Kundendaten sind Grundlage moderner Geschäftsprozesse und gleichzeitig besonders schützenswert. Die Debatte um Datensouveränität greift jedoch zu kurz, wenn sie sich ausschliesslich auf den Speicherort konzentriert. Entscheidend sind nachvollziehbare Zugriffsrechte, unabhängige Kontrolle, Verschlüsselung, Protokollierung und der Betrieb unter europäischer Gerichtsbarkeit. Regulatorische Vorgaben wie DSGVO, NIS2 und DORA erhöhen den Druck auf Organisationen, diese Anforderungen nachweisbar umzusetzen. Ein praxisorientiertes Modell beschreibt, wie Datenresidenz, externe Schlüsselverwaltung, auditierbare Zugriffe und europäischer Support kombiniert werden können, um Vertrauen und Compliance dauerhaft sicherzustellen.
Kundendaten sind heute überall im Unternehmen im Einsatz: in CRM-Systemen, im Support, in Chatbots und in KI-gestützten Analyseprozessen. Genau diese Daten sind aber sensibel und stehen im Zentrum der Debatte um Datensouveränität in Europa. Häufig wird die Diskussion auf eine einzige Frage verkürzt: Wo liegen die Daten? Doch die Herausforderung ist weitaus komplexer, als es zunächst scheint.
Entscheidend ist dann, wer Zugriff auf sicherheitsrelevante Kundendaten hat, wer die Sicherheitsmaßnahmen steuert und wer diese Prozesse lückenlos überwacht. Die Datenschutz-Grundverordnung, NIS2 und DORA setzen dafür den regulatorischen Rahmen. Sie fordern von Organisationen zunehmend Kontrollen, die sich nachweisen lassen und weit über den reinen Speicherort der Daten hinausgehen. Als Folge werden die Anforderungen von Unternehmen und Behörden an Technologieanbieter heute sehr konkret formuliert.
Anforderungen unterscheiden sich
Der Austausch mit Unternehmen, öffentlichen Verwaltungen und Betreibern kritischer Infrastrukturen offenbart ein wiederkehrendes Muster. Organisationen legen vermehrt Wert darauf, wer Zugriff und Kontrolle über die gespeicherten Daten hat. Das gilt auch für Daten, die sie über ihre Kunden verarbeiten. Zudem erwarten Unternehmen, dass jeder Zugriff protokolliert wird und dass Betrieb sowie Support unter lokaler Gerichtsbarkeit erfolgen.
Diese Anforderungen gelten allerdings nicht für jeden Anwendungsfall gleichermaßen. Ein Unternehmen, das lediglich mit typischen Software-Tools wie Office arbeitet, hat andere Bedürfnisse als ein Ministerium, das sensible nationale Daten verwaltet, oder ein Unternehmen, das täglich große Mengen an Kundendaten in CRM- und Serviceplattformen verarbeitet.
Kundendaten sind geschäftskritisch und oft besonders sensibel, etwa wenn sie Zahlungsinformationen oder personenbezogene Angaben enthalten.
Die anspruchsvollsten Bereiche dieses Spektrums stehen deshalb im Zentrum der Betrachtung, nämlich der öffentliche Sektor und kritische nationale Infrastrukturen. Wird die Antwort unter diesen verschärften Bedingungen richtig gestaltet, lässt sie sich auch auf andere Bereiche übertragen, einschließlich des Umgangs mit Kundendaten.
Wie sich Kontrolle nachweisen lässt
Palo Alto Networks hat aus zahlreichen Gesprächen mit europäischen Organisationen einen praxisorientierten Ansatz erarbeitet, der zeigt, wie sich verifizierbare Kontrolle praktisch umsetzen lässt. Am Anfang stehen die Daten selbst. Dabei werden etwa Kunden- und Systemdaten in Europa gespeichert und verarbeitet, verwaltet von Personal, das in der Region ansässig ist. Hinzu kommt die Kontrolle über die Verschlüsselung. Diese bleibt extern und liegt in der Hand des Kunden, nicht in der des Anbieters.
Auf dieser Grundlage entsteht Nachvollziehbarkeit. Jeder Datenzugriff wird unabhängig geprüft, protokolliert und sichtbar gemacht und lässt sich dadurch auditieren. Auch die Menschen hinter diesem Rahmen spielen eine Rolle. Site Reliability Engineers, also Verantwortliche für den zuverlässigen und stabilen Betrieb der IT-Systeme, und Support-Personal mit Sitz in Europa übernehmen Betrieb und Betreuung. Die rechtliche Ebene bildet den Abschluss, denn Verträge werden von einer europäischen Rechtseinheit unterzeichnet und unterliegen dem europäischen Recht.
Dieses Modell wurde gemeinsam mit europäischen Organisationen entwickelt. So ist eine Lösung entstanden, die sich auch im Arbeitsalltag umsetzen lässt, etwa dort, wo Kundendaten in sicherheitsrelevanten Systemen verarbeitet werden.
Konkretes Beispiel aus der Praxis
Die Deutsche Telekom und Palo Alto Networks demonstrieren, wie sich das in der Praxis umsetzen lässt. Ihre gemeinsame Lösung bringt die Cortex-Plattform für KI-gestützte Security Operations in Europas regulierte Branchen. Die Steuerung der Souveränitätskontrollen liegt bei der Deutschen Telekom, die als europäischer Vertrauenspartner fungiert.
Über die Datenresidenzkontrollen hinaus, die ohnehin für alle Cloud-Dienste gelten, ergänzt die Lösung weitere Souveränitätskontrollen auf jeder Ebene der Umgebung. Das betrifft Kunden- und Systemdaten, Verschlüsselung sowie unabhängig auditierte Zugriffsprotokolle. Support-Leistungen kommen ausschließlich von Personal in Europa, und alle Verträge unterliegen europäischem Recht.
Zunächst richtet sich die Lösung an Organisationen aus dem Gesundheitswesen, dem öffentlichen Sektor, der Finanzdienstleistungsbranche und kritischen nationalen Infrastrukturen. Eine breitere Verfügbarkeit ist bereits vorgesehen. Der Ansatz existiert damit schon als konkretes Angebot.
Souveränität ist eine Frage der Haltung
Moderne Geschäftsprozesse stehen und fallen mit Daten. Diese zu schützen und verantwortungsvoll zu behandeln, ist Aufgabe jedes Unternehmens. Gerade dort, wo Kundenbeziehungen auf automatisierte Prozesse treffen, braucht es Vertrauen in eine sichere und zuverlässige Infrastruktur. Vieles davon ist bereits erreicht, doch es besteht weiter Handlungsbedarf. Organisationen, die europäische Institutionen, Behörden, Infrastrukturbetreiber und Unternehmen mit sensiblen Kundendaten als Partner ernst nehmen, sollten das transparent kommunizieren.
Für Technologieanbieter wird Souveränität zu einer grundsätzlichen Haltungsfrage.
Sie zeigt sich darin, Kontrolle an einen vertrauenswürdigen europäischen Partner abzugeben, offenzulegen, was zugesichert werden kann und was nicht, und Souveränität als Gestaltungsprinzip zu begreifen. Zusicherungen allein zählen wenig, solange das Vertrauen dahinter fehlt. Möglich wird Vertrauen nur durch überprüfbare Kontrollen und Transparenz, auch beim Umgang mit den Daten der eigenen Kunden.
