Sovereign Cloud
Sovereign Cloud ist Infrastruktur, bei der Datenstandort, die für diese Daten geltende Rechtshoheit und die Instanz, die die Systeme betreibt, allesamt der Kontrolle einer einzigen definierten Autorität unterliegen – typischerweise eines Landes oder Wirtschaftsraums – statt den Nutzungsbedingungen eines ausländischen Anbieters überlassen zu sein. Es geht darum, wer zur Herausgabe von Daten gezwungen werden kann, nicht nur darum, wo die Server stehen.
Unter „Sovereign Cloud“ werden drei getrennte Dinge zusammengefasst, und ein Großteil der Verwirrung entsteht dadurch, dass sie vermischt werden: Datenresidenz (in welchem Land die Bytes physisch liegen), Rechtshoheit (welches Land mit seinen Gerichten und Behörden Zugriff auf diese Daten erzwingen kann, unabhängig davon, wo sie liegen), und operative Souveränität (wer – welches Unternehmen, unter welcher Unternehmensstruktur – die Infrastruktur tatsächlich betreibt und unter Druck gesetzt, übernommen oder sanktioniert werden kann). Ein Hyperscaler, der ein Rechenzentrum in der EU eröffnet, erfüllt nur das erste Kriterium. Das zweite löst das nicht: Ein Unternehmen mit Hauptsitz in den USA unterliegt weiterhin US-Recht – einschließlich Gesetzen mit extraterritorialer Reichweite – unabhängig davon, wo seine Server physisch stehen. Deshalb werden „Sovereign Cloud“-Angebote von US-Hyperscalern, so echt EU-betrieben ihre lokalen Tochtergesellschaften auch strukturiert sein mögen, anders geprüft als Infrastruktur, die durchgängig von einem Unternehmen betrieben wird, das in der jeweiligen Jurisdiktion gegründet ist und dort seinen Hauptsitz hat.
In der Praxis ist Souveränität ein Spektrum an Entscheidungen, keine Zertifizierung, die man entweder hat oder nicht. Eine regulierte Organisation könnte ihre sensibelsten Workloads on-premise oder bei einem Bare-Metal-Anbieter mit physischem Sitz im eigenen Land betreiben, weniger sensible Workloads bei einem Cloud-Anbieter mit Hauptsitz in der EU laufen lassen (Hetzner, OVHcloud, Scaleway und UpCloud werden häufig als Beispiele genannt) und für Workloads, bei denen Residenz weniger zählt als Funktionsparität, einen US-Hyperscaler akzeptieren. Entscheidend für einen echten Souveränitätsanspruch ist, dass der Kunde konkret benennen kann, welche Instanz die Verschlüsselungsschlüssel hält, welches Gericht für eine Vorladung zuständig ist und wer den Zugriff einseitig widerrufen kann. „Souverän“ als Merkmalsbezeichnung verwendet, ohne diese drei Fragen zu beantworten, ist meist Marketingsprache, entlehnt von einem Begriff, der ursprünglich eine konkrete, überprüfbare Vereinbarung beschrieb.
Warum das wichtig ist
Für regulierte Branchen und Behörden, die unter DSGVO, NIS2 oder branchenspezifischen Vorschriften operieren, ist Souveränität keine abstrakte Präferenz – sie bestimmt, welches Rechtssystem einen Streitfall tatsächlich verhandelt, welche Behörde die Offenlegung von Daten erzwingen kann, und ob ein ausländisches Gesetz Daten erreichen kann, die die EU physisch nie verlassen haben. Sie prägt auch die Durchsetzbarkeit von Verträgen: Ein Auftragsverarbeitungsvertrag, der EU-Recht unterliegt und vor einem EU-Gericht verhandelt wird, ist eine materiell andere Garantie als dasselbe Dokument innerhalb des US-rechtlich geregelten Rahmenvertrags eines globalen Anbieters. NIS2 erhöht gezielt die Anforderungen an Nachweise – Vorfallsaufzeichnungen, Zugriffsprotokolle und Offenlegungen von Unterauftragsverarbeitern müssen einer behördlichen Prüfung standhalten, was leichter zu gewährleisten ist, wenn der Betreiber selbst derselben Jurisdiktion unterliegt wie die Regulierung.
Wie Sencai dazu passt
Sencai wird von der Sencai Tech s.r.o. in Prag gebaut und betrieben, unter EU-Recht – nicht als regionale Tochtergesellschaft eines Nicht-EU-Mutterunternehmens. Das Bring-your-own-Cloud-Modell belässt Konto, Vertrag und Abrechnung für jeden verbundenen Anbieter – einschließlich Optionen mit Hauptsitz in der EU wie Hetzner, OVHcloud, Scaleway und UpCloud – beim Kunden; nichts wird migriert, und der Zugriff bleibt beim Anbieter jederzeit widerrufbar. Wo Sencai Kapazität direkt bereitstellt und abrechnet, unterliegt dieser Vertrag tschechischem und EU-Recht. Sencai hält weder ISO 27001 noch SOC 2 und sagt das direkt; stattdessen liefert es die Nachweise, die eine Souveränitätsprüfung verlangt – ein exportierbares, hash-verkettetes Audit-Log, Verarbeitungsverzeichnisse, ein Unterauftragsverarbeiter-Register, eine Datenresidenz-Erklärung und einen veröffentlichten Auftragsverarbeitungsvertrag.
Das Sicherheits- und Compliance-Modell der Plattform ansehen →