Cloud-Souveränitäts-Rahmenwerk

Kernerkenntnis: Nur wenige Nationen erreichen sofort die volle Souveränität über alle Workloads. Stattdessen ordnen sie jeden Workload der geeigneten Ebene zu – indem sie die Datenklassifizierung nach Sensibilität auf die Souveränitätspyramide und eine Governance-Ebene legen –, sodass öffentliche Websites, Krankenhausakten und Verteidigungs-KI auf der Ebene angesiedelt sind, die ihre Sensibilität, Kosten und ihren strategischen Wert erfordern.

Einleitung: Warum Souveränität im digitalen Jahrhundert wichtig ist

Das Konzept der Souveränität – traditionell definiert als die höchste Autorität eines Staates über sein Territorium, seine Gesetze und sein Volk – war schon immer an Geografie, Grenzen und Regierungsführung gebunden. Im 21. Jahrhundert erstreckt sich die Souveränität jedoch weit über Land und Meer hinaus in den digitalen Raum. Der Aufstieg von Cloud Computing, künstlicher Intelligenz (KI) und globalisierten Datenflüssen hat die digitale Infrastruktur für das Überleben und den Wohlstand einer Nation ebenso entscheidend gemacht wie Energienetze oder militärische Verteidigungssysteme.

Für moderne Nationalstaaten ist Cloud-Souveränität keine optionale Ambition mehr, sondern ein strategisches Gebot. Es geht nicht nur um Datenspeicherung, sondern darum, wer Informationen kontrolliert, überwacht und darauf zugreifen kann. Wenn Souveränität das Fundament politischer Unabhängigkeit ist, dann ist digitale Souveränität das Fundament technologischer Unabhängigkeit.

Doch Souveränität in diesem Bereich ist nicht monolithisch. Sie existiert auf mehreren Ebenen (von der Datenresidenz bis zu vollständigen souveränen Clouds), über Verantwortungsschichten (Infrastruktur, Recht, Betrieb, Governance) und entlang von Dimensionen der Datensensibilität (von öffentlichen Websites bis zu nationalen Verteidigungs-KI-Trainingsdatensätzen). Für politische Entscheidungsträger, Technologen und nationale Sicherheitsplaner ist das Verständnis, wie diese Achsen interagieren, unerlässlich für den Aufbau einer kohärenten Souveränitätsstrategie.

Dieses Papier definiert Souveränität weit gefasst, führt eine fünfstufige Pyramide der Cloud-Souveränität ein und integriert eine Datenklassifizierungs- und Governance-Perspektive. Zusammen bilden diese einen landesweiten Souveränitätsplan, der technologische Leistungsfähigkeit, Risikomanagement und wirtschaftliche Entwicklung in Einklang bringt.

1. Souveränität jenseits von Grenzen definieren

Souveränität ist in der klassischen politischen Theorie das ausschließliche Recht eines Staates, sich selbst frei von externer Einmischung zu regieren. In digitalen Begriffen bedeutet Souveränität:

• Jurisdiktionelle Souveränität: Alle Daten und Infrastrukturen unterliegen nationalem Recht, ohne konkurrierende extraterritoriale Ansprüche.
• Technologische Souveränität: Inländische Kapazität zum Aufbau, Betrieb und zur Kontrolle kritischer digitaler Systeme ohne Abhängigkeit von ausländischen Akteuren.
• Operationelle Souveränität: Die Fähigkeit, Vorfälle vollständig innerhalb nationaler Grenzen und mit national verantwortlichem Personal zu verwalten, zu überwachen und darauf zu reagieren.
• Wirtschaftliche Souveränität: Sicherstellung, dass inländische Cloud- und KI-Ökosysteme Wert, Arbeitsplätze und geistiges Eigentum für die heimische Wirtschaft generieren.

Diese vier Definitionen überschneiden sich. Eine Nation kann jurisdiktionelle Souveränität erreichen (z. B. lokal unter nationalem Recht gespeicherte Daten), aber dennoch technologische Souveränität vermissen, wenn ausländische Unternehmen die zugrunde liegende Software kontrollieren. Umgekehrt kann ein Staat eigene Cloud-Technologien entwickeln, aber operationelle Souveränität vermissen, wenn wichtige Supportfunktionen ins Ausland ausgelagert werden.

Daher ist Souveränität am besten als ein mehrschichtiges Kontinuum zu verstehen, nicht als eine binäre Größe.

2. Die fünf Ebenen der Cloud-Souveränität

Um dieses Kontinuum zu strukturieren, können wir ein fünfstufiges Pyramiden-Framework verwenden. Jede Ebene repräsentiert eine tiefere Integration von Souveränitätsprinzipien in die Cloud-Infrastruktur.

Ebene 1 — Datenresidenz

• Daten werden im Inland gespeichert, aber Eigentum und operative Kontrolle können weiterhin bei ausländischen Unternehmen liegen.
• Geeignet für Workloads mit geringer Sensibilität, wie öffentliche Websites und grundlegende administrative Portale.
• Risiken: Unterliegen ausländischen extraterritorialen Gesetzen (z. B. U.S. CLOUD Act); begrenzter Schutz vor ausländischer Überwachung.

Ebene 2 — Kontrollierte Residenz

• Sowohl Speicherung als auch Verarbeitung erfolgen innerhalb des Landes. Verschlüsselungsschlüssel können im Inland verwaltet werden.
• Compliance-Zertifizierungen sind an lokale Standards angepasst.
• Geeignet für Workloads mit mittlerer Sensibilität, wie Gehaltsabrechnungen oder Beschaffung.
• Risiken: Immer noch der Eigentümerschaft ausländischer Anbieter und möglichem Fernzugriff durch Administratoren ausgesetzt.

Ebene 3 — Rechtliche & Operationelle Souveränität

• Der Anbieter hat seinen rechtlichen Sitz im Inland und unterliegt ausschließlich nationalem Recht.
• Lokale Operationen und Personal verwalten die Infrastruktur; nationale Regulierungsbehörden haben Prüfrechte und Compliance-Aufsicht.
• Geeignet für sensible personenbezogene Daten (Gesundheitsakten, Bürger-IDs).
• Krypto & PQC: Obligatorische Verschlüsselung von Daten im Ruhezustand und während der Übertragung unter Verwendung national zugelassener Algorithmen; Erstellung eines nationalen PQC-Bereitschaftsplans (Krypto-Inventar, Migrations-Runbooks und Dual-Stack-Betrieb für hybride klassische/PQ-Systeme).
• Schlüsselverwaltung: Schlüssel werden in national verwalteten HSMs oder akkreditierten KMS generiert, gespeichert und rotiert; Split-Trust (z. B. n-von-m) Quorum für die Schlüsselhinterlegung; kein Schlüsselmaterial in ausländischem Besitz; umfassende Protokollierung des Schlüssel-Lebenszyklus.
• Richtlinien: Verbindliche Kontrollen zum Verbot von privilegiertem Fernzugriff von außerhalb der nationalen Gerichtsbarkeit; Sichtbarkeit der Regulierungsbehörden über Administratoraktionen und KMS-Protokolle; SLA für die Benachrichtigung bei Sicherheitsverletzungen, die an die Souveränitätsauswirkungen gebunden sind.
• Datenfragmentierung: Für hochwertige Datensätze Implementierung logischer Fragmentierung oder Secret Sharing über mehrere inländische Verfügbarkeitszonen/Anbieter mit richtlinienbasierten Wiederherstellungskontrollen.

Ebene 4 — Technologische Souveränität

• Inländische Unternehmen besitzen und betreiben den Cloud-Stack (Infrastruktur, Middleware, Orchestrierung); kritisches IP ist lizenziert oder mitbesessen.
• Kein Remote-Root-Zugriff aus dem Ausland; nationale Standards gewährleisten die Interoperabilität mit Verbündeten.
• Geeignet für kritische Workloads wie Finanzsysteme, Transportnetzwerke oder groß angelegte KI-Trainings.
• Krypto & PQC: Standardmäßig PQC-agile Stacks (z. B. hybrides TLS mit zugelassenen KEMs/Signaturen) für Inter-DC-Verbindungen, Control Planes und Machine-to-Machine-Authentifizierung; Krypto-Agilität (schnelle Algorithmusrotation) durch Richtlinien vorschreiben.
• Schlüsselverwaltung: Aufbau einer Sovereign Key Infrastructure (SKI), die von einer nationalen Vertrauensstelle betrieben wird; Durchsetzung der inländischen HSM-Residenz, Attestierung der Hardware-Herkunft und manipulationssicherer Audit-Trails.
• Richtlinien: Nationale Baselines für Protokollierung, Aufbewahrung und rechtliche Zugriffsbeschränkungen; obligatorisches Red-Teaming von kryptografischen Kontrollen und KMS-Missbrauchsszenarien.
• Datenfragmentierung: Einführung einer richtliniengesteuerten Fragmentierung mit Platzierungsbeschränkungen (Fragmente sind auf nationale Grenzen über unabhängig kontrollierte Fehlerdomänen beschränkt); Verwendung von Erasure Coding oder Secret Sharing, die auf Wiederherstellungsziele abgestimmt sind; Integration des Fragmentzugriffs mit SKI (Wiederherstellung erfordert Mehrparteien-Autorisierung).
• Risiken: Kostspielig in der Entwicklung; erfordert erhebliche inländische F&E.

Ebene 5 — Volle Souveräne Cloud

• 100 % nationales Eigentum und Kontrolle über Infrastruktur, Betrieb, Governance und IP; ausschließlich inländisches Personal mit Sicherheitsüberprüfung.
• Volle Einhaltung nationaler Cybersicherheitszertifizierungen; Redundanz und Ausfallsicherheit innerhalb der nationalen Grenzen konzipiert.
• Geeignet für Verteidigungs-, Geheimdienst- und strategische KI-Ökosysteme.
• Krypto & PQC: End-to-End PQC standardmäßig – einschließlich Schutz für Daten während der Nutzung bei sensiblen Analysen mittels TEEs oder MPC, wo zutreffend; vorgeschriebenes PQC für Backups, Archive und domänenübergreifende Übertragungen.
• Schlüsselverwaltung: SKI erweitert auf behördenübergreifende Föderation mit strikter Aufgabentrennung; Offline-Roots unter versiegelter nationaler Verwahrung; Schwellenwertsignaturen und Attestierung vertraulicher Berechnungen für Operationen mit hohen Privilegien.
• Richtlinien: Souveräne kryptografische Richtlinie gesetzlich verankert (zugelassene Algorithmen, Zertifizierungsschemata, Beschränkungen für rechtmäßige Abhörungen, Sanktionen bei Nichteinhaltung); kontinuierliche Konformitätsüberwachung.
• Datenfragmentierung: Nationales Fragmentierungs-Framework zur Koordinierung von Regierungs- und kritischen Industrie-Clouds; Shard-Platzierung durch Richtlinien geregelt, mit Katastrophenwiederherstellbarkeit, die durch regelmäßige Übungen nachgewiesen wird.
• Risiken: Hohe Kosten, langsamere Skalierung, erfordert ein robustes nationales Talent- und Anbieterökosystem.

Zusammenfassungstabelle: Level 1 — Level 5

Level	Schlüsselkriterien	Risiken / Lücken
Level 1 — Datenresidenz	Daten national gespeichert (primär + Backups); einige Workloads lokal verarbeitet; Basisverschlüsselung gemäß lokalen Standards; keine Anforderung an nationale Schlüsselverwahrung.	Ausländisches Eigentum des Anbieters; unterliegt ausländischen extraterritorialen Gesetzen; Administration/Support außerhalb des Landes; privilegierter Fernzugriff aus dem Ausland möglich.
Level 2 — Kontrollierte Residenz	Daten im Land gespeichert & verarbeitet; Verschlüsselungsschlüssel vorzugsweise national verwaltet (KMS/HSM im Land); lokale Compliance-Zertifizierungen; Netzwerkpfade, wo machbar, auf nationale Routen beschränkt.	Ausländischer Anbieter kann Infrastruktur/Software weiterhin besitzen; möglicher Fernzugriff aus dem Ausland; teilweise Exposition gegenüber CLOUD Act-Äquivalenten; Risiko der Schlüsselhinterlegung/Sicherung außerhalb der Gerichtsbarkeit, wenn nicht durch Richtlinien erzwungen.
Level 3 — Rechtliche & Operative Souveränität	Anbieter rechtlich im Land ansässig, ausschließlich nationalem Recht unterliegend; Betrieb & Administration lokal besetzt mit Prüfrechten der Aufsichtsbehörde; obligatorische Verschlüsselung während der Übertragung/im Ruhezustand mit national zugelassenen Algorithmen; PQC-Bereitschaft (Krypto-Inventar, Migrations-Runbooks, Hybrid-Piloten); Schlüssel generiert/gespeichert/rotiert in akkreditierten nationalen HSM/KMS mit geteiltem Vertrauen (n-von-m) für die Hinterlegung; unveränderliche Audit-Logs für Schlüsselereignisse & Admin-Aktionen; Datenfragmentierung für hochwertige Datensätze (logisches Sharding/Secret Sharing innerhalb der Grenzen).	Kernsoftware/IP kann in ausländischem Besitz bleiben; Abhängigkeit von ausländischen Patches/Updates; PQ-Migrationsrisiko/-komplexität bei unvollständigem Inventar; Kollusions-/Missbrauchsrisiko ohne starke Aufgabentrennung; frühe operative Reife von Fragmentierungsmustern.
Level 4 — Technologische Souveränität	Nationales Unternehmen betreibt Cloud-Stack (Infrastruktur, Middleware, Orchestrierung) mit kritischer IP lizenziert/mitbesessen; kein entfernter "Root-Zugriff" aus dem Ausland mit Hardware-/Firmware-Attestierung; PQC-agil standardmäßig (z.B. hybrides TLS mit zugelassenen PQ KEMs/Signaturen); Sovereign Key Infrastructure (SKI) mit nationaler HSM-Residenz & manipulationssicheren Logs; richtliniengesteuerte Fragmentierung (Shard-Platzierung innerhalb der Grenzen über unabhängige Fehlerdomänen; Wiederherstellungsquorum an SKI gebunden); Red-Teaming von Krypto-/KMS-Missbrauch mit Logging & Aufbewahrung auf Regulierungsniveau; vertrauliches Computing/TEE für ausgewählte sensible Workloads.	Höhere Kosten für F&E/Betrieb; zusätzliche Komplexität kann Leistung im Vergleich zu Hyperscalern beeinträchtigen; Lieferkettenbeschränkungen für zertifizierte nationale HSM/TEE; Ökosystem-/Talentkapazität muss skaliert werden, um SKI und Fragmentierungs-Framework zu betreiben.
Level 5 — Volle Souveräne Cloud	100 % nationales Eigentum/Kontrolle (Infrastruktur, IP, Betrieb, Governance) mit sicherheitsüberprüftem nationalem Personal; volle Einhaltung nationaler Zertifizierungen und Ausfallsicherheit innerhalb der Grenzen konzipiert; PQC standardmäßig End-to-End (inkl. Backups/Archive & domänenübergreifende Übertragungen); SKI-Föderation über Behörden hinweg mit Offline-Roots in versiegelter Verwahrung und Schwellenwertsignaturen für Operationen mit hohen Privilegien; nationales Fragmentierungs-Framework zur Koordinierung von Regierungs-/kritischen Industrie-Clouds mit periodischen DR-Übungen, die die Wiederherstellung beweisen; Schutz für Daten während der Nutzung (TEEs/MPC) für strategische Analysen; kontinuierliche Konformitätsüberwachung gesetzlich/politisch verankert.	Kostspielig und langsamer zu skalieren; Risiko der Überspezifikation; erfordert ein starkes nationales Anbieter-/Talentökosystem; starre Standards können Interoperabilität/Innovation reduzieren, wenn nicht überprüft; die Koordinierung des nationalen Fragmentierungs-Frameworks birgt zusätzliches Betriebsrisiko bei schwacher Governance; PQ-Algorithmuswechsel könnten eine schnelle Neuschlüsselung in großem Maßstab erfordern.

Wichtige Erkenntnis: Nur wenige Nationen erreichen Level 5 sofort für alle Workloads. Stattdessen ordnen sie Workloads dem geeigneten Level zu, basierend auf Sensibilität, Kosten und strategischem Wert.

3. Die Datendimension: Was erfordert Souveränität?

Das erforderliche Maß an Souveränität hängt davon ab, welche Art von Daten verarbeitet wird. Nicht alle Daten sind gleich, und die Klassifizierung von Daten ist entscheidend für eine Souveränitätsstrategie.

• Allgemeine öffentliche Inhalte — Websites, Marketingportale, offene Datensätze. Geringe Souveränitätsanforderungen.
• Administrative & Geschäftsdaten — Steuererklärungen, Gehaltsabrechnungen, Beschaffung. Mittlere Souveränitätsanforderungen (Levels 2–3).
• Sensible persönliche Informationen — Gesundheits-, Bildungs-, Finanzdaten, biometrische IDs. Hohe Souveränitätsanforderungen (Levels 3–4).
• Nationale Sicherheits- & Kritische Infrastrukturdaten — Verteidigungskommunikation, Netzsteuerung, Notfallreaktion. Sehr hohe Souveränitätsanforderungen (Levels 4–5).
• KI-Modelle & Trainingsdaten — Grundlegende Modelle, die auf sensiblen Datensätzen trainiert wurden. Sehr hohe Souveränitätsanforderungen (Level 5).
• Archiv- & Historische Daten — Bürgerregister, Gerichtsentscheidungen, Rechtsarchive. Moderate bis hohe Souveränitätsanforderungen, abhängig von gesetzlichen Vorgaben.

Wichtige Erkenntnis: Ein landesweiter Souveränitäts-Blueprint erfordert die Überlagerung der Daten-Sensibilitätsklassifizierung auf die Souveränitätspyramide.

4. Governance und Aufsicht: Die verborgene Ebene

Selbst die fortschrittlichste souveräne Cloud ist nur so vertrauenswürdig wie ihr Governance-System. Governance gewährleistet Compliance, Transparenz und Rechenschaftspflicht. Sie umfasst:

Richtlinien-Governance

• Festlegung klarer Schwellenwerte, welche Daten souverän sein müssen.
• Schaffung rechtlicher Rahmenbedingungen, die ausländische Hoheitsansprüche ausschließen.
• Einrichtung souveräner Cloud-Behörden zur Lizenzierung und Überwachung von Anbietern.

Operative Governance

• Obligatorische Compliance-Audits durch nationale Aufsichtsbehörden.
• Kontinuierliche Überwachung von Datenflüssen und administrativen Aktionen.
• Transparenzberichte für Regierungsakteure.

KI-gestützte Governance

• Echtzeit-Anomalieerkennung: KI-Engines überwachen unbefugten Datenzugriff oder Datenexfiltration.
• Automatisierte Compliance-Prüfung: KI validiert Protokolle, die Nutzung von Verschlüsselungsschlüsseln und Zugriffskontrollen kontinuierlich.
• Prädiktive Risikoanalyse: Identifizierung von Souveränitätsverletzungen, bevor sie auftreten.
• Erklärbarkeits-Frameworks: Sicherstellung, dass KI-Systeme, die sensible Arbeitslasten steuern, rechenschaftspflichtig bleiben.

Kryptographische und Datenfragmentierungs-Governance

• Nationale Kryptographiepolitik: Kodifizierung zugelassener klassischer und PQ-Algorithmen, Schlüssellängen und Deprekationszeitpläne; Forderung nach Krypto-Agilität und Inventarisierung kryptographischer Assets in Behörden und kritischen Industrien.
• Sovereign Key Infrastructure (SKI): Aufbau einer nationalen Vertrauensinstanz und eines Akkreditierungsregimes für KMS/HSM-Anbieter; Vorschrift für inländische Schlüsselresidenz, Split-Trust und manipulationssichere Audit-Logs.
• Fragmentierungspolitik: Definition von Platzierungsbeschränkungen (nationale Grenzen, unabhängige Betreiber), minimaler Shard-Verteilung, Reassembly-Quorum und kontinuierlicher Wiederherstellbarkeitstests.
• Sicherung & Zertifizierung: Schaffung von Zertifizierungsstufen für kryptographische Module, TEEs und Fragmentierungs-Controller; Forderung nach regelmäßigen Penetrationstests und Red-Team-Übungen, die sich auf Schlüssel-Diebstahl- und Shard-Korrelationsrisiken konzentrieren.
• Vorfallsreaktion: Standardisierung von Playbooks für Schlüsselkompromittierung, Algorithmus-Deprekationsereignisse (z.B. PQ-Schwachstellen) und Shard-Integritätsfehler; Forderung nach SLAs für die Benachrichtigung der Regulierungsbehörden.

Wichtige Erkenntnis: Governance ist nicht statisch; sie entwickelt sich weiter. Nationen, die KI-basierte Compliance integrieren, gewinnen dynamische Souveränität, indem sie sich in Echtzeit an neue Risiken anpassen.

5. Ein mehrachsiges Konzept für Souveränität

Das Zusammenspiel von Ebenen, Datentypen und Governance ergibt ein mehrdimensionales Modell:

• Vertikale Achse: Souveränitätsebenen (1–5).
• Horizontale Achse: Datenklassifizierung (öffentlich → nationale Sicherheit).
• Overlay: Governance-Reifegrad (manuell → KI-gesteuert in Echtzeit).

Dieser dreischichtige Würfel ermöglicht es politischen Entscheidungsträgern, jede Arbeitslast ihrer entsprechenden Souveränitätsanforderung zuzuordnen.

Anwendungsbeispiele:

• Eine nationale Tourismus-Website → Ebene 1 + Öffentliche Daten + Minimale Aufsicht.
• Ein Krankenhaus-Aktensystem → Ebene 3 + Sensible Daten + Kontinuierliche Prüfung.
• Eine KI-Simulation für die Verteidigung → Ebene 5 + Daten der nationalen Sicherheit + Echtzeit-KI-Governance.

6. Landesweite Landschaft: Koexistenz von Ebenen

Kein Land implementiert einen einzigen Souveränitätsstandard über alle Bereiche hinweg. Stattdessen entsteht ein geschichtetes Ökosystem:

• Öffentliche und kommerzielle Sektoren operieren oft auf den Ebenen 1–2, wobei der Fokus auf Effizienz und Kosten liegt.
• Die Regierungsverwaltung bewegt sich auf die Ebenen 2–3, mit stärkerer Compliance.
• Kritische Sektoren wie Finanzen, Energie und Gesundheitswesen erfordern die Ebenen 3–4.
• Verteidigung und Geheimdienste verlangen Ebene 5.

Diese Koexistenz muss durch nationale politische Rahmenwerke gesteuert werden, um sicherzustellen, dass Arbeitslasten entsprechend ihrer Sensibilität zugewiesen werden und dass die Interoperabilität zwischen den Ebenen keine Souveränitätslecks erzeugt.

7. Herausforderungen und Kompromisse

Wirtschaftliche Kompromisse

• Volle Souveränität (Ebene 5) ist kostspielig; nicht alle Arbeitslasten rechtfertigen dies.
• Nationen müssen Souveränität mit Innovationsgeschwindigkeit und Kosteneffizienz in Einklang bringen.

Technologische Kapazität

• Die inländische Fähigkeit zum Aufbau souveräner Infrastruktur variiert. Kleinere Nationen müssen möglicherweise Ressourcen regional bündeln.

Geopolitische Überlegungen

• Souveränität kollidiert oft mit der Interoperabilität von Allianzen. NATO-, EU- und Five-Eyes-Mitglieder müssen Standards harmonisieren, ohne die nationale Kontrolle zu gefährden.

Fachkräftemangel

• Souveräne Operationen erfordern inländisches Personal mit hohen Sicherheitsfreigaben. Die Entwicklung dieser Arbeitskräfte ist eine langfristige Investition.

8. Auf dem Weg zu einer Souveränitäts-Roadmap

Eine umsetzbare Souveränitäts-Roadmap für Regierungen sollte Folgendes umfassen:

1. Datenklassifizierungsrahmen — Klare Kategorien, die definieren, was souverän sein muss.
2. Zuweisung von Souveränitätsebenen — Zuordnung von Arbeitslasten zu den Ebenen 1–5 basierend auf der Sensibilität.
3. Governance-Infrastruktur — Unabhängige Regulierungsbehörden, die befugt sind, kontinuierlich zu prüfen.
4. Ökosystementwicklung — Unterstützung für inländische KMU, Cloud-Anbieter und KI-Entwickler zur Teilnahme an souveränen Lösungen.
5. Investitionsstrategie — Gezielte öffentliche Finanzierung und Anreize für inländische souveräne Infrastruktur.
6. Internationale Positionierung — Koordinierte Haltung in Allianzen und Handelsabkommen zur Verteidigung von Souveränitätsprinzipien.

Ergänzungen zur Roadmap, um erweiterte Souveränitätsfunktionen – Kryptographie, PQC und Fragmentierung – aufzunehmen:

7. PQC-Übergangsprogramm: Inventarisierung kryptographischer Assets; Einführung von Hybrid-PQC für Transport- und Ruhezustandsverschlüsselung; Definition von Deprekationszeitplänen für anfällige Algorithmen; Finanzierung von Migrationstoolchains.
8. Sovereign Key Infrastructure (SKI): Aufbau einer nationalen Vertrauensinstanz; Akkreditierung inländischer KMS/HSM-Anbieter; Standardisierung von Split-Trust, Schwellenwertkryptographie und Attestierungsanforderungen.
9. National Fragmentation Fabric: Entwicklung von Richtlinien und Controllern, die die Shard-Platzierung innerhalb von Grenzen, die Verteilung auf unabhängige Betreiber und das Reassembly-Quorum durchsetzen; Integration mit SKI zur Autorisierung.
10. Data-in-Use-Schutz: Erweiterung über die Verschlüsselung im Ruhezustand/während der Übertragung hinaus auf vertrauliches Rechnen, sichere Enklaven und MPC für ausgewählte Arbeitslasten.
11. Sicherung & Übungen: Vorschrift für regelmäßige Wiederherstellungs- und Rekonstitutionsübungen, die beweisen, dass fragmentierte Datensätze unter Katastrophenszenarien wiederhergestellt werden können, ohne Souveränitätsbeschränkungen zu verletzen.

Fazit: Souveränität als strategisches Gut

Souveränität in Cloud und KI ist keine statische Errungenschaft, sondern ein dynamisches Gleichgewicht. Sie erfordert ein ständiges Abwägen von Kosten, Fähigkeiten, Risiken und Chancen. Durch die Integration der fünf Souveränitätsebenen, der Datenklassifizierung und der Governance-Schicht kann eine Nation ein umfassendes Souveränitätskonzept entwickeln, das sowohl ihre Bürger schützt als auch Innovationen fördert.

Letztendlich geht es bei Souveränität um Kontrolle und Rechenschaftspflicht. So wie Grenzen die Kontrolle eines Staates über sein Land definieren, definieren Souveränitätsrahmen seine Kontrolle über seine Daten und seine digitale Zukunft. Die Staaten, die dieses Gleichgewicht meistern, werden nicht nur ihre Unabhängigkeit sichern, sondern Souveränität auch als strategisches Gut für Wirtschaftswachstum und geopolitischen Einfluss nutzen.

Wichtige Erkenntnisse

• Ebene 1–2: Konzentriert sich darauf, wo Daten liegen, setzt das Land aber immer noch ausländischer Kontrolle aus.
• Ebene 3–4: Fügt rechtliche Abschirmung und operative Unabhängigkeit hinzu – oft als "vertrauenswürdige" oder "souveräne Cloud" bezeichnet.
• Ebene 5: Repräsentiert absolute Souveränität – vollständige inländische Kontrolle über Gesetzgebung, Infrastruktur, Betrieb und Ökosystementwicklung.