Zscaler bringt seine Zero-Trust-Plattform in deutsche Rechenzentren, betrieben von STACKIT, dem Cloud-Angebot der Schwarz Gruppe. Für regulierte Branchen verschiebt sich damit die eine Stelle im Netz, an der verschlüsselter Firmenverkehr kurzzeitig im Klartext vorliegt. Ob das schon digitale Souveränität ergibt, entscheidet eine andere Frage.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Souveräne Cloud-Sicherheit hat seit dem 28. Juli 2026 eine deutsche Betriebsadresse: Zscaler und Schwarz Digits haben eine gemeinsame Zero-Trust-Plattform für Europa freigeschaltet.[1] Angesprochen sind Verwaltung, Verteidigung, Finanzdienstleister und Gesundheitswesen, also die Branchen, in denen der Speicherort einer Datei längst nicht mehr die schwierigste Frage ist.
Das Wichtigste in Kürze
- Die Zero Trust Exchange von Zscaler läuft künftig auch auf STACKIT, in deutschen Rechenzentren und unter deutschem Betrieb.
- Ein SASE-Knoten bricht TLS-Verbindungen auf, um sie zu prüfen. Nach Zscalers Bedrohungsreport sind 87,2 Prozent der abgewehrten Angriffe über verschlüsselte Kanäle gekommen.
- Als Regelwerke nennen beide Häuser NIS2, DORA und die KI-Verordnung.
- Der Betrieb liegt in deutscher Hand, Software, Updates und Bedrohungsdaten stammen weiter vom US-Hersteller.
Warum entscheidet der Entschlüsselungspunkt über die Souveränität?
Ein SASE-Dienst verwahrt keine Daten, sondern lässt sie passieren. Jede Verbindung vom Notebook zur SaaS-Anwendung endet zuerst am Proxy des Anbieters, wird dort entschlüsselt, geprüft und wieder verschlüsselt. Dieser Kontrollpunkt ist das Produkt und kein Nebeneffekt davon, wie das Cybersecurity-Glossar ausführt.
Zscaler verarbeitet nach eigenen Angaben mehr als 500 Milliarden Transaktionen pro Tag in über 160 Rechenzentren. Warum die Prüfung so tief ansetzt, hat der Anbieter selbst beziffert: 87,2 Prozent der abgewehrten Angriffe sind über verschlüsselte Kanäle gekommen.[2] Ohne TLS-Aufbruch bleibt davon fast alles unsichtbar.
Genau dort liegen Zugangsdaten, Patientenakten und Vertragsentwürfe für Millisekunden im Klartext, wenn auch nur im Arbeitsspeicher. Ruhende Verschlüsselung und eigene Schlüsselverwaltung greifen an dieser Stelle nicht, weshalb die Betreiberfrage am Sicherheitsproxy härter gestellt werden muss als beim Speicherplatz. Worin sich die deutschen Anbieter unterscheiden, zeigt unser Souveränitäts-Prüfstand.
Wie weit trägt das Betreibermodell?
Die Konstruktion hat Vorläufer. Google betreibt sein deutsches Angebot gemeinsam mit Thales, secunet bringt Cloudflare-Technik unter deutsche Kontrolle, und Airbus hat 70 Anwendungen von AWS zu Scaleway verlagert. Am Ende steht jedes Mal dieselbe Formel: amerikanische Technik, europäischer Betrieb.
Die Frage nach dem Schlüsselinhaber ist damit geklärt, die nach der Lieferkette nicht. Erkennungsmodelle, Signaturen, Produktupdates und die Roadmap kommen weiterhin aus Kalifornien, und diese Bindung hat ihren Preis: Fünf Cloud-Verbände fordern derzeit ein EU-Eilverfahren gegen Broadcom, ganz ohne Zutun einer US-Behörde. Für die eigene Seite der Rechnung baut Schwarz Digits gerade den größten Cloud-Campus des Konzerns, nachdem der Umsatz der Digitalsparte 2025 auf 2,2 Milliarden Euro gestiegen ist.[3]
Souveränität entsteht nicht dort, wo die Festplatte steht, sondern dort, wo der Datenstrom aufgemacht wird. Diesen Punkt nach Deutschland zu holen, löst das Zugriffsproblem und lässt die Abhängigkeit von der Software unberührt.
— Michael Dobler, Herausgeber Dr. Web
Was in deutscher Hand liegt
- Rechenzentren und Betrieb der Inspektionsknoten
- Datenhaltung innerhalb der EU
- Zugriffskontrolle gegenüber Dritten
- Vertragspartner für regulierte Kunden
Was weiterhin aus den USA kommt
- Plattform-Code der Zero Trust Exchange
- Sicherheits-Updates und Signaturen
- Bedrohungsdaten aus dem globalen Netz
- Produktentwicklung und Roadmap
Was sollten Entscheider im DACH-Raum jetzt prüfen?
Prüfen Sie, an welchem Ort und unter wessen Kontrolle Ihr Sicherheitsanbieter TLS aufbricht, und lassen Sie sich das vertraglich zusichern. Für NIS2- und DORA-pflichtige Häuser gehört dieser Punkt in die Risikoanalyse der Lieferkette und nicht in die Produktbeschreibung.
- Inspektionsstandort und Betreiber je Dienst dokumentieren, einschließlich der Ausweichstandorte bei Ausfall.
- Zusicherung zum Ausschluss des Drittstaatenzugriffs einholen, samt Verfahren bei behördlichen Anfragen.
- Auslagerungsregister und Ausstiegsszenario um den Sicherheitsproxy erweitern, nicht nur um Speicher und Anwendungen.
- Bedrohungsdaten und Modell-Updates als eigene Lieferkettenposition führen, getrennt vom Betrieb.
Der deutsche Betrieb verschiebt eine reale Schwachstelle, und zwar die richtige. Bevor Sie den Anbieter tauschen, lohnt allerdings der Blick in die eigene Dokumentation: Brüssel hat 28.700 Mittelständler von der NIS2-Hauptlast befreit, für alle übrigen bleibt die Lieferkettenprüfung Pflicht, und in der Produktion wird sie schnell zur Haftungsfalle.
Quellen
[1] Zscaler: „Zscaler and Schwarz Digits Partner to Deliver Sovereign Cloud Security Platform for Europe“
[2] Zscaler: „Zscaler Finds Over 87% of Cyberthreats Hide in Encrypted Traffic“
[3] Schwarz Gruppe: „Unternehmen der Schwarz Gruppe erzielen 185,6 Milliarden Euro Umsatz“
Mehr Newshunger?
- Deutscher Hyperscaler im Vergleich: StackIT, IONOS und Open Telekom Cloud auf dem Souveränitäts-Prüfstand
- secunet und Cloudflare: Wie US-Cloud-Technik unter deutsche Kontrolle kommt
- Thales + Google: Souveräne Cloud für Deutschland startet
- Vom Discounter zum Cloud-Anbieter: Wie Schwarz Digits AWS und Azure angreift
- 70 Anwendungen verlassen AWS: Airbus wechselt in die französische Cloud
