Der eigene Serverraum gilt in vielen Betrieben als sicherste Lösung. Bei näherer Betrachtung trägt dieses Bild selten: Sicherheitsaktualisierungen verzögern sich, Sicherungen werden selten geprüft, und Fernzugriffe von Dienstleistern bleiben unbemerkt. Schon ein Supportzugriff aus einem Drittstaat kann datenschutzrechtlich als Übermittlung gelten: unabhängig davon, wo die Daten gespeichert sind.
Umgekehrt ist ein europäisches Rechenzentrum allein noch keine Souveränität. Entscheidend ist, ob Betrieb, Schlüsselverwaltung und Support rechtlich und organisatorisch unabhängig sind, und ob ein Wechsel des Anbieters überhaupt planbar bleibt.
Für mittelständische Betriebe empfehlen wir drei nüchterne Schritte: Standort und Zugriffsmodell vertraglich festlegen, Verschlüsselung mit eigenen Schlüsseln vorsehen und eine Ausstiegsstrategie schriftlich hinterlegen. Damit wird aus einem Bauchgefühl eine prüfbare Entscheidung.