Cloud-Dienste sind aus modernen IT-Umgebungen kaum noch wegzudenken. Microsoft 365, Azure, AWS, Google Cloud, Backup-Lösungen, Fachanwendungen, Kollaborationsplattformen und viele weitere SaaS-Dienste sind heute fester Bestandteil des Arbeitsalltags.
Was dabei oft unterschätzt wird: Mit der zunehmenden Cloud-Nutzung entstehen nicht nur technische Vorteile, sondern auch neue Abhängigkeiten. Daten, Identitäten, Kommunikationswege, Backups und zentrale Geschäftsprozesse liegen häufig nicht mehr vollständig in der eigenen Hand. Fällt ein Cloud-Dienst aus, ändern sich vertragliche Rahmenbedingungen oder fehlen klare Export- und Notfallprozesse, kann das schnell zu einem ernsthaften Risiko werden.
Genau an dieser Stelle gewinnt das Thema Cloud-Souveränität an Bedeutung.
Was bedeutet Cloud-Souveränität?
Cloud-Souveränität beschreibt die Fähigkeit einer Organisation, Cloud-Dienste sicher, kontrolliert und selbstbestimmt zu nutzen. Es geht also nicht darum, Cloud grundsätzlich zu vermeiden. Vielmehr geht es darum, Abhängigkeiten zu kennen, Risiken zu bewerten und im Ernstfall handlungsfähig zu bleiben.
Dazu gehören unter anderem folgende Fragen:
- Wo werden unsere Daten verarbeitet?
- Welche Cloud-Dienste sind geschäftskritisch?
- Welche Anbieterabhängigkeiten bestehen?
- Können wir unsere Daten vollständig exportieren?
- Gibt es funktionierende Backups außerhalb des Cloud-Anbieters?
- Wer hat administrative Zugriffsrechte?
- Welche Drittanbieter und Schnittstellen sind angebunden?
- Wie schnell könnten wir bei einem Ausfall oder Sicherheitsvorfall reagieren?
- Gibt es eine realistische Exit-Strategie?
Diese Fragen sind nicht nur für große Konzerne relevant. Gerade mittelständische Unternehmen und öffentliche Einrichtungen nutzen häufig viele Cloud-Dienste gleichzeitig, ohne eine vollständige Übersicht über Datenflüsse, Abhängigkeiten und Notfallprozesse zu haben.
BSI C3A: Cloud-Souveränität wird messbarer
Das Bundesamt für Sicherheit in der Informationstechnik hat am 27. April 2026 die Criteria enabling Cloud Computing Autonomy, kurz C3A, veröffentlicht. Damit stellt das BSI einen Kriterienrahmen bereit, mit dem sich Cloud-Souveränität strukturierter bewerten lässt.
C3A ist dabei nicht als klassische gesetzliche Pflicht für jedes Unternehmen zu verstehen. Vielmehr handelt es sich um einen Orientierungs- und Bewertungsrahmen, der Organisationen dabei hilft, Cloud-Angebote und die eigene Cloud-Nutzung nachvollziehbarer zu beurteilen. Das BSI stellt dabei ausdrücklich einen Bezug zum Cloud Computing Compliance Criteria Catalogue C5:2026 her, der als etablierter Sicherheitsrahmen für Cloud-Dienste gilt.
Für Unternehmen bedeutet das: Cloud-Sicherheit wird nicht mehr nur über klassische technische Schutzmaßnahmen betrachtet. Zusätzlich rücken Themen wie Datenhoheit, Anbieterabhängigkeiten, Betriebsfähigkeit, Transparenz und Wechselmöglichkeiten stärker in den Mittelpunkt.
Warum ist das für Unternehmen wichtig?
Viele Organisationen haben ihre Cloud-Landschaft über Jahre hinweg aufgebaut. Einzelne Dienste wurden eingeführt, Fachbereiche haben SaaS-Lösungen genutzt, Microsoft 365 wurde erweitert, Backups wurden ausgelagert und externe Dienstleister angebunden.
Das Problem: Häufig fehlt eine zentrale Bewertung.
Dadurch entstehen typische Risiken:
- Cloud-Dienste werden genutzt, ohne dass alle Datenflüsse bekannt sind.
- Kritische Geschäftsprozesse hängen von einzelnen Anbietern ab.
- Externe Freigaben und Drittanbieter-Apps sind nicht vollständig kontrolliert.
- Backups liegen beim gleichen Anbieter wie die Produktivdaten.
- Administrationsrechte sind zu weit gefasst.
- Notfall- und Wiederherstellungsprozesse sind nicht ausreichend getestet.
- Verträge, Nachweise und Subdienstleisterlisten sind unvollständig dokumentiert.
- Ein Anbieterwechsel wäre praktisch kaum kurzfristig möglich.
Solche Risiken fallen oft erst dann auf, wenn es bereits zu spät ist: bei einem Sicherheitsvorfall, einer Störung, einer Audit-Anfrage, einer NIS2-Bewertung oder einer kritischen Rückfrage durch Geschäftsführung, Datenschutz oder Informationssicherheit.
Cloud-Souveränität bedeutet nicht „keine Cloud“
Ein wichtiger Punkt: Cloud-Souveränität ist kein Argument gegen Cloud-Dienste.
Im Gegenteil: Cloud-Dienste können sicher, effizient und sinnvoll sein. Viele Unternehmen profitieren von Skalierbarkeit, Verfügbarkeit, modernen Sicherheitsfunktionen und professionellem Betrieb. Problematisch wird es erst, wenn Cloud-Dienste unkontrolliert wachsen und niemand mehr genau weiß, welche Abhängigkeiten bestehen.
Cloud-Souveränität bedeutet daher:
- Cloud bewusst nutzen.
- Risiken verstehen.
- Abhängigkeiten reduzieren.
- Datenhoheit stärken.
- Notfallfähigkeit sicherstellen.
- Sicherheitsmaßnahmen konsequent umsetzen.
Es geht also nicht um Verzicht, sondern um Kontrolle.
Unsere Dienstleistung: Cloud-Souveränität – Risikobewertung & Umsetzung
Wir unterstützen Unternehmen und öffentliche Einrichtungen dabei, ihre bestehende Cloud-Nutzung strukturiert zu analysieren und konkrete Verbesserungsmaßnahmen umzusetzen.
Dabei betrachten wir nicht nur einzelne technische Einstellungen, sondern das Gesamtbild: Welche Cloud-Dienste werden genutzt? Welche Daten liegen dort? Welche Dienste sind kritisch? Welche Risiken bestehen? Welche Maßnahmen sind sinnvoll priorisiert? Und wie lassen sich diese Maßnahmen praktisch umsetzen?
Unser Ansatz ist bewusst pragmatisch. Es geht nicht darum, einen theoretischen Bericht zu erstellen, der anschließend in der Schublade verschwindet. Ziel ist eine klare Bewertung mit konkreten Handlungsempfehlungen und anschließender Unterstützung bei der Umsetzung.
Was prüfen wir konkret?
Im Rahmen einer Cloud-Souveränitätsanalyse betrachten wir unter anderem folgende Bereiche:
Cloud-Bestandsaufnahme
Zunächst schaffen wir Transparenz über die bestehende Cloud-Nutzung. Dazu gehören Microsoft 365, Azure, AWS, Google Cloud, Backup-Dienste, Fachanwendungen, SaaS-Portale, Kollaborationsplattformen und weitere externe Dienste.
Wir prüfen, welche Dienste eingesetzt werden, welche Daten dort verarbeitet werden und welche Systeme oder Prozesse davon abhängig sind.
Kritikalität und Abhängigkeiten
Nicht jeder Cloud-Dienst ist gleich kritisch. Ein Marketing-Tool hat eine andere Bedeutung als Microsoft 365, die zentrale Identitätsverwaltung, ein ERP-System oder die Backup-Umgebung.
Deshalb bewerten wir, welche Cloud-Dienste für den Geschäftsbetrieb besonders relevant sind und welche Auswirkungen ein Ausfall, ein Sicherheitsvorfall oder ein Anbieterwechsel hätte.
Sicherheit und Zugriffsschutz
Ein Schwerpunkt liegt auf der technischen Absicherung der Cloud-Umgebung. Dazu zählen unter anderem Identitäten, Berechtigungen, MFA, Conditional Access, Admin-Rollen, externe Freigaben, Protokollierung und Monitoring.
Gerade in Microsoft-365-Umgebungen zeigen sich hier häufig schnell umsetzbare Verbesserungsmöglichkeiten.
Datenhoheit und Wiederherstellbarkeit
Wir bewerten, ob Daten nachvollziehbar geschützt, gesichert, exportiert und wiederhergestellt werden können. Dabei geht es auch um die Frage, ob Backups unabhängig genug vom eigentlichen Cloud-Anbieter sind.
Denn ein Backup ist nur dann wirklich hilfreich, wenn es im Ernstfall verfügbar, vollständig und wiederherstellbar ist.
Verträge, Nachweise und Dienstleister
Cloud-Souveränität hat auch eine organisatorische Seite. Deshalb betrachten wir vorhandene Dokumentationen, Verträge, Nachweise, Subdienstleister, Verantwortlichkeiten und Prozesse.
Das ist besonders relevant für ISMS, NIS2, Datenschutz, Lieferantenbewertung und interne Nachweispflichten.
Maßnahmenplan und Umsetzung
Am Ende steht ein konkreter Maßnahmenplan. Dieser zeigt, welche Risiken bestehen, welche Maßnahmen sinnvoll sind und in welcher Reihenfolge sie umgesetzt werden sollten.
Auf Wunsch begleiten wir anschließend direkt bei der Umsetzung, zum Beispiel bei der Härtung von Microsoft 365, der Optimierung von Zugriffskonzepten, der Verbesserung von Backup-Strategien oder der Dokumentation für ISMS und Notfallmanagement.
Was haben Unternehmen davon?
Eine Cloud-Souveränitätsanalyse schafft Klarheit. Unternehmen erhalten einen strukturierten Überblick über ihre Cloud-Nutzung, kritische Abhängigkeiten und konkrete Verbesserungsmöglichkeiten.
Der größte Nutzen liegt darin, Risiken nicht erst im Ernstfall zu erkennen. Wer seine Cloud-Abhängigkeiten kennt, kann gezielt gegensteuern, technische Maßnahmen verbessern und organisatorische Lücken schließen.
Das Ergebnis ist eine Cloud-Umgebung, die nicht nur funktioniert, sondern besser kontrollierbar, sicherer und belastbarer wird.
Typische Ergebnisse einer Cloud-Souveränitätsanalyse
Nach der Analyse wissen Unternehmen unter anderem:
- Welche Cloud-Dienste besonders kritisch sind.
- Welche Daten wo verarbeitet werden.
- Welche Anbieterabhängigkeiten bestehen.
- Welche Sicherheitsmaßnahmen fehlen oder verbessert werden sollten.
- Welche Backup- und Wiederherstellungsrisiken bestehen.
- Welche Drittanbieter und Schnittstellen kritisch sind.
- Welche organisatorischen Dokumentationen fehlen.
- Welche Maßnahmen kurzfristig, mittelfristig und langfristig sinnvoll sind.
Damit entsteht eine belastbare Grundlage für technische Härtung, Risikomanagement, Notfallvorsorge, ISMS, NIS2 und Dienstleistersteuerung.
Fazit
Cloud-Dienste bleiben ein wichtiger Bestandteil moderner IT. Gleichzeitig müssen Unternehmen besser verstehen, welche Abhängigkeiten, Risiken und Kontrollverluste dadurch entstehen können.
Mit den C3A-Kriterien hat das BSI das Thema Cloud-Souveränität weiter konkretisiert und messbarer gemacht. Für Unternehmen ist das ein guter Anlass, die eigene Cloud-Nutzung nicht nur aus Komfort- oder Kostensicht zu betrachten, sondern auch aus Sicht von Sicherheit, Datenhoheit und Handlungsfähigkeit.
Cloud-Souveränität bedeutet nicht, auf Cloud zu verzichten. Es bedeutet, Cloud bewusst, sicher und kontrolliert zu nutzen.
Wir unterstützen dabei, bestehende Risiken sichtbar zu machen, Maßnahmen sinnvoll zu priorisieren und die notwendigen Verbesserungen gemeinsam umzusetzen.
Nehme jetzt Kontakt mit uns auf oder reserviere direkt Dein kostenfreies Erstgespräch.
author : Phillip
Phillip, verantwortlich für das Außenverhältnis und den Vertrieb, ist der kaufmännische Motor von aroundsec. Er fokussiert sich zudem auf die Sensibilisierung unserer Kunden gegenüber IT-Sicherheitsrisiken und schützt diese aktiv vor Social-Engineering-Angriffen. Als leidenschaftlicher Schwimmer und Taucher versteht Phillip den Wert der Sicherheit, sowohl unter Wasser als auch in der digitalen Welt.