Forschungsfeld · Cloud & Souveränität
Cloud-Souveränität: vom Datenstandort zur nachweisbaren Kontrolle
Wer entscheidet, ob, wo und unter welchem Recht Ihre Systeme laufen – und Ihre KI? Vami Research übersetzt BSI C5, den Souveränitätskatalog C3A, die CSA Cloud Controls Matrix und den Kommissionsvorschlag zum Cloud & AI Development Act in prüfbare Kriterien für Anbieterauswahl, Verträge und Betrieb. Im Betrieb zählt Kontext statt Findings-Liste: Priorisiert wird nach realer Ausnutzbarkeit.
- BSI C5
- BSI C3A
- CSA CCM & CAIQ
- CNAPP & CSPM
- CADA-Entwurf
- EUCS
- Schlüsselhoheit
- Deep Dives
- 6
- Whitepaper
- 0
- Lösungen
- 1
Souveränität wird zur prüfbaren Anforderung
Cloud Security ist heute weniger ein Technologie- als ein Steuerungsproblem. Die ersten drei Plätze der CSA Top Threats 2024 belegen Fehlkonfiguration und unzureichende Änderungskontrolle, Identity and Access Management sowie unsichere Schnittstellen und APIs – durchweg Themen im Verantwortungsbereich des Kunden. Nach Microsofts Verantwortungsmatrix bleiben Daten, Endgeräte, Konten und Zugriffsverwaltung in jedem Servicemodell beim Kunden.
Zugleich ist Souveränität 2026 messbar geworden. Mit dem C3A v1.0 hat das BSI am 27. April 2026 erstmals Kriterien für die selbstbestimmte Cloud-Nutzung vorgelegt; die Neufassung C5:2026 nimmt technische Souveränität, Confidential Computing und Post-Quanten-Kryptografie auf. Der Cloud & AI Development Act liegt seit dem 3. Juni 2026 als Kommissionsvorschlag vor, das europäische Zertifizierungsschema EUCS ist weiterhin nicht verabschiedet.
Wir bewerten Cloud-Einsätze entlang dieser Kataloge und Entwürfe und stellen dieselbe Kontrollfrage an KI. VamiGRC, VamiAppSec, VamiThreat, VamiRedteam, VamiDAST, VamiReverse und Vamiset laufen als SaaS auf T Cloud Public, ausschließlich in deutschen Rechenzentren. Das Sprachmodell ist wählbar – bei VamiAppSec, VamiThreat, VamiDAST und VamiReverse bis zum lokalen Qwen3.8 im VamiSec-Rechenzentrum Sankt Augustin, bei VamiGRC für Chat, Assistent und Agenten. Kundendaten dienen nicht dem KI-Training.
Offene Fragen der Praxis
- 01
Woran erkennen Sie, ob ein Cloud-Dienst souverän ist – und nicht nur Daten in der EU speichert?
Unser Ansatz
Datenresidenz deckt im CADA-Entwurf nur die unterste von vier Stufen ab. Wir prüfen deshalb zusätzlich Betrieb und Technologie: wer den Dienst betreibt, woher der Support kommt, wem der Anbieter gehört und wer die Software weiterentwickelt. Als Raster dienen die Kriterienblöcke SOV-1 bis SOV-6 des BSI C3A und die Stufenlogik des CADA-Entwurfs.
- 02
Wie lassen sich Souveränitätsanforderungen in Vergaben verankern, ohne den Wettbewerb unzulässig einzuschränken?
Unser Ansatz
Wir wählen je Einsatzszenario die passenden C3A-Kriterien aus und formulieren sie als prüfbare Anforderungen für Leistungsbeschreibung und Anbieter-Assessment. Beschränkungen auf EU- oder Deutschland-Varianten müssen laut BSI begründet und rechtlich zulässig sein; wir verknüpfen sie deshalb mit dem Auftragsgegenstand und dokumentieren sie – von der Datenlokalisierung inklusive Telemetrie bis zu Auditrechten.
- 03
Was belegt ein C5-Testat tatsächlich – und was ändert sich mit C5:2026?
Unser Ansatz
Wir prüfen zuerst den Berichtstyp: Typ 1 bestätigt die Ausgestaltung der Kontrollen zu einem Stichtag, erst Typ 2 ihre Wirksamkeit über einen Prüfungszeitraum von in der Regel drei bis zwölf Monaten. Die Neufassung C5:2026 umfasst 168 statt 121 Kriterien und ist für Testate mit Stichtagen beziehungsweise Prüfungszeiträumen ab dem 1. Juni 2027 verbindlich; eine frühere Anwendung ist zulässig.
- 04
Was bedeutet Souveränität, wenn KI-Systeme und Agenten als Dienst aus der Cloud kommen?
Unser Ansatz
Wir behandeln einen KI-Dienst wie jeden anderen Cloud-Dienst und prüfen zusätzlich Modell, Inferenz und Trainingsdaten: wo Prompts, Ausgaben und Telemetrie verarbeitet werden, wer das Modell betreibt und weiterentwickelt und ob Betriebs- oder Kundendaten in ein Training fließen. Diese Logik folgt dem CADA-Entwurf, der aus der Ferne betriebene KI-Systeme als Cloud-Dienste einstuft.
Was wir festhalten
- 01
Datenstandort ist kein Souveränitätsnachweis
Souveränität entscheidet sich an der Systemkontrolle, nicht an der DSGVO-Konformität allein. Der US CLOUD Act erlaubt US-Behörden den Zugriff bei US-kontrollierten Anbietern unabhängig vom Speicherort. „Daten bleiben in der EU“ ist deshalb kein Nachweis – Rechtsraum und Kontrolle des Anbieters, Betrieb und Schlüsselhoheit gehören in jede Bewertung.
Beleg: Digitale Souveränität
- 02
C3A macht Souveränität prüfbar – ein Testatverfahren fehlt noch
Der BSI-Katalog C3A v1.0 vom 27. April 2026 gliedert Souveränität in sechs Kriterienblöcke, von strategischer bis technologischer Souveränität, und setzt die C5-Kriterien voraus. Er ist kein Gesetz und kein Zertifikat; standardisierte Prüfprozesse hat das BSI erst angekündigt. Anbieterangaben brauchen deshalb einen Abgleich mit belastbaren Nachweisen.
Beleg: BSI C3A
- 03
Ein C5-Testat verlagert Arbeit zum Kunden, statt sie abzunehmen
C5 ist ein Testat, kein Siegel: Unabhängige Prüfer testieren nach ISAE 3000 beziehungsweise IDW PS 860, das Ergebnis ist ein Prüfbericht, der ausgewertet werden muss. Er enthält korrespondierende Kriterien für Kunden, die der Nutzer selbst umsetzt. Erst wer sie den eigenen Kontrollen zuordnet und die Umsetzung dokumentiert, kann die Nutzung belegen.
Beleg: BSI C5
- 04
Der CADA-Entwurf legt an KI-Dienste dieselbe Stufenlogik an wie an die Cloud
Der Cloud & AI Development Act liegt als Kommissionsvorschlag vom 3. Juni 2026 vor; Kriterien und Fristen können sich im Gesetzgebungsverfahren noch ändern. Der Entwurf staffelt Souveränität in vier Union Assurance Levels, ab Stufe 2 mit Drittaudit und dem Verbot, Betriebsdaten für Drittstaats-KI zu trainieren. Aus der Ferne betriebene KI-Systeme behandelt er als Cloud-Dienste.
Wie wir vorgehen
Wir verbinden Kriterienkataloge, Prüfberichte und technische Telemetrie zu einer Bewertung – vom einzelnen Workload bis zur Vergabe. Entwürfe wie CADA und EUCS kennzeichnen wir als Entwürfe.
Drei-Hoheiten-Raster
Datenhoheit, Betriebshoheit und Technologiehoheit je Workload bewerten – inklusive Metadatenflüssen, Supportpfaden und Eigentümerstruktur des Anbieters.
Kriterienabgleich C5, C3A und CCM
Anforderungen aus BSI C5, den Blöcken SOV-1 bis SOV-6 und der CSA Cloud Controls Matrix zusammenführen; den CAIQ nutzen wir für strukturierte Anbieterbewertungen.
Prüfberichte auswerten
Berichtstyp und Prüfungszeitraum prüfen, korrespondierende Kriterien für Kunden extrahieren und den eigenen Kontrollen zuordnen.
Graphanalyse statt Findings-Liste
Fehlkonfigurationen, Schwachstellen, Identitäten und Netz-Exposition verknüpfen und Angriffspfade sichtbar machen – etwa mit Wiz; VamiSec ist Mitglied der Wiz Partner Alliance.
Read-only-Inventar mit Vamiset
Vamiset erfasst Assets in AWS, Azure und GCP ausschließlich mit Leserechten und prüft sie gegen CIS-Benchmarks und Controls etwa aus ISO 27001 und NIS2 – heute ohne KI-Funktion.
Status-Monitoring
Verfahrensstand von CADA-Vorschlag und EUCS-Kandidatenschema sowie den Übergang von C5:2020 auf C5:2026 laufend verfolgen.
So starten Sie
- 1Workloads klassifizierenWorkloads nach Souveränitäts-Kritikalität einordnen und Datenkategorien, Schutzbedarf, Vertragslage und vorhandene Nachweise erfassen.
- 2Lücken messen und priorisierenIst-Stand gegen C5, C3A und die Stufen des CADA-Entwurfs abgleichen und Lücken nach Aufwand, Abhängigkeit und Vertragslaufzeit priorisieren.
- 3Kontrolle herstellen und belegenSchlüsselhoheit, Exit-Pläne und Vertragsklauseln umsetzen, den Exit testen und die Belege für eine unabhängige Prüfung bündeln.
Deep Dives, Whitepaper und Analysen
Deep Dives 6
Analysen & News
Weitere Seiten
Vom Feld in die Umsetzung
Verwandte Forschungsfelder
Wie souverän ist Ihre Cloud – nachweisbar?
Wir spiegeln Ihre Cloud-Landschaft an BSI C5, BSI C3A und den Stufen des CADA-Entwurfs und benennen die Nachweislücken, die sich jetzt schließen lassen.