängig voneinander bewertet werden müssen. Die häufigste Schwäche in der Praxis ist ein Konzept, das eine Dimension vorbildlich löst und die übrigen unberührt lässt – etwa ein deutsches Rechenzentrum bei gleichzeitig unbeschränktem Fernwartungszugriff aus einem Drittstaat.

Dimension	Leitfrage	Typische Maßnahmen
Rechtliche Souveränität	Welchem Recht unterliegen Daten, Anbieter und dessen Muttergesellschaft?	Vertragsgestaltung, Auftragsverarbeitungsvertrag, Prüfung der Konzernstruktur, Transfer Impact Assessment
Territoriale Souveränität	Wo werden Daten, Backups, Protokolle und Metadaten gespeichert und verarbeitet?	Vertraglich zugesicherte Verarbeitungsorte, Ausschluss von Datenübermittlungen in Drittstaaten
Technische Souveränität	Wer hält die Schlüssel und kann Klartext einsehen?	Ende-zu-Ende-Verschlüsselung, eigene Schlüsselverwaltung (BYOK/HYOK), Hardware-Sicherheitsmodule
Betriebliche Souveränität	Wer administriert das System, wer greift für Support und Wartung zu?	Beschränkung der Administratorrechte, kontrollierte Fernwartung, Protokollierung privilegierter Zugriffe
Anbietersouveränität	Lässt sich der Anbieter wechseln, ohne die Daten zu verlieren?	Offene Datenformate, Exportfunktionen, dokumentierte Exit-Strategie, Vermeidung von Vendor Lock-in

Diese Zerlegung hat einen praktischen Zweck: Sie macht Datensouveränität prüfbar. Statt eines pauschalen Anspruchs entsteht eine Matrix aus fünf Fragen, die jede Organisation für jeden eingesetzten Dienst beantworten kann – und deren Lücken sichtbar werden, bevor sie im Ereignisfall relevant sind.

Welche rechtlichen Grundlagen gelten für Datensouveränität?

Datensouveränität ist kein eigenständiger Rechtsbegriff, wird aber durch mehrere europäische Regelwerke konkretisiert. Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) bildet den Kern: Kapitel V (Art. 44–50 DSGVO) regelt die Übermittlung personenbezogener Daten an Drittländer, Art. 28 DSGVO verpflichtet zum Auftragsverarbeitungsvertrag mit klaren Weisungsrechten, und Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind. Art. 20 DSGVO ergänzt mit der Datenübertragbarkeit einen Anspruch, der die technische Wechselfähigkeit unterstützt.

Der EU Data Act (Verordnung (EU) 2023/2854) adressiert die Anbieterabhängigkeit direkt. Er verpflichtet Anbieter von Datenverarbeitungsdiensten, den Wechsel zu einem anderen Dienst zu ermöglichen, dafür Fristen und Mitwirkungspflichten einzuhalten und die Wechselentgelte schrittweise abzubauen. Zusätzlich enthält der Data Act Schutzvorgaben gegen unrechtmäßigen behördlichen Zugriff aus Drittstaaten auf in der EU gespeicherte Daten. Der Data Governance Act (Verordnung (EU) 2022/868) flankiert dies mit Regeln für Datenvermittlungsdienste und Datentreuhänder.

Sektorspezifisch kommen weitere Anforderungen hinzu. Die NIS-2-Richtlinie (EU) 2022/2555 verlangt von wesentlichen und wichtigen Einrichtungen ein Risikomanagement, das die Sicherheit der Lieferkette und damit die Bewertung von IT-Dienstleistern ausdrücklich einschließt. Im Finanzsektor stellt die DORA-Verordnung (EU) 2022/2554 detaillierte Anforderungen an das Management von IKT-Drittparteirisiken, einschließlich Ausstiegsstrategien. Im behördlichen Umfeld begrenzen die Vorgaben für Verschlusssachen des Geheimhaltungsgrads VS-NfD den Kreis einsetzbarer Produkte zusätzlich.

Warum gefährdet der US CLOUD Act die Datensouveränität?

Der US CLOUD Act gefährdet die Datensouveränität, weil er US-amerikanische Anbieter verpflichtet, Daten herauszugeben, die sich in ihrem Besitz, ihrer Verwahrung oder ihrer Kontrolle befinden – unabhängig davon, in welchem Land diese Daten gespeichert sind. Das 2018 verabschiedete Gesetz knüpft also nicht an den Speicherort an, sondern an die Kontrolle durch ein dem US-Recht unterworfenes Unternehmen. Ein europäisches Tochterunternehmen eines US-Konzerns kann von dieser Reichweite erfasst sein.

Daraus ergibt sich der zentrale Konflikt: Eine Herausgabe auf Grundlage des CLOUD Act erfüllt regelmäßig nicht die Anforderungen des Art. 48 DSGVO, wonach Urteile und Entscheidungen von Drittstaatsbehörden nur auf Grundlage eines internationalen Übereinkommens vollstreckbar sind. Anbieter geraten damit in eine Pflichtenkollision, die sich vertraglich nicht auflösen lässt. Hinzu kommen Zugriffsbefugnisse aus dem US-Überwachungsrecht, insbesondere Section 702 FISA für Anbieter elektronischer Kommunikationsdienste.

Der EuGH hat diese Problematik im Urteil Schrems II (Rechtssache C-311/18, 16. Juli 2020) aufgegriffen und das damalige Privacy-Shield-Abkommen für ungültig erklärt. Standardvertragsklauseln bleiben zulässig, erfordern aber eine Einzelfallprüfung des Schutzniveaus im Empfängerland und gegebenenfalls zusätzliche Maßnahmen. Für den Transfer in die USA hat die EU-Kommission mit dem EU-US Data Privacy Framework im Juli 2023 einen Angemessenheitsbeschluss erlassen; dessen dauerhafte Bestandskraft gilt angesichts anhängiger Rechtsstreitigkeiten und politischer Entwicklungen jedoch nicht als gesichert. Organisationen mit hohem Schutzbedarf planen deshalb erfahrungsgemäß so, dass ihre Architektur auch ohne diesen Beschluss tragfähig bleibt.

Reicht ein Rechenzentrum in Deutschland für Datensouveränität aus?

Ein Rechenzentrum in Deutschland reicht für Datensouveränität allein nicht aus. Der Speicherort ist eine notwendige, aber keine hinreichende Bedingung, weil er nur eine der fünf Dimensionen abdeckt. Entscheidend ist zusätzlich, welcher Rechtsordnung der Betreiber und seine Muttergesellschaft unterliegen, wer die Verschlüsselungsschlüssel verwaltet, von wo aus administriert und gewartet wird und wo Backups, Protokolldaten und Metadaten anfallen.

In der Praxis scheitert die Souveränitätsprüfung häufig an drei blinden Flecken. Erstens der Subunternehmerkette: Der Hauptanbieter hostet in Deutschland, setzt für Betrieb, Support oder Analysedienste aber Dritte in Drittstaaten ein. Zweitens den Nebendaten: Nachrichteninhalte liegen in der EU, während Telemetrie, Push-Benachrichtigungen, Crash-Reports oder Verzeichnisdienste über außereuropäische Infrastruktur laufen. Drittens dem administrativen Zugriff: Ein Support-Team mit weitreichenden Rechten kann Daten faktisch einsehen, unabhängig davon, wo die Festplatte steht.

Besonders unterschätzt werden dabei Metadaten. Wer mit wem, wann, wie häufig und von welchem Standort aus kommuniziert hat, ist bereits ohne Kenntnis der Inhalte hochsensibel – in der Gefahrenabwehr, in Ermittlungsverfahren, bei Fusionen oder in der Krisenkommunikation. Eine Souveränitätsbewertung, die nur Inhaltsdaten betrachtet, greift regelmäßig zu kurz.

Wie lässt sich Datensouveränität technisch umsetzen?

Datensouveränität wird technisch vor allem über Verschlüsselung, Schlüsselhoheit, Betriebsmodell und Wechselfähigkeit hergestellt. Den stärksten Hebel bildet die Verschlüsselung in Verbindung mit der Frage, wer die Schlüssel kontrolliert. Bei serverseitiger Verschlüsselung durch den Anbieter bleibt dieser technisch in der Lage, Klartext zu erzeugen. Erst wenn die Organisation die Schlüssel selbst verwaltet – über eigene Schlüsselverwaltung, Bring Your Own Key oder Hold Your Own Key mit Hardware-Sicherheitsmodulen – oder Inhalte durchgängig Ende-zu-Ende verschlüsselt werden, entsteht eine Kontrolle, die einem Herausgabeverlangen standhält.

Das Betriebsmodell bestimmt den Rahmen. On-Premises-Betrieb im eigenen Rechenzentrum bietet die weitgehendste Kontrolle bei entsprechendem Betriebsaufwand. Eine dedizierte Private Cloud bei einem europäischen Anbieter verlagert den Betrieb, hält die rechtliche Zuordnung aber im europäischen Rechtsraum. Souveräne Cloud-Angebote versuchen, Skaleneffekte großer Plattformen mit europäischer Betriebs- und Rechtsstruktur zu verbinden – hier lohnt die genaue Prüfung, welche Souveränitätsdimensionen tatsächlich abgedeckt sind und welche vertraglich lediglich zugesichert werden.

Ebenso wichtig, aber seltener geplant, ist die Reversibilität. Datensouveränität endet nicht mit der Auswahl eines Anbieters, sondern muss auch die Trennung überstehen. Dazu gehören dokumentierte Exportformate, vollständige Datenherausgabe in maschinenlesbarer Form, vertraglich geregelte Löschung nach Vertragsende und eine getestete Migrationsfähigkeit. Offene Standards und quelloffene Komponenten reduzieren die Abhängigkeit zusätzlich; Initiativen wie Gaia-X oder der von der öffentlichen Verwaltung getragene souveräne Arbeitsplatz verfolgen diesen Ansatz auf europäischer Ebene.

Welche Rolle spielt Datensouveränität in der internen Kommunikation?

In der internen Kommunikation ist Datensouveränität besonders kritisch, weil dort unstrukturiert und in hoher Frequenz genau die Informationen entstehen, die andernorts sorgfältig klassifiziert werden. Lagemeldungen, Personalvorgänge, Vertragsdetails, Patientendaten, Einsatzkoordination und Krisenentscheidungen laufen über Chatnachrichten, Sprachnotizen und Dateianhänge – häufig mobil, häufig außerhalb kontrollierter Netze und ohne die Freigabeprozesse, die für Fachanwendungen selbstverständlich sind.

Verschärft wird die Lage durch Ausweichverhalten. Fehlt eine freigegebene, alltagstaugliche Lösung, nutzen Beteiligte erfahrungsgemäß private Consumer-Messenger auf privaten Geräten. Damit entsteht Schatten-IT an der sensibelsten Stelle: Die Organisation verliert die Kontrolle über Speicherorte, Metadaten, Aufbewahrung und Löschung gleichzeitig, und zwar ohne es zu bemerken. Für die Nachweisführung gegenüber Aufsichtsbehörden ist dieser Zustand kaum reparabel, weil sich im Nachhinein nicht rekonstruieren lässt, welche Informationen wohin abgeflossen sind.

Organisationen mit erhöhtem Schutzbedarf lösen diese Anforderung in der Regel über Kommunikationsplattformen, die im eigenen Rechenzentrum oder in einer dedizierten europäischen Umgebung betrieben werden, Inhalte Ende-zu-Ende verschlüsseln, administrative Zugriffe protokollieren und die Verwaltung von Nutzern, Aufbewahrungsfristen und Löschung vollständig in der Hand der Organisation belassen.

Welche Zertifikate und Nachweise belegen Datensouveränität?

Ein einzelnes Zertifikat für Datensouveränität existiert nicht; belegt wird sie über eine Kombination aus Prüfberichten, Zertifizierungen und vertraglichen Zusicherungen. Zertifizierungen adressieren dabei überwiegend Informationssicherheit und Datenschutz und decken die Souveränitätsfrage nur teilweise ab – die rechtliche Zuordnung des Anbieters prüft keiner dieser Nachweise vollständig.

Nachweis	Herausgeber / Grundlage	Aussagekraft für Datensouveränität
ISO/IEC 27001	Internationale Norm	Belegt ein Informationssicherheits-Managementsystem, trifft keine Aussage zur Rechtsordnung
BSI C5	Bundesamt für Sicherheit in der Informationstechnik	Prüfbericht für Cloud-Dienste mit Angaben zu Gerichtsstand, Verarbeitungsorten und Ermittlungsanfragen
EU Cloud Code of Conduct	Verhaltensregeln nach Art. 40 DSGVO	Belegt DSGVO-konforme Cloud-Verarbeitung, ohne Drittstaatszugriffe auszuschließen
SecNumCloud	ANSSI (Frankreich)	Qualifizierung mit expliziten Anforderungen an die Immunität gegenüber Drittstaatsrecht
Gaia-X Labels	Gaia-X Trust Framework	Gestufte Kennzeichnung; die höchste Stufe adressiert Zugriffsschutz gegenüber Nicht-EU-Recht
BSI-Zulassung für VS-NfD	Bundesamt für Sicherheit in der Informationstechnik	Produktbezogene Zulassung für Verschlusssachen; hoher Prüfmaßstab, begrenzter Anwendungsbereich

Für die Bewertung eines Anbieters sind daher ergänzende Angaben erforderlich: die vollständige Liste der Subunternehmer mit Sitz und Aufgabe, die Verarbeitungsorte einschließlich Backup und Support, der Umgang mit behördlichen Auskunftsersuchen, die Eigentümerstruktur sowie die vertraglich zugesicherten Exit- und Löschbedingungen.

Wer ist für Datensouveränität verantwortlich?

Die Verantwortung für Datensouveränität liegt bei der Leitung der Organisation, da sie über Beschaffung, Architektur und Risikoakzeptanz entscheidet. Delegieren lässt sich die Umsetzung, nicht die Verantwortung. Operativ wirken mehrere Rollen zusammen: Der CISO oder die Informationssicherheitsbeauftragte bewertet Bedrohungslage und Schutzmaßnahmen, der Datenschutzbeauftragte prüft die Zulässigkeit von Verarbeitung und Drittlandtransfer, die IT verantwortet Betriebsmodell und Schlüsselverwaltung, und der Einkauf verankert die Anforderungen in Ausschreibungen und Verträgen.

Entscheidend ist der Zeitpunkt. Datensouveränität lässt sich in der Beschaffungsphase mit vergleichsweise geringem Aufwand durchsetzen und nach der Einführung nur noch mit hohem Aufwand nachrüsten. Wer Souveränitätsanforderungen erst im Betrieb stellt, verhandelt gegen bereits migrierte Datenbestände, geschulte Anwender und abgeschlossene Integrationen – eine Position, aus der heraus sich Zugeständnisse selten erreichen lassen.

Welche Fehler treten bei der Umsetzung von Datensouveränität häufig auf?

Der häufigste Fehler ist die Gleichsetzung von Datensouveränität mit dem Serverstandort. Weitere typische Schwachstellen aus der Praxis:

Prüfung nur des Hauptanbieters, während Subunternehmer für Support, Analyse oder Push-Dienste unbetrachtet bleiben
Betrachtung ausschließlich der Inhaltsdaten, während Metadaten, Protokolle und Backups außerhalb des geprüften Rahmens liegen
Verschlüsselung, deren Schlüssel vollständig beim Anbieter verbleiben, sodass technisch weiterhin Klartextzugriff besteht
unbeschränkte administrative Fernzugriffe aus Drittstaaten trotz europäischem Hosting
fehlende Exit-Strategie und keine Prüfung, ob sich Daten vollständig und in nutzbaren Formaten exportieren lassen
keine freigegebene Alternative für die mobile Kommunikation, wodurch Consumer-Messenger die Souveränitätsanforderungen faktisch unterlaufen
einmalige Bewertung ohne Wiederholung, obwohl sich Konzernstrukturen, Subunternehmer und Rechtslagen laufend ändern

Ist Datensouveränität auch für kleine Organisationen relevant?

Datensouveränität ist auch für kleine Organisationen relevant, weil sich der Kontrollverlust nicht nach Organisationsgröße richtet, sondern nach der Sensibilität der verarbeiteten Daten. Eine kommunale Verwaltung, eine Klinik mittlerer Größe oder ein spezialisierter Zulieferer verarbeitet Daten, deren Offenlegung erhebliche Folgen hätte – unabhängig von der Zahl der Beschäftigten. Hinzu kommt, dass kleinere Einrichtungen als Teil der Lieferkette größerer Auftraggeber zunehmend selbst Nachweise erbringen müssen.

Der Aufwand skaliert allerdings mit der Organisation. Für kleinere Einrichtungen ist der eigene Rechenzentrumsbetrieb selten realistisch; der praktikable Weg führt über die Auswahl europäischer Anbieter mit belastbaren Zusicherungen, eine dokumentierte Prüfung der eingesetzten Dienste anhand der fünf Souveränitätsdimensionen und eine schriftlich festgehaltene Exit-Option. Eine schlanke, aber vollständige Bewertung weniger kritischer Dienste ist wirksamer als ein umfassendes Souveränitätskonzept, das nie abgeschlossen wird.

Zusammenfassung: Wichtige Punkte zu Datensouveränität

Datensouveränität ist die dauerhafte Kontrolle einer Organisation darüber, wo ihre Daten liegen, wer darauf zugreifen kann und welchem Recht sie unterliegen.
Datensouveränität ist enger als digitale Souveränität – diese umfasst den gesamten Technologiestack – und weiter als Datenschutz, der nur personenbezogene Daten schützt.
Sie besteht aus fünf prüfbaren Dimensionen: rechtliche, territoriale, technische, betriebliche und Anbietersouveränität. Jede muss einzeln bewertet werden.
Ein Serverstandort in Deutschland oder der EU genügt nicht; entscheidend sind zusätzlich Rechtsordnung des Anbieters, Schlüsselhoheit, Administrationszugriffe und Subunternehmerkette.
Der US CLOUD Act (2018) verpflichtet US-Anbieter zur Herausgabe von Daten unabhängig vom Speicherort und kann in Konflikt mit Art. 48 DSGVO geraten.
Das EuGH-Urteil Schrems II (C-311/18, 16. Juli 2020) verlangt für Drittlandtransfers eine Einzelfallprüfung des Schutzniveaus und gegebenenfalls zusätzliche Schutzmaßnahmen.
Der EU Data Act (Verordnung (EU) 2023/2854) stärkt die Wechselfähigkeit zwischen Cloud-Diensten und begrenzt unrechtmäßige behördliche Zugriffe aus Drittstaaten.
Metadaten sind souveränitätsrelevant: Wer wann mit wem kommuniziert hat, ist auch ohne Kenntnis der Inhalte hochsensibel und wird bei Bewertungen häufig übersehen.
Schlüsselhoheit ist der stärkste technische Hebel: Nur wenn die Organisation die Schlüssel kontrolliert oder Inhalte Ende-zu-Ende verschlüsselt sind, hält der Schutz einem Herausgabeverlangen stand.
Ein einzelnes Zertifikat für Datensouveränität existiert nicht; Nachweise wie ISO/IEC 27001, BSI C5, SecNumCloud oder Gaia-X-Labels decken jeweils nur Teilaspekte ab.
Datensouveränität wird in der Beschaffungsphase durchgesetzt; nach Migration und Einführung lässt sie sich nur noch mit erheblichem Aufwand nachrüsten.