Der US CLOUD Act endet nicht an der amerikanischen Grenze. Ist der Cloud-Anbieter amerikanisch, bleiben die dort gespeicherten Daten für US-Behörden zugänglich, unabhängig davon, wo die Server physisch stehen. Ein handfester Compliance-Konflikt entsteht daraus für Unternehmen im DACH-Raum: Die DSGVO und die GDPR weisen die Verantwortung für die Daten dem Verantwortlichen zu, also dir als Kunde. Ein Bußgeld oder eine Beanstandung durch die Aufsichtsbehörde trifft dein Unternehmen. Diese Verantwortung landet in der Praxis bei der Person, die im Unternehmen für Compliance oder Datenschutz zuständig ist, selbst wenn die eigentliche Ursache in der Wahl eines fremden Anbieters liegt.

Wer dieses Risiko reduziert, bevor eine Aufsichtsbehörde oder ein Kunde selbst danach fragt, spart sich später die Nachverhandlung unter Zeitdruck. Ein Prüfbericht oder eine Kundenanfrage zum Auftragsverarbeitungsvertrag kommt erfahrungsgemäß genau dann, wenn dafür am wenigsten Zeit bleibt. Mit einer Bestandsaufnahme im Vorfeld nimmst du diesem Moment den Krisencharakter und machst daraus eine geplante Aufgabe; zugleich bekommst du ein Dokument, das sich bei Bedarf direkt gegenüber der Aufsicht oder gegenüber Kunden vorlegen lässt.

US-Cloud-Anbieter geben Daten weltweit heraus

Der Zugriff amerikanischer Behörden hängt an der Nationalität des Anbieters. Ein europäisches Rechenzentrum eines amerikanischen Konzerns schützt deine Daten also nicht vor dem Zugriff durch US-Behörden. Die Verantwortung für diesen Konflikt bleibt trotzdem bei dir als Unternehmen im DACH-Raum: Die DSGVO verlangt technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten, unabhängig davon, welcher Anbieter die Infrastruktur tatsächlich betreibt. Diese Lücke zwischen amerikanischem und europäischem Recht schließt sich nur durch einen Anbieter, dessen Rechtshoheit zur Aufsicht passt, unter der dein Unternehmen selbst steht. Das gilt unabhängig davon, ob die Daten heute schon bei einem amerikanischen Anbieter liegen oder eine Migration erst geplant wird.

Fünf Leistungen für deine Cloud-Souveränität

Wir decken den gesamten Weg von der ersten Bestandsaufnahme bis zur dauerhaften Kontrolle ab:

• Bewertung der Cloud-Souveränität: Wir prüfen regulatorische Anforderungen, schätzen Risiken und Auswirkungen ein und ermitteln die Kosten einer möglichen Migration, bevor eine Entscheidung fällt. Eine belastbare Grundlage für die Frage, ob und in welchem Umfang ein Wechsel sich lohnt, steht am Ende.
• Evaluierung souveräner Cloud-Anbieter: Wir vergleichen Anbieter wie STACKIT, Hetzner, IONOS, OVHcloud und die Open Telekom Cloud von T-Systems für deinen konkreten Anwendungsfall, mit Blick auf Rechtshoheit und Zertifizierungen.
• Migrationsdesign und -durchführung: Wir entwerfen gestufte Migrationspläne und nehmen die dafür nötigen Anpassungen an deiner bestehenden Architektur Schritt für Schritt vor.
• Architekturmuster für DSGVO und GDPR: Wir entwickeln Datenresidenz und Verschlüsselungsmanagement direkt für die Zielarchitektur und machen Compliance so zu einem festen Bestandteil des Entwurfs.
• Laufende Überwachung der Compliance über Policy-as-Code-Kontrollen: Wir setzen automatisierte, code-basierte Kontrollen ein, die die Datensouveränität dauerhaft durchsetzen, auch nach Abschluss der Migration und bei jeder neuen Änderung an der Umgebung.

Migrationskosten und Risiko von Anfang an planbar

Dabei unterscheiden wir von Anfang an, welche Systeme im Ernstfall am stärksten betroffen wären und wo sich Ausfälle am ehesten vermeiden lassen. Die Migration selbst läuft anschließend in gestuften Schritten, mit genau den Anpassungen an der Architektur, die der jeweilige Schritt braucht. Dein laufender Betrieb bleibt dabei die Priorität, ein festes Enddatum tritt dahinter zurück. Der Aufwand einer Migration lässt sich so schon vor dem ersten Schritt seriös abschätzen. Genau diese Reihenfolge – erst bewerten, dann umsetzen – unterscheidet eine kontrollierte Migration von einem Umzug unter Zeitdruck. Jede einzelne Anpassung an der Architektur wird dabei einzeln begründet und einzeln abgenommen.

Zwei regulierte Migrationen im Schweizer Finanzsektor

Acht Wochen reichten in beiden Fällen aus, um eine komplexe, aufsichtsrechtlich geprüfte Migration vorzubereiten, ohne den laufenden Betrieb zu gefährden:

• Schweizer Banktechnologie-Anbieter: über 300 Kernbankanwendungen in einem achtwöchigen Engagement auf regulatorische Prüfbereitschaft und Cloud-Kompatibilität geprüft; 500.000 Transaktionen pro Tag liefen währenddessen durchgehend weiter. Darauf aufbauend entstand eine FINMA-konforme Multi-Cloud-Architektur auf Microsoft Azure und Google Cloud, eingebettet in einen hybriden Betriebsrahmen, der alte und neue Systeme über eine geplante Migrationsroadmap von fünf bis sieben Jahren hinweg parallel laufen lässt – die vollständige Migration läuft noch, begleitet von einem Schulungs- und Zertifizierungsprogramm für die eigene Belegschaft.
• Schweizer Anbieter digitaler Kreditlösungen: neue Systemarchitektur für mehr als 500 institutionelle Kunden in einem achtwöchigen Engagement entworfen, unter voller FINMA-Aufsicht einschließlich des Rundschreibens 2018/3 zum Outsourcing. Compliance war von Beginn an Teil des Architekturentwurfs; die externe Sicherheits- und Compliance-Prüfung durch eine der Big Four bestand die Architektur bereits bei der ersten Einreichung. Aus den acht Wochen ging, nach agilen Methoden mit Fokus auf Kanban und Flow Metrics, ein freigegebener Umsetzungsrahmen für die gesamte Transformation hervor, verbunden mit dem Wissenstransfer an das interne Architekturteam – die eigentliche Umsetzung des Neubaus schließt sich als laufende Zusammenarbeit an.

In beiden Fällen lief das Projekt unter laufender Aufsicht, ohne das Tagesgeschäft zu berühren, und mündete in eine geprüfte, von der zuständigen Aufsicht getragene Architektur.