Die meisten brasilianischen Unternehmen, die in den letzten zehn Jahren in die Cloud migriert sind, haben eine stillschweigende Entscheidung getroffen, die nie als Entscheidung dargestellt wurde: dass ihre Kundendaten, Verträge, Abläufe und Strategien nach den Gesetzen der Vereinigten Staaten auf amerikanischen Servern gespeichert werden sollten, vorbehaltlich der Anordnungen eines Gerichts, von dem ihre Rechtsexperten nichts wissen. Diese Entscheidung wurde in der Checkliste einer Infrastruktur-RFP zwischen Kosten pro Gigabyte und Verfügbarkeits-SLA getroffen. Niemand nannte es Geopolitik.
Das Problem ist, dass sie genau das ist. Und das Umfeld hat sich so weit verändert, dass das Ignorieren dieser Dimension in vielen Branchen ein Risiko darstellt, dessen sich der Vorstand bewusst sein müsste.
Was digitale Souveränität eigentlich bedeutet
Digitale Souveränität ist kein einzelnes Konzept, sondern ein Spektrum der Kontrolle über Daten, Infrastruktur und technologische Kapazität. Auf der grundlegendsten Ebene geht es darum, zu wissen, wo sich die Daten physisch befinden und welche Gesetze für sie gelten. Auf der höchsten Ebene geht es darum, sicherzustellen, dass ein Nationalstaat oder ein Unternehmen in der Lage ist, seine kritischen technologischen Systeme unabhängig von Entscheidungen Dritter zu betreiben – seien es andere Regierungen, private Anbieter oder ausländische Regulierungsbehörden.
Für private Unternehmen liegt das eigentliche Terrain zwischen diesen Extremen. Dabei geht es nicht um den Aufbau einer eigenen Infrastruktur wie bei einer Zentralbank, sondern um das Verständnis, dass der Abschluss eines Vertrags mit einem amerikanischen Cloud-Anbieter Daten in den Geltungsbereich des CLOUD Act bringt – ein amerikanisches Gesetz, das es der US-Regierung erlaubt, Zugriff auf Daten zu verlangen, die von amerikanischen Anbietern gespeichert werden, auch auf Servern außerhalb der USA. Dies ist keine theoretische Hypothese; wurde bereits ausgeübt. Und daran ändert keine Klausel in Ihrem SaaS-Vertrag etwas.
LGPD, DSGVO und Regulierung als Vektor der Souveränität
Das Allgemeine Datenschutzgesetz war der sichtbarste Wendepunkt für die Diskussion über digitale Souveränität in Brasilien. Darin wurde festgestellt, dass es für die Verarbeitung personenbezogener Daten von Brasilianern Regeln gibt, die eingehalten werden müssen, unabhängig davon, wo das Unternehmen seinen Hauptsitz hat oder wo sich die Server befinden. Internationale Datenübertragungen erfordern nun ausreichende Garantien.
Die europäische DSGVO ging weiter und früher. Was Europa mit der Datenschutz-Grundverordnung aufgebaut hat, ist im Grunde die Behauptung, dass die Daten europäischer Bürger nicht der amerikanischen Gerichtsbarkeit unterliegen – und dass Unternehmen, die glaubten, Privacy Shield als Abkürzung zu nutzen, überrascht waren, als der Europäische Gerichtshof diese Vereinbarung zweimal aufkündigte. Bei jeder Abschaltung mussten Unternehmen ihre Datenarchitekturen überprüfen.
Der Anspruch, der sich aus diesen Regelungen ergibt, ist nicht nur der Schutz der Privatsphäre des Einzelnen. Dabei handelt es sich um den Aufbau einer Regulierungsinfrastruktur, die definiert, wohin Daten unter welchen Bedingungen gelangen dürfen. Dies wirkt sich direkt auf Entscheidungen zur Systemarchitektur aus.
Die Antwort der Branche: Souveräne Cloud
Der Cloud-Markt reagierte mit einer neuen Kategorie: Sovereign Cloud. Die Prämisse ist einfach: Sie bietet die gleiche Elastizität und die gleichen Dienste wie eine öffentliche Cloud, bietet jedoch die Garantie, dass die Daten innerhalb einer bestimmten Gerichtsbarkeit bleiben, von lokalen Einheiten verwaltet werden und keinen Zugriff ausländischer Regierungen haben.
In Europa ist das Gaia-X-Projekt der ehrgeizigste Versuch: ein Zusammenschluss europäischer Anbieter, der eine Dateninfrastruktur mit offenen Interoperabilitätsstandards und gemeinsamer Governance zwischen den Mitgliedsländern aufbaut. OVHcloud ist das sichtbarste Beispiel eines europäischen Cloud-Anbieters, der sich explizit als souveräne Alternative zum amerikanischen Big-Tech positioniert.
In Brasilien ist das Szenario noch fragmentiert. Es gibt lokale Anbieter wie Ascenty, Localweb und braziliancloud.com; Es gibt die Präsenz internationaler Anbieter mit lokalen Regionen (AWS São Paulo, Google Cloud São Paulo, Azure Brasil Sul) – die eine geografische Lokalisierung der Daten bieten, aber die amerikanische Gerichtsbarkeit nicht ausschließen. Der Unterschied zwischen „Daten in Brasilien“ und „Daten nach brasilianischem Recht mit nationaler Geltung“ ist real und wird unterschätzt.
Wie eine Führungskraft das sehen sollte
Der erste Schritt besteht darin, die digitale Souveränität nicht mehr als Compliance-Thema zu behandeln und sie auf die strategische Risikoagenda zu setzen. LGPD Compliance ist der Boden, nicht die Decke. Wichtig ist die Frage: Wenn die kommerziellen oder diplomatischen Beziehungen mit dem Land unseres wichtigsten Cloud-Anbieters morgen kompliziert werden, wie groß ist unser Risiko?
Für Unternehmen in regulierten Branchen – Gesundheitswesen, Finanzen, Verteidigung, kritische Infrastruktur – hat diese Frage Antworten mit konkreten Konsequenzen. Für Unternehmen in anderen Sektoren beeinflusst die Antwort architektonische Entscheidungen, die das Risikoniveau des Unternehmens verändern. Die Unterscheidung zwischen Daten, die sich in einer internationalen Cloud befinden können, und Daten, die zusätzlichen rechtlichen Schutz benötigen, sollte in jeder ernsthaften Datenstrategie vorhanden sein.
Der zweite Schritt besteht darin, zu verstehen, dass die digitale Souveränität Abstufungen aufweist und die Entscheidung nicht binär sein muss zwischen „alles im amerikanischen AWS“ und „alles im eigenen Rechenzentrum in Brasilien“. Es gibt hybride Architekturen, bei denen sensiblere Daten bei Anbietern mit lokalen Zuständigkeitsgarantien liegen und weniger kritische Workloads die Elastizität internationaler Clouds nutzen. Diese absichtliche Segmentierung ist ehrlicher – und vertretbarer – als eine einzelne Architektur, die alle Daten als gleichwertig behandelt.
Die dritte Dimension, die in brasilianischen Unternehmen selten diskutiert wird, ist die Technologieabhängigkeit als betriebliches Risiko. Wenn Ihr gesamter Daten-, KI-, Kommunikations- und Kollaborationsstapel fünf amerikanische Unternehmen durchläuft, hängt Ihre Geschäftsfähigkeit von der Kontinuität dieser Geschäftsbeziehungen ab. Es ist eine Position, die es verdient, dem Vorstand bekannt zu sein, nicht nur dem CTO.
Lesen Sie auch
- Datenresidenz: Was es in der Praxis bedeutet, sicherzustellen, dass Daten in Brasilien bleiben
- LGPD zwei Jahre später: Was sich in brasilianischen Unternehmen wirklich verändert hat
- Datenverschlüsselung
- Synthetische Daten und Datenschutz: Trainieren und testen, ohne persönliche Daten preiszugeben
- Was sind synthetische Daten und warum sind sie für Führungskräfte wichtig
- Schutz vor Datenlecks: Sicherheitsleitfaden