Unternehmen bewegen sich aktuell in einem heiklen Spannungsfeld: Auf der einen Seite herrscht ein massiver Druck, Innovationsprozesse mit Cloud-Technologien, Daten und Künstlicher Intelligenz (KI) voranzutreiben. Auf der anderen Seite verlangen regulatorische Anforderungen und geopolitische Risiken nach souveränen, lokal betriebenen Lösungen, die genau diese Innovationskraft hemmen können. Ein Beispiel der Telefónica Deutschland zeigt, wie sich auch beim Einsatz hochsensibler Daten ein gesundes Gleichgewicht zwischen geschäftlichem Nutzen sowie der erforderlichen Kontrolle und Sicherheit herstellen lässt.
Die Telefónica Deutschland verarbeitet vertrauliche Telekommunikationsdaten – sogenannte Call Detail Records – von über 35 Millionen Kunden. Infolgedessen fällt das Unternehmen unter das Dachgesetz für den Schutz und die Resilienz von kritischen Infrastrukturen (KRITIS). Das bedeutet, dass die Anforderungen an die Datensouveränität und -sicherheit besonders hoch sind. Im Gegenzug hängt der wirtschaftliche Erfolg in hohem Maße von einem unternehmensweiten Einsatz der Datenbestände ab. Die Verantwortlichen meistern diesen Balanceakt durch eine spezielle Kombination technologischer Komponenten.
„At Telefónica Germany, we are committed to maintain the highest standards of data privacy and IT security for our customers.”
Dr. Jens Johannesson, Head of Data Intelligence, Telefónica Deutschland
Komponente 1: Sovereign Public Cloud
Die Datenlandschaft von Telefónica basiert auf Azure-Cloud-Technologien von Microsoft. Im Rahmen der sogenannten Sovereign Cloud stellt der Anbieter drei Varianten zur Verfügung: eine Public Cloud, eine Private Cloud sowie die National Partner Cloud.
Das höchste Schutzniveau bieten dabei die Sovereign Private Cloud sowie die Sovereign National Partner Cloud. Der erste Ansatz basiert auf einer lokalen, isolierten Cloud-Plattform, die der Kunde selbst betreibt. Im zweiten Fall wird die Cloud-Umgebung sogar von staatlich genehmigten lokalen Betreibern bereitgestellt, die vollständig unabhängig von Microsoft sind. Der Nachteil: Beide Konzepte schränken aufgrund dieser Vorkehrungen eine dynamische Nutzung von KI und datengetriebenen Geschäftsmodellen sehr stark ein.
Die Telefónica setzt daher bei ihrer Lösung auf die Sovereign Public Cloud. Dieser Ansatz verbindet die Nutzung europäischer Azure-Regionen mit zusätzlichen Kontrollfunktionen für den Datenspeicherort, die Betriebsaufsicht und die kundenseitig verwaltete Verschlüsselung. Die Kundendaten verbleiben in Europa und unterliegen dem europäischen Recht. Gleichzeitig müssen die Workloads nicht in eine separate Cloud-Umgebung migriert werden.
Allerdings ist die Public Cloud für sich genommen problematisch hinsichtlich der Erfüllung der regulatorischen Anforderungen. Als US-amerikanisches Unternehmen unterliegt Microsoft dem US Cloud Act. Das heißt, dass US-Behörden unter bestimmten Voraussetzungen einen Zugriff auf die Daten verlangen können – unabhängig davon, wo diese physisch gespeichert sind. Ein relevanter Unsicherheitsfaktor besteht somit weiterhin.
Komponente 2: Azure Databricks Confidential Computing
Um diese Sicherheitslücken zu schließen, kommt bei Telefónica ein spezieller Lösungsaufbau zum Einsatz. Das Unternehmen nutzt eine Azure-Databricks-Plattform in der Public Cloud, die mit Confidential Computing als zusätzlichem Sicherheitslayer ausgestattet ist. Das Besondere an Confidential Computing: Die Daten sind nicht nur bei der Speicherung und Übertragung vor unautorisierten Zugriffen geschützt, sondern auch während der Verarbeitung.
Ermöglicht wird dies durch hardware-basierte, isolierte Ausführungsumgebungen, sogenannte Trusted Execution Environments. Hier lassen sich Analysen sensibler Daten nur mit eigens bereitgestellten Sicherheitscodes durchführen. Zusammen mit den gängigen Schutzmaßnahmen für die Datenspeicherung und -übertragung wird letztlich eine Ende-zu-Ende-Verschlüsselung ermöglicht, die selbst privilegierte Systemzugriffe – etwa durch Administratoren oder den Cloud-Betreiber – technisch einschränkt und kontrollierbar macht.
Auf diese Weise entsteht schließlich ein praktikabler Mittelweg. Telefónica kann die Innovationspotenziale der Public Cloud erschließen und gleichzeitig das erforderliche Maß an Sicherheit und Datensouveränität gewährleisten.
Fazit: Datensouveränität hängt nicht nur vom Provider ab
Datensouveränität muss also kein Hindernis bei der digitalen Transformation des Geschäfts sein. Sie entsteht auch nicht allein durch den Cloud-Anbieter. Vielmehr kommt es auf ein ausgewogenes Zusammenspiel von Governance, Architektur und technischer Absicherung an. Die zentrale Herausforderung besteht darin, Innovation und Kontrolle miteinander zu verbinden, statt sie gegeneinander auszuspielen.
Das Beispiel zeigt: Datensouveränität ist kein Entweder-oder. Unternehmen müssen Kontrolle und Innovationsgeschwindigkeit ausbalancieren – nicht nur im KRITIS-Umfeld. Daraus ergeben sich fünf zentrale Managementfragen:
- Datenklassifizierung: Welche Daten und Anwendungen sind kritisch?
- Architekturstrategie: Welche Workloads gehören in welche Cloud?
- Governance: Wie werden Verantwortlichkeiten, Compliance und Audits organisiert?
- Souveränität und Regulierung: Welche Anforderungen ergeben sich aus CLOUD Act, NIS2, KRITIS und weiteren Vorgaben?
- Innovationsfähigkeit: Wo ist Geschwindigkeit ein entscheidender Wettbewerbsfaktor?
Gleichzeitig etablieren sich alternative Cloud-Angebote. Neben Sovereign-Cloud-Ansätzen gewinnen auch nationale Provider an Bedeutung, die mit einer stärkeren lokalen Kontrolle werben, ohne die Innovationskraft außer Acht zu lassen. Zwar zeigt sich, dass entsprechende Lösungen gegenwärtig noch nicht vollkommen ausgereift sind. Gerade bei den Services für den Aufbau moderner Cloud-Plattformen besteht ein gewisser Nachholbedarf. Doch die stetig wachsende Nachfrage wird die Entwicklung sichtbar vorantreiben, sodass auch hier bald relevante Ansätze zu erwarten sind.