Rechtsanwalt & Spezialist für Kryptorecht & KI-Recht, Zertifizierter Geldwäschebeauftragter (TÜV)
T (+49) 040 / 7344 086-0
Rechtsanwältin und Expertin für E-Commerce, Wettbewerbsrecht und Vertriebsrecht
T (+49) 040 / 7344 086-0
Rechtsanwältin & Expertin für IT-Recht und Datenschutz
T (+49) 040 / 7344 086-0
| IT-Recht
Blog News
Wie abhängig ist Ihr Unternehmen von seinem Cloud-Anbieter? Das Bundesamt für Sicherheit in der Informationstechnik rückt mit den Kriterienrahmen C3A Cloud-Dienste in den Fokus. Ziel der „Criteria enabling Cloud Computing Autonomy“ ist es, Unternehmen und Behörden dabei zu unterstützen, Cloud-Dienste nach ihrer digitalen Souveränität zu bewerten, um einschätzen zu können, wie sich Kontrolle, Wechselmöglichkeiten, Datenzugriff und Abhängigkeiten beherrschen lassen.
Der neue Rahmen kommt zu einem Zeitpunkt, an dem die Abhängigkeit von großen außereuropäischen Technologieanbietern zunehmend kritisch diskutiert wird. Was genau das für Sie bedeutet und worauf Sie achten sollten, erfahren Sie im nachfolgenden Beitrag.
C3A ist ein Kriterienrahmen des BSI, der misst, wie selbstbestimmt ein Cloud-Dienst genutzt werden kann. Damit ergänzt C3A den bestehenden C5-Katalog des BSI. Während C5 vor allem die Sicherheit von Cloud-Diensten bewertet, hat C3A die digitale Souveränität als Kern. Ein Cloud-Dienst kann also technisch sicher sein, aber trotzdem starke Abhängigkeiten schaffen, etwa wenn der Anbieter allein über Administration, Updates oder wichtige Zugriffspunkte entscheidet.
C3A ist dabei kein verpflichtendes Gesetz und kein regulatorischer Mindeststandard. Der Katalog dient vielmehr als Orientierungshilfe für Unternehmen, Behörden und Anbieter. Cloud-Anbieter können die Einhaltung bestimmter Kriterien durch unabhängige Audits nachweisen. Cloud-Kunden können prüfen, welche Anforderungen für ihr konkretes Nutzungsszenario relevant sind und daraus ableiten, welches Maß an Souveränität sie benötigen. Der Rahmen ist flexibel angelegt und muss nicht immer vollständig angewendet werden.
Digitale Souveränität bedeutet, dass Unternehmen und auch einzelne Menschen digitale Technologien, Daten und Systeme selbstbestimmt, kontrolliert und möglichst unabhängig nutzen können.
Was bedeutet das konkret? Wer digital souverän ist, kann entscheiden, wo Daten gespeichert werden, wer darauf zugreifen darf, welche Software eingesetzt wird und ob ein System später gewechselt oder ersetzt werden kann. Digitale Souveränität umfasst deshalb neben Daten, auch Infrastrukturen, Software, Betrieb und rechtliche Rahmenbedingungen.
Wichtig ist auch der Unterschied zur Autarkie, denn digitale Souveränität bedeutet nicht Abschottung oder völlige Unabhängigkeit von anderen. Man kann externe Dienste und Partner nutzen, solange man die wesentlichen Entscheidungen und Risiken selbst im Griff behält.
Einer der wohl wichtigsten Punkte bei C3A ist die Tatsache, dass digitale Souveränität erstmals in überprüfbare Kriterien übersetzt wird. Cloud-Nutzung betrifft heute zahlreiche Datenflüsse, Vertragsstrukturen, Zugriffsrechte, Lieferketten, Betriebsmodelle und die Frage, wie handlungsfähig ein Unternehmen in Krisensituationen bleibt. Es war unlängst an der Zeit, hierfür einen neuen Ansatz zu entwickeln.
Besonders relevant ist dabei die vom BSI beschriebene Cyber-Dominanz. Gemeint ist die strukturelle Macht von Herstellern oder Anbietern digitaler Produkte, dauerhaft Einfluss auf Systeme, Daten oder Betriebsumgebungen ihrer Kunden zu behalten. Diese Macht kann aus technischen Integrationen, vertraglichen Bindungen oder rechtlichen Vorgaben im Herkunftsstaat des Anbieters entstehen.
C3A schafft hier eine gemeinsame Sprache für Risiko, Kontrolle und Abhängigkeit. Unternehmen und Behörden können dadurch besser bewerten, welche Cloud-Lösung zu ihrem Sicherheits-, Compliance- und Souveränitätsbedarf passt. Das hilft bei der Auswahl neuer Anbieter, bei der Prüfung bestehender Cloud-Verträge und bei der Entwicklung langfristiger IT-Strategien.
Für Unternehmen entwickelt sich digitale Souveränität zusehends zu einem wesentlichen Steuerungsthema auf Managementebene. Cloud-Entscheidungen betreffen empfindsame Rechtsthemen wie Datenschutz, müssen Ausfallsicherheit mitbringen, sollten sich in Prozessketten integrieren lassen und gleichzeitig strategische Abhängigkeiten vermeiden. Auch wer Zugriff auf Daten und Schlüssel hat, welchem Recht ein Cloud-Dienst unterliegt und wie flexibel ein Anbieterwechsel gestaltet werden kann, sind wesentliche Punkte. C3A ermöglicht es, diese Faktoren strukturiert in Beschaffungsprozesse, Architekturentscheidungen und das Risikomanagement zu übersetzen.
Zugleich hilft der Kriterienrahmen, unterschiedliche Anforderungen innerhalb eines Unternehmens differenziert abzubilden. Verschiedene Anwendungen und Workloads bringen unterschiedliche Schutzbedarfe mit sich. C3A macht die Unterschiede sichtbar und stellt sicher das abgestufte Entscheidungen statt pauschaler Lösungen getroffen werden können.
Der C3A-Katalog des BSI strukturiert digitale Souveränität in sechs zentrale Bereiche. Diese bilden gemeinsam das umfassende Bewertungsmodell dafür, wie kontrollierbar, unabhängig und steuerbar ein Cloud-Dienst tatsächlich ist. Unternehmen erhalten damit ein praxisnahes Raster, um Cloud-Angebote auch strategisch und rechtlich einzuordnen.
Dieser Bereich betrachtet die langfristige Abhängigkeit vom Cloud-Anbieter. Im Fokus stehen Fragen zur Wechselbarkeit und zur Vermeidung von Lock-in-Effekten. Offene Schnittstellen, standardisierte Technologien und die Möglichkeit, Dienste zu migrieren, stärken die strategische Handlungsfähigkeit eines Unternehmens.
Hier geht es um die tatsächliche Kontrolle über Daten. Wichtig hierbei sind die Fragen, wo Daten gespeichert werden, wer Zugriff erhält und wie die Verwaltung von Verschlüsselungsschlüsseln organisiert ist. Das Ziel ist eine echte Verfügungsmacht über Daten – sowohl rechtlich als auch technisch.
Natürlich ist es gleichermaßen wichtig, die rechtlichen Rahmenbedingungen eines Cloud-Dienstes einordnen zu können. Relevant ist hier, welchem Recht der Anbieter unterliegt und welche Zugriffsmöglichkeiten staatliche Stellen oder Dritte haben. Gerade bei internationalen Cloud-Strukturen spielt die rechtliche Einordnung eine zentrale Rolle für Compliance und Risikobewertung.
Der operative Betrieb beleuchtet, wer die Systeme im Alltag steuert und kontrolliert. Dazu zählen Administration, Wartung, Zugriff auf Protokolle sowie das eingesetzte Betriebspersonal. Je transparenter und kontrollierbarer diese Prozesse sind, desto höher ist die operative Souveränität.
Cloud-Dienste bestehen oft aus zahlreichen Komponenten unterschiedlicher Anbieter. Daher lohnt es sich Abhängigkeiten innerhalb der Lieferkette, etwa bei Software, Infrastruktur oder Drittanbietern zu untersuchen. Ziel ist es, versteckte Risiken und mögliche Kontrollverluste frühzeitig zu erkennen.
Die technologische Grundlage eines Cloud-Dienstes beeinflusst ebenso die Souveränität. Offene Architekturen, nachvollziehbare Systeme und die Möglichkeit, Komponenten zu ersetzen oder selbst zu betreiben, erhöhen die Flexibilität. Technologische Transparenz wirkt sich direkt auf Kontrolle und Wechselmöglichkeiten aus.
C3A und C5 hängen eng zusammen, erfüllen aber unterschiedliche Aufgaben. Der BSI-Standard C5 ist in erster Linie ein Sicherheits- und Compliance-Katalog für Cloud-Dienste. Er fragt, ob der Cloud-Anbieter technisch und organisatorisch so aufgestellt ist, dass Daten, Systeme und Prozesse ausreichend geschützt sind. Stichwort Cybersicherheit. Dazu gehören Themen wie Zugriffsschutz, Verschlüsselung, Protokollierung, Umgang mit Subdienstleistern, physische Sicherheit und Betriebssicherheit. C5 schafft damit ein objektivierbares Sicherheitsniveau und ist für viele Organisationen die Grundlage, um Cloud-Dienste überhaupt als vertrauenswürdig einzustufen.
C3A geht einen Schritt weiter und verschiebt den Blick von der reinen Sicherheit auf die Souveränität. Während C5 vor allem fragt, ob ein Dienst sicher ist, fragt C3A, ob der Nutzer die digitale Kontrolle tatsächlich behält. Es geht also um Dinge wie Datenhoheit, rechtliche Einflussmöglichkeiten, Wechselbarkeit, Abhängigkeiten von Anbietern, technologische Offenheit und die Frage, wie stark ein Unternehmen an einen bestimmten Cloud-Stack gebunden ist. C3A ergänzt damit die Sicherheitsfrage um die strategische Frage: Kann ich diese Cloud nicht nur sicher, sondern auch selbstbestimmt und langfristig beherrschbar nutzen?
Die Abgrenzung ist deshalb wichtig, da Sicherheit und Souveränität nicht dasselbe sind. Ein Cloud-Dienst kann sehr gut abgesichert sein und trotzdem wenig souverän sein, wenn zum Beispiel zentrale Verwaltungsrechte beim Anbieter liegen, Daten in einem problematischen Rechtsraum verarbeitet werden oder ein späterer Wechsel technisch und wirtschaftlich fast unmöglich ist. Umgekehrt würde ein Dienst, der sehr offen und gut kontrollierbar ist, ohne solides Sicherheitsniveau natürlich ebenfalls nicht genügen.
Ein weiterer Unterschied ist die Zielrichtung der beiden Kataloge. C5 ist eher ein Mindeststandard für sicheres Cloud Computing und dient als Nachweis, dass ein Anbieter definierte Sicherheitsanforderungen erfüllt. C3A ist dagegen ein Bewertungsrahmen für den Grad der Souveränität.
Man kann es sich praktisch so vorstellen:
Eine klassische Sicherheitsprüfung fragt, ob das Haus ein gutes Schloss hat. C3A fragt zusätzlich, wem der Schlüssel gehört, wer noch Kopien hat, ob man das Schloss später austauschen kann und ob man im Notfall überhaupt ausziehen kann. Genau diese Zusatzfragen machen den Souveränitätsaspekt aus.
Die C3A sind als flexibles Bewertungssystem aufgebaut, das sich an den Anforderungen eines Unternehmens orientiert. Im Kern unterscheidet der Kriterienkatalog zwischen verbindlichen Kriterien und ergänzenden Zusatzkriterien, die eine vertiefte Analyse ermöglichen. Unternehmen wählen die jeweils relevanten Punkte auf Basis ihrer eigenen Risikoanalyse aus und können so ein individuelles Souveränitätsprofil für ihre Cloud-Nutzung entwickeln.
Ein besonders praxisnaher Bestandteil ist die Möglichkeit zur gezielten Lokalisierung. Dabei können Unternehmen definieren, wo Daten verarbeitet werden, wo sich Rechenzentren befinden, welches Personal Zugriff hat und welchem Rechtsrahmen ein Dienst unterliegt. Die Optionen lassen sich je nach Schutzbedarf abstufen, etwa auf Deutschland oder den gesamten EU-Raum. Dadurch entsteht ein anpassbares Modell, das sowohl für Standardanwendungen als auch für besonders sensible Bereiche geeignet ist.
Auch auf europäischer Ebene sind die C3A eingebettet. Sie orientieren sich am EU Cloud Sovereignty Framework und übersetzen dessen abstrakte Vorgaben in konkrete, überprüfbare Kriterien. Gleichzeitig bauen sie auf dem etablierten C5-Katalog des BSI auf, sodass Sicherheit und Souveränität miteinander verzahnt werden. Entwickelt wurde der Rahmen in enger Zusammenarbeit mit Cloud-Anbietern und internationalen Partnern, wodurch praktische Erfahrungen direkt in die Ausgestaltung eingeflossen sind.
Haben Sie bereits geprüft, wie souverän Ihre Cloud-Dienste wirklich sind? Entsprechen Ihre bestehenden Verträge und IT-Strukturen den aktuellen Anforderungen an Datenhoheit, Kontrolle und Wechselbarkeit? Oder stehen Sie vor der Herausforderung, Cloud-Anbieter rechtlich und strategisch sauber auszuwählen und Risiken frühzeitig zu minimieren?
Im Bereich IT-Recht begleitet SBS LEGAL Unternehmen umfassend bei der rechtssicheren Gestaltung und Bewertung digitaler Infrastrukturen. Wir unterstützen bei der Erstellung und Prüfung von IT-Verträgen und AGB, beraten im E-Commerce- und Internetrecht sowie bei Provider-Verträgen und Nutzungsbedingungen. Darüber hinaus decken wir datenschutzrechtliche Fragestellungen, IT-Sicherheitsanforderungen, Verschlüsselungs- und Signaturthemen sowie das Telekommunikationsrecht ab. Auch internationale Bezüge, vergaberechtliche Aspekte, Domainrecht sowie strafrechtliche Fragestellungen im IT-Umfeld gehören zu unserem Beratungsportfolio. So stellen wir sicher, dass Ihre Cloud- und IT-Strategie nicht nur technisch, sondern auch rechtlich zukunftssicher aufgestellt ist.
Für weitere Rückfragen stehen wir Ihnen jederzeit gerne auch telefonisch zur Verfügung. Wünschen Sie die Rechtsberatung von dem erfahrenen Team aus Fachanwälten und Spezialisten von SBS LEGAL?