Microsoft Sovereign Cloud
Provider-spezifische Quellen (Sources) aus der aktuellen Datenbasis. Nutze den Compass für Scoring, Gewichtung und A/B-Vergleich.
Provider Snapshot
Scope: Full Stack Suite (Azure/M365)
Sources / Evidence
EU Data Boundary: Speicherung/Verarbeitung von Customer Data & personenbez. Daten für Enterprise Online Services in EU/EFTA (mit Ausnahmen). (stated)
EU Data Boundary definiert „Customer Data“ (Konfigurationsinfos wie Ressourcennamen sind nicht umfasst); Metadaten-Scope je Service → unklar. (partial)
Sovereign Public Cloud in bestehenden Azure-Regionen; primär logische/operative Controls (Lockbox/Policy), keine dedizierte EU-Only Physik (außer Partner-Clouds). (stated)
Operational Controls: Customer Lockbox + Data Guardian (Audit/Protokoll). EU-Ops-Ansatz, aber Microsoft-betrieben. (stated)
US-Hyperscaler (nicht EU-unabhängig); kritische Non‑EU Abhängigkeiten/Jurisdiktion bleiben. (high risk)
Ultimate Parent: Microsoft Corp (USA). (fact)
US-Jurisdiktion: Residencies/Controls ≠ vollständige Exklusion ausländischer Rechtszugriffe (Risiko bleibt). (high risk)
Lokale Vertragsparteien möglich; Governance/Operations jedoch Microsoft. Partner-Clouds für gov use-cases (z.B. national). (partial)
Kein unabhängiger „Trustee/Board“ explizit; stattdessen Kontroll-/Transparenzprogramme. (unclear)
CMK via Azure Key Vault/Managed HSM; EU-Root-CA/Trust-Service nicht als eigenes Konzept beschrieben. (unclear)
Azure: Germany C5 (C5 im kombinierten SOC2 Type2 Report). (stated/verified)
Breites ISO/SOC-Portfolio (Service Trust Portal). (stated)
IT‑Grundschutz: Artefakte/Workbooks vorhanden, aber kein generelles IT‑Grundschutz‑Zertifikat der Public Cloud. (partial)
SecNumCloud i.d.R. über nationale Partner-Clouds (z.B. Frankreich); Microsoft selbst nicht als SecNumCloud-Anbieter ausgewiesen. (partial)
Viele Open-Source/Standards (Kubernetes), aber Azure-APIs/Services teils proprietär → Portabilität begrenzt. (mixed)
Sehr tiefes Portfolio (IaaS/PaaS/SaaS inkl. Security & Productivity). (stated)
Audit-Pakete über Service Trust Portal (SOC/C5 etc.). (stated)
Azure Policy + Sovereign Landing Zones (Guardrails/Baselines). (stated)
Operator Access via Customer Lockbox; Encryption at rest/in transit; CMK möglich. (stated)
Regelmäßige Third‑Party Audits (SOC2/C5 etc.). (stated)
Hoher Blackbox-Anteil (proprietäre Plattform); Transparenzprogramme/Docs helfen, aber begrenzt. (mixed)
Lockbox verlangt explizite Freigabe für Supportzugriff auf Customer Content; Data Guardian protokolliert. (stated)
IaC: Terraform/ARM/Bicep/Policy; Automatisierung stark. (stated)
DevOps & SDLC: umfangreiche Toolchain (DevOps, AKS, Registry, etc.). (stated)
Observability: Azure Monitor/Log Analytics/App Insights etc. (stated)
Service Limits/Quotas dokumentiert (Azure Service Limits). (stated)
Cloud Adoption Framework / Landing Zones verfügbar. (stated)
Teilweise Portabilität (Container/OSS), aber starker Vendor Lock‑in über proprietäre Services möglich. (mixed)
Viele EU-Regionen; EU Data Boundary (EU/EFTA) als Datenresidenz-Commitment. (stated)
Publiziert PUE/WUE nach Region; FY24 global PUE 1.16, EMEA PUE 1.16 (WUE 0.03). (Quelle: Microsoft Datacenters)
Sustainability Report + Ziele: 100% Stromverbrauch 24/7 mit Zero-Carbon Energy purchases bis 2030; Water-positive Ziel 2030 + Reporting. (Quellen: Microsoft Reports + Datacenter page)