Datenhoheit: Welche Rolle digitale Souveränität in der Resilienzstrategie spielt

„Digitale Souveränität“ war mal ein Begriff, der Hochrisiko-Abteilungen vorbehalten war – Behörden und staatlichen Einrichtungen, bei denen es um nationale Sicherheit oder Verteidigung geht. Doch mittlerweile fragen uns mehr und mehr europäische Kunden aus Branchen mit kritischer Infrastruktur nach zusätzlichen Optionen bei den Themen Technologie-Bereitstellung, Zugangskontrollen zu Systemen und Daten sowie Autonomie der digitalen Infrastruktur im KI-Zeitalter. Digitale Souveränität – einst ein Nischenthema – ist nun für manche europäische Organisationen von großem Interesse, insbesondere dort, wo es um den Aufbau von Cyberresilienz bzw. digitaler Resilienz geht.

Mit den Faktoren, die das Interesse an digitaler Souveränität bestimmen, haben sich auch die Kriterien verändert, mit denen sich der geeignete Ansatz ermitteln lässt. Es ist absolut entscheidend, ein strategisches Gleichgewicht zu finden und sicherzustellen, dass die Entscheidung sich an den jeweiligen Anforderungen orientiert und nicht nur den Reizen eines aktuellen Trends folgt. Dies führt uns zu der präziser gestellten Frage: Welches Maß an Kontrolle, Auswahl und Autonomie bei Daten und Infrastruktur ist für eure Organisation das richtige?

Der Punkt, an dem unsere Kunden dieses Gleichgewicht finden, hängt von etlichen Faktoren ab, z. B. von diesen:

• Hochverfügbarkeit vs. Sensibilität: Je nach Risiko und Kontext kann es sein, dass Hochverfügbarkeit wichtiger ist als eine datensouveräne Lösung. Unter Umständen stellen potenzielle Ausfallzeiten für bestimmte Services ein höheres Risiko dar als mangelnde Souveränität. Umgekehrt kann es sein, dass es im Unternehmen hochsensible Daten gibt, für die aufgrund des Bedrohungsprofils besondere Souveränitätsanforderungen gelten. Dann könnte es z. B. so sein, dass weniger sensible Prozesse wie die Untersuchung von IT-Incidents unterhalb der Investitionsschwelle datensouveräner Technologien bleiben, die Bearbeitung von Cyber-Incidents jedoch nicht.

• Geografischer Standort vs. Fragilität: Der Standort von Anbietern und Services kann aufgrund operativer Erwägungen ausschlaggebend sein – kann aber auch zusätzliche Risiken bergen, weil die gesamte Lieferkette brüchiger wird, wenn weniger resiliente lokale Anbieter beteiligt werden. Wir wissen, dass manche Unternehmen nach Incidents ihre Prozesse angepasst haben, um Bedenken beim Umgang mit sensiblen Daten auszuräumen – z. B. indem sie sicherstellen, dass das Incident-Management-Personal im eigenen Land sitzt und nicht im Ausland. Dies kann aber auch Probleme bei der Personalbeschaffung mit sich bringen.

Digitale Souveränität meint die gesamte digitale Umgebung, einschließlich Infrastruktur, Software und Daten. Wenn aber digitale Resilienz ein Datenproblem ist, dann ist auch entscheidend, dass wir die feinen Unterschiede von Datensouveränität verstehen. Datensouveränität erfordert sorgfältige Abwägung, da gibt es kein Konzept von der Stange. Die individuellen Anforderungen des Unternehmens leiten sich aus dem spezifischenBedrohungsmodell und den jeweiligen Resilienzerfordernissen ab; den Komplexitäten der Konstruktion stehen dabei zentrale Business-Ziele wie Geschwindigkeit und Agilität gegenüber. Wahlfreiheit und Kontrolle sind zwar attraktive Argumente, doch eine genuin datensouveräne Position umfasst weit mehr als den Datenstandort und erfordert eine genaue Berücksichtigung der gesamten Datenlieferkette, der Rechtsordnung, der die Anbieter unterworfen sind, und der Frage, wer Zugang zu den Daten hat. Auf jeder dieser Ebenen kann es zu operativen Reibungsverlusten kommen, die unter Umständen die geschäftliche Agilität beeinträchtigen. Vor der Frage „Wie?“ muss also unbedingt die Frage „Warum?“ beantwortet werden. Ein praktischer Start sind die drei grundlegenden Fragen:

1. Ist es Vorschrift?
2. Ist das Risiko real und konkret?
3. Gibt es überzeugende betriebswirtschaftliche Argumente?

Wenn ihr eine dieser Fragen mit Ja beantwortet, müsst ihr euch über eure Situation und die Optionen klar werden, die ihr in puncto Souveränität habt. Die Fragen an die Teams lauten:

• Welche operativen Use Cases – IT, Sicherheit, Engineering, Operations, Entwicklung usw. – müssen wir wirklich souverän gestalten?
  •  Die Antworten hängen vom Bedrohungsprofil und der Risikobereitschaft ab. Dann könnt ihr bestimmen, wo souveräne Lösungen angebracht sind, und ihr könnt die Anforderungen (Standort, Verfügbarkeit) für die Daten ermitteln, die in diesem Use Cases verwendet werden.
• Wie sieht unsere Strategie für den Datentransfer aus? Wie lange würde die Datenübertragung dauern, wie schnell wäre der Zugang möglich? Und haben wir die erforderlichen Ressourcen?
  • Das ist für die Wiederherstellung von entscheidender Bedeutung. Wenn Datentransfers zu lange dauern, kann das heftige wirtschaftliche Konsequenzen haben, von Ausfallzeiten bis hin zu erhöhten Risiken bei der Incident-Untersuchung. Es kann außerdem teuer werden, wenn ihr Daten duplizieren oder von einem Repository ins andere verschieben müsst. Wenn ihr wisst, wie schnell ihr Daten verschieben und zugänglich machen könnt, habt ihr die Informationsgrundlage für eine kosteneffiziente, zweckmäßige Datenarchitektur – und ihr bekommt klare Fingerzeige, wo sich Datenföderation lohnen würde.
• Ist unsere Datenklassifizierung gut genug?
  • Dass ihr wisst, welche Daten ihr habt, ist erfolgsentscheidend. Die Klassifizierung ist die Voraussetzung dafür, dass ihr Use Cases und Daten-Repositorys Priorität zuweisen könnt und dass ihr eure Daten in Schichten einteilen und bestimmen könnt, welche in souveräne Lösungen übertragen werden sollen. Klassifizierung und Qualität sind seit jeher wichtig im Datenmanagement, und die Frage nach der Souveränität unterstreicht die Bedeutung sauber gegliederter Daten.
• Hat das Unternehmen digitale Souveränität auf strategischer Ebene berücksichtigt? Könnten wir bei Bedarf Änderungen vornehmen, und wer ist verantwortlich?
  • Gut vorbereitet sein ist alles. Eine Krise ist sicher nicht der richtige Zeitpunkt, um Strategien zu überdenken. Ihr solltet euch das Problem aus der Perspektive des gesamten Unternehmens vor Augen führen und klären, ob Änderungen möglich sind und, wenn ja, wie schnell.

Wie Splunk und Cisco behilflich sein können

Es gibt unterschiedliche Definitionen von Datensouveränität. Der Speicherort der Daten (die Datenresidenz) allein wird kaum als hinreichendes Kriterium vollständiger Datenhoheit angesehen, wird aber meist als wesentliche Komponente genannt. Und unabhängig davon, welche Richtlinie im Unternehmen durchgesetzt wird, ist diese Richtlinie laufend auf Compliance-Verstöße zu kontrollieren. Wir unterstützen Unternehmen, die diesen Herausforderungen begegnen, mit einem Ansatz, der auf drei Säulen beruht:

1. Auswahl bei der Bereitstellung     

Als Reaktion auf entsprechende Anfragen hat Cisco kürzlich ein Lösungsportfolio für souveräne kritische Infrastrukturen für Kunden in Europa angekündigt. Dabei handelt es sich um eine vollständig konfigurierbare Infrastruktur, die Kunden in ihren eigenen separierten physischen Umgebungen aufsetzen können; sie kann aber auch Teil einer hybriden Umgebung sein und gibt damit unseren Kunden die Flexibilität, die sie brauchen. Bei Splunk haben Unternehmen die Wahl, ob sie die Lösung selbst on premises bereitstellen oder ob sie unsere SaaS-Plattform an den EMEA-Standorten nutzen wollen – so können unsere Kunden ihren Kontrollanforderungen gemäß auswählen. Derzeit werden folgende EMEA-Regionen für Splunk Cloud Platform unterstützt: Belgien, Dublin, Frankfurt, Mailand, London, Paris, Stockholm und die Vereinigten Arabischen Emirate. Und wir expandieren weiter, in Reaktion auf Kundenanfragen. Wer die Daten zu Gesicht bekommen darf, lässt sich durch rollenbasierte Zugriffskontrolle (RBAC) steuern. Bei Splunk ermöglicht RBAC die granulare Zugriffskontrolle auf App-, Dashboard-, Index-, Suchbefehl-, Feld- und Event-Ebene, sodass Unternehmen die User-Zugriffe skalierbar zuschneiden können. Dieser robuste RBAC-Ansatz vergibt Zugriffsrechte nach Aufgabenbereichen und nicht nach User – das stärkt Sicherheit, betriebliche Effizienz und Compliance.

2. Führend in Föderation

Seit 2021 setzt Splunk auf Federated-Search-Funktionen. Mit der föderierten Suche können Unternehmen derzeit Daten aus anderen Splunk-Instanzen, AWS S3 Buckets und Amazon Security Lake durchsuchen und analysieren, ohne dass die Daten dazu bewegt oder dupliziert werden müssten. Diese föderierte Architektur eignet sich hervorragend für die Umsetzung von Prioritäten der Datenresidenz: Ihr könnt die Region auswählen, die für die Datenablage am besten geeignet ist, und aus den Daten dennoch die nötigen Erkenntnisse gewinnen – sogar über Standorte und Speicherformen hinweg. In Sachen Sicherheit kann das z. B. so aussehen: Die selten abgefragten Compliance-Daten sind in der kostengünstigen Cloud abgelegt, während die operativen Daten fürIncident-Untersuchungen aus Datenresidenzgründen in einer lokalen Splunk-Instanz oder in einer bestimmten Splunk-Cloud-Platform-Region gespeichert sind – und all diese Daten lassen sich über eine einzige User-Schnittstelle durchsuchen. Das gilt nicht mehr nur für Data Lakes, sondern auch für überschaubare und kleinere Ablagen, für Data Ponds und Data Puddles. Wenn Daten an immer mehr verschiedenen Orten gespeichert sind, ist Konnektivität gefragt – ihr müsst mit der Analyse zu den Daten kommen, statt die Daten zur Analyse zu holen.

3. Transparenz als Grundlage

Was ihr nicht sehen könnt und im Monitoring habt, das könnt ihr auch nicht sichern. Mit Splunk Asset and Risk Intelligence und anderen Monitoring-Funktionen für Compliance könnt ihr überschauen, welche Assets ihr habt, könnt die richtigen Betriebs- und Sicherheitsdaten sammeln, Änderungen analysieren und melden sowie Lücken und Verstöße identifizieren. Den eigenen Bestand zu kennen, ist ein entscheidender erster Schritt, gefolgt von einem kontinuierlichen Monitoring, damit die Compliance nicht aus der Spur gerät. Verfügbarkeit und leistungsstarke Suchfunktionen sind ebenfalls entscheidend, damit ihr die richtigen Daten bekommt, wenn ihr sie braucht – etwas, das Splunk seinen Usern längst schon bietet.

Fazit: Datensouveränität dient der digitalen Resilienz

Der Weg digitaler Resilienz beginnt mit Transparenz – damit, dass die Daten überhaupt sichtbar werden. Das ist ein Datenproblem, und zwar eines, das einen modernen Datenmanagement-Ansatz erfordert. Für manche Unternehmen bedeutet dieser Weg, dass sie auch Fragen der digitalen Souveränität überlegt klären müssen: welche Daten es im Unternehmen gibt, wie sie bewegt werden und welche Rolle sie in den operativen Prozessen spielen. Letztendlich geht es darum, eine bewusste Entscheidung über das richtige Maß an Kontrolle und Autonomie zu treffen, das für das Unternehmen angemessen ist und dazu beiträgt, die Resilienz aufzubauen, die heute ein wesentlicher Bestandteil jeder Unternehmensstrategie ist.Mehr zum Thema gibt es in unserer aufgezeichneten Session zu Souveränität und digitaler Resilienz aus der EMEA Digital Resilience Week.