Fleck, den Sie nicht ignorieren dürfen Die Umstellung auf Cloud-First-Kommunikation sollte eigentlich zu einer Vereinfachung der Abläufe führen. Für viele Unternehmen hat sie jedoch eine neue Art von strategischem Risiko mit sich gebracht: die Datensouveränität im Zeitalter der KI-gesteuerten UC.
Jahrelang haben Unternehmen bei der Bewertung von UC- und UCaaS-Plattformen vor allem auf Kosten, Verfügbarkeit und Funktionsumfang geachtet. Nun drängt sich ein vierter Faktor in die Tagesordnung der Vorstandsetagen: die souveräne Kontrolle über Daten, Infrastruktur und rechtliche Risiken.
Künstliche Intelligenz prägt zunehmend die Funktionsweise von Unified-Communications-Plattformen, oft hinter den Kulissen. Gleichzeitig erlassen die Regulierungsbehörden strengere Vorschriften darüber, wie und wo Daten gespeichert, verarbeitet und analysiert werden dürfen. Souveränität ist heute ein Reputations-, Rechts- und Betriebsrisiko, von dem bereits einige der bekanntesten Anbieter und öffentlichen Einrichtungen weltweit betroffen sind.
Lassen Sie uns also, ohne Panikmache zu betreiben, diskutieren, worum es geht und warum dies für Sie von Bedeutung ist.
Warum UCaaS nicht automatisch eine sichere regulatorische Wahl ist
Die meisten Unternehmen setzen „Datenresidenz“ immer noch mit Souveränität gleich. Das ist ein kostspieliges Missverständnis.
Es kann hilfreich sein, sich vor Augen zu halten, dass Souveränität ≠ Sicherheit ≠ Datenschutz ist.
Bei Souveränität geht es um die rechtliche Kontrolle über Daten, wo sie gespeichert sind, wer darauf zugreifen kann und unter welchen Gesetzen. Bei Sicherheit geht es um den Schutz von Daten vor unbefugtem Zugriff oder Verstößen, während es bei Datenschutz darum geht, sicherzustellen, dass personenbezogene Daten gemäß den Vorschriften und individuellen Rechten behandelt werden. Beispielsweise kann eine UC-Plattform sicher und privat sein, aber wenn ausländische Regierungen gemäß Gesetzen wie dem US CLOUD Act auf Daten zugreifen können, ist sie nicht souverän.
Das Kernproblem liegt also nicht nur darin, wo Daten gespeichert werden, sondern auch darin, wer sie kontrolliert, wer darauf zugreifen kann und unter welchen Rechtsvorschriften. Viele UCaaS-Anbieter arbeiten unter US-amerikanischer Eigentümerschaft oder hosten Teile ihrer Architektur in Multi-Tenant-Umgebungen mit globalem Datenrouting.
Was dies in der Praxis bedeutet:
- Ihre UC-Daten können sich in Frankfurt befinden, jedoch rechtlich in Kalifornien offengelegt werden.
- KI-Module könnten Ihre Anrufaufzeichnungen in einem Land verarbeiten und Modelle in einem anderen trainieren.
- Metadaten, Protokolle oder Diagnose-Telemetriedaten können vollständig außerhalb Ihrer Kontrolle liegen.
Das Souveränitätsmodell der meisten UCaaS-Plattformen wurde für Skalierbarkeit und nicht für Compliance entwickelt.
Wie in Damovos jüngstem Beitrag zum Thema Geopatriation für kritische Kommunikation hervorgehoben wurde, muss Souveränität von innen heraus gestaltet werden und darf nicht erst hinzugefügt werden, wenn die Regulierungsbehörden anklopfen.
Wenn Souveränitätslücken Schlagzeilen machen
Mehrere Organisationen des öffentlichen Sektors und Unternehmen haben bereits öffentlich erkannt, warum die Souveränität der UC nicht optional ist.
Im Jahr 2023 verbot die französische Regierung bestimmten öffentlichen Einrichtungen die Nutzung von M365 und Teams in der Cloud. Im selben Jahr aktualisierte Zoom seine Nutzungsbedingungen, sah sich wegen vermeintlicher KI-Trainingsrechte mit heftigen Reaktionen konfrontiert, änderte sie daraufhin und versprach, ohne Zustimmung keine Modelle mit Kundeninhalten zu trainieren.
Jüngste Ereignisse im Jahr 2025: Microsofts offizielle Erklärung, dass Souveränität nicht garantiert werden kann. Im Juli 2025 räumte ein Microsoft-Manager während einer Anhörung vor dem französischen Senat ein, dass das Unternehmen selbst mit EU-zentrierten Dateninfrastrukturen die Datenhoheit nicht garantieren kann, wenn US-Gesetze (wie der CLOUD Act) gelten. Dieses Eingeständnis untergrub das Vertrauen in die Zusicherungen der „Sovereign Cloud” und löste Besorgnis bei öffentlichen und regulierten Organisationen in der EU aus.
In Großbritannien kam in diesem Jahr ein Datenleck im Verteidigungsministerium aus dem Jahr 2022 ans Licht, bei dem hochsensible persönliche Informationen über 19.000 Afghanen, die britische Streitkräfte unterstützt hatten, in einer Tabelle offengelegt wurden. Dieser Vorfall zeigt, dass das Risiko für die Souveränität nicht nur davon abhängt, wo Daten gespeichert sind, sondern auch davon, wer unter welchen rechtlichen Rahmenbedingungen darauf zugreifen kann und ob die Organisation eine wirksame Kontrolle über den Datenfluss hat.
Wie KI die Souveränität in der UC stillschweigend neu definiert
Um die Komplexität zu erhöhen, entwickelt sich das Souveränitätsrisiko aufgrund der Art und Weise, wie KI innerhalb von UC-Plattformen eingesetzt wird, rasant weiter.
Bitte beachten Sie:
- Auto-Routing-Engines verschieben Daten aus Leistungsgründen innerhalb von Millisekunden zwischen Regionen.
- Transkriptions- und Zusammenfassungsmodelle verarbeiten ganze Gespräche und erstellen abgeleitete Daten, die möglicherweise nicht durch Ihre ursprüngliche SLA abgedeckt sind.
- In UCaaS-Plattformen integrierte LLMs werden häufig außerhalb der Plattform trainiert, wobei ein breiterer Datenkorpus verwendet wird, der auch Ihre Daten umfasst.
Gartner prognostiziert, dass bis 2026 über 60 % der UCaaS-Anbieter KI-Assistenten in ihre Plattformen integrieren werden
Es handelt sich also nicht um eine Funktionslücke, sondern um eine Souveränitätslücke.
Anbieter bemühen sich, den Rückstand aufzuholen. Hier erfahren Sie, wie.
Als Reaktion auf die zunehmende Kontrolle erheben Anbieter Souveränitätsansprüche. Der Reifegrad ist jedoch unterschiedlich:
Microsoft
- Im Februar 2025 wurde die EU-Datengrenze eingeführt, mit der Verpflichtung, Microsoft 365-Daten innerhalb der EU zu speichern und zu verarbeiten.
- Einführung der Microsoft Sovereign Cloud, die Daten in Europa unter europäischem Recht mit lokalen nationalen Clouds wie der Delos Cloud in Deutschland speichert.
- Der Cloud Act stellt jedoch weiterhin ein Risiko dar, und viele sind nicht davon überzeugt, dass die Daten nicht letztendlich bei den US-Behörden landen werden.
Zoom
- Bietet regionales Datenhosting an und hat nach Kontroversen seine KI-Richtlinien aktualisiert. Die Pläne zur Eröffnung eines Rechenzentrums in Großbritannien im Jahr 2026 werden als entscheidend für die Gewinnung neuer öffentlicher Kunden im Land angesehen.
- Da das Unternehmen in US-amerikanischem Besitz ist, unterliegt es weiterhin dem UC Cloud Act. Die Möglichkeit für Kunden, festzulegen, dass Daten in Rechenzentren in der EU/im Vereinigten Königreich verarbeitet werden, wird als eine gewisse Verringerung des Risikos grenzüberschreitender Datenübertragungen angesehen.
Cisco Webex
- Eines der wenigen Unternehmen, das proaktiv in kundeneigene Verschlüsselungsschlüssel und souveräne Cloud-Implementierungen investiert. Zu Recht als einer der vertrauenswürdigsten Anbieter in Europa angesehen.
- Bietet ein höheres Maß an Kontrolle auf Kundenseite, jedoch sind noch nicht alle Regionen verfügbar.
RingCentral, 8×8, andere Anbieter für kleine und mittelständische Unternehmen
- Arbeiten Sie mit europäischen Infrastrukturanbietern zusammen, jedoch unter starker Abhängigkeit von gemeinsam genutzten Multi-Tenant-Modellen, die die tatsächliche Souveränität beeinträchtigen können.
Der Markt hat eindeutig reaktiv und nicht proaktiv reagiert, und wie wir gesehen haben, führen diese Behauptungen nicht immer zu tatsächlicher Souveränität.
Was Damovo-Kunden anders machen
Bei Damovo warten unsere Kunden nicht darauf, dass die Regulierungsbehörden ein Umdenken erzwingen. Sie handeln jetzt. So helfen wir Ihnen dabei:
- Audits zur Souveränitätsbereitschaft
Wir bewerten UC-Plattformen anhand detaillierter Souveränitätsmerkmale: rechtliche Risiken, Transparenz des Datenflusses, Umgang mit KI-Daten und Vertragslücken.
- Geopatriiertes UC-Design
Gemäß unserem Ansatz „Geopatriation First” entwickeln wir UC-Lösungen, bei denen rechtliche Kontrolle, Compliance-Resilienz und operative Transparenz im Vordergrund stehen.
- Analyse des SLA von Anbietern
Unser Beratungsteam arbeitet mit Beschaffungs- und Rechtsteams zusammen, um das Kleingedruckte zu interpretieren: Wohin gehen die Daten, wer sieht sie und unter welchen Gesetzen?
- Hybridarchitektur-Aktivierung
Wir unterstützen hybride UC-Modelle, bei denen sensible Workloads on-premise und nicht kritische Funktionen UCaaS nutzen – so erhält der Kunde die Kontrolle zurück.
- Kontinuierliche rechtliche Überwachung
Wir verfolgen aktiv rechtliche Veränderungen und regulatorische Aktualisierungen in der EU, um sicherzustellen, dass unsere Kunden in Sachen Compliance immer einen Schritt voraus sind.
Abschließender Gedanke: Kontrolle ist die neue Kompetenz
Beginnen Sie mit einer „Was ist mit mir?“-Checkliste:
- Welche Gesetze gelten für meine Organisation (DSGVO, CLOUD Act, branchenspezifische Vorschriften)?
- Wo werden meine UC/AI-Workloads gespeichert, verarbeitet, protokolliert und gesichert?
- Was steht in meinem Lieferantenvertrag über KI-Training, Telemetrie und Supportdaten?
- Befragen Sie Ihren Anbieter zu Kontrollverschlüsselungsschlüsseln und Administratorzugriff und fragen Sie, ob die Betreiber in der EU ansässig sind.
Angesichts der zunehmenden Verbreitung von KI und der immer undurchsichtiger werdenden Cloud-Plattformen schützen Unternehmen, die Souveränität als Entscheidung auf Architekturebene betrachten, nicht nur die Compliance, sondern auch die Kontinuität, das Vertrauen und die Kontrolle der Benutzer.
Damovo unterstützt Sie gerne dabei, diese Kontrolle in jede Ebene Ihrer UC-Umgebung zu integrieren.
| Anbieter | Datenresidenz und Optionen zur Datenhoheit (EU) | Vom Kunden verwaltete Schlüssel / Administratorsteuerung | KI / Modelltraining (öffentliche Informationen) | Primäre rechtliche Risiken / Anmerkungen |
| Microsoft (M365, Teams) | EU-Datengrenze für zentrale Cloud-Dienste fertiggestellt, sodass die meisten Kunden- und Supportdaten innerhalb der EU/EFTA-Regionen verbleiben; Microsoft Sovereign Cloud und nationale Projekte wie Delos Cloud zielen auf den öffentlichen Sektor und regulierte Workloads mit höheren Sicherheitsanforderungen ab. | Kundenschlüssel und doppelte Schlüsselverschlüsselung für M365 sowie Erweiterung der externen Schlüsselverwaltung und EU-exklusive Operationen in souveränen Angeboten news.microsoft+1 | Erklärt, dass Kundeninhalte ohne Zustimmung nicht zum Trainieren von Basismodellen verwendet werden, und fügt EU-exklusive Verarbeitungsoptionen für KI-Workloads im Geltungsbereich hinzu.news.microsoft+1 | Trotz der Gastfreundschaft der EU und souveräner Initiativen können der US-amerikanische CLOUD Act und die Unternehmensstruktur weiterhin ein wahrgenommenes Risiko darstellen. Die tatsächliche Souveränität hängt von Vertragsbedingungen, Schlüsselkontrolle und operativer Trennung ab. |
| Cisco Webex | EU-Rechenzentren und auf Souveränität ausgerichtete Optionen unter Einbeziehung vertrauenswürdiger europäischer Partner und dedizierter Instanzen für den öffentlichen Sektor und regulierte Branchen.webex+1 | Ausgereifte, vom Kunden verwaltete Schlüsselfunktionen über Webex Key Management / externes KMS, die eine strenge Kontrolle auf Mandantenebene über den Zugriff auf Inhalte ermöglichen.webex+1 | Sicherheit, Verschlüsselung und Compliance für seine KI-Funktionen; öffentlich zugängliche Informationen enthalten weniger Details zu regionalen Trainingskorpora, betonen jedoch die verschlüsselte Verarbeitung und Kontrollen.webex+1 | Mit Hauptsitz in den USA, jedoch in der Lage, das effektive Risiko in Zusammenarbeit mit Partnern in der EU zu reduzieren, wichtige Kontrollen hinsichtlich Verwahrung und Datenstandort.kuppingercole+1 |
| Zoom | Regionales Datenhosting für Meetings, Aufzeichnungen und einige KI-Funktionen mit einer erweiterten Präsenz in der EU/Großbritannien, einschließlich eines britischen Rechenzentrums, das für eine KI-orientierte Zusammenarbeit ausgelegt ist. | Verschlüsselung und einige Kundenschlüsseloptionen für bestimmte Workloads, wobei die Schlüsselverwaltung weniger zentral positioniert ist als bei Webex oder einigen anderen Anbietern, die Sicherheit in den Vordergrund stellen. | Nach einer Gegenreaktion auf die Nutzungsbedingungen von 2023 verpflichtet sich Zoom nun, dass Kundeninhalte nicht ohne Zustimmung zum Trainieren von KI-Modellen verwendet werden, und beschreibt regionale Optionen für die Verarbeitung durch AI Companion.axios+2 | Hauptsitz in den USA mit globaler Infrastruktur; Souveränität hängt von der Konfiguration des Datenroutings und klaren vertraglichen Beschränkungen für KI, Telemetrie und grenzüberschreitende Übertragungen ab. |
| Mitel | Starker Fokus auf Hybrid-, On-Prem- und von Partnern gehostete Private Clouds; Mitel Secure Cloud führt gehostete „vertrauenswürdige“ und „souveräne“ Ebenen, dedizierte Instanzen sowie Optionen für das Hosting innerhalb des Landes oder der Region über Partner ein . siliconangle+3 | Der Schwerpunktliegt auf Umgebungen, in denen Kunden oder lokale Partner die Infrastruktur betreiben und den Zugriff kontrollieren. UC- und Contact-Center-Produkte umfassen Verschlüsselung und Sicherheitshärtung, und souveräne Ebenen sind für den Betrieb innerhalb des Landes konzipiert. | Bei öffentlichenNachrichten geht es eher um sichere, regulierte Bereitstellungen als um große Multi-Tenant-KI-Assistenten. KI/Analysen sind in der Regel in spezifische Lösungen eingebettet, wodurch unbeabsichtigte Cross-Tenant-Modelltrainingsrisiken reduziert werden können. | Die Architektur und das Geschäftsmodell begünstigen nationale oder von Partnern betriebene Private Clouds und klassische On-Prem-Lösungen, was gut mit den strengen Souveränitätsanforderungen vereinbar ist. Die rechtlichen Risiken hängen davon ab, welche Einheit die Daten hostet und verarbeitet (Mitel, Partner oder Kunde). |
| Avaya | Bietet hybride Bereitstellungen, die in EU-Rechenzentren oder in Einrichtungen von Kunden/Partnern gehostet werden können, um Anforderungen hinsichtlich Datenresidenz und -hoheit zu erfüllen, einschließlich für DORA-sensitive Finanzdienstleistungen.avaya+1 | Unterstützt dedizierte, Single-Tenant- und On-Prem-Bereitstellungen, bei denen Kunden oder Partner die Infrastruktur und den Zugriff kontrollieren. Die Sicherheitsrichtlinien von Avaya legen Wert auf starke Absicherung, TLS, SRTP und mehrschichtige Schutzmaßnahmen für UC- und SBC-Komponenten.avaya+2 | Die aktuellePositionierung der „Infinity“-Plattform unterstreicht die Möglichkeit, innerhalb des Landes, in souveränen Clouds oder sicheren Enklaven zu operieren, wobei für große Unternehmen und den öffentlichen Sektor standardmäßig Single-Tenant zum Einsatz kommt, was dazu beiträgt, Daten für KI und Analysen innerhalb definierter Umgebungen zu halten. | Ähnlich wie bei Mitel liegt die Stärke von Avaya eher in privaten, hybriden und von Partnern betriebenen Modellen als in hyperskalierten UCaaS-Lösungen. Grenzüberschreitende Übertragungen für Cloud-Dienste werden über SCCs und ähnliche Mechanismen abgewickelt, sodass das Gesamtrisiko von der gewählten Bereitstellung und den Unterauftragsverarbeitern abhängt.avaya+3 |
Bitte wenden Sie sich an Damovo, um einen Termin für ein Audit zur Überprüfung der Souveränitätsbereitschaft zu vereinbaren.