Auf dieser Seite
Datenstandort und Kontrolle unterscheiden
Ein Rechenzentrum in Deutschland oder der EU beantwortet zunächst eine Standortfrage. Zusätzlich sind Vertragspartner, Eigentums- und Kontrollstrukturen, geltende Rechtsordnungen, Unterauftragnehmer und tatsächliche Zugriffsmöglichkeiten relevant. Auch Administration und Support können an anderen Orten stattfinden.
Erfassen Sie deshalb, wo nicht nur die Hauptdaten, sondern auch Sicherungen, Protokolle und Metadaten verarbeitet werden. Prüfen Sie, wer Zugriffe genehmigt, ausführt und nachvollziehen kann. Bei verschlüsselten Daten gehört dazu die Frage, wer die Schlüssel kontrolliert und unter welchen Bedingungen Klartextzugriffe möglich sind.
Den konkreten Dienst bewerten
Die Eigenschaften eines Anbieters lassen sich nicht ohne Weiteres auf jeden seiner Dienste übertragen. Eine virtuelle Maschine, eine verwaltete Datenbank und ein KI-Dienst bringen unterschiedliche Abhängigkeiten mit sich. Maßgeblich sind die eingesetzte Leistung, ihre Konfiguration und der jeweilige Schutzbedarf.
Fordern Sie Nachweise für genau diesen Umfang an. Prüfen Sie bei einem Bericht nach BSI C5 insbesondere betrachtete Dienste, Zeitraum, Ausnahmen und erforderliche Maßnahmen auf Kundenseite. Ein solcher Bericht unterstützt die Sicherheitsbewertung. Er ersetzt weder die Prüfung aller Souveränitätsfragen noch die Bewertung des konkreten Einsatzes.
Portabilität praktisch erproben
Für einen Anbieterwechsel reicht es selten, Datensätze herunterzuladen. Oft werden zusätzlich Schemas, Beziehungen, Berechtigungen, Metadaten, Konfigurationen und Schnittstellen benötigt. Bei Anwendungen kommen Laufzeitumgebungen, Abhängigkeiten und Betriebswissen hinzu.
Ein kleiner Übernahmetest zeigt, ob diese Bestandteile vollständig und verständlich sind. Vereinbaren Sie vorab, welche Funktion in der Zielumgebung nachgewiesen werden muss. Halten Sie fest, welche Anpassungen, Unterbrechungen und Kosten tatsächlich entstehen.
- Daten in einem dokumentierten Format exportieren
- Vollständigkeit und Beziehungen zwischen Daten prüfen
- Konfigurationen und Berechtigungen gesondert sichern
- Einen repräsentativen Ablauf in der Zielumgebung ausführen
- Ergebnis, Aufwand und verbleibende Hindernisse dokumentieren
Der Data Act enthält Regeln zum Wechsel zwischen Datenverarbeitungsdiensten. Vertragliche Rechte und technische Wechselbarkeit müssen zusammen betrachtet werden. Ein Anspruch auf Herausgabe von Daten schafft noch keine passende Zielarchitektur.
Betrieb und Wiederherstellung mitdenken
Eine Datensicherung hilft bei Verlust oder Beschädigung. Ob daraus ein betriebsfähiger Dienst wiederhergestellt werden kann, zeigt erst ein Wiederherstellungstest. Ein Anbieterwechsel stellt weitere Anforderungen, etwa an andere Plattformen, Schnittstellen und Verantwortlichkeiten.
Klären Sie deshalb für beide Fälle die benötigten Zugänge, Kenntnisse, Wiederanlaufzeiten und Zuständigkeiten. Monitoring, Aktualisierungen und Sicherheitsmaßnahmen müssen auch während einer Migration funktionieren. KI kann bei der Sichtung und Einordnung von Betriebsereignissen unterstützen, ersetzt aber keine klaren Verantwortlichkeiten.
Eine begründete Entscheidung treffen
Eine europäische Cloud kann eine passende Option sein, wenn Vertrag, Technik, Betrieb und Schutzbedarf zusammenpassen. Ebenso kann es sinnvoll sein, einen Dienst zunächst beizubehalten und konkrete Abhängigkeiten zu reduzieren. Halten Sie die Gründe und die Bedingungen für eine spätere Neubewertung fest.
Autonomy Track unterstützt dabei, Anbieterangaben mit Nachweisen zu verbinden, offene Fragen sichtbar zu machen und Maßnahmen zu priorisieren. So wird aus einem Etikett eine nachvollziehbare Entscheidung.
Den nächsten Cloud-Dienst gezielt prüfen
Wählen Sie einen konkreten Dienst und eine wichtige Anwendung. Der Leitfaden hilft, Nachweise anzufordern, Wechselmöglichkeiten zu bewerten und das Ergebnis zu dokumentieren.