„Wo liegen unsere Daten?“ ist eine Frage, die immer öfter nicht die IT-Abteilung stellt, sondern die Geschäftsführung, ein Prüfer oder ein Kunde vor Vertragsabschluss. Vor einigen Jahren genügte allen die Antwort „in der Cloud“. Heute reicht sie nicht mehr: Die DSGVO verlangt zu wissen, ob Daten im Europäischen Wirtschaftsraum bleiben, DORA und NIS2 verlangen, den Standort jedes kritischen Anbieters zu dokumentieren, und Kunden aus dem öffentlichen Sektor oder der Finanzbranche fordern manchmal schlicht ein Rechenzentrum im eigenen Land.
Auf dem Markt kursieren zugleich zwei Mythen. Der erste: Daten im Ausland seien automatisch unsicher oder unzulässig. Der zweite: Ein lokales Rechenzentrum sei überflüssige Sentimentalität, denn die großen Anbieter hätten EU-Regionen, und damit sei alles abgedeckt. Beides ist falsch, und die Wahrheit hängt davon ab, was Ihr System tut und wem gegenüber Sie Rechenschaft schulden.
In diesem Artikel zerlegen wir die Frage des Datenstandorts in vier praktische Aspekte: Geschwindigkeit, Recht, Compliance und Ausfallsicherheit, und erklären, wie Sie sie zu einer Entscheidung verbinden.
Latenz: Physik, die man nicht umgehen kann
Der erste Aspekt ist technisch und wird oft unterschätzt. Ein Signal läuft mit begrenzter Geschwindigkeit durch die Glasfaser, und jeder Netzwerksprung fügt eine eigene Verzögerung hinzu. Von einem Büro in einer Großstadt zu einem Rechenzentrum im selben Land beträgt die Latenz wenige Millisekunden. Zu den nächstgelegenen Hyperscaler-Regionen in Nordeuropa oder Deutschland sind es Dutzende Millisekunden.
Bei einer Website oder E-Mail bemerken Sie den Unterschied nicht. Manche Systeme stellen aber für jeden Vorgang viele kleine Anfragen an den Server: Buchhaltungs- und ERP-Anwendungen, Terminalserver, Remote-Desktops, Datenbanken mit vielen Lesezugriffen sowie BIM- und CAD-Arbeit gegen einen Dateiserver. Dort wird die Latenz mit Tausenden Anfragen multipliziert und äußert sich darin, dass die Anwendung „hängt“, obwohl der Server gar nicht ausgelastet ist.
Nach unserer Erfahrung ist das der häufigste Grund, warum Unternehmen nach einem halben Jahr aus einer ausländischen Region in ein lokales Rechenzentrum zurückziehen: nicht wegen der Sicherheit, sondern weil sich die Buchhaltung beschwert hat, dass das ERP oder der Terminalserver langsam sei.
DSGVO und Datenübermittlung: Was tatsächlich verboten ist
Der rechtliche Aspekt wird oft missverstanden. Die DSGVO verlangt nicht, dass Daten im eigenen Land gespeichert werden. Sie verlangt, dass die Verarbeitung personenbezogener Daten im Europäischen Wirtschaftsraum oder in Ländern stattfindet, die die Europäische Kommission als Länder mit angemessenem Schutzniveau anerkannt hat, und dass in anderen Fällen zusätzliche Garantien gelten und die Übermittlung dokumentiert wird.
In der Praxis bedeutet das:
- Ein Rechenzentrum in Deutschland, den Niederlanden oder Schweden ist aus Sicht der DSGVO einem Rechenzentrum im eigenen Land gleichwertig. Zusätzliche Übermittlungsvereinbarungen sind nicht nötig.
- Das Problem entsteht, wenn ein Anbieter Daten aus dem EWR hinausbringen kann: in US-Regionen, zu Support-Teams in Asien, zu Subunternehmern in Drittländern. Dann brauchen Sie Standardvertragsklauseln, eine Folgenabschätzung für die Übermittlung (Transfer Impact Assessment) und eine klare Antwort für den Prüfer.
- Wichtig ist nicht nur der Standort der Primärdaten, sondern auch von Backups, Protokollen und Support-Zugriffen. Der Vertrag mit dem Anbieter sollte die Länder auflisten, in denen Daten landen können.
Suchen Sie in Angeboten nicht nach dem Wort „sicher“, sondern nach einem konkreten Land und einer Liste der Unterauftragsverarbeiter.
DORA und NIS2: Pflicht, den Standort zu kennen und zu dokumentieren
Fällt ein Unternehmen in den Anwendungsbereich von DORA (Finanzinstitute und ihre IT-Dienstleister, anwendbar seit dem 17. Januar 2025) oder NIS2 (die EU-Richtlinie, die in das nationale Recht jedes Mitgliedstaats umgesetzt wird, in Deutschland durch das NIS-2-Umsetzungsgesetz, und die wichtige und besonders wichtige Sektoren betrifft), ist der Datenstandort keine Wahl mehr, sondern eine dokumentierte Pflicht.
Beide verlangen ein Register der IT-Drittanbieter, das angibt, welche Leistungen der Anbieter erbringt, wo sie erbracht werden, wo Daten gespeichert sind und wie die Exit-Strategie aussieht. DORA verlangt zusätzlich eine Bewertung des Konzentrationsrisikos: ob zu viele kritische Funktionen von einem einzigen Anbieter oder einem einzigen geografischen Standort abhängen.
Der praktische Unterschied zwischen einem lokalen und einem entfernten Anbieter liegt hier in der Nachprüfbarkeit. Ein Rechenzentrum im eigenen Land können Sie besuchen, sein Betreiber antwortet nach Ihrem nationalen Recht, und der Vertrag wird direkt verhandelt. Bei einem Hyperscaler erhalten Sie Standardbedingungen und Zertifikate, die Sie lesen und an Ihr Register anpassen können müssen. Beide Varianten sind rechtmäßig, die zweite erfordert jedoch mehr Dokumentationsarbeit. Mehr dazu schreiben wir in den Abschnitten zu DORA und NIS2.
Backups in einem anderen Land: Ausfallsicherheit, kein Widerspruch
Hier entsteht oft Verwirrung: Wenn die Daten im eigenen Land liegen müssen, dürfen Backups im Ausland liegen? Die Antwort lautet, dass das nicht nur erlaubt, sondern oft notwendig ist. Unter dem Gesichtspunkt der Ausfallsicherheit ist ein einzelnes Rechenzentrum, so gut es auch ist, ein Single Point of Failure. Brand, ein längerer Stromausfall, eine regionale Katastrophe: All das muss ein Notfallplan für die Geschäftsfortführung abdecken, den sowohl ISO 27001 als auch DORA verlangen.
Unser Modell: Primärdaten und Systeme laufen in unserem Rechenzentrum in Litauen (EU), und Backups werden auf Wunsch zusätzlich in einem Amazon-Rechenzentrum (AWS) in Deutschland gespiegelt. Deutschland liegt in der EU, daher ist das nach der DSGVO keine Übermittlung in ein Drittland, und die geografische Entfernung stellt sicher, dass ein einzelnes Ereignis nicht beide Standorte trifft. Manche Kunden nutzen zusätzlich unveränderliche Backups (Immutable Backups), die sich nicht verändern lassen und im Netzwerk unsichtbar sind, sodass selbst ein kompromittierter Server nicht den Verlust der Backups bedeutet.
Wann die EU-Region eines Hyperscalers die richtige Wahl ist
Es wäre unehrlich zu behaupten, ein lokales Rechenzentrum sei immer besser. Die Region eines Hyperscalers (Microsoft Azure, AWS) in der EU ist die richtige Wahl, wenn:
- Das System für Cloud-Dienste gebaut wurde, nicht für Server: Es nutzt verwaltete Datenbanken, Funktionen, Warteschlangen und KI-Dienste, die ein lokales Rechenzentrum nicht bietet.
- Die Benutzer über Europa oder die Welt verteilt sind und Ihr Heimatland nicht ihr Mittelpunkt ist.
- Sie plötzliche, großskalige Elastizität brauchen, etwa Hunderte Server für einige Stunden.
- Sie bereits Microsoft 365 nutzen und Identitäten, Sicherheit und Daten über Entra ID und Azure in einem Ökosystem verwalten wollen.
In solchen Fällen empfehlen wir selbst Microsoft Azure und helfen bei der Wahl der Region und der Konfiguration von Beschränkungen der Datenhaltung, damit Daten die EU nicht verlassen.
Wann ein lokales Rechenzentrum besser ist
Umgekehrt gewinnt ein lokales Rechenzentrum, wenn:
- Systeme latenzempfindlich sind: Buchhaltung, ERP, Terminalserver, GPU-Workstations, Datenbanken mit vielen Transaktionen.
- Sie jemanden brauchen, der für den ganzen Server verantwortlich ist, nicht nur für die Plattform: Updates, Backups, Schutz, und den Sie in Ihrer Sprache telefonisch erreichen.
- Kunden, Prüfer oder interne Richtlinien Daten im eigenen Land und einen Anbieter verlangen, der nach Ihrem nationalen Recht arbeitet.
- Die Last gleichmäßig und vorhersehbar ist und die nutzungsabhängige Abrechnung eines Hyperscalers schwer zu planen wird.
Ein Hybridmodell: meist die richtige Antwort
Für die meisten Unternehmen lautet die beste Antwort nicht „entweder oder“. Die typische Architektur, die wir sehen und empfehlen: zentrale Geschäftssysteme und Dateiserver auf betreuten Servern in einem lokalen Rechenzentrum, E-Mail und Zusammenarbeit in Microsoft 365, Identitäten in Entra ID, Backups in zwei Ländern und bei Bedarf bestimmte Cloud-Dienste in einer Azure-EU-Region.
In einem solchen Modell lebt jedes System dort, wo es am besten arbeitet, und der Datenstandort jedes einzelnen ist bekannt und dokumentiert. Genau das verlangt ein Prüfer: nicht ein Land, sondern eine klare Antwort für jedes System.
Wo anfangen
- Listen Sie Ihre Systeme auf und notieren Sie zu jedem, wo es läuft, wo seine Backups liegen, wer Zugriff hat und von wo. Das ist die Grundlage Ihres Anbieterregisters.
- Prüfen Sie, ob ein System außerhalb des EWR landen kann, einschließlich Support-Zugriffen und Subunternehmern.
- Messen Sie die Latenz von den Arbeitsplätzen zu Ihren aktuellen Servern. Wenn Systeme „hängen“, ist das oft die Ursache.
- Entscheiden Sie, welche Systeme ein lokales Rechenzentrum brauchen und welche in einer EU-Region gut aufgehoben sind, und stellen Sie sicher, dass Backups an einem anderen Ort liegen als die Primärdaten.
- Brauchen Sie Hilfe bei der Bewertung, umfasst unsere Risikobewertung eine Analyse der Anbieter und des Datenstandorts, und betreute CLOUD-Server in unserem Rechenzentrum in Litauen (EU) sind das Fundament, an dem die meisten Hybridmodelle beginnen.
