Digitale Souveränität im nationalen Kontext: Ein mehrachsiges strategisches Rahmenwerk

Zentrale Erkenntnis: Cloud-Anbieter sollten nicht die Emittenten von Verschlüsselungsschlüsseln für souveräne Daten sein. Die Schlüsselhoheit ist der Dreh- und Angelpunkt – ohne sie können alle anderen Souveränitätsinvestitionen (Datenresidenz, lokale Operationen, inländisches Eigentum) durch eine einzige Vorladung oder einen Insider-Angriff zunichtegemacht werden.

Einleitung: Digitale Souveränität als strategisches Gebot

Im 21. Jahrhundert erstreckt sich die nationale Souveränität über physische Grenzen hinaus in den digitalen Bereich. So wie die Kontrolle über Territorium die politische Unabhängigkeit untermauert, untermauert die Kontrolle über Daten und digitale Infrastruktur die technologische Unabhängigkeit. Cloud Computing und Künstliche Intelligenz (KI) sind für das Überleben und den Wohlstand einer Nation ebenso entscheidend geworden wie Energienetze oder Verteidigungssysteme.¹ Für moderne Nationalstaaten ist die Erlangung digitaler Souveränität – die Fähigkeit, digitale Vermögenswerte ohne externe Einmischung zu regieren und zu schützen – keine Option, sondern ein strategisches Gebot. Sie bestimmt, wer die Informationen einer Nation kontrolliert, überwacht und darauf zugreifen kann.

Entscheidend ist, dass digitale Souveränität kein binärer Zustand, sondern ein vielschichtiges Kontinuum ist.¹ Politische Entscheidungsträger müssen das Zusammenspiel rechtlicher, operativer und technologischer Faktoren verstehen, um eine kohärente Souveränitätsstrategie zu entwickeln. Dieses Papier skizziert die Parameter digitaler Souveränität im nationalen Kontext, definiert ihre Schlüsseldimensionen und beschreibt einen mehrachsigen, mehrstufigen Rahmen für die Umsetzung. KI wird als zentrale Analyseachse behandelt – die Linse, durch die alle Souveränitätsherausforderungen und -chancen betrachtet werden. Der Verteidigungssektor liefert den ultimativen Testfall, der für das nationale Überleben höchste Souveränitätsniveaus erfordert. Durch die Untersuchung globaler Fallstudien – von Frankreichs SecNumCloud über Deutschlands C5 bis hin zu Europas Gaia-X – veranschaulichen wir, wie Nationen souveräne Cloud- und KI-Strategien verfolgen.

Definition digitaler Souveränität: Schlüsseldimensionen

Traditionelle Souveränität ist das ausschließliche Recht eines Staates, sich selbst ohne externe Einmischung zu regieren. Digitale Souveränität wendet dieses Prinzip auf den digitalen Bereich an. Sie kann über vier miteinander verbundene Dimensionen verstanden werden:¹

• Jurisdiktionelle Souveränität. Alle Daten, digitalen Dienste und Infrastrukturen unterliegen den Gesetzen und der Gerichtsbarkeit des Landes, ohne konkurrierende extraterritoriale Kontrolle. Ausländische Gesetze (wie die Cloud-Zugriffsgesetze einer anderen Nation) haben keine Reichweite in inländische Daten. Rechtliche Mechanismen schützen vor ausländischen Vorladungen oder Anordnungen.
• Technologische Souveränität. Die Nation besitzt die inländische Kapazität, kritische digitale Technologien (Cloud-Stacks, KI-Modelle, Verschlüsselungstools) zu entwickeln, zu betreiben und zu kontrollieren, ohne übermäßige Abhängigkeit von ausländischen Anbietern. Inländische Unternehmen sollten Cloud-Infrastruktur und Schlüsselsoftware besitzen oder verwalten, um eine Anbieterbindung (Vendor Lock-in) durch ausländische Technologie zu verhindern.
• Operationelle Souveränität. Das Land kann seine digitalen Operationen vollständig auf eigenem Boden und durch eigene Leute verwalten und betreiben. Schlüsselpositionen in der Verwaltung werden von Staatsangehörigen besetzt, die den inländischen Behörden rechenschaftspflichtig sind. Netzwerke, Server und Sicherheitsoperationen werden rund um die Uhr aus dem Land heraus überwacht und kontrolliert. Es gibt keine versteckten "Hintertüren" oder Fernzugriff auf Root-Ebene für ausländische Ingenieure.
• Wirtschaftliche Souveränität. Das inländische digitale Ökosystem (Cloud-Anbieter, Rechenzentren, KI-Industrie) generiert Wert, Arbeitsplätze und Innovationen für die nationale Wirtschaft. Dies umfasst die Förderung lokaler Technologieunternehmen und die Sicherstellung, dass Investitionen in Cloud/KI den inländischen Interessen zugutekommen. Redundante Infrastruktur, die innerhalb der nationalen Grenzen verteilt ist, gewährleistet Kontinuität in Krisenzeiten.

Diese Dimensionen überschneiden sich in der Praxis. Ein Land könnte seine Daten lokalisieren (jurisdiktionelle Kontrolle erreichen), aber dennoch technologische Souveränität vermissen, wenn die zugrunde liegende Cloud-Software in ausländischem Besitz ist. Umgekehrt könnte eine Nation indigene Technologie entwickeln, aber Operationen an ausländische Firmen auslagern, was die operationelle Kontrolle untergräbt. Echte digitale Souveränität erfordert Fortschritte an allen Fronten – rechtlich, technisch, operativ und wirtschaftlich –, um einzelne Abhängigkeitspunkte zu eliminieren.

Das mehrstufige Souveränitätskontinuum

Da Souveränität kein Alles-oder-Nichts-Zustand ist, ist es nützlich, in Ebenen zu denken. Dieses Papier verwendet ein fünfstufiges Kontinuum (Ebene 1 bis Ebene 5), um den Fortschritt von minimaler zu vollständiger Souveränität zu charakterisieren.¹ Jede Ebene repräsentiert eine tiefere Integration von Souveränitätsprinzipien in die Cloud-/KI-Infrastruktur.

Ebene 1 — Datenresidenz

Daten werden auf Servern gespeichert, die sich physisch innerhalb der Landesgrenzen befinden. Diese Ebene befasst sich mit dem geografischen Datenstandort, aber nicht damit, wem die Infrastruktur gehört oder wer sie betreibt. Oft beinhaltet Ebene 1 die Nutzung eines regionalen Rechenzentrums eines globalen Cloud-Anbieters. Geeignet für Informationen mit geringer Sensibilität (z.B. öffentliche Websites, offene Datenportale). Risiken: Der Dienst kann immer noch einem ausländischen Unternehmen gehören und ausländischen Gesetzen oder Vorladungen unterliegen (z.B. U.S. CLOUD Act), und Administratoren könnten Fernzugriff aus dem Ausland haben.

Ebene 2 — Kontrollierte Residenz

Sowohl Datenspeicherung als auch -verarbeitung erfolgen innerhalb der nationalen Grenzen. Verschlüsselungsschlüssel werden im Inland verwaltet. Cloud-Dienste entsprechen lokalen Sicherheitszertifizierungen. Geeignet für Workloads mittlerer Sensibilität wie interne Verwaltungssysteme (Gehaltsabrechnung, Beschaffung). Risiken: Die zugrunde liegende Infrastruktur oder Software kann immer noch in ausländischem Besitz sein, und die rechtliche Exposition gegenüber ausländischen Jurisdiktionen bleibt bestehen, wenn die Muttergesellschaft des Anbieters im Ausland ansässig ist.

Ebene 3 — Rechtliche und operationelle Souveränität

Der Dienstanbieter ist eine im Inland ansässige juristische Person und unterliegt ausschließlich nationalem Recht. Alle Operationen und der Support werden von lokal ansässigem Personal durchgeführt. Regulierungsbehörden haben volle Prüfungsrechte und Aufsicht. Oft als "Trusted Cloud" bezeichnet. Geeignet für sensible personenbezogene Daten (Gesundheitsakten, Bürger-ID-Datenbanken). Risiken: Das Land kann immer noch auf im Ausland entwickelte Technologie oder Kern-IP angewiesen sein. Wenn kritische Software-Updates aus dem Ausland kommen, besteht eine Restabhängigkeit.

Ebene 4 — Technologische Souveränität

Eine inländische Entität besitzt und betreibt den gesamten Cloud-Stack – Infrastruktur, Middleware, Orchestrierungssoftware – innerhalb des Landes. Ausländischer "Root-Zugriff" wird eliminiert. Kritisches geistiges Eigentum wird entweder im Inland entwickelt oder so lizenziert, dass die Nation es unabhängig warten und verwalten kann. Offene Standards gewährleisten Interoperabilität. Geeignet für geschäftskritische Workloads wie Finanzsysteme, Stromnetzsteuerungen oder groß angelegte KI-Trainings mit sensiblen Daten. Risiken: Das Erreichen von Ebene 4 ist teuer und technologisch anspruchsvoll, erfordert erhebliche F&E-Investitionen und ein reifes inländisches Technologie-Ökosystem.

Ebene 5 — Volle souveräne Cloud

Die Cloud-Infrastruktur, Hardware, Software und der Betrieb sind zu 100 % im Besitz und unter der Kontrolle inländischer Institutionen. Alle Mitarbeiter sind Staatsbürger (oft mit Sicherheitsüberprüfung) und die gesamte Governance ist national. Selbst Lieferkette und physische Einrichtungen stehen unter nationaler Kontrolle. Redundanz und Resilienz werden vollständig innerhalb der nationalen Grenzen aufgebaut. Reserviert für die sensibelsten Bereiche – Verteidigung, Nachrichtendienste und strategische staatliche KI-Systeme –, wo jegliche ausländische Abhängigkeit inakzeptabel ist.

Zentrale Erkenntnis: Das fünfstufige Souveränitätskontinuum (L1 Datenresidenz bis L5 vollständige souveräne Cloud) bietet politischen Entscheidungsträgern ein strukturiertes Benchmarking-Tool: Jede Arbeitslast wird einem geeigneten Niveau zugeordnet, basierend auf Sensibilität, Bedrohungsrisiko und Wert.

Nur wenige Nationen werden Stufe 5 über alle Systeme hinweg erreichen. Stattdessen müssen Länder jede Arbeitslast oder jeden Datensatz dem geeigneten Souveränitätsniveau zuordnen, basierend auf dessen Sensibilität, Bedrohungsrisiko und Wert. Das fünfstufige Modell bietet eine strukturierte Möglichkeit zu beurteilen, wo stärkere Souveränitätsmaßnahmen erforderlich sind. Es dient auch als Benchmarking-Tool: Politische Entscheidungsträger können Ziele festlegen (z. B. "alle Gesundheitsdatensysteme müssen mindestens Stufe 3 erreichen") und Lücken identifizieren.

Der mehrachsige Entwurf für Souveränität

Während die fünf Stufen eine vertikale Progression hin zu vollständiger Souveränität beschreiben, ist eine umfassende Strategie mehrdimensional. Souveränität existiert auf mehreren Ebenen, über Verantwortungsschichten hinweg und entlang von Dimensionen der Datensensibilität. Diese interagierenden Achsen bilden einen mehrachsigen Entwurf für nationale digitale Souveränität:

• Vertikale Achse — Souveränitätsstufen (1–5). Die Tiefe der implementierten souveränen Kontrolle, wie im fünfstufigen Rahmen beschrieben. Höhere Stufen stellen strengere Anforderungen an Eigentum, Recht und Betrieb.
• Horizontale Achse — Klassifizierung der Datensensibilität. Nicht alle Daten erfordern das gleiche Maß an Souveränität. Allgemeine öffentliche Inhalte benötigen möglicherweise nur eine Residenz auf Stufe 1. Sensible persönliche Informationen (Gesundheit, Biometrie) könnten Stufe 3 oder 4 erfordern. Nationale Sicherheits- und Verteidigungsdaten erfordern eindeutig Stufe 5, ebenso wie grundlegende KI-Modelle, die auf sensiblen nationalen Datensätzen trainiert wurden.
• Overlay — Governance-Reifegrad. Souveränität betrifft nicht nur Technologie und Standort; es geht auch darum, wie gut die Umgebung regiert wird. Governance reicht von grundlegenden manuellen Richtlinien bis hin zu fortschrittlicher Echtzeit- und KI-gesteuerter Compliance-Überwachung. Eine hochreife Governance-Schicht bedeutet, dass Richtlinienverstöße oder Sicherheitsanomalien in Echtzeit erkannt und behoben werden.

Visualisiert man diese drei Achsen zusammen, kann man sich einen Souveränitätswürfel vorstellen: die vertikale Achse der Stufen 1–5, die horizontale Achse der Datensensibilität (von niedrig bis hoch) und das Governance-Overlay von grundlegend bis Echtzeit-KI-gesteuert. Dieses mehrachsige Modell ermöglicht es politischen Entscheidungsträgern, jede Arbeitslast in der digitalen Landschaft der Nation einem geeigneten Punkt im Würfel zuzuordnen. Zum Beispiel:

• Nationale Tourismus-Website (öffentliche Daten): Stufe 1 mit geringer Sensibilitätsklassifizierung und minimaler Aufsicht. Grundlegende Residenz erfüllt die Souveränität für diesen Anwendungsfall.
• Staatliches Krankenhausaktensystem (sensible persönliche Gesundheitsdaten): Stufe 3 mit "sensibler" Datenklassifizierung und kontinuierlicher Prüfung durch Aufsichtsbehörden.
• Verteidigungs-KI-Simulationsplattform (hochklassifizierte Modelle und Daten): Stufe 5 mit Datenklassifizierung "nationale Sicherheit" und Echtzeit-KI-gesteuerter Governance, wobei jede Komponente unter strenger inländischer Kontrolle steht.

Koexistenz von Souveränitätsstufen in einer nationalen Architektur

Keine Nation wendet ein einziges Souveränitätsniveau einheitlich über alle ihre digitalen Domänen an. Es entsteht unweigerlich ein geschichtetes Ökosystem, in dem verschiedene Sektoren und Arbeitslasten an unterschiedlichen Punkten des Souveränitätsspektrums operieren:

• Öffentliche und kommerzielle Dienste (Stufen 1–2). Priorisieren Kosteneffizienz und Skalierbarkeit gegenüber strenger Souveränität. Eine kommunale Website oder eine private E-Commerce-Plattform könnte ein lokales Rechenzentrum oder eine Cloud mit lokalisierter Verarbeitung nutzen, um grundlegende Anforderungen an die Datenresidenz zu erfüllen.
• Staatliche Verwaltungssysteme (Stufen 2–3). Interne Regierungssysteme (Steuern, Beschaffung, Bürgerdienste) zielen auf kontrollierte Residenz und rechtliche Jurisdiktionssicherheit ab. Regierungen schreiben zunehmend vor, dass Cloud-Anbieter im Inland ansässige Unternehmen sein müssen.
• Kritische Infrastruktur und regulierte Industrien (Stufen 3–4). Finanzen, Energie, Telekommunikation und Gesundheitswesen erfordern rechtliche Souveränität und bewegen sich in Richtung technologischer Kontrolle. Diese Sektoren übernehmen oft Hybridmodelle – inländische Cloud-Anbieter, die globale Technologie unter Lizenz nutzen, aber mit lokalen Kontrollbestimmungen.
• Verteidigung und Nachrichtendienste (Stufe 5). Militär- und Geheimdienstnetzwerke sind oft vollständig von kommerziellen Netzwerken getrennt ("air-gapped") und laufen auf souveräner Infrastruktur, die von Regierungsbehörden oder zugelassenen Verteidigungsunternehmen betrieben wird. Jedes geringere Maß an Souveränität wird als inakzeptables Risiko betrachtet.

Diese Koexistenz muss aktiv durch nationale Politik gesteuert werden. Drei Prinzipien sind wesentlich:

• Arbeitslastzuweisung. Jede Regierungsfunktion oder jeder Datensatz wird einem geeigneten Souveränitätsniveau zugewiesen, basierend auf einer Risikobewertung. Eine klare Richtlinie sollte vorschreiben, welches Niveau für verschiedene Datenkategorien erforderlich ist.
• Interoperabilität und Trennung. Systeme unterschiedlicher Stufen werden interagieren, aber die Architektur muss "Souveränitätslecks" verhindern – starke Netzwerksegmentierung, Datendioden und Schnittstellenregeln sind erforderlich, damit die Integration zwischen den Stufen die Sicherheit der strengeren Umgebung nicht verwässert.
• Einheitliche Governance. Ein nationaler Governance-Rahmen muss dieses Mosaik von Systemen überwachen. Eine übergeordnete Behörde oder ein Politikregime legt die Regeln für alle Schichten fest und stellt sicher, dass neue Systeme in die richtige Souveränitätsstufe eingeordnet und kontinuierlich geprüft werden.

KI als zentrale Achse der digitalen Souveränität

Künstliche Intelligenz liegt im Zentrum der Souveränitätsdebatte und dient als vereinheitlichende Achse, entlang derer sich andere Herausforderungen ausrichten. KI-Systeme – insbesondere fortschrittliche Modelle des maschinellen Lernens – konzentrieren viele der Probleme der Datenkontrolle, technologischen Abhängigkeit und Sicherheit in einem einzigen Bereich. Wenn Daten das neue Öl sind, ist KI der Motor, der damit läuft; die Kontrolle dieses Motors wird strategisch ebenso wichtig wie die Kontrolle der Daten selbst.

KI stützt sich auf massive Daten – oft die sensibelsten Daten, die eine Nation besitzt. Das Training modernster KI-Modelle erfordert riesige Datensätze, die persönliche Informationen, strategische Geheimdienstinformationen oder geschützte Geschäftsdaten umfassen können. Datensouveränität ist eine Voraussetzung für KI-Souveränität: Ein Land muss sicherstellen, dass Trainingsdaten für nationale KI-Initiativen im Land verbleiben und nicht in ausländische Jurisdiktionen abfließen. Die Modellgewichte selbst können zu sensiblem geistigem Eigentum werden, das die Nation schützen möchte.

KI-Verarbeitung erfordert fortschrittliche Cloud-Infrastruktur. Eine starke Abhängigkeit von ausländischen KI-Cloud-Diensten kann eine strategische Schwachstelle schaffen: Wenn die KI-Fähigkeiten einer Nation größtenteils auf einer Cloud in ausländischem Besitz laufen, könnte dieser Cloud-Anbieter (oder dessen Heimatregierung) theoretisch KI-Operationen einschränken oder überwachen. Darüber hinaus könnten undurchsichtige Updates von KI-Modellen durch ausländische Anbieter Verzerrungen oder Fehler einführen, die die lokale Nation nicht erkennen kann.

KI verstärkt die Folgen des Kontrollverlusts. Eine Nation, die der Integrität ihrer KI-Systeme nicht vertrauen kann (weil sie auf Black-Box-Plattformen außerhalb ihrer Aufsicht laufen), riskiert alles von der böswilligen Manipulation von KI-Ausgaben bis zur Abhängigkeit von externen Anbietern für kritische Dienste. Umgekehrt verschafft die Erlangung souveräner KI-Fähigkeiten einen erheblichen strategischen Vorteil. Das Konzept der "Souveränen KI" ist entstanden: Es bedeutet KI, die innerhalb der eigenen Landesgrenzen auf Infrastruktur unter lokaler Kontrolle entwickelt und betrieben wird.⁴

KI in der Verteidigung macht Souveränität zu einer Frage der nationalen Sicherheit. Autonome Drohnen oder Entscheidungsunterstützungs-KIs, die vom Militär eingesetzt werden – wenn diese auf eine externe Cloud oder ausländische Software-Updates angewiesen sind, könnte ein Gegner sie in einem kritischen Moment beeinträchtigen oder sabotieren. Verteidigungsbezogene KI-Projekte erfordern oft Souveränität der Stufe 5. Souveräne KI ist kein Luxus, sondern die letzte Verteidigungslinie in einer Krise.

Angesichts dieser Faktoren fungiert KI als Stresstest für den Rahmen der digitalen Souveränität einer Nation. Für ein Land wie Kanada könnte die Sicherstellung der Souveränität im Bereich der KI Folgendes umfassen: Investitionen in die heimische KI-Supercomputing-Infrastruktur, Sicherung der Lieferketten für kritische KI-Chips, Förderung lokaler KI-Software-Ökosysteme und Erlass von Vorschriften, die vorschreiben, dass bestimmte KI-Trainingsdaten das Land niemals verlassen.

Verteidigungssektor: Der ultimative Anwendungsfall für Souveränität

Die Landesverteidigung veranschaulicht die höchsten Einsätze für die digitale Souveränität. Verteidigungsorganisationen gehörten zu den ersten, die die Risiken fremdgesteuerter Technologie erkannten. Im Kontext von Cloud und KI setzen die Verteidigungsanforderungen effektiv den Maßstab – wenn der Rahmen die Verteidigung zufriedenstellen kann, wird er wahrscheinlich auch weniger kritische Sektoren zufriedenstellen.

• Extreme Sensibilität. Militärdaten und KI-Modelle für die Verteidigung sind oft auf den höchsten Ebenen klassifiziert. Sie erfordern Souveränität der Stufe 5 – absolute nationale Kontrolle. Verteidigungs-Clouds stellen sicher, dass alle Server im Land auf Militärbasen oder in sicheren Einrichtungen stehen, alle Administratoren Bürger mit Sicherheitsfreigaben sind und keine im Ausland gebauten Netzwerkgeräte mit potenziellen Hintertüren vorhanden sind.
• Kontinuität unter Druck. Eine Verteidigungs-Cloud muss Krisen – einschließlich Kriegszeiten – überstehen, wenn die internationale Konnektivität unterbrochen werden könnte. Dies treibt den Bedarf an vollständig souveränen, national gerouteten Netzwerken und redundanten Rechenzentren voran. Wenn ein Konflikt entsteht, kann man sich nicht auf ausländische Techniker verlassen, um Systeme zu reparieren.
• Cybersicherheit und Bedrohungsmodell. Verteidigungssysteme sind Hauptziele für Cyberangriffe von Nationalstaaten. Souveräne Verteidigungsinfrastrukturen können nach nationalen Standards gehärtet und kontinuierlich von nationalen Sicherheitsbehörden überprüft werden. Souveränität verleiht Agilität in der Cyberverteidigung – die Freiheit, Systeme nach eigenen Bedingungen anzupassen und zu sichern.
• Integration mit der nationalen Industrie. Viele Regierungen nutzen die Verteidigungsbeschaffung, um lokale Cloud- und KI-Fähigkeiten aufzubauen. Verteidigungsprojekte entwickeln sich manchmal zu breiteren souveränen Cloud-Angeboten für andere Sektoren.

Verteidigungssouveränität muss mit Koalitionsoperationen (z.B. NATO, NORAD) koexistieren. Verbündete müssen Daten sicher austauschen, was Interoperabilität zwischen souveränen Clouds impliziert. Die Lösung liegt in multilateralen Rahmenwerken und Vertrauensföderationen, in denen jede Nation ihren Knoten kontrolliert, aber mit Zustimmung an einer gemeinsamen Infosphäre teilnimmt. Kanadas strategische Perspektive hier wäre die Sicherstellung der souveränen Kontrolle über seine Systeme, während es gleichzeitig voll interoperabel mit den USA und anderen Five-Eyes-Partnern für gemeinsame Operationen bleibt.

Der Verteidigungssektor umfasst die maximalen Anforderungen an die digitale Souveränität. Politische Entscheidungsträger sollten die Verteidigung als Gradmesser betrachten: Bei der Gestaltung nationaler digitaler Souveränitätspolitiken sollte man fragen: "Wäre dies für unsere militärischen und nachrichtendienstlichen Bedürfnisse akzeptabel?" Wenn nicht, dann bleibt es wahrscheinlich hinter wahrer Souveränität zurück.

Verschlüsselung und die Vertrauenskette

Ein kritisches Thema in jeder Souveränitätsstrategie ist die Verschlüsselung – insbesondere, wer die kryptografischen Schlüssel kontrolliert, die Daten schützen. Verschlüsselung ist der Dreh- und Angelpunkt der Datensicherheit: Selbst wenn die Infrastruktur kompromittiert ist, bleiben ordnungsgemäß verschlüsselte Daten vertraulich. Die Verschlüsselung ist jedoch nur so stark wie die "Vertrauenskette", die ihr zugrunde liegt.

Für eine souveräne Cloud- oder KI-Umgebung ist es unerlässlich, dass der Aussteller und Inhaber von Verschlüsselungsschlüsseln unter nationaler Kontrolle steht. Der Cloud-Anbieter – insbesondere wenn es sich um ein ausländisches Unternehmen handelt – sollte nicht die Entität sein, die die Master-Schlüssel des Kunden generiert oder verwaltet. Stattdessen müssen Schlüssel von einer vertrauenswürdigen nationalen Entität generiert, gespeichert und verwaltet werden.⁶

Drei Prinzipien untermauern diese Anforderung:

• Extraterritoriale Verteidigung. Wenn ein Cloud-Anbieter die Verschlüsselungsschlüssel für Regierungsdaten besitzt, hat dieser Anbieter effektiv Zugriff, unabhängig davon, wo die Server stehen. Der U.S. CLOUD Act kann US-amerikanische Cloud-Firmen dazu verpflichten, Daten auch dann herauszugeben, wenn sie im Ausland gespeichert sind – aber wenn die ausländische Regierung die einzigen Schlüssel besitzt, kann der Anbieter die Daten nicht entschlüsseln, um der Anforderung nachzukommen. Schlüsselsouveränität ist eine Verteidigung gegen extraterritoriale rechtliche Reichweite.
• Externe Schlüsselverwaltung. Bewährte Praxis ist ein externes Schlüsselverwaltungssystem, was bedeutet, dass die Schlüsselgenerierung und -speicherung außerhalb der Umgebung des Anbieters erfolgt. Die Schlüssel könnten in einem staatseigenen Hardware Security Module (HSM) oder bei einem nationalen Treuhänder liegen. Dies stellt sicher, dass selbst Insider beim Anbieter nicht heimlich auf die Daten zugreifen können.⁶
• Prüfbarkeit. Die nationale Haltung von Schlüsseln ermöglicht eine stärkere Prüfbarkeit. Nationale Prüfer können die Schlüsselverwaltungsprozesse überprüfen, ohne sich auf die Bestätigungen eines ausländischen Unternehmens verlassen zu müssen. Nationale kryptografische Behörden können Standards festlegen, um das Vertrauen in die gesamte Kette aufrechtzuerhalten.

Eine Verletzung der Schlüsselsouveränität kann alle anderen Souveränitätsmaßnahmen zunichtemachen. Selbst eine souveräne Cloud der Stufe 5, bei der alle Daten im Land unter nationaler Kontrolle liegen – wenn die Master-Verschlüsselungsschlüssel vom Cloud-Softwareanbieter erstellt und auf dessen Systemen gespeichert wurden, wäre dies ein einziger Fehlerpunkt.

In Bezug auf die Politik können Regierungen dies durch Vorschriften durchsetzen: "Alle sensiblen Regierungsdaten, die in der Cloud gespeichert sind, müssen mit Schlüsseln verschlüsselt werden, die in staatlich genehmigten Schlüsselverwaltungssystemen auf nationalem Boden generiert und gespeichert werden. Cloud-Anbieter dürfen keinerlei Kenntnis oder Zugriff auf diese Schlüssel haben."

Die Integrationsherausforderung und die Notwendigkeit eines Orchestrators

Das Erreichen digitaler Souveränität ist nicht allein eine technische Meisterleistung — es ist größtenteils eine Integrationsherausforderung. Viele der für Souveränität erforderlichen Einzelkomponenten existieren bereits: lokale Server, Open-Source-Cloud-Software, nationale Glasfasernetze, lokal entwickelte KI-Modelle, nationale Verschlüsselungstools. Der schwierigere Teil besteht darin, all diese unabhängig entwickelten Systeme zu einer nahtlosen, sicheren und skalierbaren nationalen Plattform zusammenzuführen.

Die Rolle des Orchestrators. Dies bezieht sich auf eine Entität (oder eine koordinierte Gruppe), die dafür verantwortlich ist, alle souveränen Komponenten zusammenzuführen und sie als Dienstleistung für die Regierung und kritische Industrien zu betreiben. Der Orchestrator könnte eine Regierungsbehörde oder ein Konsortium vertrauenswürdiger nationaler Unternehmen sein, die unter staatlichem Mandat arbeiten. Zu ihren Aufgaben gehören: die Integration der Vernetzung mit Rechenzentren; die Sicherstellung der Interoperabilität von Cloud-Management-Software, Identitätssystemen und Verschlüsselungsdiensten; die Verwaltung von Updates und Patches über den gesamten Stack hinweg; und die Bereitstellung einer einheitlichen Schnittstelle und Supportstruktur für Benutzer.

Es ist entscheidend, die Orchestrierungsfunktion von der Aufsichts-/Prüfungsfunktion zu unterscheiden. Um Vertrauen zu wahren, müssen drei Rollen strukturell getrennt werden:

• Der Orchestrator betreibt und integriert die souveräne Cloud gemäß den vereinbarten Richtlinien.
• Eine unabhängige Prüfstelle (zum Beispiel die nationale Cybersicherheitsbehörde oder eine spezielle Regulierungsbehörde) überwacht kontinuierlich die Operationen auf Abweichungen von Richtlinien, Sicherheitsverletzungen oder Compliance-Fehler.⁵
• Lieferanten (Hardwarehersteller, Softwareentwickler) stellen lediglich Komponenten bereit. Sie sollten sich nicht selbst prüfen, noch kritische Systeme ohne Aufsicht betreiben.

Wichtige Erkenntnis: Der Orchestrator und der Prüfer müssen strukturell getrennt sein. Die Entität, die souveräne Infrastruktur betreibt, kann nicht diejenige sein, die ihre eigene Compliance zertifiziert — unabhängige Echtzeit-Prüfung ist für Vertrauen unerlässlich.

Aus politischer Sicht erfordert die Etablierung dieser Rollen Klarheit: definieren, welche Organisation(en) als souveräner Cloud-Orchestrator fungieren werden; eine regulatorische Prüfstelle mit Ressourcen und Befugnissen ausstatten, um eine kontinuierliche Aufsicht durchzuführen; und die Rollen der Lieferanten mit vorgeschriebenen offenen Standards und vollständiger Transparenz klären.

Die Integrationsherausforderung ist nicht nur technischer, sondern auch organisatorischer Natur. Souveräne Clouds benötigen qualifizierte Cloud-Architekten, Cybersicherheitsexperten, KI-Ingenieure und Administratoren, die Staatsbürger und potenziell sicherheitsüberprüft sind. Eine Souveränitätspolitik sollte die Personalentwicklung umfassen: Schulungsprogramme, wettbewerbsfähige Gehälter, um Talente von großen Technologieunternehmen anzuziehen, und vielleicht eine "nationale Cloud-Akademie". Ohne die Menschen, die sie betreiben, wird selbst die am besten konzipierte souveräne Cloud scheitern.

Internationale Fallstudien und globaler Kontext

Weltweit experimentieren Regierungen mit Politiken und Rahmenwerken, um digitale Souveränität zurückzugewinnen. Obwohl der Ansatz jedes Landes variiert, umfassen gemeinsame Themen Datenlokalisierung, nationale Aufsicht und nationale Zertifizierung von Cloud-Diensten.

Frankreich — SecNumCloud und "Cloud de Confiance"

Frankreich ist ein Vorreiter bei der Durchsetzung der Cloud-Souveränität durch sein SecNumCloud-Zertifizierungssystem. Verwaltet von der nationalen Cybersicherheitsbehörde ANSSI, legt SecNumCloud strenge Anforderungen fest, damit ein Cloud-Anbieter für sensible französische Daten als "vertrauenswürdig" gilt.² Die neuesten Kriterien schließen ausländisch kontrollierte Clouds effektiv von der Qualifizierung aus. Zu den Anforderungen gehören: die Lokalisierung aller Kundendaten in der EU; die Sicherstellung, dass alle Operationen von EU-basiertem Personal durchgeführt werden; und die Auferlegung von Eigentumsbeschränkungen, wonach Nicht-EU-Aktionäre einzeln nicht mehr als 25% (und kollektiv 39%) des Anbieters halten dürfen.²

Frankreichs Ansatz etabliert klare Souveränitätsleitplanken. Kanada, das Rechtsstaatlichkeitswerte mit Frankreich teilt, kann die SecNumCloud-Kriterien als mögliche Vorlage für die Definition eigener "vertrauenswürdiger Cloud"-Standards studieren.

Deutschland — BSI C5 und Sovereign Cloud Stack

Deutschlands Ansatz konzentriert sich auf Sicherheit und Compliance durch den C5 (Cloud Computing Compliance Criteria Catalogue), der vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickelt wurde. C5 ist ein Prüfrahmen, der sicherstellt, dass Cloud-Anbieter über 100 Sicherheitskontrollen erfüllen, die auf deutsche Anforderungen abgestimmt sind.³ Konforme Cloud-Dienste verarbeiten Daten ausschließlich in deutschen Rechenzentren gemäß deutschem Recht.

Über C5 hinaus hat Deutschland in die Initiative Sovereign Cloud Stack (SCS) investiert — einen Open-Source-Cloud-Technologie-Stack, der darauf abzielt, eine europäische Alternative zu Hyperscalern bereitzustellen. SCS reduziert die Abhängigkeit von einem einzelnen Anbieter, indem es einen standardisierten Bauplan für eine souveräne Cloud anbietet. Deutschlands Fall veranschaulicht einen standard- und Open-Source-geführten Weg zur Souveränität.

Gaia-X — Ein europäisches föderiertes Cloud-Ökosystem

Gaia-X ist ein in der EU entstandenes Projekt (initiiert von Frankreich und Deutschland im Jahr 2020) mit dem ehrgeizigen Ziel, eine föderierte, interoperable Daten- und Cloud-Infrastruktur für Europa zu schaffen.⁷ Es ist kein einzelner Cloud-Anbieter, sondern ein Rahmenwerk und eine Reihe von Standards, um vielen Anbietern die Vernetzung zu ermöglichen, mit gemeinsamen Regeln, die Transparenz, Datensouveränität und Interoperabilität gewährleisten.⁸

Gaia-X wurde durch das Bestreben motiviert, die europäische digitale Souveränität zu stärken und die Abhängigkeit von der Dominanz ausländischer Clouds zu verringern.⁷ Anstatt einer einzigen EU-Regierungs-Cloud sieht es viele Clouds vor, die durch gemeinsame Standards verbunden sind, was den Nutzern Wahlmöglichkeiten bietet und eine Bindung an einen einzelnen Anbieter oder eine Gerichtsbarkeit vermeidet.

Andere Ansätze

Das Vereinigte Königreich verfolgt einen Klassifizierungsansatz, bei dem hochsensible Regierungssysteme auf vollständig souveräner Infrastruktur laufen, während gleichzeitig die Lieferantenvielfalt und die britische Rechtskontrolle betont werden. Die Vereinigten Staaten genießen de facto digitale Souveränität, da ihre Unternehmen den Cloud-Markt dominieren, wobei der Schwerpunkt auf der Sicherung ihrer Lieferkette und der Schaffung isolierter Regierungs-Cloud-Regionen liegt. China und Russland veranschaulichen das extreme Ende der Souveränität, wo der Staat eine strenge Kontrolle über die digitale Infrastruktur ausübt — was die Machbarkeit einer nahezu vollständigen Selbstversorgung demonstriert, wenn auch zu hohen Kosten und mit Isolation.

Nationen müssen drei grundlegende Kompromisse abwägen:

• Kosten vs. Kontrolle. Volle Souveränität kann teuer sein. Viele verfolgen einen Hybridansatz: hohe Souveränität für die Kronjuwelen, kommerzielle Clouds mit Schutzmaßnahmen für weniger kritische Bedürfnisse.
• Innovation vs. Autarkie. Es besteht das Risiko, dass man sich beim Versuch, souverän zu sein, von globaler Innovation isoliert. Souveräne Lösungen sollten über offene Standards an globale Wissensnetzwerke angebunden sein.
• Allianzen vs. Autonomie. Verbündete brauchen einander, insbesondere Länder wie Kanada, die Teil von Verteidigungs- und Geheimdienstkoalitionen sind. Souveränitätsbemühungen dürfen den vorteilhaften Datenaustausch und die Interoperabilität nicht beeinträchtigen.

Strategische und politische Überlegungen

Die Ausarbeitung einer nationalen Strategie für digitale Souveränität erfordert eine hochrangige politische Abstraktion, gepaart mit praktischen Umsetzungsplänen.

Einen Klassifizierungsrahmen für Souveränität entwickeln. Klar definieren, welche Arten von Daten und Systemen welches Maß an Souveränität erfordern. Daten in Stufen klassifizieren und diese Souveränitätsniveaus zuordnen. Diese Politik sollte transparent sein, damit alle Behörden und kritischen Betreiber die Erwartungen kennen.

Souveränitätsniveaus für kritische Sektoren vorschreiben. Durch Gesetzgebung oder Richtlinien sicherstellen, dass kritische Infrastruktursektoren und Regierungsbehörden Mindestanforderungen an die Souveränität einhalten. Vorschreiben, dass die gesamte Cloud-Nutzung der Bundesregierung bis zu einem bestimmten Datum mindestens Stufe 3 erreicht, mit höheren Stufen für nationale Sicherheitsbehörden.

Einen souveränen Cloud-Orchestrator aufbauen oder benennen. Das Modell auswählen, wer die souveräne Infrastruktur integrieren und betreiben wird. Dies könnte die Finanzierung einer neuen Crown Corporation für digitale Infrastruktur oder die Erweiterung von Shared Services Canada umfassen. Die Regierung sollte bereit sein, Startkapital zu investieren, um dies tragfähig zu machen.

Unabhängige Aufsicht stärken. Eine dedizierte Kommission für digitale Souveränität schaffen oder das Mandat des CSE (Communications Security Establishment) erweitern, um die Einhaltung der Cloud-Dienste kontinuierlich zu prüfen und zu zertifizieren. Dieses Gremium sollte einer hohen Autorität regelmäßig über den Stand der Souveränität berichten und dabei etwaige Schwachstellen hervorheben.

Verbündete und mehrstufige Souveränität nutzen. Mit Verbündeten bei Standards und gegenseitiger Anerkennung koordinieren. Innerhalb der Five Eyes zusammenarbeiten, um einen "sovereign-by-design"-Ansatz zu entwickeln, der dennoch selektives Teilen ermöglicht. Kanadas Bedürfnisse geltend machen: in Allianzen auf Abkommen drängen, die die Datenkontrolle jeder Nation respektieren.

In nationale Kapazitäten investieren. Souveränität nutzen, um die nationale Technologiebranche zu katalysieren. Politiken können Anreize für lokale Cloud-Startups, Zuschüsse für die Entwicklung souveräner KI-Tools und Unterstützung für KMU umfassen, die Nischen im Souveränitäts-Stack besetzen. Die öffentliche Beschaffung wird zu einem Hebel: Indem die Regierung inländische Anbieter wählt, die Souveränitätskriterien erfüllen, wird sie zum Hauptkunden.⁵

Fazit: Souveränität als strategisches Gut

Digitale Souveränität ist keine einmalige Errungenschaft, sondern ein kontinuierliches Bestreben – ein dynamisches Gleichgewicht, das angesichts sich entwickelnder Technologien und Bedrohungen aktiv gemanagt werden muss. Sie erfordert das Abwägen von Kompromissen und das Treffen strategischer Entscheidungen, aber die Belohnungen sind immens. Eine Nation, die digitale Souveränität beherrscht, sichert nicht nur ihre Daten und Systeme, sondern auch ihre digitale Zukunft – und stellt sicher, dass Innovation dem Land zugutekommt und mit seinen Werten übereinstimmt.

Kanadas Streben nach digitaler Souveränität sollte als grundlegend für unsere nationale Sicherheit und unseren Wohlstand im 21. Jahrhundert angesehen werden. Es ist eine proaktive Maßnahme, die uns auf eine Welt vorbereitet, in der Daten als Waffe eingesetzt werden und Technologieführerschaft Macht definiert. Durch die Etablierung einer mehrschichtigen Souveränität über jurisdiktionelle, operationelle, technologische und wirtschaftliche Dimensionen hinweg und durch die Integration dieser Schichten mittels eines mehrachsigen nationalen Entwurfs kann Kanada sicherstellen, dass es der Urheber seines eigenen digitalen Schicksals bleibt.

Letztendlich können wir, so wie unabhängige Nationen ihre Souveränität im physischen Bereich zum Wohle der Gemeinschaft nutzen, digitale Souveränität nutzen, um eine sichere, lebendige und selbstbestimmte digitale Nation zu schaffen. Der Weg wird komplex sein – er erfordert die Orchestrierung von Technologien und Politiken, Investitionen in Menschen und die Zusammenarbeit mit Verbündeten – aber das Ziel ist klar: ein Kanada, das in der digitalen Welt hoch aufragt, dessen Werte gewahrt und dessen Interessen geschützt sind, was auch immer in der globalen Technologielandschaft geschehen mag.

Anmerkungen

1. Cloud Sovereignty Framework (vertrauliches Rahmendokument, das die Ebenen und Dimensionen der Cloud-Souveränität darlegt).
2. ITIF, "France's Cloud Service Restrictions," 2025.
3. StackIT, "German C5 Standard," 2023.
4. Broadcom, "Local Rules, Local Clouds: Sovereign AI," 2025.
5. BCG, "Sovereign Clouds Reshaping National Security," 2025.
6. Cloud Security Alliance, "Sovereignty in the Cloud," 2023.
7. Polytechnique Insights, "Gaia-X: A Bid for a Sovereign European Cloud," 2025.
8. Gaia-X Official Site, Missions- und Übersichtsstatements.
9. Cloud Security Alliance Blog, "Data Sovereignty" (Thales CPL Referenz zu Verschlüsselungsschlüsseln).
10. Zusätzliche Auszüge aus dem Souveränitätsrahmen (mehrachsiges Modell, Herausforderungen, Roadmap-Elemente).