Digitale Souveränität: Selbstbestimmtheit beginnt mit der Exit-Fähigkeit (Gesponsert)

Sprecherin: Diese Folge wurde vom Arbeitgeber des Interviewpartners gesponsert. heise meets … – Der Entscheider-Talk. Wir besprechen kritische, aktuelle und zukunftsgerichtete Themen aus der Perspektive eines Entscheiders. heise business services begrüßt Persönlichkeiten aus Wirtschaft, Wissenschaft und Politik. Immer aktuell und nah am Geschehen.

Sprecher: Herzlich willkommen zu heise meets … Uwe Geier, Vice President IONOS Cloud und ISB Informationssicherheitsbeauftragter IONOS Cloud ist bei uns. Moin Uwe.

Uwe Geier: Ja, hallo Matthias. Guten Morgen und danke für die Einladung.

Sprecher: Wir freuen uns, dass du da bist. Du gehörst ja offensichtlich zu den meistbeschäftigten Menschen im Unternehmen. War gar nicht so einfach, diesen Termin zu finden, aber jetzt bist du da. Verrate uns bitte, was macht ein Vice President IONOS Cloud und ISB-Informationssicherheitsbeauftragter IONOS Cloud im richtigen Leben?

Uwe Geier: Ja, das ist eine spannende Sache.

Sprecher: Sonst würdest du es nicht machen.

Uwe Geier: Genau. Eine vielleicht ungewöhnliche Kombination. Ich verantworte unser Cloud-Business und bin gleichzeitig Informationssicherheitsbeauftragter und sorge damit sozusagen für ein angemessenes Sicherheitsniveau. Denn mit der geopolitischen Veränderung treibt mich im Moment sehr die Souveränitätsdebatte. Die Cloud hatte ja ein Versprechen. Alle wollten rein, und zwar zu dem Anbieter mit den meisten Diensten. Das Ergebnis nach 15 Jahren ist, dass die Cloud völlig normal geworden ist. Aber Rechnungen und Abhängigkeiten sind es nicht. Und die Abhängigkeit kann halt nicht jeder Hyperscaler auflösen in Bezug auf Jurisdiktion und damit zur Haftung. Ein ganz wichtiger Aspekt dabei ist auch wieder, dass die Datenhaltung, wo die Daten sind, nur etwa 10 Prozent der Debatte ausmacht. Aber 90 Prozent sind: Wer betreibt den Stack, wer haftet, wenn etwas schief geht? Und das ist sozusagen im Moment das spannende, treibende Thema, was mich umtreibt.

Sprecher: Glaube ich unbesehen. Wir haben dich ja auch deswegen eingeladen, weil du auf ganz vielen Vorträgen, Besprechungen, Kongressen und Messen und so weiter bist und deswegen auch der meistbeschäftigste Mann im Unternehmen, hatte ich das Gefühl.

Du hast das schon ein bisschen angedeutet, Souveränität. Jetzt sind wir 15 Jahre nach diesem Cloud-Hype. Was treibt dich in diesen vielen Gesprächen, in diesen vielen Kongressen und Kontakten um? Ist es tatsächlich die Frage, die wir als Headline uns gesetzt haben: Warum Europas Chance nicht daran liegt, AWS nachzubauen?

Uwe Geier: Ja, im Prinzip schon. Und zwar ist es aus meiner Sicht so, dass sich die Cloud in drei Phasen entwickelt hat. Die erste war sozusagen die Verheißung: Alle wollen in die Cloud, und zwar zum Anbieter mit den meisten Diensten. Dann hat sich so ein kleiner Kater eingestellt. Rechnungen, die keiner mehr versteht, Datenverkehr, der extra kostet, Abhängigkeiten, aus denen man nicht mehr rauskommt. Eine gewisse Ernüchterung hat eingesetzt. Und jetzt kommt eine Reifephase, in der man Cloud als Infrastruktur quasi konsumiert wie Strom. Niemand fragt mehr, ob Cloud, sondern die Fragen heißen jetzt eigentlich: Zu welchem Preis, unter welchem Recht? Und auch mit den KI-Dynamiken, nenne ich sie mal, wiederholt sich dieses Muster gerade, nur noch schneller. Was sich ein bisschen verändert hat, ist, dass man nicht mehr dahin schaut, wer die meisten Dienste hat und damit mehr Wert bedeutet. Also wer die meisten Dienste hat, hat die wertvollste Cloud. Sondern es geht eigentlich darum, bewusst zu machen, wo legt man eigentlich seine Daten hin, wem vertraut man seinen Unternehmenswert an, seine Wertschöpfungskette, und unter welcher Jurisdiktion läuft das Ganze. Die Chance liegt nicht darin, durch Dienstevielfalt mitzuhalten, weil man am Ende das Original kopieren würde, aber nur schlechter und später. Sondern man sollte sich dann mit eigenen Alleinstellungsmerkmalen positionieren. Und dazu gehört allen voran das Souveränitätsmerkmal, das wir im Moment sehr stark erleben durch die Digitalisierung der Verwaltung oder auch der Bundesregierung, die das immer stärker in den Vordergrund stellt. Das ist sozusagen der Hype, den wir gerade erleben. Also Souveränität mit einem Stichwort.

Sprecher: Ja, genau. Stichwort Souveränität, Uwe. Jetzt mal ganz ketzerisch: Ist dazu nicht längst alles gesagt? Das höre ich doch immer wieder.

Uwe Geier: Nein, ich glaube nicht.

Sprecher: Man kann es nicht oft genug sagen.

Uwe Geier: Ich glaube nicht. Denn die Debatte geht ja erst jetzt so richtig los. Mittlerweile bieten die Hyperscaler auch Rechenzentren in Deutschland an, in Frankfurt, teilweise sogar in deutschen Gesellschaften und mit europäischem Personal. Dennoch bleibt die Verstrickung bestehen, dass letztendlich eine amerikanische Muttergesellschaft vorhanden ist. Damit ist die Debatte eigentlich nicht vorbei, sondern erfährt immer wieder neue Ausprägungen. Und jetzt für uns gesprochen: Wir können uns davon abgrenzen, indem wir ein europäisches Unternehmen europäischer Jurisdiktion sind, ohne Durchgriff des Cloud Acts zum Beispiel, der da formuliert ist.

Sprecher: Aber ich stelle die Frage dann vielleicht mal andersrum. Muss ich mich nicht am Ende mit den ganz Großen, mit ihren Dienstleistungen messen? Natürlich, wenn du sagst, bei Souveränität, Transparenz, Einfachheit, ich muss nicht jeden Service der Hyperscaler kopieren. Aber am Ende will doch der Kunde das komplette Portfolio der Dienstleistung.

Uwe Geier: Nicht unbedingt. Nehmen wir mal ein Beispiel: Wenn man 200 Dienste eines großen Hyperscalers kopiert, der umfassende Dienste in dieser Dimension anbietet, der liefert sie dann eigentlich später mit weniger Reife. Und der Vergleich läuft immer gegen das Original. Das kennen wir ja auch aus anderen Industriebereichen, dass man immer mit dem Original vergleicht. Wir sehen, dass die Hyperscaler doch eher in die Breite verkaufen, und da können wir im Prinzip nicht gewinnen und auch nicht mithalten, auch von den Dimensionen her nicht, die da geliefert werden, auch nicht von der Unternehmensstruktur. Die meisten Workloads aber, das was wir sehen, brauchen vielleicht ein Dutzend Dienste, die vernünftig funktionieren, und nicht Hunderte. Und vor allen Dingen muss man diese Dienste verstehen, die etwa 10 bis 15 oder ein Dutzend, die man da braucht. Unsere Aufgabe ist es eher, wir legen den Fokus darauf, diese so zu bauen, dass man sie versteht, dass man sie betreiben kann, nachweisen kann und auch wieder vor allen Dingen verlassen kann. Das ist, glaube ich, das Wichtigste. Die Selbstbestimmtheit ist ja ein wesentliches Merkmal der Souveränität, auch wieder rauszukommen und keinen Lock-in-Effekt zu haben. Dafür setzen wir auf offene Schnittstellen und sehr transparenten Zugang, der es auch wieder erlaubt, herauszukommen. Denn das ist im Prinzip das Exit-Argument, das stärkste in der Souveränität, liegt aber meistens bei einem selbst. Insofern wachsen wir nicht in der Zahl der Dienste, sondern in der Reife der Einzelnen. Und das ist, glaube ich, ein starkes Argument, sich darüber zu differenzieren.

Sprecher: Damit ich das richtig verstehe, lass uns das mal einfach so ein bisschen durchgehen. Wenn du sagst, ich brauche 10 bis 15 Dienste ungefähr, was ist das? Wozu brauche ich die? Was verbirgt sich dahinter?

Uwe Geier: Naja, da fangen wir ganz einfach an mit den Kerndienstleistungen: Compute, Storage und Speicher. Dann kann man weiter ausdifferenzieren. Verschiedene Storage-Arten, Block-Storage, in verschiedene Performance-Klassen, abhängig von den Workloads. Object Store für die einfache Integration und Ablage. So differenziert sich das dann aus in den Merkmalen Netzwerk, Web Application Firewalls, Traffic-Routing und verschiedene Performance-Aspekte entlang seiner Dienstleistung. Dann geht es etwas weiter hoch mit Plattform-Services. Kubernetes hier als ein ganz wichtiger, mittlerweile zentraler Service, der es erlaubt im Prinzip eine Interoperabilität in dem Dienst an sich zu gewährleisten. Der Container wird sozusagen, das Artefakt wird sozusagen zum abstrakten Mittel, das ich bei verschiedenen Dienstleistern unterbrechungsfrei platzieren kann als Container-Workload. Plattform-Services werden dahingehend immer beliebter, Database as a Service zum Beispiel, die dann einen Aspekt weg abstrahieren, den man sonst selber aufsetzen würde. Das ist nicht vollständig, aber das sind sozusagen die Kernkomponenten mit einer hohen Transparenz und Kosten im Sinne auch von der Vorhersagbarkeit. Also was kostet das denn am Ende wirklich, bin ich abhängig von variablen Kosten, wie in der Nutzung, und wie entwickelt sich meine Rechnung? Das ist immer mit einer großen Unsicherheit belegt, und das ist ein Merkmal, worauf wir setzen: auf eine hohe Transparenz, Vorhersagbarkeit, damit Berechenbarkeit. Ja, das sehe ich so als die wichtigsten Kernfeatures.

Sprecher: Lass uns da mal so ganz tief reingehen. Stell dir vor, wir beide haben zum ersten Mal Kontakt. Du bist Vice President IONOS Cloud, und ich habe acht Autohäuser irgendwo zusammen und sage, ich muss da jetzt irgendwas machen. Welche Fragen stellst du mir zuerst, und auf welche Probleme weist du mich hin? Was willst du wissen?

Uwe Geier: Naja, vielleicht so ein bisschen, wie sich grundsätzlich dein Workload über deine Dienstleistung anbietet. Gibt es Spitzenzeiten oder eher einen gleichbleibenden Workload? Welche Aspekte in Bezug auf Informationssicherheit sind dir wichtig? Unterliegst du gewissen gesetzlichen Vorschriften? Auch das ist immer ein Thema, was sehr wichtig ist.

Da kann ich vielleicht ein kleines Beispiel nennen. Wir hatten vor kurzem ein kleines, hochspezialisiertes Unternehmen, das eine Software für ein Patentmanagement hergestellt hat. In dem System liegt die Erfindung vor der Anmeldung. Also um auf dein Beispiel zu referenzieren: Wie kritisch sind meine Daten, und wie hoch ist der Schutzbedarf? Und damit sozusagen das Wertvollste, was der Kunde hatte, inklusive einer Schweigepflicht, die sich aus der Patentanwaltsordnung ergeben hat. Die ist sogar strafbar bis hin zur Freiheitsstrafe. Insofern war der Anbieter verpflichtet, sich einen Anbieter auszuwählen, der nicht zur Herausgabe der Daten verpflichtet werden kann. Da sind wir schon wieder bei der Souveränitätsdebatte. Möglicherweise gelten für dich dann auch gesetzliche Rahmenbedingungen, im Mindesten ja DSGVO, um den Schutz der Daten zu gewährleisten, also personenbezogene Daten.

Das sind sozusagen, glaube ich, die Kernfragen. Also: Welchem Rechtsrahmen bin ich unterlegen? Was sind meine Kerndaten in der Wertschöpfungskette? Und wie entwickelt sich mein Workload, sodass ich auch skalieren kann und den möglicherweise wachsenden sprunghaften Bedarf auch bedienen kann? Auch hier wieder ganz wichtig, würde ich auch fragen, inwieweit dann auch Portabilität – oder ich würde empfehlen, auf Portabilität zu setzen und die gesamte Umgebung auch als Code zu beschreiben, sodass du dann wirklich in der Lage bist, auch den Dienstleister, auch uns zu wechseln oder mindestens auch einen zweiten mit reinzunehmen, sodass man sozusagen auch dann wieder eine gewisse Wahlfreiheit und Selbstbestimmtheit hat. Das sind so, glaube ich, die Kernpunkte. Und dann geht es natürlich schnell ins Eingemachte und Differenzierte. Man muss die Daten übertragen, den Service aufsetzen, sich durchaus auch hier und da mal was ausprobieren. Wir bieten ja auch ganz viele unterschiedliche Prozessorarchitekturen und Generationen an und, wie schon vorhin genannt, unterschiedliche Storage-Performance-Klassen, dass man sozusagen auch das Richtige wählt, was dem Workload angemessen ist, und am Ende auch nicht zu viel bezahlt, kann man ja auch sagen, weil man eine zu hohe Performance-Klasse ausgewählt hat. Das ist alles ein guter Mix für den individuellen Workload, mit der Möglichkeit, immer zu skalieren und zu wachsen.

Sprecher: Ich merke schon, mit meinen acht Autohäusern bin ich natürlich harmlos im Vergleich zu den Patentrechtsgeschichten. Wie ist das weitergegangen? Was habt ihr da für eine Lösung gefunden?

Uwe Geier: Ja, das war auch tatsächlich ganz interessant. Denn was ich gerade gesagt habe: Die Infrastruktur wurde zunächst prototypenartig aufgesetzt und, als es dann konkreter wurde, als Code beschrieben. Aufgrund der gesetzlichen Rahmenbedingungen wurde ein europäischer Anbieter gesucht. Hier sind wir im Wettbewerb gewesen mit anderen europäischen Anbietern, haben uns aber durchgesetzt, aufgrund dann auch nicht nur der Jurisdiktionsfrage, sondern vor allen Dingen auch Features wie Preis und Leistung, abstrahierte Datenbank, Database as a Service. Das hat dann am Ende den Ausschlag gegeben, dass die Lösung zu uns gekommen ist und wir uns da durchgesetzt haben.

Sprecher: Das heißt, wenn ich als Kunde so dieses Bedürfnis habe, ich muss wirklich nachfragen und sagen: Okay, wir reden jetzt mit IONOS, was macht ihr anders, wo könnt ihr besonders punkten? Das muss ich als Kunde aus dir herauskitzeln.

Uwe Geier: Ja, oder dich selber informieren, weil deine Anforderungen es so erfordern. Genau. Wir positionieren uns da sehr offen und sehr nahbar. Zu uns kann man kommen. Bei uns kann man auch mal ein Datacenter besuchen, und wir sind da sehr offen und sehr nahbar.

Sprecher: Ich kann das alles gut nachvollziehen, verstehe ich. Aber ich habe in unserem Gespräch, ich habe in anderen Gesprächen, höre ich immer viele Schlagworte. Wie kann ich als Kunde prüfen, wie belastbar das ist? Wenn du mit mir in ein Datacenter gehst, dann stehe ich da staunend davor und denke: Boah, diese Teufelskerle, was die da alles aufgebaut haben. Gibt es so eine Formel, wo du sagst: Bitte frage danach? Wenn es beispielsweise – du hast einen Punkt genannt, Herausgabe der Daten – wenn es um einzelne Punkte geht, gibt es so eine Faustregel, wonach man als Kunde unbedingt fragen sollte?

Uwe Geier: Ja, also es läuft am Ende auf die Frage hinaus, wie die gesellschaftliche Struktur ist, wer am Ende haftet. Das ist ein ganz zentrales Kernelement: sich die Strukturen zeigen zu lassen, offenzulegen, nachzuvollziehen. Und dann gibt es natürlich unabhängige Prüfverfahren, Zertifikate, Attestate nennt man die. Zum Beispiel ISO 27001 ist ein allgemeiner Industriestandard, der ein angemessenes Sicherheitsniveau entlang eines Kriterienkatalogs unabhängig prüft. Darüber hinaus gibt es verschiedene nationale Frameworks, wie in Deutschland zum Beispiel vom BSI das C5, den Cloud-Kriterienkatalog, der aber attestiert. Im Unterschied zu einer Zertifizierung schaut dieses Verfahren auf einen Zeitraum, inwieweit ein Informationssicherheitsniveau nachvollziehbar, einen gewissen Zeitraum, unabhängig nachzuvollziehen ist. Das sind zum Beispiel Dinge, die man unabhängig nachvollziehen kann. Wenn man also ein Attestat hat oder ein Testat hat oder eine Zertifizierung hat, sind das immer unabhängig geprüfte Verfahren im Hinblick auf ein angemessenes Sicherheitsniveau. Das aber alleine löst noch nicht die Souveränitätsfrage. Da gibt es jetzt ein neues Framework, das allerdings noch zunächst in der Konzeptionsphase ist: C3A. Das sind Kriterien für Cloud-Autonomie, die gefasst sind. Das BSI hat es in diesem Jahr veröffentlicht und vorgelegt. Wir haben es auch kommentiert. Damit wird sozusagen Souveränität unabhängig und prüfbar. Und das ist eigentlich ganz spannend und hört auf, ein Adjektiv zu sein. Wir wollen deswegen auch kein eigenes Souveränitätsregel definieren, sondern nutzen die Kriterien, die das BSI veröffentlicht hat. Das ist eigentlich ganz spannend, weil hier, wie gerade gesagt, Souveränität jetzt in Kriterien gemessen wird. Ja, das ist sozusagen das, was du unabhängig nachprüfen kannst.

Sprecher: Denn ich will ja als Kunde erfahren, wie belastbar das Ganze ist. Und wenn ich jetzt diese BSI-Geschichte nehme, von der du gerade berichtet hast: Wie definieren sich diese Kriterien? Erzähl uns das mal.

Uwe Geier: Ja, das definiert sich eigentlich in fünf Stufen, die zunächst, so ein bisschen vereinfacht gesagt, schauen: Wo wird betrieben und wer betreibt? Welche Software wird eingesetzt, und inwieweit ist die vielleicht von einem Drittanbieter oder selber entwickelt? Und dann am Ende auch wieder: Welchem Rechtsrahmen unterliegt man, und wer ist am Ende möglicherweise zur Herausgabe verpflichtet? Das sind die Kriterien, die da gefasst sind.

Sprecher: Ich will nochmal zurück auf diese Patentrechtsthematik, die du schon angesprochen hast. Wenn wir über künstliche Intelligenz reden, ist es ja der Klassiker: Wer betreibt, wer liest mit, wer trainiert möglicherweise sein Modell mit meinen Daten? Wie macht ihr das? Am Ende geht es ja um Haftung.

Uwe Geier: Das ist ganz spannend, weil hier entwickelt sich eigentlich dasselbe wie beim Cloud Computing vielleicht in den letzten Jahren, nur viel schneller. Hier ist eigentlich der Prompt, den wir mittlerweile allgemein alle kennen – wir prompten in jede KI – das ist eigentlich dein Dokument. Und wenn man das so ein bisschen auf die Patentanwaltsgeschichte mappt, dann könnte man sagen, dass der Prompt die Erfindung ist. Und auch bei öffentlichen Auftraggebern: Vielleicht ist der Prompt Akteninhalt. Wir setzen dahingehend auf offene Modelle, auch wieder in deutschen Rechenzentren. Denn man muss darauf achten, dass die Inferenz oftmals als souverän deklariert wird, und das Monitoring der Anwendung landet doch samt den Inhalten außerhalb Europas. Weil bei KI ist der Standort der Telemetrie der Standort der Inhalte. Es funktioniert über Tracing und indirektes Trainieren der Modelle, inwieweit dann die Antwort präzise genug war. Da muss man sich also sehr klar sein, dass der Prompt im Prinzip der eigene Dateninhalt ist, den man dann preisgibt. Und da diese Dynamik so unfassbar schnell ist, ist man sich vielleicht gar nicht so bewusst, was man da alles so in den Prompt reingibt. Insofern ist die Dynamik viel größer als im Cloud Computing, in dem man ja sehr bewusst erstmal die Daten hochlädt, den Service in Gang bringt, während KI-Inferenz direkt nutzbar ist, mit kleinsten Datenmengen, Artefakten und zu einer unmittelbaren Response führt.

Sprecher: Und wenn ich mir jetzt vorstelle, ich habe diese Patentrechtskanzlei immer noch im Hinterkopf, und da ist ein Mitarbeiter, der es ganz gut meint und postet in dem Prompt oder schreibt in den Prompt das rein, was ich als Kanzleiinhaber nicht unbedingt haben möchte. Wie hilfst du mir? Wie helft ihr mir?

Uwe Geier: Also natürlich können wir die Handlung Einzelner nicht beeinflussen. Das ist ja schon klar. Wir können aufklären und einen sicheren Rechtsrahmen schaffen, der dann erlaubt, eine gewisse Sicherheit zu haben, also eine Verbindlichkeit zu haben, dass Dinge nicht den jeweiligen Rechtsraum verlassen, also unseren europäischen. Insofern helfen wir indirekt, als dass wir das nicht zulassen und dahingehend auch nicht angreifbar sind.

Sprecher: Völlig klar, dass ihr nicht in die Prompts reingucken könnt. Du hast unter anderem auch gesagt: Wenn ich wechseln will - Da trennt sich ein bisschen die Spreu vom Weizen. Das musst du noch mal erklären.

Uwe Geier: Ja, das ist einer der drei wesentlichen Aspekte und zählt auf die Exitfähigkeit, die ja auch immer wieder proklamiert wird. Aber am Ende ist eine Exitfähigkeit nur eine Klausel im Vertrag, wenn sie nicht wirklich konsequent von Anfang an mitgedacht wird. Das heißt: hier die Infrastruktur als Code zu beschreiben und damit auf offene Standards zu setzen und interoperabel zu werden. Diese Verpflichtung liegt immer bei einem selbst, weil man natürlich dafür Aufwand bemühen muss. Ich muss mir eine Schnittstelle angucken, muss mir eine API integrieren, muss es wiederholt testen. Aber darin liegt für mich der größte Schlüssel der Interoperabilität und der Souveränität. Denn ein Exitversprechen ist nur, wie gesagt, so viel wert, bis man es dann auch tatsächlich umsetzen kann. Auch dafür gibt es ja mittlerweile einen Rechtsrahmen, dem alle europäischen Unternehmen quasi verpflichtet sind, dafür Sorge zu tragen, dass Daten wieder, also auch runtergeladen, sagen wir mal vereinfacht, werden können, um sie halt in einer anderen Infrastruktur wieder auszubringen. Ja, das ist die eigene Verpflichtung, für Interoperabilität von Anfang an zu sorgen und sie zu denken, denn sonst ist man logged in, sagt man ja so schön. Das als Login-, Log-in-Effekt.

Sprecher: Also Vertrauen ist schön, aber Kontrolle ist besser.

Uwe Geier: Das stimmt, das stimmt. Und das zieht sich ja mittlerweile auch, also wir erleben das ganz oft, dass ein Anbieter sagt: Vertrauen Sie uns. Wir sehen nicht in Ihre Daten. Am Ende bleibt es ein Versprechen, auch wenn es organisatorisch abgesichert ist und auch, wie vielleicht jetzt in unserem Fall, testiert und zertifiziert ist. Aber technisch ist es weiterhin ein Versprechen. Wenn wir uns Cloud Computing anschauen, dann ist es eine virtuelle Infrastruktur, in der – man nennt es Hypervisor – dann auf Systemen laufen und verschiedene virtuelle Maschinen bereitstellen, die dann wiederum die nutzbare Compute Power abbilden. Aber es bleibt ein Versprechen. Jetzt kommt vielleicht was ganz Spannendes, was wir noch vielleicht schnell thematisieren können: Wir haben kürzlich auch ein Angebot erweitert und bieten jetzt Confidential Compute an. Aus Confidential Compute wird aus dem Versprechen „Wir schauen nicht hinein" jetzt auf einmal „Wir können gar nicht mehr hineinsehen". Denn Confidential Compute ist darauf angelegt, dass der Schlüssel zum Betrieb der virtuellen Maschine im Prozessor liegt und die VM ihre Unversehrtheit, also dass niemand hineingeschaut hat, durch einen externen Attestierungsserver validiert. Das ist jetzt sozusagen eine neue Stufe der Vertraulichkeitsstellung, weil ich niemandem mehr glauben muss, sondern selber dafür sorgen kann. Und das ist ja jetzt ein spannender neuer Aspekt.

Sprecher: Ist das ein Alleinstellungsmerkmal, was ihr momentan auf dem Markt habt?

Uwe Geier: Nein, nein, das ist es nicht. Das ist bereits gängige Technologie. Gibt es von den großen namhaften Prozessorherstellern, die das in die Prozessorarchitektur bereitstellen. Aber wir sind jetzt jemand, der das auch anbietet. Es kommt allerdings auch hier nicht ganz ohne Mühen. Natürlich: Sicherheit kommt immer zu einem gewissen Preis, das muss man so sagen. Und es ist natürlich auch technologisch ein wenig anspruchsvoll aufzusetzen. Wir bieten dahingehend aber sehr gute Tutorials an. Auch das Ganze kann man bei uns mit einer KI seiner Wahl prompten und automatisiert über Schnittstellen bereitstellen. Aber es ist schon eine Spezialanwendung, die in dem gewissen, ja, eine gewisse Notwendigkeit haben muss. Aber es gibt sie, diese Notwendigkeiten, wenn wir uns mal den Finanzdienstsektor anschauen. DORA, die DORA-Gesetzgebung, also dieser Digital Operational Resilience Act, gerade in dem Finanzdienstsektor, ein sehr verpflichtendes, umfangreiches Rahmenwerk. Das ist im Prinzip eine Antwort darauf, DORA richtig zu denken und hier von Vertrauen dann zu Verbindlichkeit zu kommen. Das ist aus einer selbstbestimmten Verbindlichkeit. Also ich bestimme, dass mein Anbieter nicht mehr auf meine Laufzeitumgebung zugreifen kann. Man spricht ja immer von Data at Rest, in Transit und in Use. In Transit ist immer dieses HTTPS, was du kennst, das ist dann verschlüsselt, die Inhalte sind auf dem Transportweg verschlüsselt. At Rest ist das, was du auf der Festplatte speicherst. Aber in Use ist jetzt diese Komponente Confidential Compute, die sozusagen in der Benutzung verschlüsselt ist, sodass auch der Anbieter gar nicht mehr, auch theoretisch, auch wenn das organisatorisch abgesichert ist, auf die Inhalte schauen kann. Das kannst du damit jetzt wegnehmen. Das ist eigentlich ganz spannend.

Sprecher: Das ist wirklich spannend, Uwe. Aber wenn wir gerade so über Trends reden, abschließend, lass uns nochmal ein bisschen gemeinsam in die Glaskugel gucken. Was kommt? Was erwartest du? Was ist möglicherweise schon im Anmarsch aus deiner Sicht, wo du sagst, das lohnt sich, das nochmal aufzuzählen?

Uwe Geier: Also was im Trend ist, möchte ich dennoch nennen, ist natürlich generative KI. Das ist momentan ein absoluter Trend. Wir sehen es im Zulauf von uns, unzähligen Kunden, öffentlichen Auftraggebern, Behörden und auch Industrieunternehmen. Hier gibt es auch einen direkten, hohen Kundennutzen: Dokumente zu durchsuchen, Kreuzverknüpfungen herzustellen, auch Coding zu unterstützen. Das ist ein absoluter Trend im Moment, die Fleißarbeit im Coding durch generative KI-Modelle übernehmen zu lassen. Das wird noch ein bisschen bleiben. Also ich sehe diesen Trend ungebrochen.

Sprecher: Wird aus dem Trend ein Hype?

Uwe Geier: Bleibt abzuwarten. Ich denke schon, der Hype-Anteil ist natürlich dabei, alles in fremde Modelle unter fremdes Recht zu pumpen, also ChatGPT, Claude und Gemini. Das ist sozusagen vielleicht der Hype-Anteil, und das miteinander zu vergleichen. Aber hier sollte man doch auch wieder bewusst zu einer bewussten Datennutzung vielleicht irgendwann wieder zurückkehren und entlang der Kritikalität auch wieder souveräne Anbieter aussuchen. Und zweitens, da sind wir wieder...

Sprecher: … da sind wir wieder bei Souveränität…

Uwe Geier: Ja, dazu wollte ich gerade überleiten. Der zweite Trend ist auf jeden Fall souveräne Cloud. Das sehen wir im Moment überall auf jeder Veranstaltung. Aber der wirkliche Nutzen ist, wenn sie wirklich operativ ist und nachgewiesen werden kann. Wie schon jetzt besprochen: die Jurisdiktionsfrage, die Personalfrage, die Datenfrage am Ende auch. Das ist im Moment ein absoluter Hype, Souveränität – und damit echte Souveränität entlang definierter Kriterien. Dann haben wir vielleicht noch so ein paar andere, wie gerade genannt: Confidential Compute, Multicloud, auch in Teilen wieder Edge Computing. Das ist auch weiterhin ein Trend für Nischenanwendungen. Edge Computing meint ja, dass man hohe Mengen von Daten dort verarbeitet, wo sie anfallen, und nicht alles in die Cloud schickt. Das ist doch bei vielen Anwendungen auch der Fall. Ja, das sind so die Trends, würde ich sehen: KI-Modelle, GPU, souveräne Cloud, Confidential Compute und Edge Computing. Das sehe ich im Moment so ein bisschen als Trends oder Hypes, mit Hype-Potenzial.

Sprecher: Ganz souverän hast du das gemacht, um die Souveränität noch mal am Ende zu haben. Uwe Geier, Vice President Cloud Products bei IONOS. Herzlichen Dank. Und ich darf an der Stelle schon hinweisen: Du besuchst uns nochmal bei heise meets … in diesem Jahr. Da freue ich mich schon sehr drauf, und ich frage dir wieder Löcher in den Bauch, versprochen.

Uwe Geier: Ja, vielen Dank, Matthias, und freue ich mich auch drauf und bis ganz bald dann.

Sprecher: Bis ganz bald, vielen Dank. Tschüss.

Sprecherin: Das war heise meets … – Der Entscheider-Talk. Sie wollen mehr erfahren? Dann besuchen Sie uns auf heise-meets.de. Wir freuen uns auf Sie.