Klarheit im Daten-Dschungel aus Cloud und KI
Datenhoheit – und damit Datensouveränität – ist eine aktive Verantwortung. Leistungsstarke SaaS- und KI-Anwendungen erschweren diese Aufgabe. Wie Behörden und Kommunen dennoch Kontrolle, Vertrauen und Compliance bewahren.
Software-as-a-Service (SaaS) verspricht Skalierbarkeit, Flexibilität und geringere Anschaffungskosten. Künstliche Intelligenz (KI) analysiert, sortiert und generiert – und schafft so Erkenntnis- und Zeitgewinne. Die Grundlage dafür sind Daten, egal ob sensible Daten von Bürgern, behördliche Daten oder Patientendaten im Gesundheitswesen.
Doch wer hat die Hoheit über die Daten und die Zugriffsrechte, wenn die Daten eigene Server verlassen? Wer ist zuständig, wenn SaaS-Anbieter oder KI-Modelle die Daten in Public Cloud-Umgebungen verarbeiten? Diese Frage schließt eine sehr praktische Frage mit ein: Wer ist für die Sicherheit der Daten verantwortlich? Der Nutzer oder der Datenverarbeiter?
In der Praxis ist diese Antwort ebenso komplex wie sicherheitstechnisch relevant. Gerade im Kontext der geopolitischen Lage und der aktuellen Debatte um europäische Datensouveränität brauchen Behörden und Kommunen Klarheit über ihre Datenhoheit.
Was ist Datenhoheit?
Datenhoheit beschreibt, wer die Kontrolle, Verantwortung und Verfügungsrechte über Daten hält – über den gesamten Lebenszyklus hinweg. Im Mittelpunkt steht nicht nur die juristische Eigentumsfrage, sondern vor allem Kontrolle über Nutzung, Zugriff und Schutz. In der Praxis sind dafür klare Governance-Regeln und Verträge, aber auch technische Kontrollen erforderlich.
Damit ist Datenhoheit ein praktischer Begriff, während Datensouveränität ein strategisches Prinzip beschreibt: Organisationen behalten volle Kontrolle über ihre Daten, unabhängig davon, wo diese technisch gespeichert sind. Die Bundesregierung treibt das Thema technologische und digitale Souveränität aktuell primär über die Hightech Agenda Deutschland (HTAD) sowie die föderale Modernisierungsagenda für Staat und Verwaltung voran.
Cloud vernebelt den Durchblick
Egal, ob Verwaltung, Contact Center oder sonstige Anwendungen mit sensiblen Daten hantieren: SaaS-Anwendungen ermöglichen flexiblen Zugriff und skalieren schnell mit dem Bedarf. Sie liefern kontinuierlich neue Funktionen und kommen in der Regel ohne hohe Anfangsinvestitionen aus.
Gleichzeitig macht die Verlagerung der Daten in die Cloud weniger transparent, wer die Datenhoheit hat. Das betrifft auch KI-Anwendungen, die die Daten häufig in Public Cloud-Umgebungen verarbeiten. KI liefert aus riesigen Datenmengen neue Erkenntnisse, stellt aber auch Bedingungen an Nachvollziehbarkeit und klare Regeln für Speicherung und Verarbeitung.
Behörden und Kommunen müssen deshalb aktiv festlegen, wofür KI eingesetzt wird, welche Daten einfließen und wie lange Daten gespeichert bleiben.
Deutsche Behörden und Kommunen im Dilemma
Behörden und Kommunen stehen hinsichtlich Datenhoheit und Datensouveränität vor einer besonderen Herausforderung. Die Innovationsführer vieler Technologien sitzen nicht in Europa.
Amerikanische Cloud-Anbieter, unter anderem auch Hyperscaler wie AWS, Azure und Google Cloud können europäische Datensouveränität nicht gewährleisten. Europäische, souveräne Anbieter hingegen können hinsichtlich Leistungsfähigkeit und Kosten oft nicht mithalten.
Transparenz ist der Anfang
In diesem Spannungsfeld ist der erste Schritt zur Datenhoheit für Behörden und Kommunen zu wissen, wie, wo und von wem ihre Daten verarbeitet und gespeichert werden.
In der Theorie verbleibt die Datenhoheit in den Behörden und Kommunen. Doch die Datenverarbeitung über mehrere Services und Stationen hinweg formt eine andere Realität. Das komplexe Geflecht aus SaaS- und KI-Anbietern, Cloud-Dienstleistern und teilweise weiteren Drittanbietern ist schwer zu durchblicken. Damit verschwimmen auch die Verantwortlichkeiten, zum Beispiel für die Datensicherheit.
Shared Responsibility: Wer trägt die Verantwortung?
Ein Ansatz ist das Shared-Responsibility-Modell: Der Anbieter sichert die zugrundeliegende Infrastruktur (Cloud und Anwendung) und Behörden und Kommunen verwalten Zugriffsrechte, Identity Management, Datenkonfiguration sowie mögliche Schnittstellen.
Diese Abgrenzung wird häufig missverstanden. Führt eine Fehlkonfiguration zur Offenlegung sensibler Kundendaten, liegt die Verantwortung in der Regel bei den Behörden und Kommunen, nicht beim Anbieter. Für Regulierungsbehörden spielt es tendenziell eine untergeordnete Rolle, ob ein Cloud Provider oder der Service Owner beteiligt war. Wobei Letztere bei eigenständigen Sicherheitspflichtverstößen ebenfalls in den Fokus geraten.
Ist Datenhoheit ein Projekt oder ein Prozess?
Regulatorische Vorgaben haben Datenschutz und insbesondere den Schutz sensibler Daten fest auf die Agenda gesetzt. Allerdings ist es nicht mit einem einmaligen Projekt getan. SaaS- und KI-Anwendungen entwickeln sich wöchentlich weiter.
Das macht auch Datenhoheit und Compliance zu einem kontinuierlichen Thema. Die Fähigkeit, Kontrolle über Daten nachzuweisen, schafft Vertrauen bei Regulierungsbehörden, Partnern und Bürgern und reduziert Risiken, während SaaS und KI weiter voranschreiten.
Was können Behörden und Kommunen jetzt tun?
Behörden und Kommunen sollten Datenhoheit als Kombination aus vertraglicher Sicherheit, Transparenz und technischen Kontrollen aufsetzen.
Praktisch startet das mit einem Vertrags- und Rollencheck: Wer agiert als Datenverarbeiter, wer als Datenverantwortlicher? Welche Dienstleister nutzen SaaS- und KI-Anbieter? Wie sind Datenverarbeitung, Speicherung und das Löschen, beispielsweise nach Vertragsende, geregelt?
Parallel braucht es eine belastbare Datenfluss-Map: Wo entstehen Daten, wo werden sie gespeichert, verarbeitet und repliziert? Welche KI-Funktionen greifen auf welche Datenklassen zu und welche Dritt-Anwendungen sind integriert?
Interne Regulatorien implementieren
Darauf aufbauend sollten Behörden und Kommunen klare Sicherheits- und KI-Regeln festlegen: Wer darf auf welche Daten zugreifen – und wie wird dieser Zugriff abgesichert, zum Beispiel durch zentrale Logins und zusätzliche Anmeldeprüfungen.
Wichtig sind außerdem eindeutige Rollen und Berechtigungen, eine nachvollziehbare Protokollierung aller Zugriffe, die Verschlüsselung von Daten sowie Schutzmechanismen, die sensible Informationen automatisch erkennen und verbergen können.
Der Einsatz von Open-Source-Software ist dabei von Vorteil, weil der Quellcode offenliegt und Sicherheitsprüfungen erleichtert.
Hinzu kommen feste Aufbewahrungs- und Löschfristen, damit Daten nicht länger als nötig gespeichert bleiben. Für KI braucht es zusätzlich Leitplanken, welche Daten und Anwendungsfälle erlaubt sind – und wie Eingaben und Ergebnisse der KI dokumentiert und gespeichert werden.
Gemeinsam an einem Strang ziehen
Datenhoheit gehört in die Breite der Organisation. Denn sobald Fachabteilungen SaaS- oder KI-Funktionen eigenständig einführen, entstehen schnell Insellösungen mit eigenen Datenregeln, Berechtigungen und Aufbewahrungsfristen – und damit blinde Flecken bei der Datenhoheit.
IT- und Governance-Teams sollten deshalb früh mit am Tisch sitzen, wenn Anforderungen definiert, Anbieter ausgewählt, Regionen festgelegt oder KI-Features aktiviert werden.
Gleichzeitig brauchen Behörden und Kommunen klare Zuständigkeiten: Wer genehmigt KI-Use-Cases, wer prüft neue Releases und wer verantwortet Audits und Nachweise? Kurz: Datenhoheit kann nur sichergestellt werden, wenn alle Abteilungen nach denselben Regeln arbeiten – über alle Anwendungen hinweg.
Was ist der Unterschied zwischen Datenhoheit und Datensouveränität?
Während Datenhoheit ein praktischer, operativer Begriff ist, beschreibt Datensouveränität ein Bestreben auf strategisch-politischer Ebene.
Das Ziel: Sensible Daten bleiben unter der rechtlichen und operativen Kontrolle der Eigentümer – unabhängig davon, wo diese Daten gespeichert sind. Außerdem soll Vendor Lock-In vermieden werden, also dass Organisationen von einem einzigen Anbieter abhängig sind, beispielsweise durch den Einsatz Open-Source-Software.
Warum ist Datensouveränität für Europa wichtig?
Gründe für aktuelle Diskussionen auf europäischer Ebene sind geopolitische Spannungen und die US-amerikanische Gesetzgebung. Durch den US Cloud Act und den Foreign Intelligence Surveillance Act (FISA) können US-Behörden unter bestimmten gesetzlichen Voraussetzungen die Herausgabe von Daten amerikanischer Anbieter verlangen – auch wenn diese in europäischen Rechenzentren gespeichert sind.