Interview mit Amazon Web Services (AWS) Digitale Souveränität: Schützen die EU-Clouds der Hyperscaler vor US-Behörden?

Anbieter zum Thema

Amazon Web Services EMEA SARL,

Kendox AG

xSuite Group GmbH

Yorizon GmbH & Co. KG

Europäische Unternehmen machen sich Sorgen um ihre digitale Souveränität. Die US-Hyperscaler begegnen den Bedenken mit eigenen EU-Clouds. Sicherer Schutz für Daten – oder nur Souveränität light?

Digitale Souveränität ist längst mehr als ein Schlagwort: Sie entscheidet darüber, ob Unternehmen in Deutschland und Europa ihre Daten, Anwendungen und Wertschöpfungsketten eigenständig steuern können. Es geht um Kontrolle: über Datenflüsse, Speicherorte, Schlüssel und Betriebsprozesse – im Einklang mit DSGVO, NIS-2 und weiteren europäischen Vorgaben.

Die großen Hyperscaler wie Amazon, Microsoft & Co. sind sich des Problems bewusst und bieten daher ihren europäischen Kunden mit eigenen Cloud-Angeboten aus europäischen Rechenzentren entsprechende Angebote an. Doch lassen sich mit diesen Angeboten wirklich regulatorische Vorgaben wie die Datenschutz-Grundverordnung einhalten? Und welche Rolle spielt beispielsweise der US Cloud Act, der US-Behörden Zugriff auf Daten von US-amerikanischen Unternehmen ermöglicht – auch bei Tochterunternehmen im Ausland?

Im Gespräch mit Mustafa Isik, Chief Technologist Digital Sovereignty bei Amazon Web Services (AWS), wollen wir klären, wie Unternehmen technische Freiheit und regulatorische Sicherheit vereinen können. Wo stehen die hyperscaler-eigenen Souveränitätsinitiativen, und wo bleiben Grenzen? Und was passiert, wenn die US-Behörden vor der Tür stehen?

Wir geben Kundendaten auf keinerlei behördliche Anfragen heraus, es sei denn, wir sind dazu durch eine rechtlich gültige und verbindliche Anordnung verpflichtet. 

Mustafa Isik, Chief Technologist Digital Sovereignty bei Amazon Web Services (AWS)

Herr Isik, in der deutschen und europäischen IT-Landschaft spricht aktuell fast jeder von einer digitalen Souveränität – wir müssen uns unabhängig machen von außereuropäischen Anbietern. Wie stehen Sie als US-amerikanischer Anbieter zu dem Thema?

Mustafa Isik: Für AWS bedeutet Souveränität, unseren Kunden volle Kontrolle und Transparenz über ihre Daten zu geben. Kunden entscheiden, wo ihre Daten gespeichert und verarbeitet werden, wer zugreifen kann und wie sie verschlüsselt werden. Alle AWS-Regionen sind „sovereign-by-design“ und „secure-by-design“ konzipiert und erfüllen die Anforderungen der meisten Workloads unserer Kunden. Für Kunden aus besonders stark regulierten Branchen und der öffentlichen Verwaltung haben wir im Oktober 2023 die AWS European Sovereign Cloud angekündigt. Sie erhalten damit mehr Auswahl und Flexibilität, um den steigenden Anforderungen an den Ort der Datenverarbeitung und die operative Souveränität in der Europäischen Union besser gerecht zu werden. Der Start der ersten Region der AWS European Sovereign Cloud ist in Brandenburg bis zum Jahresende 2025 geplant. Dieses Angebot steht dann allen AWS-Kunden zur Verfügung. 

Welche Nachteile sehen Sie in einer digitalen Souveränität Europas?

Mustafa Isik: Wir sehen keine Nachteile in der digitalen Souveränität Europas, sondern verstehen sie als wichtige Voraussetzung für die erfolgreiche digitale Transformation von Europa. Wir waren schon immer der Meinung, dass es für Kunden von essenzieller Bedeutung ist, die Kontrolle über ihre Daten und Auswahlmöglichkeiten zu haben, wie sie diese Daten in der Cloud sichern und verwalten. Bereits im November 2022 haben wir uns mit dem „AWS Digital Sovereignty Pledge“ dazu verpflichtet, unseren Kunden die fortschrittlichsten Soouveränitäts-Kontrollen und Funktionen in der Cloud anzubieten – ohne dass sie dabei Kompromisse bei der Funktionalität, Innovation oder Skalierbarkeit eingehen müssen. 

DER GESPRÄCHSPARTNER

Mustafa Isik ist Chief Technologist Digital Sovereignty bei Amazon Web Services (AWS).

Sie haben bereits die AWS European Sovereign Cloud angesprochen. Alle großen US-Hyperscaler haben mittlerweile sogenannte Sovereign-Clouds im Angebot. Vielleicht können Sie kurz umreißen, wie Sie damit eine digitale Souveränität für Ihre europäischen Kunden schaffen wollen?

Mustafa Isik: Mit der AWS European Sovereign Cloud schaffen wir eine neue, unabhängige Cloud für Europa, die physisch und logisch von bestehenden AWS-Regionen getrennt ist und ausschließlich innerhalb der EU betrieben wird. Sie bietet dabei die gleiche Sicherheit, Verfügbarkeit und Leistung wie bestehende AWS-Regionen.

Die Besonderheiten dieser Cloud manifestieren sich in einer neuen deutschen Unternehmensstruktur mit einer von EU-Bürgern geführten Muttergesellschaft sowie einem unabhängigen Beirat mit vier EU-Bürgern. Hinzu kommen ein eigenes europäisches Security Operations Center und ein dedizierter European Trust Service Provider für autonome Trust Service Operations. Der Betrieb erfolgt zunächst durch in der EU ansässige Mitarbeiter und wird nach einer Übergangsphase vollständig von in der EU ansässigen EU-Bürger übernommen. Zudem haben autorisierte AWS-Mitarbeiter der European Sovereign Cloud Zugriff auf eine Kopie des Quellcodes, um selbst unter extremen Umständen einen unabhängigen Weiterbetrieb gewährleisten zu können.

Welche Rolle spielt hier das sogenannte AWS Sovereign Requirement Framework?

Mustafa Isik: Grundlage für all diese Maßnahmen ist das AWS Sovereign Requirement Framework (SRF), ein umfassender Satz technischer, rechtlicher und operativer Souveränitätskontrollen. Das SRF wurde auf Basis der Souveränitätserwartungen unserer Kunden, der Anforderungen von Regulierungsbehörden in der EU und der Bedürfnisse unserer Implementierungspartner entwickelt. Mit dem SRF können wir die Einhaltung von Souveränitätserwartungen nachweisen und durch die Implementierung von Kontrollen über Services und Betrieb prüfbare Nachweise für Kunden und Regulierungsbehörden erbringen.

Diese Struktur kombiniert einen robusten rechtlichen Rahmen mit fortschrittlichen technischen Kontrollen, um operative Unabhängigkeit zu gewährleisten. Alle Führungskräfte sind rechtlich verpflichtet, im besten Interesse der AWS European Sovereign Cloud zu handeln. Für dieses Projekt sind Investitionen von 7,8 Milliarden Euro bis 2040 vorgesehen.

AWS bietet mittlerweile unzählige Cloud-Dienste an – von Datenbanken über Firewalls und Analyse-Tools bis zur künstlichen Intelligenz. Werden alle Dienste in der europäischen souveränen Cloud angeboten?

Mustafa Isik: Die AWS European Sovereign Cloud wird, wie auch unsere bestehenden Regionen, das AWS-Nitro-System nutzen. Die Grundlage nach einer Inbetriebnahme einer neuen Region bilden die zentralen Services, die für kritische Arbeitslasten und Anwendungen benötigt werden. Danach erweitern wir den Servicekatalog je nach Bedarf unserer Kunden und Partner.

Bitkom

Digitale Souveränität durch Open Source: Mehrheit der Unternehmen setzt auf freie Software