Souveräne Datensicherung: Wer hat die Kontrolle über Ihr Backup?
Speicherort, Schlüssel, Verwaltung: Was ein Backup wirklich souverän macht
Die kurze Antwort: Ein Backup ist dann souverän, wenn Sie selbst bestimmen, wo die Daten liegen, wer die Schlüssel hält, von wo aus das Backup gesteuert wird und ob Sie auch ohne fremde Dienste wiederherstellen können. Der Speicherort allein reicht dafür nicht. Je nach Schutzbedarf genügt eine europäische Cloud, oder die Verwaltung muss vollständig im eigenen Netz laufen.
Warum der Speicherort allein nicht reicht
Viele Unternehmen sichern ihre Daten in der Cloud oder steuern ihre Backups über eine Cloud-Konsole. Das ist bequem. Behörden, Betreiber kritischer Infrastrukturen und regulierte Unternehmen fragen aber zunehmend: Wer hat im Ernstfall die Kontrolle?
- Rechtlicher Zugriff: Der US CLOUD Act von 2018 verpflichtet US-Anbieter, Daten herauszugeben, über die sie Kontrolle haben, auch wenn diese in Rechenzentren in der EU liegen. Ob eine solche Herausgabe mit der DSGVO vereinbar ist, ist umstritten. Das Risiko bleibt.
- Getrennte Steuerung: Moderne Backup-Lösungen trennen Daten und Verwaltung. Die Sicherungen liegen im eigenen Rechenzentrum, die Steuerung (Control Plane) läuft aber oft als SaaS beim Hersteller. Ist die Verbindung gestört oder der Zugang gesperrt, lässt sich das Backup im ungünstigsten Fall nicht mehr bedienen.
- Regulierung: NIS2 und DORA verlangen, Risiken durch Dienstleister und Lieferketten zu steuern. Die Backup-Plattform ist ein solcher Dienstleister, und im Notfall der wichtigste.
Vier Fragen, die Souveränität greifbar machen
- Speicherort: In welchem Land liegen Backup-Daten und Metadaten?
- Schlüssel: Wer verwaltet die Verschlüsselungsschlüssel, Sie oder der Anbieter?
- Verwaltung: Wo läuft die Steuerung, und funktioniert sie ohne Internetverbindung?
- Wiederherstellung: Können Sie auch dann wiederherstellen, wenn der Hersteller oder die Cloud nicht erreichbar ist?
Mehr zu den Begriffen im Lexikon-Eintrag Datensouveränität.
Drei Betriebsmodelle im Vergleich
| Kriterium | Verwaltung in einer EU-Cloud | Verwaltung im eigenen Netz | Vollständig getrennt (Air Gap) |
|---|---|---|---|
| Steuerung | SaaS des Herstellers in einer souveränen EU-Cloud | eigene Appliance oder VM im Rechenzentrum | lokal, ohne Netzverbindung nach außen |
| Speicherort | EU | eigenes Rechenzentrum | eigenes Rechenzentrum, Band im Tresor |
| Aufwand für Sie | gering | mittel | hoch |
| Typisch für | regulierte Unternehmen | Behörden, KRITIS, Verteidigung | höchster Schutzbedarf, Archive |
Beispiel 1: Rubrik Security Cloud in der AWS European Sovereign Cloud
Seit Juli 2026 ist Rubrik Security Cloud in der AWS European Sovereign Cloud verfügbar. Laut Pressemitteilung von Rubrik bleiben alle Kundendaten in der EU. Adressiert werden ausdrücklich der BSI-Katalog C5, DORA und NIS2. Das Modell bleibt SaaS und eignet sich für Unternehmen, denen Datenresidenz in der EU genügt.
Beispiel 2: Rubrik Security Cloud – Private (RSC-P)
Für Umgebungen, die keine Verbindung nach außen haben dürfen, beschreibt Rubrik die Variante RSC-P. Die Steuerung läuft vollständig innerhalb des eigenen Sicherheitsbereichs. Nach der Registrierung braucht sie laut Hersteller keine externe Verbindung mehr. Angeboten wird sie als Appliance (R7K), als virtuelle Maschine auf vSphere/ESXi oder hybrid.
Auch die Sicherheitsfunktionen laufen lokal: Anomalie-Erkennung in den Backups, laufende Suche nach Angriffsspuren unter anderem mit YARA-Regeln, Wiederherstellung von Active Directory und Entra ID (siehe Identity Resilience) sowie Schlüssel über eine eigene KMIP-Schlüsselverwaltung.
Hinweis: Das Datenblatt von Rubrik beschreibt die Variante für US-Bundesbehörden. RSC-P ist auch in Deutschland erhältlich. Welche Ausprägung zu Ihrer Umgebung passt, ob Appliance, virtuelle Maschine oder hybrid, klären wir als Rubrik-Partner gemeinsam mit Ihnen.
Was das BSI unter souveräner Cloud versteht
Mit C3A (Criteria enabling Cloud Computing Autonomy) hat das BSI 2026 einen Kriterienkatalog veröffentlicht, mit dem sich prüfen lässt, ob Cloud-Dienste eine selbstbestimmte Nutzung erlauben. C3A baut auf dem EU Cloud Sovereignty Framework auf, setzt die Erfüllung von C5 voraus und ist für sich genommen nicht verbindlich. Für Ausschreibungen dürfte er dennoch zum Maßstab werden.
Die letzte Kopie: offline und im eigenen Haus
Unabhängig vom Modell gilt: Mindestens eine Kopie sollte offline und unveränderbar sein, etwa auf LTO-Band im Tresor. Diese Kopie braucht keine Cloud und keine Internetverbindung, um gelesen zu werden. Sie ist der Kern eines Air Gap und Teil der 3-2-1-Backup-Regel.
Fazit
Souveränität im Backup ist kein Entweder-oder. Entscheidend ist, dass Sie die vier Fragen für Ihre Daten beantworten können und dass die Wiederherstellung auch dann funktioniert, wenn ein Anbieter ausfällt.
Mehr zum Thema: Datensouveränität · Air Gap · KRITIS · Rubrik Cyber Recovery
Häufige Fragen zu souveräner Datensicherung
Reicht ein Rechenzentrum in Deutschland für Datensouveränität?
Nicht automatisch. Entscheidend sind auch der Betreiber, das für ihn geltende Recht und wer die Verschlüsselungsschlüssel verwaltet.
Was ist eine Control Plane?
Die Steuerungsebene einer Backup-Lösung: Richtlinien, Zeitpläne, Überwachung und Wiederherstellung. Sie kann beim Hersteller als SaaS oder im eigenen Netz laufen.
Was bedeutet C3A?
Ein Kriterienkatalog des BSI von 2026, mit dem sich bewerten lässt, ob Cloud-Dienste eine selbstbestimmte Nutzung erlauben. Er ist nicht verbindlich und setzt C5 voraus.
Ist Rubrik Security Cloud – Private in Deutschland verfügbar?
Ja. RSC-P ist auch in Deutschland erhältlich. Welche Variante zu Ihrer Umgebung passt, klären wir als Rubrik-Partner gemeinsam mit Ihnen.
Wie souverän ist Ihr Backup? Wir beraten Sie.
Cristie Data prüft mit Ihnen, wo Ihre Backups liegen, wer die Schlüssel hält und ob die Wiederherstellung ohne fremde Dienste funktioniert, von der Bandbibliothek bis zur Verwaltung im eigenen Netz. Beratung anfragen
Hinweis: Bei der Erstellung dieses Beitrags kamen KI-gestützte Werkzeuge unterstützend zum Einsatz. Recherche, redaktionelle Prüfung und inhaltliche Verantwortung liegen bei der Redaktion von Cristie Data.
