Sovereign Cloud (Säule: Sovereign)
Die Säule Sovereign Cloud des WAF++ definiert Anforderungen, Prinzipien und messbare Controls, um Souveränität über Daten, Schlüssel, Abhängigkeiten und den Betrieb nachweisbar umzusetzen.
Souveränität ist keine Eigenschaft eines Produkts. Sie ist ein Architekturzustand, der erreicht und kontinuierlich nachgewiesen werden muss.
Was bedeutet Sovereign Cloud?
Sovereign Cloud bedeutet, dass eine Organisation nachweisbare Kontrolle über folgende Dimensionen hat:
| Dimension | Was wird kontrolliert? | WAF-SOV Control |
|---|---|---|
Jurisdiktion & Datenresidenz |
Wo liegen Daten, Backups, Logs und Metadaten? |
WAF-SOV-010, WAF-SOV-020 |
Region Pinning |
Können Deployments nur in erlaubte Regionen erfolgen? |
WAF-SOV-020 |
Backup & Wiederherstellung |
Bleiben Backups innerhalb der Souveränitätsgrenzen? |
WAF-SOV-030 |
Logging & Telemetrie |
Werden Logs/Traces/Metriken sovereign gespeichert? |
WAF-SOV-040 |
Schlüsselbesitz |
Kontrolliert die Organisation ihre Verschlüsselungsschlüssel? |
WAF-SOV-050 |
Privilegierter Zugriff |
Sind Admin-Zugriffe minimal, zeitgebunden und auditierbar? |
WAF-SOV-060 |
Break-Glass |
Ist Notfallzugriff kontrolliert, geloggt und reviewed? |
WAF-SOV-070 |
Abhängigkeiten |
Sind alle Subprozessoren und Drittanbieter inventarisiert? |
WAF-SOV-080 |
Egress-Kontrolle |
Kann Daten die Souveränitätsgrenze nicht unbemerkt verlassen? |
WAF-SOV-090 |
Exit-Fähigkeit |
Kann die Organisation ihren Anbieter kontrolliert verlassen? |
WAF-SOV-100 |
Warum ist Sovereign Cloud eine eigene Säule?
Souveränität ist cross-cutting: Sie berührt Security, Reliability, Governance und Operations. Dennoch ist sie eine eigenständige Disziplin, weil:
-
Sie eigene regulatorische Anforderungen hat (GDPR, BSI C5, EUCS, GAIA-X)
-
Sie spezifische technische Controls erfordert, die keine andere Säule vollständig abdeckt
-
Sie messbar und auditierbar sein muss – nicht nur dokumentiert
-
Sie eine fundamentale Verhandlungsposition gegenüber Cloud-Anbietern darstellt
| Souveränität ohne technische Durchsetzbarkeit ist eine Behauptung, keine Kontrolle. |
Abgrenzung zu anderen Säulen
-
Security adressiert: Angriffsschutz, Vulnerability Management, Incident Detection.
-
Governance adressiert: Policies, Entscheidungsprozesse, Compliance-Rahmen.
-
Sovereign adressiert: Jurisdiktionskontrolle, Datensouveränität, Exit-Fähigkeit, Schlüsselbesitz.
Sovereign Cloud setzt voraus, dass Security-Grundlagen vorhanden sind, und ergänzt sie um jurisdiktionelle und regulatorische Anforderungen, die spezifisch für europäische und öffentliche Sektoren gelten.
Controls-Überblick
Die Säule Sovereign wird durch 10 messbare Controls operationalisiert (WAF-SOV-010 bis WAF-SOV-100).
| Control ID | Titel | Severity | Automatisierbar |
|---|---|---|---|
Data Residency Policy Defined |
High |
Teilweise |
|
Region Pinning Enforced (IaC) |
Critical |
Hoch |
|
Backup Location & Retention Controlled |
High |
Mittel |
|
Logging & Telemetry Residency Controlled |
High |
Mittel |
|
Key Ownership & Management Defined |
Critical |
Hoch |
|
Privileged Access Controlled (SoD) |
Critical |
Teilweise |
|
Break-Glass Process & Logging |
High |
Teilweise |
|
Dependency & Subprocessor Inventory |
Medium |
Teilweise |
|
Controlled Egress & Data Exfiltration Guardrails |
High |
Mittel |
|
Exit Plan & Portability Tested |
Medium |
Niedrig–Mittel |
Schnelleinstieg
Neu in der Sovereign-Säule? Empfohlene Lesereihenfolge:
-
Definition – Was ist Sovereign Cloud genau?
-
Geltungsbereich – Was ist im Scope, was nicht?
-
Sovereign-Prinzipien – 7 Grundprinzipien
-
Controls – Die 10 messbaren Controls
-
Reifegrad-Modell – Wo steht meine Organisation?
-
Best Practices – Wie setzt man es um?