Datenhoheit in der Hybrid-Cloud-Sicherheit

Datensouveränität im Bereich der Hybrid-Cloud-Sicherheit bezeichnet die Vorgehensweise, sicherzustellen, dass sensible Daten – einschließlich der durch Sicherheitsmaßnahmen erstellten Kopien und Metadaten – ausschließlich auf eine Weise verarbeitet, gespeichert und abgerufen werden, die von der zuständigen Organisation und den für sie zuständigen Aufsichtsbehörden akzeptiert wird. In einer hybriden Umgebung erfordert dies eine bewusste Entscheidung darüber, welche Sicherheitsfunktionen lokal ausgeführt werden und welche in der Cloud eines Anbieters ausgeführt werden können.

Dieser Artikel ist Teil des Leitfadens zur Hybrid-Cloud-Sicherheit. Es handelt sich um allgemeine Informationen, nicht um Rechtsberatung. Bitte klären Sie die Anforderungen mit Ihren Rechts- und Compliance-Teams ab.

Datenaufbewahrungsort vs. Datenhoheit vs. Datenlokalisierung

Unter „Datenaufbewahrungsort“ versteht man den Ort, an dem Daten gespeichert werden; „Datenlokalisierung“ ist die gesetzliche Verpflichtung, diese Daten im Inland zu belassen; und „Datensouveränität“ bezieht sich darauf, welche Gesetze für die Daten gelten und wer darauf zugreifen darf.

Der Standort ist zwar notwendig, aber nicht ausreichend. Auf Daten, die in der Region gespeichert sind, kann dennoch von Mitarbeitern des Anbieters an anderen Orten zugegriffen werden, sie können aufgrund ausländischer Rechtsvorschriften offengelegt werden oder in Protokolle und Support-Systeme in anderen Ländern kopiert werden.

Warum Sicherheitstools die Souveränität gefährden

Sicherheitstools bergen Risiken für die Souveränität, da sie die sensibelsten Daten einer Organisation – häufig in unverschlüsselter Form – verarbeiten und diese in Protokolle und Beweismaterial kopieren.

Die wichtigsten Expositionspunkte sind:

• Überprüfung. Ein „ secure web gateway “ entschlüsselt den TLS-Datenverkehr, um ihn zu scannen. In diesem Moment liegen Zugangsdaten, personenbezogene Daten und vertrauliche Dokumente im Klartext vor, wo immer das Gateway betrieben wird.
• Kopien von Beweismitteln. DLP-Engines können Kopien oder Auszüge von Inhalten speichern, die eine Richtlinie ausgelöst haben, damit diese von Ermittlern geprüft werden können.
• Protokolle und Telemetriedaten. URLs, Dateinamen, Benutzeridentitäten und Gerätedaten werden an Protokollierungs- und Analyseplattformen übermittelt, häufig in die zentrale Region eines Anbieters.
• Bedrohungsanalyse. Verdächtige Dateien können zur Analyse an Cloud-Sandboxen weitergeleitet werden.
• Zugriff für den Support. Techniker des Anbieters können bei der Fehlerbehebung möglicherweise Mandantendaten einsehen.

Eine rein cloudbasierte Sicherheitsarchitektur ermöglicht es daher, Daten über Landesgrenzen hinweg zu übertragen, selbst wenn die eigenen Anwendungen und Speichermedien des Unternehmens dies niemals tun.

Die vier Fragen zur Souveränität für jede Sicherheitsarchitektur

Vier Fragen bestimmen die Souveränitätsausrichtung jeder Sicherheitsarchitektur: Wo finden Überprüfungen statt, was verlässt die Umgebung, wo werden Protokolle gespeichert und wer hat Zugriff auf sensible Daten?

1. Wo findet die Inspektion statt?

Ermitteln Sie alle Stellen, an denen der Datenverkehr entschlüsselt wird: lokale Geräte, Cloud-Präsenzpunkte, Browsersteuerungen und Endpunkt-Agenten. Durch eine lokale Überprüfung kann der lokal durchgesetzte Teil eines regulierten Datenflusses auf der unternehmenseigenen Infrastruktur verbleiben. Bewerten Sie separat jegliche Weiterleitung an Cloud-Dienste sowie den Speicherort von Beweismitteln im Falle eines Vorfalls. Die NSA-Leitlinien zur TLS-Überprüfung empfehlen, die Überprüfung einmalig innerhalb des Unternehmensnetzwerks durchzuführen, um die Stellen zu begrenzen, an denen Klartext vorliegt.

2. Was verlässt die Umwelt?

Führen Sie auf, was der Sicherheitsstack außerhalb Ihrer Infrastruktur übermittelt: vollständige Nutzdaten, Dateibeispiele für Sandboxing, Beweismaterial zu DLP-Vorfällen, Metadaten oder lediglich Richtlinienaktualisierungen. Jede dieser Komponenten lässt sich unterschiedlich steuern.

3. Wo werden die Protokolle gespeichert?

Protokolle sind Daten. Zugriffsprotokolle verknüpfen Identitäten mit Aktivitäten, und DLP-Protokolle können die sensiblen Inhalte selbst enthalten. Legen Sie fest, welche Protokolle welche Gerichtsbarkeit verlassen dürfen und ob Protokolle lokal gespeichert und selektiv an ein zentrales SIEM weitergeleitet werden können.

4. Wer hat Zugriff auf sensible Daten?

Ermitteln Sie, wer entschlüsselte Inhalte oder Beweismittel zu Vorfällen einsehen kann: Ihre Administratoren, Ihr Managed-Service-Anbieter, die Support-Mitarbeiter des Sicherheitsanbieters oder der Cloud-Anbieter. Überlegen Sie anschließend, welche Rechtsordnungen einen dieser Akteure zur Offenlegung verpflichten könnten. Der US-amerikanische CLOUD Act stellt beispielsweise klar, dass US-Behörden in den USA ansässige Anbieter dazu verpflichten können, Daten, die sich in ihrem Besitz oder unter ihrer Kontrolle befinden, vorzulegen, unabhängig davon, wo diese gespeichert sind.

Regulatorische und beschaffungsbezogene Faktoren

Die Datenübermittlungsvorschriften der DSGVO, das EU-Rahmenwerk zur Cloud-Souveränität, DORA und branchenspezifische Vorschriften machen Souveränität nicht mehr nur zu einer Präferenz, sondern zu einer Anforderung.

Übermittlungsvorschriften der DSGVO. Gemäß Kapitel V der DSGVO erfordern Übermittlungen personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums eine Angemessenheitsentscheidung, geeignete Garantien wie Standardvertragsklauseln oder eine spezifische Ausnahmeregelung. Sicherheitstelemetriedaten, die personenbezogene Daten enthalten, unterliegen denselben Vorschriften.

EU-Rahmenwerk zur Cloud-Souveränität. Das im Oktober 2025 erstmals vorgestellte Rahmenwerk zur Cloud-Souveränität der Europäischen Kommission bewertet Cloud-Anbieter anhand von acht Zielkategorien: strategische, rechtliche und gerichtliche Aspekte, Daten und KI, operative Aspekte, Lieferkette, Technologie, Sicherheit und Compliance sowie ökologische Nachhaltigkeit. Die Anbieter erhalten eine „Sovereignty Effectiveness Assurance Level“-Bewertung (SEAL) von 0 bis 4. Im April 2026 vergab die Kommission einen Auftrag für souveräne Cloud-Dienste im Wert von bis zu 180 Millionen Euro an vier Anbieter, wobei mindestens SEAL-2, also das Niveau der Datenhoheit, erforderlich war. Das Rahmenwerk richtet sich zwar an EU-Institutionen, bietet jedoch jedem Einkäufer ein praktisches Vokabular für Anforderungen an die Souveränität.

DORA für Finanzinstitute. Das Gesetz zur digitalen Betriebsresilienz (Digital Operational Resilience Act ) ist seit dem 17. Januar 2025 in Kraft. Es verpflichtet die betroffenen Finanzinstitute, Risiken im Zusammenhang mit externen IKT-Anbietern zu steuern, ein Verzeichnis der IKT-Dienstleistungsvereinbarungen zu führen und Vorkehrungen für Ausstiegs- und Konzentrationsrisiken zu treffen. Sicherheitsdienste, die den Datenverkehr einer Bank verarbeiten, gelten im Rahmen dieser Regelung als IKT-Dienste.

Branchen- und nationale Vorschriften. Unternehmen aus den Bereichen Gesundheitswesen, Verteidigung, öffentlicher Sektor und kritische Infrastruktur sehen sich häufig mit zusätzlichen Lokalisierungs- oder Akkreditierungsanforderungen konfrontiert.

Hybrid-Cloud-Architektur für den Bankensektor

Banken bewahren Entschlüsselungsdaten und Protokolle in der Regel auf ihrer eigenen Infrastruktur auf, während sie für Mitarbeiter im Homeoffice und für SaaS-Lösungen regional begrenzte Cloud-Dienste nutzen.

Banken veranschaulichen das Souveränitätsproblem besonders deutlich. Sie benötigen Cloud-SaaS-Lösungen und Remote-Arbeit, verwahren jedoch gleichzeitig Finanzdaten ihrer Kunden unter strengen aufsichtsrechtlichen Auflagen. Ein typisches Hybridmodell:

• Stellen Sie sicher, dass die Abläufe in den Filialen und in der Zentrale im Rahmen der von der Bank kontrollierten Durchsetzung geregelt bleiben, wenn eine lokale Verarbeitung erforderlich ist, und bewerten Sie alle in der Cloud bereitgestellten Dienste sowie die Speicherung von Beweismitteln gesondert.
• Nutzen Sie für Ihre Mitarbeiter im Homeoffice Cloud-Standorte, die auf genehmigte Regionen beschränkt sind.
• Bewahren Sie Inspektionsprotokolle und DLP-Beweismittel im jeweiligen Land auf und leiten Sie nur das weiter, was das SOC benötigt.
• Verwenden Sie vom Kunden verwaltete Schlüssel und Hardware-Sicherheitsmodule für die Zertifizierungsstelle zur Überprüfung.
• Halten Sie einen einheitlichen Satz von Richtlinien aufrecht, damit die Durchsetzung vor Ort und in der Cloud für die Prüfer konsistent bleibt.
• Tragen Sie den Sicherheitsanbieter in das DORA-Informationsregister ein, einschließlich der Ausstiegsplanung.

Das gleiche Muster gilt für Versicherer, Zahlungsinstitute und Wertpapierfirmen.

Architekturmuster, die die Souveränität unterstützen

Sieben Architekturmuster erfüllen die meisten Anforderungen an die Souveränität, ohne auf Cloud-Dienste verzichten zu müssen.

Checkliste zur Souveränität für Sicherheitsanbieter

Nutzen Sie diese Checkliste, um die Souveränitätsansprüche eines beliebigen Sicherheitsanbieters zu prüfen, bevor Sie eine Vorauswahl treffen.

• Können alle Prüfungen für eine bestimmte Verkehrsklasse auf unserer Infrastruktur durchgeführt werden?
• Welche Datenelemente werden standardmäßig aus unserer Umgebung übertragen, und können diese jeweils deaktiviert werden?
• In welchen Ländern werden Protokolle, Nachweise und Telemetriedaten gespeichert?
• Welche Mitarbeiter des Anbieters haben Zugriff auf Mandantendaten, von welchem Standort aus und mit welcher Genehmigung?
• Welche Rechtsordnungen gelten für den Anbieter und dessen Unterauftragsverarbeiter?
• Können wir unser eigenes HSM oder unsere eigene Schlüsselverwaltung verwenden?
• Was funktioniert weiterhin, wenn die Cloud des Anbieters nicht erreichbar ist?
• Welche Zertifizierungen gelten (z. B. FedRAMP, IRAP, BSI C5, SOC 2 Typ II, CSA STAR)?

Wie Skyhigh die Datenhoheit unterstützt

Skyhigh unterstützt die Datenhoheit, indem die Web-Überprüfung und die Überprüfungsschlüssel bei Bedarf auf der Infrastruktur des Kunden gespeichert werden. Die Nachweise zu Datenschutzvorfällen werden in der Skyhigh-Cloud aufbewahrt; dies ist eine separate Frage, die im Hinblick auf Ihre Anforderungen an die Datenhoheit zu klären ist.

Skyhigh Hybrid SSE Mesh sorgt dafür, dass die Datenebene physisch vor Ort verbleibt, wo dies aus Compliance-Gründen erforderlich ist. Die SSL/TLS-Entschlüsselung und die Web-Inspektion erfolgen lokal auf dem Secure Service Gateway, sodass Web-Nutzdaten innerhalb Ihrer eigenen Infrastruktur entschlüsselt werden. Dienste, die über die Skyhigh-Cloud bereitgestellt werden – darunter Datenschutz, „ remote browser isolation “, KI-basierte Sicherheitskontrollen, CASB und das Management der Datensicherheitslage – erhalten den entsprechenden Datenverkehr vom Gateway; prüfen Sie daher diese Datenströme im Hinblick auf Ihre Anforderungen an Datenstandort und Hoheitsrechte. Lokales ZTNA läuft auf den unternehmenseigenen Gateways. Vergewissern Sie sich hinsichtlich des Schutzes der Inspektionsschlüssel, einer etwaigen HSM-Integration sowie der Unterstützung für lokales Sandboxing bei den ausgewählten Produkten und Versionen. Dedizierte Ausgangs-IP-Adressen und die Verankerung von Quell-IP-Adressen helfen bei der Steuerung des ausgehenden, in der Cloud inspizierten Datenverkehrs, legen jedoch allein nicht fest, wo Inhalte verarbeitet werden (Skyhigh Security). Das Cloud-Register der Plattform bewertet Cloud-Dienste zudem hinsichtlich Datenresidenz, rechtlicher Bedingungen und anderer Merkmale, sodass Richtlinien die Nutzer zu konformen Diensten lenken können.

Quellen

1. Europäische Union. Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Kapitel V. https://eur-lex.europa.eu/eli/reg/2016/679/oj
2. Europäische Union. Verordnung (EU) 2022/2554 (Gesetz über digitale Betriebsresilienz). https://eur-lex.europa.eu/eli/reg/2022/2554/oj
3. Europäische Kommission. „Das ‚Sovereign Cloud Framework‘ erklärt“ (1. Juni 2026). https://commission.europa.eu/news-and-media/news/sovereign-cloud-framework-explained-2026-06-01_en
4. Europäische Kommission. „Kommission fördert Cloud-Souveränität durch strategische Beschaffung“ (17. April 2026). https://commission.europa.eu/news-and-media/news/commission-advances-cloud-sovereignty-through-strategic-procurement-2026-04-17_en
5. US-Justizministerium. Ressourcen zum CLOUD Act. https://www.justice.gov/criminal/cloud-act-resources
6. NSA. Umgang mit Risiken durch die Überprüfung der Transportschicht-Sicherheit (November 2019). https://media.defense.gov/2019/Nov/18/2002212783/-1/-1/0/MANAGING%20RISK%20FROM%20TLS%20INSPECTION_20191106.PDF
7. Skyhigh Security. „Modernisierung Ihrer Symantec Edge- Secure Web Gateway s mit Skyhigh Hybrid SSE Mesh“ (15. Juli 2026). https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
8. Skyhigh Security. „Die Einführung von Hybrid-Lösungen ist mit der Skyhigh SSE-Plattform jetzt noch einfacher“ (3. Oktober 2024). https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html