Souverän ist, was prüfbar ist: Vier Fragen an deinen Cloud-Anbieter
Ein Serverstandort in Deutschland ist noch keine Souveränität. Entscheidend ist, wem der Betreiber gehört und welchem Recht er unterliegt. Vier Fragen, die das klären.
AI
„Unsere Daten liegen in Deutschland." Dieser Satz steht in fast jedem Angebot. Er beantwortet weniger, als er verspricht.
Denn der Standort sagt nichts darüber, wem die Systeme gehören, welchem Recht der Betreiber unterliegt und wer im Ernstfall Zugriff hat. Vier Fragen bringen das schnell auseinander. Sie passen in jedes Erstgespräch und in jeden Lieferantenfragebogen.
1. Wem gehört das Rechenzentrum?
Gemeint ist nicht die Adresse, sondern die Eigentümerstruktur: Betreibt das Unternehmen die Fläche selbst, oder mietet es bei einem Dritten? Wem gehört das Unternehmen, und wo sitzt die Muttergesellschaft?
Eine gute Antwort nennt Gesellschafter und Standorte ohne Umweg. Eine schwache Antwort beschreibt „Partnerrechenzentren" und lässt offen, wer dort entscheidet.
2. Welches Recht gilt im Ernstfall?
Ein Vertrag nach deutschem Recht hilft wenig, wenn die Konzernmutter einer ausländischen Rechtsordnung unterliegt. Entscheidend ist, welchem Zugriffsrecht der Betreiber tatsächlich unterliegt, etwa dem US-amerikanischen CLOUD Act.
Eine gute Antwort ist ein Satz mit Ja oder Nein und einer Begründung. Eine schwache Antwort verweist auf Standardvertragsklauseln und wechselt das Thema.
3. Wer hat Zugriff?
Frage nach Personen, nicht nach Technik: Welche Rollen können auf Systeme und Daten zugreifen, wie wird das protokolliert, wie werden Fernzugriffe abgesichert, und was passiert bei behördlichen Anfragen?
Eine gute Antwort beschreibt Rollen, Protokollierung und einen definierten Prozess für Anfragen. Eine schwache Antwort beschreibt Verschlüsselung und lässt die Frage nach den Schlüsseln offen.
4. Ist es überprüfbar?
Alles Bisherige ist so viel wert wie sein Nachweis. Frage nach Zertifikaten mit Nummer und Geltungsbereich, nach dem Prüfturnus und danach, ob du das Rechenzentrum besichtigen kannst.
Eine gute Antwort nennt Zertifikat, Nummer und Geltungsbereich und lädt dich ein, vorbeizukommen. Eine schwache Antwort nennt ein Zertifikat ohne Geltungsbereich – oder eins, das nur für einen Teilbereich gilt.
Vier saubere Antworten? Dann bist du gut aufgestellt.
Und wenn die Antworten nicht überzeugen? Dann ist die nächste Frage, wie teuer der Ausstieg wird. Wie ein Wechsel abläuft und was er an Lizenzkosten spart, steht unter VMware-Alternativen und Migration.
Unsere Antworten
Damit die Fragen nicht im Abstrakten bleiben, hier unsere eigenen Antworten.
| Frage | Antwort von kyberio |
|---|---|
| Wem gehört das Rechenzentrum? | Eigene Rechenzentren in Hannover (DE01, drei Verfügbarkeitszonen), Wolfsburg (DE02) und Frankfurt (DE03); kyberio ist in deutschem Eigentum |
| Welches Recht gilt im Ernstfall? | Deutsches Recht, kein CLOUD Act |
| Wer hat Zugriff? | Eigenes Personal nach Rollen, protokolliert; Zutritt nur angemeldet und begleitet |
| Ist es überprüfbar? | ISO 27001 auf Basis BSI IT-Grundschutz, Zertifikat BSI-IGZ-0552-2023, Geltungsbereich Rechenzentren und Cloud Services, dazu PCI DSS; DE01 Hannover kann nach Absprache besichtigt werden |
Die vier Fragen, von uns beantwortet
Was jetzt zu tun ist
- Stell die vier Fragen bei deinem aktuellen Anbieter, schriftlich und mit Frist.
- Nimm die Antworten in dein Infrastrukturprofil auf, das du Kunden vorlegst.
- Prüfe, wo Antworten fehlen. Genau dort wird es im Vergabeverfahren unangenehm.
- Plane einen Besuch. Ein Rechenzentrum, das man sehen darf, ist ein gutes Zeichen.
Wir betreiben Infrastruktur seit über 25 Jahren. Wenn du unsere Antworten prüfen willst: Sprich uns an. Persönlich geht das auch am 6. Oktober 2026 auf der Cloud & AI Night in Hannover.