Microsoft Sovereign Cloud im Oktober 2026: Was Data Guardian, External Key Management und das Sovereign Control Panel ändern

Was angekündigt wurde, nach Status

Microsoft weist darauf hin, dass sich Verfügbarkeit je Dienst, Region und SKU unterscheidet und Termine sich verschieben können. Bevor eine dieser Funktionen zur Voraussetzung einer Architektur wird, sollte ihre Verfügbarkeit für den konkreten Dienst geprüft sein.

Data Guardian und Production Touch Ledger: Aufsicht über den Zugriff von Microsoft

Zwei bestehende Kontrollen regeln, wann Microsoft-Techniker auf Produktionssysteme zugreifen dürfen. Just-in-Time Access gewährt zeitlich begrenzten Zugriff, Customer Lockbox verlangt zusätzlich die Freigabe des Kunden, sobald Kundendaten betroffen sind. Neu sind zwei Schritte, die nach der Freigabe greifen.

Data Guardian lässt qualifizierte Fernzugriffe von Microsoft-Technikern auf Produktionssysteme in EU- und EFTA-Regionen in Echtzeit durch Personal mit Wohnsitz in Europa überwachen. Production Touch Ledger hält manipulationssicher fest, welche Aktionen während dieser Zugriffe ausgeführt wurden. Die Learn-Seite zu Data Guardian nennt Azure Confidential Ledger als Grundlage für das manipulationssichere Protokoll.

Ein Detail verdient einen genauen Blick. Die Ankündigung vom 20. Oktober spricht von einer Aufsicht durch einen vertrauenswürdigen EU-Partner. Die Learn-Seite zu Data Guardian beschreibt dagegen autorisiertes Microsoft-Personal mit Wohnsitz in der Region. Wer eine von Microsoft unabhängige Aufsicht vertraglich oder regulatorisch braucht, sollte sich die konkrete Ausgestaltung schriftlich bestätigen lassen.

An der Rechtslage ändern beide Funktionen nichts, etwa an der Frage, welche Behörden die Herausgabe von Daten verlangen können. Sie machen den technischen Zugriff kontrollierbarer und nachweisbar.

Mehr dazu: Datensouveränität: Die Architektur prüfen, nicht nur den Standort

External Key Management: Der Schlüssel bleibt außerhalb von Microsoft

Mit External Key Management bleibt der Key Encryption Key in einem HSM, das der Kunde selbst betreibt oder bei einem Dritten betreiben lässt. Managed HSM bleibt die Schnittstelle zu Azure für Berechtigungen und Schlüsselverwaltung, gibt das Ver- und Entpacken der Datenschlüssel aber über einen vom Kunden betriebenen EKM-Proxy an das externe HSM weiter.

Damit gehören externes HSM, Proxy und Verbindung zum kritischen Pfad. Ist das externe HSM nicht erreichbar, können die Azure-Dienste die betroffenen Daten nicht entschlüsseln. Microsoft empfiehlt, Verfügbarkeit, Failover, Schlüsselrotation, Neuverpackung und Wiederherstellung vor dem Produktivbetrieb zu testen.

Microsoft Learn bezeichnet External Key Management als letzte Option für Organisationen mit zwingender rechtlicher oder vertraglicher Vorgabe, nicht als allgemeine Verbesserung gegenüber Schlüsseln in Managed HSM. Für die meisten Anforderungen reichen kundenverwaltete Schlüssel in Managed HSM. Die Learn-Übersicht führte die Funktion am 23. Oktober noch als Preview, Ankündigung und Azure Updates weisen sie als allgemein verfügbar aus.

Sovereign Control Panel: Nachweise aus dem Portal

Das Sovereign Control Panel soll im Azure-Portal zeigen, wie es um die Souveränität einer Umgebung steht: welche Kontrollen greifen, wo Lücken sind und wie sie sich schließen lassen. Microsoft gliedert es in Discover, Control und Act. Dazu kommen Portabilitätsbewertungen, die zeigen, wie abhängig ein Workload von bestimmten Diensten ist, falls er in eine andere Betriebsumgebung wechseln muss.

Für Prüfungen durch Revision, Aufsicht oder Kunden ist das der praktisch wichtigste Teil der Ankündigung. Solche Nachweise werden heute meist aus Policy-Berichten, Defender, Purview und Tabellen zusammengesetzt. Bewerten lässt sich das Panel erst mit der Public Preview. Bis dahin bleibt Azure Policy, etwa über die Sovereign Landing Zone, die Grundlage für durchgesetzte Vorgaben.

Was das für Azure-Kunden in Österreich und der Schweiz bedeutet

Austria East liegt in der EU, Switzerland North in einem EFTA-Staat. Beide Regionen fallen damit in den Geltungsbereich, den Microsoft für Data Guardian und Production Touch Ledger nennt. Ob ein bestimmter Dienst in einer bestimmten Region bereits erfasst ist, sagt die Ankündigung nicht. Das ist je Dienst zu prüfen.

Austria East hat Verfügbarkeitszonen, aber kein Regionspaar. Für Kontinuität über einen Regionsausfall hinaus muss eine zweite Region bewusst gewählt werden, samt der Frage, welche Dienste und Kontrollen dort verfügbar sind. Der neue Leitfaden für Sovereign Business Continuity und die neue Management-Gruppe für Azure Local in der Sovereign Landing Zone zielen auf dieselbe Frage: wie ein Workload in der öffentlichen Cloud so gebaut wird, dass ein späterer Wechsel auf Azure Local möglich bleibt.

Fünf Fragen für die eigene Umgebung

• Welche Workloads haben eine dokumentierte Anforderung an Datenstandort, Schlüsselkontrolle oder Betreiberzugriff, und wo ist sie festgehalten?
• Ist Customer Lockbox für die betroffenen Dienste aktiviert, und wer im Unternehmen genehmigt Anfragen?
• Verlangt ein Vertrag oder eine Aufsichtsbehörde, dass der Schlüssel physisch außerhalb von Microsoft liegt? Nur dann kommt External Key Management in Frage.
• Gibt es für die wichtigsten Workloads eine getestete Wiederherstellung in einer zweiten Region oder Umgebung?
• Werden Souveränitätsvorgaben über Azure Policy durchgesetzt oder nur in Dokumenten beschrieben?

Je Workload entscheiden

Ein Architekturreview ordnet jedem Workload die Kontrollen zu, die seine Anforderungen tatsächlich verlangen, und prüft, ob sie in der gewählten Region und für die verwendeten Dienste verfügbar sind. Das Ergebnis ist eine begründete Entscheidung je Workload, keine pauschale Einstufung der ganzen Umgebung. Einführung und Betrieb der Kontrollen bleiben bei Ihnen oder Ihrem Dienstleister.