pek - stock.adobe.com
Das sollten Sie über die Microsoft Sovereign Cloud wissen
Microsoft bündelt Sovereign-Cloud-Funktionen zu einem Betriebsmodell für regulierte Umgebungen. Ein Blick auf Architektur, Deployment-Optionen und Unterschiede zu AWS und Google.
Mit zunehmender Regulierung und steigendem geopolitischem Druck rückt die Frage, wo Daten verarbeitet werden und wer darauf zugreifen kann, ins Zentrum von Cloud-Entscheidungen. Öffentliche Verwaltungen, kritische Infrastrukturen und regulierte Branchen verlangen nach Betriebsmodellen, die sich an regionale Vorgaben anpassen lassen – ohne auf die Innovationskraft moderner Cloud-Plattformen verzichten zu müssen.
Microsoft hat im Juni 2025 unter dem Namen Microsoft Sovereign Cloud ein erweitertes Portfolio vorgestellt, das genau auf diese Anforderungen zielt. Die Microsoft Sovereign Cloud – früher als Microsoft Cloud for Sovereignty bekannt – ist eine Weiterentwicklung des ursprünglichen Angebots: eine Kombination aus Fähigkeiten und Deployment-Modellen, die Behörden und regulierten Branchen helfen soll, strenge Anforderungen an Datenresidenz, Compliance und operationale Souveränität zu erfüllen, ohne auf die Vorteile einer Hyperscale-Cloud-Plattform verzichten zu müssen.
Was die Microsoft Sovereign Cloud ist – und was nicht
Wichtig für IT-Entscheider: Die Sovereign Cloud ist kein eigenständiges Produkt und kein separates Netz von Rechenzentren. Das Angebot spannt sich sowohl über die Public Cloud als auch über private digitale Infrastrukturen – mit dem Ziel, dass Organisationen die richtige Balance aus Kontrolle, Compliance und Leistungsfähigkeit für ihre jeweiligen Anforderungen wählen können. Es handelt sich vielmehr um ein Bündel aus konfigurierbaren Kontrollmechanismen, Governance-Werkzeugen und Betriebsmodellen, das auf bestehenden Azure- und Microsoft-365-Diensten aufsetzt.
Drei Deployment-Modelle
Organisationen können aus drei Deployment-Modellen wählen, die sich nach dem jeweiligen Souveränitätsbedarf richten: Sovereign Public Cloud, Sovereign Private Cloud und National Partner Clouds.
Die Sovereign Public Cloud ist das Basismodell für die meisten europäischen Behörden und regulierten Unternehmen. Sie wird in Microsoft-betriebenen Rechenzentren innerhalb definierter geopolitischer Grenzen gehostet – etwa der EU Data Boundary – und bietet Datenresidenz, kundenseitig verwaltete Verschlüsselungsschlüssel sowie operationale Transparenz. Das Modell basiert auf der globalen Azure-Infrastruktur, ergänzt um erweiterte Souveränitätskontrollen wie Data Guardian, External Key Management und manipulationssichere Zugangsprotokolle.
Die Sovereign Private Cloud richtet sich an Szenarien, in denen bestimmte Workloads zwingend in einer physisch kontrollierten Umgebung betrieben werden müssen. Sie läuft in kundenkontrollierten oder partnergesteuerten Rechenzentren und unterstützt hybride oder vollständig isolierte Betriebsmodelle. Bereitgestellt wird sie über Azure Local und Microsoft 365 Local und ist besonders geeignet für Verteidigung, kritische Infrastruktur und nationale Sicherheitsszenarien.
Die National Partner Clouds schließlich sind das Modell mit dem höchsten Grad an nationaler Kontrolle. Sie bieten unabhängig betriebene Cloud-Umgebungen, die Azure- und Microsoft-365-Funktionen unter lokalem Besitz und lokaler Steuerung bereitstellen. Dieses Modell ist für Szenarien konzipiert, in denen vollständige Eigenverantwortung und operationale Unabhängigkeit von Microsoft erforderlich sind – etwa bei nationalen Sicherheitsanforderungen, Vorgaben des öffentlichen Sektors oder zur Absicherung geopolitischer Risiken. Aktuell existieren zwei solcher Clouds in Europa: In Frankreich betreibt Bleu, ein Joint Venture von Orange und Capgemini, eine Cloud de Confiance für den französischen öffentlichen Sektor, die auf die SecNumCloud-Anforderungen ausgelegt ist. In Deutschland betreibt Delos Cloud, eine SAP-Tochtergesellschaft, eine souveräne Cloud für den deutschen öffentlichen Sektor gemäß den Cloud-Plattformanforderungen der Bundesregierung.
Die technischen Kernkomponenten
Innerhalb der Sovereign Public Cloud bündelt Microsoft mehrere Kontrollfunktionen, die einzeln oder kombiniert eingesetzt werden können.
EU Data Boundary ist die Grundlage für europäische Kunden: Alle Kundendaten – ob ruhend (Data at Rest) oder in Übertragung (Data in Motion) – werden ausschließlich in der EU gespeichert und verarbeitet. Das erleichtert insbesondere die Dokumentation von Datenflüssen für Audit- und Compliance-Prozesse.
Die EU Data Boundary legt fest, dass Kundendaten und personenbezogene Daten für Azure, Dynamics 365, Power Platform und Microsoft 365 in der EU/EFTA gespeichert und verarbeitet werden, einschließlich Professional Services‑Daten im Ruhezustand. Microsoft verweist jedoch ausdrücklich darauf, dass in bestimmten, klar aufgelisteten Fällen – etwa beim Support‑Zugriff von außerhalb, bei Sicherheitsmaßnahmen oder kundenseitig initiierten Übertragungen – Daten auch jenseits dieser Grenze verarbeitet oder übertragen werden können.
Microsofts Wortlaut des Nachtrags zur EU Data Boundary
Diese Dokumentation zur EU-Datenbegrenzung spiegelt den aktuellen Stand der EU-Datengrenze zum Zeitpunkt der Veröffentlichung wider. Wie in vielen Fällen in dieser Dokumentation erwähnt, stellen wir weiterhin weitere Dienste und Dienstfunktionen innerhalb der EU-Datengrenze bereit und aktualisieren diese Dokumentation entsprechend und notieren das Datum der letzten Aktualisierung. Letzte Aktualisierung: 26. Februar 2025.
Data Guardian ist eine der zentralen Neuerungen, die mit dem Launch im Juni 2025 angekündigt wurden. Das Feature stellt sicher, dass nur in Europa ansässiges Microsoft-Personal den Fernzugriff auf Systeme kontrolliert, die europäische Daten speichern und verarbeiten. Sämtliche Fernzugriffe durch Microsoft-Ingenieure werden von in Europa ansässigen Mitarbeitern in Echtzeit genehmigt und überwacht – und in einem manipulationssicheren Protokoll erfasst.
External Key Management ermöglicht es Organisationen, die volle Kontrolle über ihre Verschlüsselungsschlüssel zu behalten. Kunden können Azure mit Schlüsseln verbinden, die auf ihren eigenen Hardware-Sicherheitsmodulen (HSM) vor Ort oder bei einem vertrauenswürdigen Drittanbieter gespeichert sind. Unterstützte HSM-Hersteller sind unter anderem Futurex, Thales und Utimaco.
Regulated Environment Management (REM) ist die zentrale Verwaltungsoberfläche für all diese Funktionen. Der Dienst erlaubt es, Data-Guardian-Richtlinien zu konfigurieren, Zugangsprotokolle einzusehen und Workloads für den souveränen Betrieb zu konfigurieren, bereitzustellen und zu überwachen – alles über eine einheitliche Oberfläche.
Microsoft 365 Local erweitert das Private-Cloud-Modell um Produktivitätsdienste. Kernworkloads wie Exchange Server, SharePoint Server und Skype for Business Server können vollständig innerhalb der souveränen Betriebsgrenze des Kunden auf Azure Local betrieben werden – ohne Abhängigkeit von der Public Cloud.
Azure Local bildet die technische Basis für das Private-Cloud-Modell. Kunden können mit Azure Local Workloads in vollständig isolierten Umgebungen betreiben, in denen Management, Richtliniendurchsetzung und Workload-Ausführung innerhalb der lokalen Infrastruktur verbleiben – auch wenn die Verbindung zur Public Cloud getrennt ist. Das ist besonders relevant für Produktionsanlagen, Energieversorgung und Standorte mit eingeschränkter Netzwerkverbindung.
Für Umgebungen mit den höchsten Anforderungen kommt die Sovereign Landing Zone (SLZ) als Architekturrahmen hinzu. Sie ist eine Variante der Azure Landing Zone mit Fokus auf digitale Souveränität – Datenresidenz, Confidential Computing und erweiterte Kundenkontrolle – und steht als Infrastructure-as-Code in Bicep und Terraform bereit.
Im Vergleich zu AWS und Google
Alle drei großen Hyperscaler haben ihre Angebote für regulierte Umgebungen in den vergangenen Jahren deutlich ausgebaut. Die Grundprinzipien ähneln sich, die Umsetzung unterscheidet sich aber in Gewichtung und Architektur teils erheblich.
Microsoft setzt stark auf Tiefe der Integration: Das Sovereign-Cloud-Portfolio umfasst nicht nur Infrastruktur, sondern auch Produktivitäts- und Sicherheitsdienste (Azure, Microsoft 365, Power Platform) unter einheitlichem Governance-Rahmen. Das ist ein Vorteil für Organisationen, die bereits stark in die Microsoft-Welt investiert sind, kann aber auch Abhängigkeiten verstärken.
AWS verfolgt bei seiner Sovereign-Cloud-Strategie einen anderen Ansatz: mehr physische und logische Isolation. Die AWS European Sovereign Cloud ist eine neue, unabhängige Cloud für Europa mit eigener, von der globalen AWS-Infrastruktur physisch getrennter Infrastruktur, unabhängigen Abrechnungs-, Konto- und Identitätssystemen und ohne kritische Abhängigkeiten von Nicht-EU-Infrastruktur. Der Betrieb soll ausschließlich durch in der EU ansässige EU-Bürger erfolgen, die Infrastruktur wird durch dedizierte europäische Rechtseinheiten nach deutschem Recht verwaltet. Die erste Region befindet sich in Brandenburg. Das Modell bedeutet allerdings auch, dass Kunden separate Accounts benötigen und nicht alle AWS-Dienste verfügbar sind – Analysten weisen zudem darauf hin, dass die US-amerikanische Konzernmutter weiterhin dem CLOUD Act unterliegt, was die Reichweite der Souveränitätsgarantien begrenzt.
Google Cloud verfolgt einen eher softwarebasierten Ansatz mit starkem Partnerfokus. Das Portfolio umfasst Google Cloud Data Boundary für Datenresidenz und Schlüsselkontrolle in der Public Cloud, Google Cloud Dedicated für lokal durch Partner betriebene Umgebungen sowie Google Cloud Air-Gapped für vollständig isolierte Installationen ohne Netzwerkverbindung zu Google. Für Frankreich bietet Google über das Joint Venture S3NS eine SecNumCloud-zertifizierte Lösung an, für Deutschland werden Partnerschaften mit Schwarz Group und T-Systems geführt. Google Cloud Dedicated ist so konzipiert, dass der Partner die Umgebung vollständig kontrolliert – inklusive der Möglichkeit, Software-Updates zu überwachen und im Ausnahmefall zu blockieren, und kann bis zu zwölf Monate ohne Verbindung zu Google betrieben werden. Das stellt in puncto technischer Unabhängigkeit einen weitreichenden Ansatz dar, der über das hinausgeht, was Microsoft im vergleichbaren Tier aktuell bietet.
In der Praxis bedeutet das für IT-Entscheider: Wer die höchste Stufe physischer Isolation und betrieblicher Unabhängigkeit sucht, findet bei AWS (dedizierte Partition) und Google (Air-Gapped) formal weitreichendere Optionen. Microsoft punktet mit der breitesten Integration über Produktivitäts- und Sicherheitsdienste hinweg und einem konsistenten Betriebsmodell von der Public Cloud bis zum lokalen Rechenzentrum.
Grenzen und offene Fragen
Trotz der erweiterten Kontrollmöglichkeiten bleibt ein wesentlicher Vorbehalt bestehen: Alle drei Anbieter sind US-amerikanische Konzerne und unterliegen damit grundsätzlich US-amerikanischem Recht, einschließlich des CLOUD Act. Kritiker weisen darauf hin, dass Sovereign-Cloud-Angebote zwar Datenstandort, operationale Kontrolle und Mitarbeiterzugriff verbessern, aber nicht verhindern, dass US-Behörden unter Berufung auf den CLOUD Act Datenzugriff verlangen können – unabhängig davon, wo die Infrastruktur physisch betrieben wird. Organisationen mit höchsten nationalen Sicherheitsanforderungen sollten diesen Aspekt bei ihrer Bewertung berücksichtigen.
Darüber hinaus gilt: Software-Updates, Plattformentwicklung und Betrieb werden zentral durch den Anbieter gesteuert. Die Souveränität liegt also im Wesentlichen auf der Daten- und Zugriffsebene, nicht auf der Plattformebene. Wer vollständige technologische Unabhängigkeit anstrebt, müsste auf europäische Anbieter wie Hetzner, Scaleway oder StackIT (Schwarz Digits) ausweichen – eventuell auf Kosten von Funktionsumfang und Skalierbarkeit.
Typische Einsatzszenarien
Das Modell ist besonders relevant für Behörden, die nachweisen müssen, wo Daten verarbeitet werden und wer Zugriff hat; für Betreiber kritischer Infrastrukturen, die auch bei Netzwerkunterbrechungen handlungsfähig bleiben müssen; sowie für Industrieumgebungen, die lokale Datenverarbeitung mit zentraler Analyse kombinieren. Für regulierte Unternehmen – etwa im Finanz- oder Gesundheitsbereich – bietet die Sovereign Public Cloud einen praktikablen Einstieg, der keine Migration in separate Umgebungen erfordert.
Fazit
Die Microsoft Sovereign Cloud ist das aktuell breiteste integrierte Sovereign-Cloud-Angebot eines Hyperscalers – mit konsistenter Abdeckung von Produktivitäts-, Sicherheits- und Infrastrukturdiensten über alle Deployment-Modelle hinweg. Für IT-Entscheider ist die zentrale Frage weniger, ob Microsoft, AWS oder Google das souveränste Angebot hat – sondern welche Kombination aus Kontrolle, Funktionsumfang, Betriebsaufwand und Kosten zum eigenen Risikoprofil passt.
Die Sovereign Cloud beantwortet damit nicht die Frage, ob Cloud-Dienste eingesetzt werden können. Sie definiert, unter welchen Bedingungen sie betrieben werden sollen.
