Kurze Antwort: Bei der Datenhoheit geht es nicht darum, wo Daten physisch gespeichert werden. Es geht darum, welche Regierung rechtlich den Zugriff darauf erzwingen kann, welche Gesetze die Infrastruktur regeln, die diese Daten verarbeitet, und ob eine Organisation die operative Kontrolle behalten kann, falls dieser Infrastrukturanbieter jemals gezwungen sein sollte, einer ausländischen gerichtlichen Anordnung nachzukommen. Im Jahr 2026 reicht die Speicherung von Daten in einem lokalen Rechenzentrum allein nicht mehr aus, um diese Anforderungen zu erfüllen, da Anbieter mit Hauptsitz in den USA auch dann weiterhin dem US-amerikanischen CLOUD Act unterliegen, wenn sich ihre Server auf ausländischem Boden befinden.
Diese Unterscheidung hat sich von einer Fußnote in den Compliance-Richtlinien zu einer Risikodiskussion auf Vorstandsebene entwickelt. Was früher eine einfache Frage war, die man einfach abhaken konnte – „Werden unsere Daten im Inland gespeichert?“ –, ist zu einer weitaus schwierigeren Frage geworden: Wer kann letztendlich zur Herausgabe dieser Daten gezwungen werden?
Die Illusion der Residenz
Jahrelang wurden die Begriffe „Datenaufbewahrungsort“ und „Datensouveränität“ als synonym behandelt. Solange sich die Server in Frankfurt, Toronto oder Sydney befanden, galt man als konform.
Diese Annahme trifft nicht mehr zu. Analysten bezeichnen diese Lücke mittlerweile ausdrücklich als „Residenz-Illusion“ – die Annahme, dass allein der Standort eines lokalen Rechenzentrums die Anforderungen an die Souveränität erfüllt. Wie Kiteworks in seiner Studie zur Souveränität aus dem Jahr 2026 feststellt, löst eine Cloud-Region in Frankfurt das Problem nicht, wenn US-Behörden weiterhin eine CLOUD-Act-Anfrage stellen können, die eine Offenlegung vorschreibt, „unabhängig davon, wo sich die Server physisch befinden“. Kiteworks: Sovereign AI – Präsenz bedeutet nicht Kontrolle
Die Zahlen untermauern diese Besorgnis. Der „Data Sovereignty Report 2026“ von Kiteworks ergab, dass zwar 80 % der Unternehmen angeben, gut über die Anforderungen an die Datenhoheit informiert zu sein, jedoch etwa jedes dritte Unternehmen in den letzten 12 Monaten dennoch einen Vorfall im Zusammenhang mit der Datenhoheit erlebt hat. „Kiteworks-Bericht zur Datenhoheit 2026 “: Informiert zu sein und geschützt zu sein, erwiesen sich als zwei verschiedene Dinge.
Geopolitische Risiken und Risiken in der Lieferkette
Der Druck ist nicht nur rechtlicher Natur. Er ist geopolitischer Natur.
Regierungen sehen es zunehmend mit Unbehagen, dass kritische Infrastrukturen und Bürgerdaten unter der Zuständigkeit einer Handvoll ausländischer Technologiegiganten stehen.
Die EU hat darauf mit einer immer umfassenderen Agenda zur technologischen Souveränität reagiert, die unter anderem Vorschläge zur Einschränkung der Verarbeitung sensibler staatlicher Arbeitslasten durch US-amerikanische Cloud-Plattformen sowie Rahmenwerke wie DORA (Digital Operational Resilience Act) und NIS2 umfasst, welche Finanzdienstleister und Betreiber kritischer Infrastrukturen zu strengeren, oft von der EU kontrollierten Hosting-Vereinbarungen verpflichten. Zusammen haben DORA, NIS2 und das EU-KI-Gesetz dazu geführt, dass souveräne Infrastruktur für eine wachsende Zahl regulierter Arbeitslasten nicht mehr nur eine Präferenz, sondern eine Compliance-Anforderung ist. DORA, NIS2 und das EU-KI-Gesetz machen die „Sovereign Cloud“ zur Pflicht
Die Studie „State of Application Strategy 2026“ von F5, die auf den Antworten von über 1.100 IT-Entscheidungsträgern basiert, beschreibt dies als strukturellen Wandel: Unternehmen benötigen nun echte Kontrolle darüber, wo KI und Anwendungsinfrastruktur ausgeführt werden, da Standort, Souveränität und operative Unabhängigkeit mittlerweile unverzichtbare Anforderungen sind und nicht mehr nur als „nice-to-haves“ gelten. F5: Datenhoheit – Neuer Druck zwingt Unternehmen dazu, ihr Risikomanagement zu überdenken
Die KI hat dies erschwert, nicht erleichtert
Generative KI hat eine neue Komplexitätsebene geschaffen, auf die die meisten Rahmenwerke zur Gewährleistung der Souveränität nicht ausgelegt sind. Für das Training und die Feinabstimmung von Workloads ist zunehmend die Aggregation von Datensätzen im Petabyte-Bereich erforderlich, die in Umgebungen verarbeitet werden, die sich über mehrere Clouds, Anbieter und Rechtsräume erstrecken können. Data Centre POST: Mit lokalem Objektspeicher die Kontrolle über KI-Cloud-Daten erlangen
Dies wirft eine Frage auf, die vor fünf Jahren nur wenige Organisationen beantworten mussten: Wo genau wird das Modell ausgeführt, und wer hat die rechtliche Hoheit über die Umgebung, in der es läuft? Data Centre POST bezeichnet eine souveräne KI-Infrastruktur als strategische Notwendigkeit, gerade weil KI-Workflows die Anzahl der Stellen vervielfachen, an denen sensible Daten über eine Rechtsgrenze hinweg nach außen gelangen können. Data Centre POST: Warum Datenhoheit zu einem strategischen Muss für die KI-Infrastruktur wird
So sieht echte Kontrolle aus: Verschlüsselung innerhalb des Zuständigkeitsbereichs
Wenn der Wohnsitz allein nicht ausreicht, was dann? Unter Souveränitätsforschern zeichnet sich zunehmend ein Konsens ab, dass es auf die Kontrolle auf der Ebene der Architektur ankommt und nicht nur auf die geografische Lage. Das bedeutet:
- Lokale Verwahrung von Verschlüsselungsschlüsseln: Die Schlüssel werden innerhalb des jeweiligen Rechtsraums aufbewahrt, sodass ein Anbieter strukturell nicht in der Lage ist, Daten zu entschlüsseln oder weiterzugeben, für die er nicht über die entsprechenden Schlüssel verfügt.
- Nachweisbare operative Kontrolle: Genaue Kenntnis darüber, wer (welche Bürger, welche juristische Person) Zugriff auf die Umgebung hat, und nicht nur darüber, wo sich die Hardware befindet.
- Überschaubare Ausstiegskosten: die Möglichkeit, einen Anbieter oder eine Plattform ohne unzumutbare Ausstiegsgebühren oder Bindungsfristen zu verlassen.
Kiteworks bringt es auf den Punkt: „Die einzige Souveränität, die einer rechtlichen Forderung standhält, ist die Souveränität, die in der Architektur durchgesetzt wird.“ Kiteworks: Sovereign AI – Präsenz bedeutet nicht Kontrolle
In welchen Fällen ist eine lokale Infrastruktur sinnvoll?
Genau diese Lücke soll durch die Speicherung vor Ort geschlossen werden. Wenn sich Daten auf einer Infrastruktur befinden, die sich vollständig im Besitz Ihres Unternehmens befindet – und nicht von einem Hyperscaler mit Hauptsitz in den USA gemietet ist und den Nutzungsbedingungen eines Dritten unterliegt –, trifft das mit dem CLOUD Act verbundene Risiko, das selbst für „souveräne“ Cloud-Regionen gilt, schlichtweg nicht zu. Es gibt keine ausländische Muttergesellschaft, die rechtlich dazu verpflichtet werden könnte, Ihre Daten herauszugeben, da es in der Kette überhaupt keine ausländische Muttergesellschaft gibt.
Das ist der Kern der Position von Nexsan in dieser Diskussion. Nexsan entwickelt seit über 25 Jahren lokale Speicherplattformen wie die E-Series, BEAST, Unity™ und Assureon, die für Unternehmen konzipiert sind, die mit absoluter Sicherheit wissen müssen, wo genau sich ihre Daten befinden, wer darauf zugreifen darf und welchen Gesetzen sie unterliegen. Nexsan: Die Vor- und Nachteile von lokalen Speicherlösungen Für regulierte Branchen, Auftragnehmer der öffentlichen Hand und alle Unternehmen, die ihre Cloud-Verträge nun im Lichte von DORA, NIS2 oder dem EU-KI-Gesetz neu prüfen, ist dies kein Ausflug in die Nostalgie. Es ist eine strukturelle Antwort auf ein strukturelles Problem.
Das Fazit
Bei der Datenhoheit im Jahr 2026 geht es um die Frage der Kontrolle, nicht um die Frage des Standorts. Die lokale Speicherung von Daten ist notwendig, reicht jedoch nicht mehr aus. Unternehmen, die eine echte Lösung anstreben und nicht nur eine Lösung, die den Vorschriften zu entsprechen scheint, setzen zunehmend auf eine Infrastruktur, die sie selbst besitzen und betreiben – innerhalb ihres Rechtsraums und ohne ausländische Muttergesellschaft in der Kette.
Als Nächstes in dieser Reihe: Wie die Google-Geldstrafe in Höhe von 890 Millionen Euro die technologische Souveränität zu einem geopolitischen Brennpunkt machte und warum fast 9 von 10 Unternehmen ihre Workloads wieder vor Ort betreiben.
Quellen: Kiteworks-Bericht zur Datenhoheit 2026 · Kiteworks: Souveräne KI – Speicherort ist nicht gleichbedeutend mit Kontrolle · F5: Datenhoheit – Neuer Druck zwingt Unternehmen dazu, Risiken neu zu überdenken · SoftwareSeni: DORA, NIS2 und das EU-KI-Gesetz · Data Centre POST: Souveränität der KI-Infrastruktur
Detaillierter Inhalt nur in englischer Sprache verfügbar.