Wo eine Cloud steht, sagt noch wenig darüber aus, wer sie kontrolliert. Genau an diesem Punkt setzt Euralarm mit seinem neuen Leitfaden zur „European Sovereign Cloud“ an. Für Brandschutz- und physische Sicherheitssysteme unterscheidet der Verband fünf Dimensionen von Souveränität – und plädiert zugleich gegen maximale Abschottung um jeden Preis. Entscheidend soll nicht das Etikett „europäisch“ sein, sondern das tatsächliche Risiko einer Anwendung.

Cloud-Technologie ist für die Sicherheitsindustrie längst mehr als externe Rechenleistung. Alarmübertragung über IP, Ferndiagnose, Software-Updates, Fernwartung und die Analyse großer Datenmengen erweitern klassische Brand- und Sicherheitssysteme um Funktionen, die lokal installierte Systeme nur eingeschränkt oder mit erheblichem Aufwand bereitstellen könnten. Euralarm verweist unter anderem auf höhere Detektionswahrscheinlichkeiten, die Reduzierung von Fehlalarmen und die Analyse großer Videodatenmengen als konkrete Vorteile.

Doch je tiefer Cloud-Dienste in sicherheitskritische Prozesse eindringen, desto wichtiger wird eine zweite Ebene: Wer besitzt im Ernstfall tatsächlich die Kontrolle über Daten, Betrieb und technische Infrastruktur?

Für Betreiber Kritischer Infrastrukturen, Behörden oder andere besonders schutzbedürftige Organisationen kann es nicht ausreichen, dass ein Cloud-Dienst schnell, hochverfügbar und cybersicher ist. Die verarbeiteten Daten und Bilder können unmittelbar die Resilienz von Infrastrukturen oder die Sicherheit von Organisationen und staatlichen Einrichtungen betreffen. Entsprechend kann auch der Schutz vor einem Zugriff ausländischer Behörden oder anderer nicht-europäischer Akteure zum Auswahlkriterium werden.

Genau hier versucht Euralarm, den häufig unscharf verwendeten Begriff „Souveränität“ technisch und wirtschaftlich greifbarer zu machen.

Ein Rechenzentrum in Europa reicht nicht

Die wohl wichtigste Botschaft des Leitfadens lautet: Datenstandort und Souveränität sind nicht dasselbe.

Dass Daten in Frankfurt, Paris oder Amsterdam gespeichert werden, beantwortet zunächst nur die geografische Frage. Es sagt noch nichts darüber aus, welche Technologien im Hintergrund benötigt werden, wer die Systeme administriert, welcher Rechtsordnung der Anbieter unterliegt oder ob zentrale Dienste auch dann weiterlaufen, wenn globale Infrastrukturen nicht mehr verfügbar sind.

Euralarm unterscheidet deshalb fünf Dimensionen, die jeweils für sich bewertet werden müssen: technologische Souveränität, operative Souveränität, jurisdiktionelle Souveränität, Datenresidenz und rechtliche Compliance. Der Leitfaden orientiert sich dabei auch am Cloud Sovereignty Framework der Europäischen Kommission sowie am C3A-Schema des BSI.

Diese Differenzierung ist entscheidend, weil sie aus einer politischen Grundsatzdiskussion eine konkrete Architektur- und Beschaffungsfrage macht.

Technologische Souveränität: Wie leicht kommt man wieder heraus?

Die erste Dimension betrifft die Abhängigkeit von Technologie. Euralarm fragt insbesondere, wie stark eine Cloud-Architektur auf proprietären Technologien nicht-europäischer Anbieter basiert und ob Anwendungen und Daten im Bedarfsfall migriert werden können.

Offene Standards, interoperable Systeme und nachvollziehbare technologische Abhängigkeiten gewinnen damit strategische Bedeutung. Ein Anbieterwechsel sollte nicht erst dann vorbereitet werden, wenn er bereits notwendig geworden ist.

Der Leitfaden nennt deshalb unter anderem Portabilität, getestete Exit-Pläne, Datenexportierbarkeit und – wo sachlich gerechtfertigt – Multi-Cloud- oder Dual-Stack-Architekturen. Ziel ist nicht zwingend völlige technologische Unabhängigkeit, sondern die Reduzierung von Konzentrations- und Lock-in-Risiken.

Noch weiter geht Euralarm mit dem Begriff der European survivability. Eine stärker souveräne Architektur soll in der Lage sein, zentrale Dienste innerhalb Europas weiterzubetreiben, selbst wenn internationale Verbindungen erheblich gestört werden oder globale Cloud-Strukturen nicht vollständig verfügbar sind.

Damit entsteht eine ausgesprochen praktische Frage für Sicherheitsverantwortliche: Welche nicht-europäischen Komponenten müssen verfügbar bleiben, damit ein kritischer Sicherheitsdienst in Europa überhaupt weiterarbeiten kann?

Operative Souveränität: Wer hat den Administratorzugang?

Technische Unabhängigkeit allein genügt nicht. Ebenso wichtig ist, wer eine Cloud tatsächlich betreibt.

Euralarm versteht operative Souveränität als die Fähigkeit europäischer Akteure, eine Technologie unabhängig von ausländischer Kontrolle zu betreiben, zu unterstützen und weiterzuentwickeln. Dazu gehören Provisionierung, Management und Überwachung ebenso wie der physische und digitale Zugang zur Infrastruktur.

Gerade für Sicherheitssysteme ist diese Dimension entscheidend. Ein Rechenzentrum kann physisch in Europa stehen, während privilegierte Support- oder Administrationszugriffe weiterhin über global organisierte Teams erfolgen.

Der Leitfaden nennt deshalb konkrete Kontrollen: Privileged Access Management, Just-in-Time-Berechtigungen, Vier-Augen-Prinzipien, manipulationsgeschützte Protokolle sowie Benachrichtigung oder Zustimmung des Kunden bei besonders sensiblen Zugriffen.

Die Kernfrage lautet damit nicht nur, wo eine Infrastruktur betrieben wird, sondern wer sie im entscheidenden Moment kontrollieren kann.

Jurisdiktionelle Souveränität: Welches Recht greift?

Am schwierigsten wird Cloud-Souveränität dort, wo Technologie auf Recht trifft.

Jurisdiktionelle Souveränität bewertet, welcher Rechtsordnung Anbieter, Betrieb und Support unterliegen und inwieweit ein Cloud-Service gegenüber rechtlichen Ansprüchen aus Drittstaaten abgeschirmt ist. Euralarm nennt dafür europäische Governance-Strukturen, europäische Supportorganisationen und Personal, das europäischem Recht unterliegt.

Der Hintergrund ist konkret. Im Anhang beschäftigt sich Euralarm mit dem US CLOUD Act. Dieser kann US-amerikanische Anbieter unter bestimmten Voraussetzungen zur Herausgabe gespeicherter Kundendaten verpflichten. Gleichzeitig weist der Verband darauf hin, dass extraterritorial wirkende Regelungen längst nicht allein ein US-Thema sind. Vergleichbare rechtliche Einflussmöglichkeiten existieren oder entstehen auch in anderen Staaten.

Die Konsequenz daraus ist unbequem, aber wesentlich: Ein europäischer Serverstandort beseitigt nicht automatisch den Einfluss einer außereuropäischen Rechtsordnung.

Noch schwieriger wird die Bewertung durch komplexe Lieferketten. Nicht nur der eigentliche Cloud-Provider kann relevant sein, sondern auch Muttergesellschaften, Unterauftragnehmer, Supportpartner und technische Dienstleister. Euralarm stellt ausdrücklich fest, dass sich extraterritoriale Einflüsse in der Praxis kaum vollständig ausschließen lassen.

Souveränität wird damit zu einer Frage des beherrschten Restrisikos, nicht der absoluten rechtlichen Isolation.

Datenresidenz: Wo liegen Daten – und wo werden sie verarbeitet?

Der geografische Speicherort bleibt dennoch wichtig. Euralarm definiert Data Residency als Anforderung, Daten innerhalb eines bestimmten Landes oder einer bestimmten Region – beispielsweise der Europäischen Union – zu speichern und gegebenenfalls dort zu verarbeiten. Bei einer europäischen souveränen Cloud sollen Kundendaten und relevante Metadaten innerhalb Europas verbleiben und von anderen Cloud-Regionen getrennt sein.

Doch der Leitfaden zieht eine wichtige Grenze zwischen Datenresidenz und Datensouveränität.

Datensouveränität bedeutet, dass der Nutzer Kontrolle über Erhebung, Speicherung, Verarbeitung, Nutzung und Löschung seiner Daten behält. Verschlüsselung, Schlüsselmanagement, Zugriffskontrollen, Aufbewahrungsfristen und Governance werden damit ebenso wichtig wie der Standort des Rechenzentrums.

Für Sicherheitsanwendungen ist diese Differenzierung besonders relevant. Videodaten können beispielsweise innerhalb Europas gespeichert werden, während Metadaten, Supportinformationen oder operative Dienste weiterhin globale Cloud-Strukturen nutzen.

Entsprechend nennt Euralarm unter anderem Region Pinning, die regionale Speicherung von Backups und Logs, transparente Angaben über Verarbeitungsorte sowie robuste Schlüssel-Governance als mögliche Maßnahmen.

Damit verschiebt sich die klassische Frage „Wo liegen meine Daten?“ zu einer anspruchsvolleren: Wo befindet sich die gesamte Verarbeitungskette dieser Daten?

Compliance: Vom Häkchen zur Architektur

Die fünfte Dimension betrifft die rechtliche Compliance. Eine europäische souveräne Cloud sollte nach Auffassung von Euralarm nicht nur einzelne Zertifizierungen vorweisen, sondern europäische regulatorische Anforderungen strukturell in ihr Betriebsmodell integrieren.

Der Leitfaden nennt unter anderem DSGVO und Data Act. Verträge sollten europäischem Recht unterliegen und Streitigkeiten grundsätzlich innerhalb einer europäischen Jurisdiktion geregelt werden.

Noch wichtiger ist die Forderung, Compliance in die Prozesse des Cloud-Providers selbst einzubauen und auditierbar zu machen.

Für Betreiber bedeutet dies einen Perspektivwechsel. Compliance darf nicht erst nach Auswahl der technischen Architektur geprüft werden. Sie wird selbst Teil der Architekturentscheidung.

Nicht jede Sicherheitsanwendung braucht maximale Souveränität

Gerade hier vermeidet Euralarm einen Fehler, der in der europäischen Souveränitätsdiskussion leicht gemacht wird: Der Verband fordert nicht die maximal mögliche Souveränität für jede Anwendung.

Stattdessen plädiert der Leitfaden ausdrücklich für einen risikobasierten und proportionalen Ansatz.

Der Schutzbedarf eines Cloud-Dienstes für eine gewöhnliche gewerbliche Anwendung ist nicht automatisch mit dem einer staatlichen Einrichtung, eines Flughafens oder einer Kritischen Infrastruktur vergleichbar. Ebenso unterschiedlich können die Folgen einer Unterbrechung, eines Datenzugriffs oder eines erzwungenen Anbieterwechsels sein.

Unternehmen sollen deshalb zunächst das Risiko bestimmen und anschließend entscheiden, welche der fünf Souveränitätsdimensionen in welcher Tiefe erforderlich sind.

Dieser Ansatz ist vor allem für Beschaffung und Ausschreibung relevant. Eine „souveräne Cloud“ wird damit nicht zum pauschalen Gütesiegel, sondern muss in überprüfbare Anforderungen zerlegt werden: Muss ein Exit innerhalb eines festgelegten Zeitraums möglich sein? Müssen Supportkräfte ausschließlich in Europa sitzen? Wo dürfen Backups liegen? Wer hält die kryptografischen Schlüssel? Welche rechtliche Struktur begrenzt Drittstaatenzugriffe?

Erst solche Fragen machen den Begriff praktisch belastbar.

Maximale Souveränität hat einen Preis

Auch wirtschaftlich argumentiert der Leitfaden nüchtern.

Euralarm weist ausdrücklich darauf hin, dass weitgehende Immunität gegenüber extraterritorialen Rechtsanordnungen oder eine vollständig cloud-anbieterunabhängige Architektur erhebliche zusätzliche Kosten verursachen können. Diese Maßnahmen sollten deshalb gegen den tatsächlichen Schutzbedarf, den wirtschaftlichen Nutzen des Cloud-Dienstes sowie Wahrscheinlichkeit und Folgen eines möglichen Souveränitätsverstoßes abgewogen werden.

Das ist vielleicht die wichtigste Aussage des gesamten Dokuments.

Maximale Souveränität ist nicht automatisch die beste unternehmerische Entscheidung. Minimale Souveränität aber ebenso wenig.

Für Hersteller und Betreiber von Brand- und Sicherheitssystemen geht es deshalb darum, Abhängigkeiten sichtbar und bewertbar zu machen. Erst dann lässt sich entscheiden, an welcher Stelle zusätzliche technische, organisatorische oder rechtliche Kontrolle tatsächlich einen Sicherheitsgewinn erzeugt – und wo sie lediglich zusätzliche Komplexität schafft.

Souveränität wird zur Beschaffungsentscheidung

Der Euralarm-Leitfaden verschiebt die Diskussion damit vom Schlagwort zur konkreten Risikoanalyse.

Ein Cloud-Anbieter sollte künftig nicht allein danach beurteilt werden, ob er Rechenzentren in Europa betreibt oder eine lange Liste von Zertifikaten vorweisen kann. Portabilität, administrative Zugriffe, Betreiberstruktur, Jurisdiktion, Datenverarbeitung, Schlüsselkontrolle und die Abhängigkeit von globalen Infrastrukturen können bei sensiblen Anwendungen mindestens ebenso relevant sein.

Für die Sicherheitsindustrie ist das eine logische Entwicklung. Je mehr Funktionen von Brandmelde-, Zutritts-, Video- oder Alarmmanagementsystemen in die Cloud wandern, desto stärker wird die Cloud selbst Bestandteil der Sicherheitsarchitektur.

Die entscheidende Frage lautet deshalb nicht, ob ein Anbieter seine Lösung als „European Sovereign Cloud“bezeichnet. Entscheidend ist, welche technischen, operativen und rechtlichen Abhängigkeiten tatsächlich verbleiben, welche Risiken daraus entstehen – und ob das gewählte Souveränitätsniveau zum Schutzbedarf und zum Geschäftswert der jeweiligen Anwendung passt.

Damit wird Cloud-Souveränität weder zum politischen Gütesiegel noch zum Selbstzweck. Sie wird zu einer Beschaffungs-, Resilienz- und Risikomanagemententscheidung.

INFO | Euralarm-Leitfaden zur European Sovereign Cloud

Worum geht es?
Euralarm gibt Herstellern, Dienstleistern, Systemintegratoren und Betreibern von Brand- und Sicherheitssystemen Kriterien an die Hand, mit denen sich die Souveränität von Cloud-Diensten bewerten lässt.

Die fünf zentralen Kriterien

• Technologische Souveränität – Abhängigkeit von proprietären Technologien und Möglichkeiten zur Migration.
• Operative Souveränität – Kontrolle über Betrieb, Administration und Support.
• Jurisdiktionelle Souveränität – Rechtsordnung von Anbieter, Betrieb und Support.
• Datenresidenz und Datensouveränität – Speicher-, Verarbeitungsorte und tatsächliche Kontrolle über Daten.
• Rechtliche Compliance – Einbindung europäischer Anforderungen in Verträge und Betriebsprozesse.

Der Ansatz
Nicht jede Anwendung benötigt maximale Souveränität. Euralarm empfiehlt eine risikobasierte Bewertung nach Schutzbedarf, Kritikalität, Geschäftswert sowie den Kosten und der Komplexität zusätzlicher Souveränitätsmaßnahmen.

Zum Originaldokument
Guidance document on Criteria for European Sovereign Cloud – PDF