Sovereign SASE Vier Komponenten für echte Datensouveränität

Datensouveränität in SASE-Architekturen ist kein binäres Merkmal. Wer die richtigen Fragen stellt, erkennt schnell: Es geht um vier Komponenten, drei Dimensionen – und viele Anbieter, die nur einen Teil davon erfüllen.

Einkaufsabteilungen stellen SASE-Anbietern heute auf jeden Fall eine Standardfrage: „Unterstützt Ihre Plattform Datensouveränität?“ Die Antwort lautet fast immer: Ja. Das Häkchen wird gesetzt. Sechs Monate nach der Einführung fragt jemand, wo die Metadaten tatsächlich gespeichert werden – und die Diskussion wird kompliziert.

„Sovereign SASE“ ist weder eine Funktion noch eine Zertifizierung. Es ist ein Label, das Anbieter auf sehr unterschiedliche Fähigkeiten anwenden – manche umfassend, manche oberflächlich. Ob eine Plattform die eigenen Anforderungen an die Datenresidenz tatsächlich erfüllt, hängt von konkreten architektonischen Gegebenheiten ab, die aber im Verkaufsprozess selten zur Sprache kommen.

Souveränität hat vier Komponenten – nicht eine

Die meisten Gespräche über Datenresidenz konzentrieren sich auf Speicherung. Die relevante Frage „Wo befinden sich meine Daten?“ ist aber nur eine von vier eigenständigen Anforderungen, die im SASE-Kontext eine Rolle spielen:

• Netzwerktransport: Verlässt der Datenverkehr das Land ausschließlich über lokale Anbieter, ohne internationale Zwischenstationen?

• Datenverarbeitung: Finden alle sicherheitsrelevanten Berechnungen – Inhaltsprüfung, Richtliniendurchsetzung, Analyse – innerhalb des Landes statt?

• Inländische Speicherung: Bleiben sensible Ereignisprotokolle und Nutzerdaten im Ruhezustand innerhalb der Rechtsordnung?

• Metadaten-Governance: Bleiben die beschreibenden Daten – also die Ausgabe des Sicherheits-Stacks – innerhalb der Landesgrenzen?

Gerade beim letzten Punkt versagen viele Anbieter stillschweigend. Ein Anbieter kann den Datenverkehr im Inland verarbeiten sowie Protokolle lokal speichern, und dennoch sensible Metadaten an eine gemeinsame globale Plattform weiterleiten, die weit über die gewünschten Landesgrenzen hinausreicht. Jede Einzelaussage ist technisch korrekt. Das Gesamtbild ist es nicht.

Das verborgene Problem: Management- und Control-Ebene

SASE-Plattformen laufen auf zwei oder drei Infrastrukturebenen: Datenebenen – manchmal mit separater Control-Ebene – und Management-Ebenen. Datenebenen übernehmen die Prüfung und das Routing des Live-Datenverkehrs. Management-Ebenen kümmern sich um Administration, Richtlinienkonfiguration und Identitätsmanagement.

Datenebenen sind oft lokal. Management-Ebenen häufig nicht. Und genau dort laufen die Funktionen, die sensible operative Metadaten generieren: Korrelation von Bedrohungsinformationen, tiefgehende Inhaltsprüfung, Nachbearbeitungsanalyse.

Ein Anbieter mit lokalem Rechenzentrum kann zutreffend behaupten, dass Datenverkehr im Inland verarbeitet wird. Das bedeutet aber nicht, dass Verwaltungsfunktionen und Metadaten denselben Kontrollen unterliegen. Unternehmen sollten deshalb jeden Anbieter um ein konkretes Systemdiagramm bitten und fragen, wo einzelne Funktionen im Stack ausgeführt werden.

Drei Dimensionen digitaler Souveränität

Gartner unterscheidet drei Dimensionen digitaler Souveränität, die für die Bewertung von SASE-Lösungen gleichermaßen relevant sind:

• Datensouveränität: Wohin werden Daten übertragen, verarbeitet und gespeichert?

• Operative Souveränität: Wer darf unter welchen Bedingungen auf die eigene Umgebung zugreifen – einschließlich Mitarbeiter des Anbieters?

• Technologische Souveränität: Kann die Infrastruktur selbst kontrolliert werden? Sind On-Premises-Deployments, kundenseitig verwaltete Verschlüsselungsschlüssel und eigene Hardware-Auswahl möglich?

Ein Anbieter kann einigen Anforderungen nachkommen, während er andere nicht erfüllt: keine regional zugelassenen Techniker, keine kundenseitige Schlüsselverwaltung, keine Option auf eine On-Premises-Datenebene. Jede Lücke stellt je nach regulatorischem Kontext ein Risiko dar.

Die richtigen Fragen stellen

Die entscheidende Frage lautet nicht „Unterstützt diese Plattform souveränes SASE?“, sondern „Welche Komponenten werden abgedeckt, auf welcher Infrastrukturebene und mit welchen Nachweisen?“

Konkret bedeutet dies, dass für jede Komponente der Standort für den Netzwerktransport, die Datenverarbeitung, die Speicherung und die Metadatenverwaltung klar festgelegt werden sollten. Besonderes Augenmerk verdient die Management-Ebene – sie ist der blinde Fleck vieler Evaluierungen. Ebenso relevant ist die Frage, ob operative und technologische Souveränität zumindest als Option vorgesehen sind.

Souveränität in SASE ist kein Binärschalter, sondern ein Kontinuum. Überzeugend ist ein Anbieter dann, wenn er genau benennen kann, wo er auf diesem Kontinuum steht – in allen vier Komponenten, in jeder benötigten Region – und dies auch belegen kann.

Fazit

IT-Verantwortliche, die SASE-Plattformen unter dem Gesichtspunkt digitaler Souveränität evaluieren, sollten drei Schritte beherzigen:

• Alle vier Datenresidenz-Komponenten prüfen, nicht nur die Speicherung

• Explizit nach der Management-Ebene und Metadaten-Governance fragen

• Operative und technologische Souveränität als gleichwertige Kriterien behandeln

Über den Autor

Joe Tomasello ist Senior Director of Product Management bei Netskope und spezialisiert auf globale Compliance-Anforderungen im öffentlichen Sektor sowie Cloud-Sicherheit. Mit mehr als drei Jahrzehnten Erfahrung in den Bereichen Netzwerk- und Sicherheitstechnologie – unter anderem bei Juniper und Riverbed – hat er sich einen Namen darin gemacht, praxisnah durch komplexe regulatorische Rahmenbedingungen zu navigieren.

(ID:50900021)