Souveräne Cloud: Steuerungsfähigkeit entsteht in Plattform und Betrieb 

Dabei betrifft das Thema öffentliche Organisationen und regulierte Branchen ebenso wie Unternehmen, die ihre technologische Resilienz stärken und Abhängigkeiten bewusster steuern wollen. Die Ergebnisse für Deutschland verdeutlichen, dass digitale Souveränität hier besonders stark als Resilienz- und Risikomanagementthema verstanden wird. Digitale Souveränität zeigt sich dabei in der Fähigkeit, Plattform, Betrieb und technologische Abhängigkeiten dauerhaft zu steuern. Souveräne Cloud-Angebote schaffen dafür wichtige rechtliche und technische Voraussetzungen. Betriebsplattform und Governance verankern diese in den Verantwortlichkeiten und Prozessen des täglichen Betriebs. 

Parallel dazu wächst das Angebot souveräner Cloud-Modelle. Globale Hyperscaler entwickeln souveräne Varianten ihrer Plattformen. Demgegenüber bauen nationale und europäische Anbieter eigene Cloud-Portfolios auf. Damit entstehen unterschiedliche Modelle, die rechtliche Kontrolle, technologische Leistungsfähigkeit und betriebliche Verantwortung jeweils anders gewichten. Die jüngste Ankündigung von Schwarz Digits zum Bau eines weiteren KI-Rechenzentrums in Mecklenburg-Vorpommern steht beispielsweise für konkrete Investitionen in eigene technologische Kapazitäten und damit in einen wichtigen Baustein digitaler Souveränität. 

Der Einsatzbereich bestimmt die Plattform 

Welche Fähigkeiten eine souveräne Cloud-Plattform benötigt, hängt wesentlich davon ab, welche Daten und Anwendungen auf ihr betrieben werden sollen. Mit steigender Sensibilität wachsen die Anforderungen an Isolation, Zugriffsschutz, Nachvollziehbarkeit und Betrieb. Gleichzeitig bleibt der Anspruch bestehen, die Vorteile der Cloud durch Automatisierung und Managed Services zu nutzen. Für eine sichere und wirtschaftliche Nutzung muss jedoch klar definiert werden, welche Rolle der Cloud-Anbieter in der Gesamtarchitektur übernimmt und welche Aufgaben in der integrierenden Betriebsplattform zu verorten sind. 

Wie sich beides verbinden lässt, zeigt ein Projekt für einen Kunden aus der deutschen Verwaltung. Gemeinsam haben wir dort auf Basis der souveränen STACKIT Cloud mehrere, auf unterschiedliche Schutz- und Nutzungsszenarien zugeschnittene Umgebungen auf einer gemeinsamen Plattformbasis aufgebaut. Zu Beginn standen dafür noch nicht alle benötigten Plattformfähigkeiten zur Verfügung. Zusätzliche Anforderungen wurden im Projekt gemeinsam entwickelt und technisch validiert. Heute ermöglicht die Umgebung die Verarbeitung personenbezogener Daten sowie als VS-NfD eingestufter Informationen und nutzt gleichzeitig automatisierte Managed Services. Sicherheit und Souveränität werden so mit den Qualitäts- und Geschwindigkeitsvorteilen der Cloud verbunden. 

Sicherheit und Compliance von Anfang an mitdenken

Durch konkrete Umsetzungsprojekte werden Erfahrungen in Bezug auf den jeweiligen Cloud-Anbieter, aber auch hinsichtlich der Betriebsplattform gewonnen. Diese sind ein entscheidender Faktor für den Ausbau der Plattformen entlang neuer Anwendungen und Anforderungen. Hierzu gehören immer öfter KI-Funktionalitäten, die auch für sensible Daten in einer souveränen Umgebung nutzbar sein müssen, sowie Cyber-Security-Dienste. Mit dieser Entwicklung gewinnt Continuous Compliance an Bedeutung: Sicherheits- und Compliance-Anforderungen werden möglichst direkt in Plattformstandards, automatisierte Kontrollen und Nachweise übersetzt. So lässt sich der Schutzbedarf auch bei neuen Services, Änderungen und wachsender Nutzung dauerhaft berücksichtigen. Gerade bei sensiblen Daten und KI wird Continuous Compliance zu einem wesentlichen Bestandteil des souveränen Betriebsmodells. 

Die Betriebsplattform schafft Steuerungsfähigkeit 

Der Vertrag mit einem souveränen Cloud-Anbieter schafft Klarheit über Betreiberstruktur, Jurisdiktion und Datenstandort. Im täglichen Betrieb jedoch kommen weitere Fragen hinzu: 

• Wer steuert administrative Zugriffe? 

• Wie werden neue Anwendungen umgesetzt und betrieben? 

• Wer verantwortet zentrale Bestandteile wie Monitoring, Änderungen und Wiederherstellung? 

• Wie werden Sicherheitsanforderungen standardisiert nachgewiesen? 

Diese Aufgaben übernimmt die Betriebsplattform. Sie verbindet die Services eines Cloud-Anbieters mit den Identitäten, Netzen, Sicherheitsvorgaben und Betriebsprozessen der Organisation. Bei höheren Schutzanforderungen wächst daraus eine eigene Sicherheits- und Integrationsschicht. Jede dort ergänzte Funktion erzeugt dauerhafte Betriebsverantwortung. Bei einer zusätzlichen Sicherheitskomponente wären dies beispielsweise ein Betreiber, Updates, Monitoring, Support und Wiederherstellungsregeln. Neue Funktionen können auf dieser Ebene zunächst als erste funktionsfähige Ausbaustufe umgesetzt und längerfristig zu einem vollständig integrierten Plattformservice werden.

In unseren Projekten hat sich deshalb eine klare Entscheidungslogik bewährt: Provider-native Services werden eingesetzt, wenn sie den benötigten Funktionsumfang abdecken. Andernfalls können Portfolioerweiterungen aufgebaut werden. Hier empfiehlt sich die Nutzung offener Standards und Open-Source-Komponenten, um die Wiederverwendung in verschiedenen Einsatzgebieten sicherzustellen. Zudem ermöglicht eine gemeinsame Entwicklung zwischen mehreren Anwendern eine höhere Innovationsgeschwindigkeit und geringeren Wartungsaufwand. 

Die Betriebsplattform als Produkt steuern 

Viele Organisationen nutzen eine souveräne Cloud zunächst projektbezogen. Die eigentliche Herausforderung liegt darin, von diesen ersten Schritten in einen standardisierten Plattformbetrieb zu kommen. Der Anbieter liefert die technischen Werkzeuge, doch die bestehende IT-Organisation muss ihre Betriebsprozesse auf Cloud- und Managed-Services-Betrieb umstellen. Als integrierende Schicht verbindet die Betriebsplattform die Services des Cloud-Anbieters, Leistungen weiterer Anbieter und die bestehende IT zu einem einheitlichen Betrieb. Die verantwortliche Organisation legt fest, welche Leistungen zentral angeboten werden, welche Schutzprofile als Standard gelten, wie neue Anwendungen aufgenommen werden und wer den Betrieb verantwortet. Ein verbindliches Serviceportfolio, klare Produktverantwortung und eine gemeinsame Roadmap schaffen dafür den Rahmen. 

Neue Anforderungen werden danach bewertet, ob sie mehreren Anwendungen nutzen und dauerhaft betrieben werden können. Wiederkehrende Fähigkeiten werden zu zentralen Plattformservices, anwendungsspezifische Lösungen verbleiben beim jeweiligen Vorhaben. So werden Integrationsleistungen nachnutzbar, parallele Lösungen vermieden und Investitionen über weitere Anwendungen hinweg genutzt. Darin liegt der wirtschaftliche Hebel.

Steuerungsfähigkeit ist der Maßstab 

Steuerungsfähigkeit wird damit zum Maßstab souveräner Cloud-Nutzung. Organisationen müssen ihren Einsatzbereich bewusst festlegen, zusätzliche Plattformfähigkeiten dauerhaft betreiben können und die Plattform über Serviceportfolio, Roadmap und Wirtschaftlichkeit steuern. 

Unsere Erfahrungen zeigen beispielhaft, wie sich diese Prinzipien in der Praxis umsetzen lassen. Ein geeignetes souveränes Cloud-Angebot bildet die technologische Basis. Die Betriebsplattform verbindet diese mit den Anforderungen der jeweiligen Organisation und macht die entstehenden Fähigkeiten über weitere Anwendungen hinweg nutzbar.

Cloud X Summit by STACKIT 2026

Auf dem Cloud X Summit by STACKIT zeigen wir anhand konkreter Plattformprojekte, welche Entscheidungen digitale Souveränität ermöglichen und wie daraus nachhaltige Steuerungsfähigkeit entsteht.

Mehr erfahren

Report

Digital sovereignty: From policy ambition to executive imperative