{"id":51578,"date":"2026-09-08T15:04:32","date_gmt":"2026-09-08T13:04:32","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=51578"},"modified":"2026-09-08T15:04:32","modified_gmt":"2026-09-08T13:04:32","slug":"bsi-c3a-dsk-souveraene-cloud-51578","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/bsi-c3a-dsk-souveraene-cloud-51578\/","title":{"rendered":"BSI C3A und DSK-Kriterien definieren souver\u00e4ne Cloud neu"},"content":{"rendered":"

Die Anforderungen an Cloud-Dienste<\/a> wachsen rasant, doch zwei Begriffe bleiben in der Diskussion oft unscharf: Datenschutz und Souver\u00e4nit\u00e4t. Die Datenschutzkonferenz (DSK) hat ihre Kriterien f\u00fcr eine sogenannte \u201esouver\u00e4ne Cloud\u201c formuliert, w\u00e4hrend das Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) mit dem Kriterienkatalog C3A einen neuen technischen Pr\u00fcfstein vorgelegt hat. Ein Vergleich der beiden Rahmenwerke offenbart, wer aus Datenschutzsicht wirklich eine souver\u00e4ne Cloud anbietet \u2013 und wo die Kriterienl\u00fccken liegen.<\/p>\n

Warum greift der Datenschutz in die Souver\u00e4nit\u00e4tsdebatte ein?<\/h2>\n

Der Zusammenhang zwischen Datenschutz und digitaler Souver\u00e4nit\u00e4t ist nicht nur theoretischer Natur. Dr. h.c. Marit Hansen, Landesbeauftragte f\u00fcr Datenschutz und Informationszugang Schleswig-Holstein, bringt es auf den Punkt: \u201eWir brauchen weniger Abh\u00e4ngigkeiten, mehr Verl\u00e4sslichkeit und Transparenz, mehr Garantien f\u00fcr europ\u00e4ische Werte \u2013 und das bedeutet im Endeffekt: Datenschutz im Schulterschluss mit der digitalen Souver\u00e4nit\u00e4t.\u201c Streng genommen ist ein wirklich souver\u00e4ner Cloud-Betrieb die Voraussetzung f\u00fcr die Einhaltung der DSGVO, die den Verbleib personenbezogener Daten innerhalb ihres Anwendungsbereichs fordert. Eine Cloud, die nicht souver\u00e4n ist, kann die Rechte betroffener Personen jederzeit durch externe Zugriffe untergraben. Dieses Risiko ist besonders virulent, wenn der Rechtsraum des Anbieters nicht vollst\u00e4ndig der europ\u00e4ischen Gerichtsbarkeit unterliegt. Entscheidend ist nicht allein der Serverstandort, sondern der Rechtsraum des Cloud-Anbieters \u2013 US-Recht kann selbst bei EU-Rechenzentren Zugriff auf Unternehmensdaten erlauben.<\/p>\n

Die DSK-Kriterien: Der goldene Standard f\u00fcr Datenschutz und Souver\u00e4nit\u00e4t<\/h2>\n

Die DSK hat in ihrer Orientierungshilfe einen Satz von Kriterien ver\u00f6ffentlicht, die erf\u00fcllt sein m\u00fcssen, damit eine Cloud aus datenschutzrechtlicher Perspektive als wirklich souver\u00e4n gelten kann. Im Kern geht es um die vollst\u00e4ndige Kontrolle \u00fcber die Dateninfrastruktur. Das bedeutet konkret: Der Cloud-Kunde muss nachvollziehen k\u00f6nnen, auf welchen Servern seine Daten liegen, wer Zugriff hat und ob dieser Zugriff jederzeit unterbunden werden kann. Die DSK-Kriterien<\/a> fordern zudem eine umfassende Transparenz bei allen Verarbeitungsvorg\u00e4ngen. Jegliche Verarbeitung personenbezogener Daten muss offengelegt und rechtlich nachvollziehbar sein. Ein zentrales Element der DSK-Kriterien sind die erweiterten Zugriffsrechte f\u00fcr den Kunden. Dieser muss nicht nur die Hoheit \u00fcber seine Daten besitzen, sondern auch in der Lage sein, den Cloud-Betreiber zu \u00fcberpr\u00fcfen \u2013 zum Beispiel durch unangek\u00fcndigte Audits oder die Nutzung von Verschl\u00fcsselungsverfahren, deren Schl\u00fcssel nur der Kunde selbst besitzt. Die DSK stellt also klar: Ohne echte Souver\u00e4nit\u00e4t ist kein datenschutzkonformer Betrieb m\u00f6glich.<\/p>\n

C3A des BSI: Ein neuer technischer Ma\u00dfstab f\u00fcr die souver\u00e4ne Cloud<\/h2>\n

Mit dem Kriterienkatalog C3A (Cloud Computing Compliance Controls Catalog \u2013 Advanced) setzt das BSI einen neuen Standard, der die Cloud-Nutzung auf ein konkretes, \u00fcberpr\u00fcfbares Niveau hebt. C3A definiert detaillierte Anforderungen an die Sicherheit und Souver\u00e4nit\u00e4t von Cloud-Diensten, die weit \u00fcber die reine Zertifizierung von Rechenzentren hinausgehen. Der Katalog adressiert unter anderem die Frage der Datenhoheit: Wer darf unter welchen Umst\u00e4nden auf Daten zugreifen? Welche technischen und organisatorischen Ma\u00dfnahmen verhindern unerlaubte Zugriffe durch Dritte? Ein wesentlicher Punkt ist die Anforderung an die Verschl\u00fcsselung, die sowohl f\u00fcr die Daten\u00fcbertragung als auch f\u00fcr die Speicherung gilt und in der Hand des Kunden liegen muss. Zus\u00e4tzlich verlangt C3A von Cloud-Anbietern eine umfassende Transparenz \u00fcber Weiterverarbeitungen oder Subunternehmer. Der Katalog erlaubt es Unternehmen, Cloud-Angebote objektiv zu vergleichen und Risiken pr\u00e4zise zu bewerten. Das BSI sendet damit ein klares Signal: Digitale Souver\u00e4nit\u00e4t soll sich anhand konkreter, messbarer Kriterien einfordern lassen.<\/p>\n

Direkter Vergleich: Wo DSK und BSI C3A sich erg\u00e4nzen \u2013 und wo nicht<\/h2>\n

Ein detaillierter Abgleich zeigt, dass die DSK-Kriterien im Kern eine Erweiterung der C3A-Anforderungen darstellen. Beide Rahmenwerke fordern eine vollst\u00e4ndige Vertragstransparenz und die M\u00f6glichkeit zur \u00dcberpr\u00fcfung des Anbieters durch den Kunden. Der entscheidende Unterschied liegt jedoch in der Tiefe der geforderten Kontrolle. Die DSK verlangt explizit die rechtliche und faktische Abschottung vor Zugriffen durch ausl\u00e4ndische Beh\u00f6rden \u2013 ein Aspekt, der im prim\u00e4r technisch orientierten C3A-Katalog weniger stark ausgepr\u00e4gt ist. C3A fokussiert auf die Sicherheit der Verarbeitung, die Verschl\u00fcsselung und die Verf\u00fcgbarkeit von Daten. Die DSK geht dar\u00fcber hinaus und bewertet auch die strategische Frage der Abh\u00e4ngigkeit von Branchenriesen. Eine Cloud, die C3A erf\u00fcllt, kann technisch hochsicher sein, aber dennoch anf\u00e4llig f\u00fcr Zugriffe durch eine ausl\u00e4ndische Jurisdiktion \u2013 etwa durch US-Gesetze wie den CLOUD Act. Damit unterschreitet ein solcher Dienst die notwendige Souver\u00e4nit\u00e4t, die der Datenschutz fordert. Unternehmen m\u00fcssen diesen Unterschied erkennen: Eine C3A-Zertifizierung ist ein starkes Sicherheitsmerkmal, ersetzt aber nicht die Pr\u00fcfung der rechtlichen und politischen Souver\u00e4nit\u00e4t des Anbieters. Die wahre Herausforderung besteht darin, beide Anforderungskataloge in einer Entscheidung zu vereinen.<\/p>\n

Die praktische Konsequenz f\u00fcr Entscheider in Unternehmen<\/h3>\n

F\u00fcr Compliance-Beauftragte, IT-Sicherheitsverantwortliche und Gesch\u00e4ftsf\u00fchrer bedeutet dies: Die reine Zertifizierung eines Cloud-Anbieters nach C3A ist ein wichtiges, aber nicht ausreichendes Kriterium. Sie m\u00fcssen die vertragliche Ausgestaltung und die rechtliche Verankerung des Anbieters pr\u00fcfen. Kann der Anbieter garantieren, dass kein Dritter \u2013 insbesondere keine au\u00dfereurop\u00e4ische Regierung \u2013 Zugriff auf die personenbezogenen Daten erh\u00e4lt, die in der Cloud verarbeitet werden? L\u00e4sst sich dies technisch durch Ende-zu-Ende-Verschl\u00fcsselung untermauern? Die DSK-Kriterien fordern hier ein H\u00f6chstma\u00df an Sicherheit. Unternehmen, die diese Pr\u00fcfung scheuen, setzen sich erheblichen rechtlichen und wirtschaftlichen Risiken aus \u2013 von Abmahnungen bis hin zu Bu\u00dfgeldern nach der DSGVO.<\/p>\n

Warum Souver\u00e4nit\u00e4t mehr als Technik ist<\/h2>\n

Die Debatte zeigt: Souver\u00e4nit\u00e4t in der Cloud ist kein statisches Merkmal, sondern ein dynamischer Zustand. Er muss st\u00e4ndig \u00fcberwacht und hinterfragt werden, denn sowohl die technische Entwicklung als auch die geopolitische Lage k\u00f6nnen die Bedingungen ver\u00e4ndern. Ein Beispiel: Ein Cloud-Anbieter, der heute in einem europ\u00e4ischen Rechtsraum operiert, k\u00f6nnte morgen durch einen Unternehmenskauf oder neue Gesetze in die Sph\u00e4re einer nicht-europ\u00e4ischen Jurisdiktion geraten. Die DSK-Kriterien verlangen daher nicht nur eine einmalige Pr\u00fcfung, sondern eine kontinuierliche Sicherstellung der Souver\u00e4nit\u00e4t. C3A bietet hierf\u00fcr ein hervorragendes technisches Grundger\u00fcst, bildet aber die politischen und rechtlichen Dimensionen nicht vollst\u00e4ndig ab. Wer Datenschutz ernst nimmt, muss die DSK-Kriterien als Leitplanke verwenden und die C3A-Zertifizierung als einen Teil der technischen Umsetzung sehen. Die Zukunft der Cloud liegt in der Vereinigung von robuster Technik und wasserdichter rechtlicher Kontrolle \u2013 und genau diese Synthese definiert die souver\u00e4ne Cloud neu.<\/p>\n","protected":false},"excerpt":{"rendered":"

Die Anforderungen an Cloud-Dienste wachsen rasant, doch zwei Begriffe bleiben in der Diskussion oft unscharf: Datenschutz und Souver\u00e4nit\u00e4t. Die Datenschutzkonferenz (DSK) hat ihre Kriterien f\u00fcr eine sogenannte \u201esouver\u00e4ne Cloud\u201c formuliert, w\u00e4hrend das Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) mit dem Kriterienkatalog C3A einen neuen technischen Pr\u00fcfstein vorgelegt hat. Ein Vergleich der beiden Rahmenwerke offenbart, […]<\/p>\n","protected":false},"author":5,"featured_media":54040,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51578.png","fifu_image_alt":"BSI C3A und DSK-Kriterien definieren souver\u00e4ne Cloud neu","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-51578","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51578.png","fifu_image_alt":"BSI C3A und DSK-Kriterien definieren souver\u00e4ne Cloud neu","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51578","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=51578"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51578\/revisions"}],"predecessor-version":[{"id":51580,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51578\/revisions\/51580"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/54040"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=51578"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=51578"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=51578"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}