Datensouveränität ist keine Beschaffungsklausel mehr, sondern eine operative Anforderung: mit Belegen nachzuweisen, dass Ihre Daten dort liegen, wo der Regulator es vorschreibt — auf jeder Schicht und nicht nur in der Produktion.
Ænix führt ein strukturiertes Projekt durch, das auf Ebene einzelner Kontrollen kartiert, wo Ihre Daten heute tatsächlich liegen, wo die Lücken sind und wie Sovereignty-by-Design für Ihren Stack aussieht.
Passt zu: Ænix Private Cloud Platform für regulierte Unternehmen, die souveräne Cloud intern nutzen, oder Public Cloud Platform für Betreiber, die sie als Produkt anbieten — Ihre Hardware, Ihre Jurisdiktion, optional aktivierbare Volume-Verschlüsselung, auf Wunsch Air-Gap-Installation.
Wer ein Problem mit Datensouveränität hat
Der Druck zur Datensouveränität klingt je nach Rolle unterschiedlich, die zugrunde liegende Einschränkung ist aber dieselbe.
- Banken und Versicherer unter DORA oder sektoraler Aufsicht, mit Pflichten zu Konzentrationsrisiko und Datenresidenz.
- Öffentliche und öffentlich-nahe Organisationen, für die Vergabevorgaben souveräne Cloud verlangen (EU-Mitgliedstaaten, Kasachstan, mehrere Jurisdiktionen im asiatisch-pazifischen Raum).
- Betreiber im Gesundheitswesen und in den Life Sciences mit Residenzregeln für Patientendaten nach nationalen Gesundheitsdatengesetzen.
- Telekommunikationsunternehmen und Betreiber kritischer Infrastruktur unter NIS2 mit branchenspezifischen Regeln für den Umgang mit Daten.
- Multinationale Unternehmen mit Pflichten zur Datenlokalisierung, die von Land zu Land variieren (Indien, China, Russland, Brasilien, mehrere EU-Mitgliedstaaten).
- KI- und Analytik-Teams, die mit sensiblen Datenklassen arbeiten, die nicht von Modellanbietern außerhalb der EU verarbeitet werden dürfen.
Wenn Sie einen konkreten Regulator, eine Branchenregel oder eine Vergabeklausel benennen können, die das Thema für Ihr Team ausgelöst hat — dann ist dieses Projekt genau für Ihre Situation gemacht.
Sie lesen als CISO? Der CISO-Leitfaden fasst zusammen, was die Plattform leistet und was nicht, und die DSGVO-Nachweise dokumentieren Verschlüsselung und Schlüsselmanagement so, wie sie ausgeliefert werden. Die AENIX s.r.o. ist für ihr eigenes ISMS nach ISO/IEC 27001:2022 zertifiziert (Zertifikat).
Was „Datensouveränität“ tatsächlich von Ihrer Architektur verlangt
1. Nachweisbare Datenresidenz auf jeder Schicht Der Produktionsspeicher ist der einfache Teil. Backups, Observability-Daten, CI/CD-Artefakte und die Telemetrie von Managed Services verlassen häufig den Geltungsbereich des Regulators, ohne dass es jemand bemerkt. Souveränität gilt für alle Schichten, nicht nur für die Produktionsdatenbank.
2. Verschlüsselung und Schlüsselverwahrung unter Ihrer Kontrolle Verschlüsselung allein ist keine Souveränität. Der Dateneigentümer muss erklären können, wer die Schlüssel hält — idealerweise er selbst, nicht der Cloud-Anbieter —, mit dokumentiertem Prozess für Rotation, Notfallzugriff und Prüfung.
3. Transparenz der Lieferanten bis zur zweiten Stufe Hyperscaler laufen auf Rechenzentren und Konnektivitätsanbietern; SaaS-Anbieter laufen auf Hyperscalern; Managed Services hängen von geteilter Infrastruktur ab. Souveränität verlangt, die Kette über die erste Stufe hinaus zu kennen.
4. Zugang für Prüfung und Aufsicht Audit-Trails müssen in Formaten exportierbar sein, die der Regulator verarbeiten kann, nach seinen Vorgaben aufbewahrt werden und Manipulationen erkennbar machen. Die Prozesse für den Zugang der Aufsicht müssen dokumentiert und erprobt sein.
Praktische Details mit Prüfungen auf Kontrollebene finden Sie unter Anforderungen an die Datenresidenz 2026.
Woran die meisten Cloud-Setups beim Souveränitätstest scheitern
Observability und Telemetrie durchbrechen die Grenze Die Produktionsdatenbank liegt in der richtigen Region. Der SaaS-Observability-Stack, der ihre Logs sammelt, verarbeitet sie in US-Regionen, weil dort die Infrastruktur des Anbieters läuft. Der Compliance-Verantwortliche weiß nichts davon.
Backups sind souverän — bis sie getestet werden Die Backup-Ebene liegt in der richtigen Region. Der DR-Test zieht Backups über Regionen hinweg an einen anderen DR-Standort, der sich als Jurisdiktion entpuppt, die die Anforderungen nicht erfüllt. Die Souveränität scheitert unter Belastung.
Die Verschlüsselungsschlüssel liegen beim Cloud-Anbieter Die Standardverschlüsselung sieht auf dem Papier gut aus. Bis der Regulator fragt, wer die Schlüssel kontrolliert — und die Antwort derselbe Anbieter ist, der auch die Daten hält.
Die Lieferkette ist ab der zweiten Stufe eine Blackbox Der Hyperscaler steht im Vertrag. Sein Rechenzentrumsbetreiber, seine Netzwerk-Subunternehmer und die geteilten Plattformdienste stehen nicht darin. Art. 30 Abs. 2 Buchst. a DORA verlangt, dass die Kette der Unterauftragsvergabe im Vertrag beschrieben wird; Art. 21 Abs. 2 Buchst. d NIS2 verlangt, dass die Sicherheit der Lieferkette direkte Lieferanten und Diensteanbieter abdeckt.
Wie Ænix hilft
Das Souveränitätsprojekt läuft als Teil unseres Platform Readiness Assessment mit dem Arbeitsstrang Souveränität und regulatorische Lücken als Schwerpunkt. Das 14- oder 28-tägige Projekt liefert:
- Datenresidenz-Karte — wo jede Datenklasse heute tatsächlich liegt, einschließlich Produktion, Backup, Observability und CI/CD-Artefakten. Jurisdiktion pro Klasse, mit Belegen.
- Prüfung von Verschlüsselung und Schlüsselverwahrung — aktueller Stand der Verschlüsselung, Regelungen zur Schlüsselverwahrung, Lücken pro Datenklasse.
- Lieferketten-Karte bis zur zweiten Stufe — jede IKT-Drittdienstleistung bis zu den zugrunde liegenden Anbietern und geteilten Abhängigkeiten zurückverfolgt.
- Bewertung der Prüfbereitschaft — welche Prozesse für den Zugang der Aufsicht dokumentiert, welche erprobt und welche nicht vorhanden sind.
- Maßnahmenplan auf Architekturebene — was in welcher Reihenfolge zu beheben ist, mit Aufwandsschätzungen und abgestimmt auf regulatorische Fristen.
Geliefert von Ænix-Ingenieuren — dem Team, das Cozystack entwickelt hat — aus Engineering-Teams in der EU und in Zentralasien, ohne kommerzielle Bindung an einen Hyperscaler. EU-Verträge laufen über die AENIX s.r.o. (Tschechien).
Warum gerade Ænix
- Ingenieure, die unter diesen Regeln arbeiten. Unsere Engineering-Teams sitzen in der EU und in Zentralasien; EU-Verträge laufen über die AENIX s.r.o. (Tschechien). Wir kennen den Unterschied zwischen Souveränität als US-Marketingbegriff und Souveränität, wie sie unter EU-Branchenregeln und Vergabeklauseln der EU-Mitgliedstaaten durchgesetzt wird.
- Keine Hyperscaler-Bindung. Souveränitätsberatung der Big Four ist von deren Hyperscaler-Partnerschaften geprägt. Unsere Empfehlungen sind an keinen Cloud-Anbieter kommerziell gebunden — wir empfehlen die Architektur, die die Souveränitätsanforderung tatsächlich erfüllt, auch wenn das vollständig On-Premises bedeutet.
- Open-Source-Plattform als Fundament. Wir haben Cozystack entwickelt und pflegen es gemeinsam mit Maintainern anderer Unternehmen — ein CNCF-Sandbox-Projekt, das auf der von Ihnen gewählten Hardware in der von Ihnen gewählten Jurisdiktion läuft, mit Zugriff auf Cluster-Ebene bei Ihnen. Souveränität ist strukturell, nicht vertraglich.
Wie das Projekt abläuft
Tag 0 ist ein kostenloses 30-minütiges Discovery-Gespräch, in dem der Umfang festgelegt wird. An den Tagen 1–13 (bzw. 1–27) laufen vier parallele Arbeitsstränge mit Schwerpunkt auf Souveränität und regulatorischen Lücken, begleitet von täglichen asynchronen Updates und drei Abstimmungsterminen mit dem Sponsor. An Tag 14 (bzw. 28) folgt ein 60- bis 90-minütiger Executive-Readout zum schriftlichen Bericht — Datenresidenz-Karte, Prüfung der Schlüsselverwahrung, Lieferketten-Karte, Prüfbereitschaft und Maßnahmenplan. Die vollständige Methodik Tag für Tag: Platform Readiness Assessment.
Fallstudien
Neun veröffentlichte Fallstudien stehen auf der Seite mit den Fallstudien, anonymisiert, wo der Kunde es verlangt — darunter eine Private Cloud in einer Bank und eine souveräne Public Cloud über drei Rechenzentren. Referenzgespräche vereinbaren wir unter Geheimhaltung, sofern der Kunde zustimmt.
"Running Nuvolos on sovereign bare metal meant we needed hyperscaler-grade multi-tenancy without the hyperscaler. Cozystack delivered exactly that — isolated tenants, shared GPUs, KubeVirt for legacy workloads — and it's why we can promise our customers infrastructure control, not just a workspace."
Alexandru PopescuCEO, Nuvolos
Preise und Projektumfang
Das Souveränitätsprojekt läuft als Platform Readiness Assessment.
14 Tage (fokussierter Souveränitätsumfang)
Arbeitsstrang Souveränität in der Tiefe, ein regulatorisches Rahmenwerk, ein Bereich. Datenresidenz-Karte, Prüfung der Schlüsselverwahrung, Lieferkette (bis zur zweiten Stufe), Maßnahmenplan. Auf Anfrage
28 Tage (volle Souveränität plus angrenzende Themen)
Souveränität plus angrenzende regulatorische Überschneidungen (Abgleich mit DORA / NIS2 / Branchenregeln / DSGVO). Stakeholder-Interviews über mehrere Geschäftsbereiche. Anbieter-Shortlist, wo sinnvoll. Umsetzungs-Roadmap für Phase 2. Auf Anfrage
Festpreis. Eine Rechnung. Gegenseitige NDA zum Projektstart. Kosten der Umsetzung in Phase 2: Das Assessment-Honorar wird je nach Umfang angerechnet.
Wir nehmen RFI und RFP über die üblichen Beschaffungskanäle an; EU-Verträge laufen über die AENIX s.r.o. (Tschechien). Das Discovery-Gespräch klärt die verfahrensrechtliche Eignung.
Beginnen Sie mit einem 30-minütigen Discovery-Gespräch
Wir prüfen die Passung, grenzen den Umfang auf die Regulatoren oder Vergabeklauseln ein, die Sie binden, und benennen die passende Variante — 14 oder 28 Tage.
Oder lesen Sie weiter:
- Anforderungen an die Datenresidenz 2026 — praktischer Leitfaden
- DORA-Compliance für Cloud-Infrastruktur — angrenzender regulatorischer Auslöser
- Cloud-Repatriation — wenn Souveränität und Kosten zusammenfallen
- Platform Readiness Assessment — Methodik des Projekts
- Cozystack — die Plattform, die Souveränität in der Architektur verankert
Ænix hat Cozystack entwickelt — ein CNCF-Sandbox-Projekt, eine CNCF Certified Kubernetes Distribution mit OpenSSF Best Practices — und pflegt es gemeinsam mit Maintainern anderer Unternehmen. Die AENIX s.r.o. ist nach ISO/IEC 27001:2022 zertifiziert.