SAP-Manager: „Wir dürfen nicht aus Angst vor Risiken stehenbleiben“

Martin Merz, President Sovereign Cloud bei SAPSylviane Brauer



Aufgrund des Fokus von SAP auf die Cloud, insbesondere was die – mittlerweile etwas abgeschwächte – Exklusivität von KI-Funktionen angeht, spielt digitale Souveränität für Kunden des ERP-Anbieters eine wichtige Rolle, insbesondere für solche aus dem Behörden- und KRITIS-Umfeld.



Nicht ohne Grund haben die Walldorfer daher vor knapp einem Jahr neue Bereitstellungsoptionen für ihr Sovereign-Cloud-Portfolio und eine langfristige Investition in Höhe von 20 Milliarden Euro in diesem Bereich angekündigt.



Am Rande der Sapphire gab Martin Merz, President Sovereign Cloud bei SAP, im Interview mit der Computerwoche ein Update.



Herr Merz, ‚Sovereign Cloud‘ ist neben KI derzeit eines der meistdiskutierten Themen. Gilt das auch im SAP-Umfeld?



Martin Merz: Absolut. Das Thema ist inzwischen sogar noch größer als viele denken. Das Interessante dabei: In den USA wird darüber schon seit 15 Jahren gesprochen – nur eben nicht unter dem Begriff ‚Sovereign Cloud‘. Dort spricht man eher von ‚Government Cloud‘ oder ‚Trusted Cloud‘. SAP betreibt dort seit Jahren Lösungen in hochsensiblen Bereichen der nationalen Sicherheit. Dafür haben wir sogar eine eigene Tochtergesellschaft, die NS2. Die Amerikaner haben früh einen pragmatischen Weg gefunden, auch ausländische Technologie unter voller nationaler Kontrolle einzusetzen.



In Europa dagegen kommt das Thema digitale Souveränität gerade erst so richtig auf die politische Agenda. Wir lernen aktuell noch. Auch in Australien führt man diese Debatte schon seit Jahren – und hat längst praktikable Modelle entwickelt.



„Für mich definiert sich Souveränität nicht ideologisch, sondern praktisch.“



Gartner hat kürzlich gesagt, echte digitale Souveränität gebe es eigentlich nur in den USA und China.



Merz: Das sehe ich anders. Für mich definiert sich Souveränität nicht ideologisch, sondern praktisch. Wir behaupten das ja nicht als Firma, sondern wir arbeiten grundsätzlich mit den Aufsichtsbehörden, mit den Regulatoren im Land zusammen. Wenn etwa das BSI in Deutschland sagt, dass eine bestimmte Infrastruktur die nationalen Sicherheitsanforderungen erfüllt, dann ist sie souverän – Punkt. Dann kommen unsere Lösungen darauf, die wir auch alle zertifiziert haben, und dann ist auch das Ganze souverän.



Die Amerikaner führen diese Debatte übrigens viel weniger ideologisch. Dort zählt, ob ein Modell funktioniert. Australien hat dafür auch einen spannenden Ansatz, nämlich „Buy, Build, Assemble“. Also, die beste Technologie einkaufen, dort investieren, wo man selbst stark ist, und alles unter eigener Kontrolle zusammenführen. Das halte ich für einen sehr vernünftigen Weg.



Trotzdem bleibt die Sorge vor einem möglichen „Kill Switch“ – also, dass etwa die US-Regierung im Ernstfall Dienste abschalten könnte.



Merz: Deshalb braucht man immer einen Plan B und Plan C. Den haben die meisten unserer Kunden auch. Deswegen haben wir auch verschiedenste Angebote. Immer grundsätzlich eine Fallback-Lösung zu haben, das habe ich schon beim Militär gelernt. Europa wird in dieser Hinsicht gerade erwachsen. Natürlich denken wir auch bei unseren Lösungen über solche Szenarien nach. Selbst wenn keine Updates mehr eingespielt würden, könnten Systeme wie Delos noch sehr lange weiterlaufen. Das ist auch mit dem BSI und mit der Bundesregierung entsprechend geklärt. Dafür gibt es technische und organisatorische Vorkehrungen.



Und man darf nicht vergessen: Wenn wir wirklich über Szenarien reden, in denen globale IT-Infrastrukturen abgeschaltet werden, dann reden wir ohnehin über massive geopolitische Krisen. Dann betreffen die Probleme nicht nur IT-Systeme, sondern Lieferketten, Energieversorgung und vieles mehr.



“Freedom of Choice unter voller Kontrolle”



Also mehr Fokus auf Resilienz statt auf absolute Abschottung?



Merz: Genau. Resilienz heißt, vorbereitet zu sein. Einen Generator im Keller zu haben, bildlich gesprochen. Nicht alles muss perfekt sein und nichts ist perfekt, weder in Europa noch in den USA oder China. Aber man muss handlungsfähig bleiben.



Für mich bedeutet digitale Souveränität vor allem ‚Freedom of Choice unter voller Kontrolle‘. Also die Freiheit, Innovationen zu nutzen und gleichzeitig Risiken kontrollieren zu können. Wir dürfen nicht aus Angst vor Risiken stehenbleiben. Während wir hier über Kill Switches diskutieren, entwickeln andere längst die nächsten KI-Modelle und -Innovationen.



Europa diskutiert also zu defensiv?



Merz: Ja, oft schon. Wir haben enorme Stärken: eine hervorragende Industrie, starke Technologieunternehmen, große Datenmengen und exzellente Ingenieure. Allein Europa hat vergangenes Jahr rund 30 Zettabyte Daten produziert, das ist eine Drei mit 22 Nullen.



Anstatt primär über Risiken zu sprechen, sollten wir viel stärker darüber reden, was wir daraus machen können: neue KI-Modelle, industrielle Anwendungen, Innovationen. Wir haben in Europa enormes Potenzial – wir müssen einfach anfangen und mutiger werden.



Ihr Plädoyer lautet also: pragmatisch handeln, statt sich in Grundsatzdebatten zu verlieren?



Merz: Genau. Einfach machen. Risiken professionell managen, aber Innovation trotzdem vorantreiben. Das ist der entscheidende Punkt. Wir haben in Europa großartige Technologieunternehmen – nicht nur die SAP. Wir haben starke Chiphersteller, hervorragende Forschung und enorme Datenmengen. Eigentlich ist alles da. Die entscheidende Frage ist doch: Warum gehen wir damit nicht viel selbstbewusster nach draußen und sagen klar, wo unsere Stärken liegen und wo wir weltweit führend sein können? Genau das machen andere Regionen schließlich auch.



Auch die Amerikaner sind nicht automatisch überall besser – sie treten oft einfach mutiger und offensiver auf. In Europa fehlt uns manchmal genau dieses Mindset: stärker an die eigenen Fähigkeiten zu glauben und Innovationen mit mehr Selbstvertrauen voranzutreiben.



„Das Thema Sovereign Cloud wird gerade richtig groß“



Wie skalierbar ist das Thema Sovereign Cloud eigentlich? Viele sehen das ja noch als Nischenmarkt.



Merz: Wir haben die großen Investitionen bereits getätigt – jetzt geht es darum, zu skalieren. Man sieht das auch an den Kundenprojekten. Natürlich können wir nicht alle Kunden nennen, weil viele aus hochsensiblen Bereichen kommen. Aber wir haben inzwischen beispielsweise Diehl in unserer Sovereign Cloud oder die britische Steuerbehörde HMRC, die pro Jahr 800 Milliarden Pfund Steuerumsatz verarbeitet. Gerade haben wir die Partnerschaft mit Thales angekündigt, Hensoldt ist bereits Kunde und Lockheed Martin ist seit Januar live.



Das zeigt: Das Thema wird gerade richtig groß.



Gleichzeitig ist Europa bei KI-Modellen wie Large Language Models eher zurückgefallen. Arbeitet SAP diesbezüglich mit europäischen Anbietern wie Mistral zusammen?



Merz: Ja, absolut. Die Partnerschaft mit Mistral ist bereits angekündigt und wirkt aktuell noch einmal verstärkt, genauso wie weitere Kooperationen. Grundsätzlich arbeiten wir mit europäischen, amerikanischen und anderen internationalen Anbietern zusammen – je nachdem, was unsere Kunden benötigen.



Alle Technologien, die wir angekündigt haben, bringen wir natürlich auch in die Sovereign Cloud. Dafür härten wir diese Lösungen zusätzlich ab, weil wir je nach Land unterschiedliche Security- und Compliance-Anforderungen erfüllen müssen. Aber technologisch sind wir bei Partnerschaften absolut up to date.



Es gibt bei digitaler Souveränität unterschiedliche Abstufungen. Manche wollen nur einen BSI-konformen Betrieb, andere maximale Abschottung. Gibt es solche Abstufungen auch bei den SAP-Angeboten?



Merz: Wenn wir von „Sovereign“ sprechen, haben wir dafür eine sehr klare Definition mit vier Dimensionen.



Die erste ist Data Sovereignty: Daten und auch Metadaten bleiben im Land oder zumindest in der Region.



Die zweite ist Operational Sovereignty: Wer greift auf die Daten zu? Welche Nationalität haben diese Mitarbeiter? Viele unserer Teams verfügen über entsprechende Sicherheitsüberprüfungen durch staatliche Stellen.



Die dritte Ebene ist die Technical Sovereignty. Dazu gehört etwa, dass die Control Plane – also vereinfacht gesagt das Gehirn der Cloud – immer im jeweiligen Land betrieben wird. Hinzu kommt unsere speziell gehärtete Software.



Und die vierte Dimension ist die Legal Sovereignty: Wir erfüllen die regulatorischen Anforderungen und Sicherheitsvorgaben des jeweiligen Landes.



Nur wenn alle vier Ebenen erfüllt sind, sprechen wir wirklich von Sovereign Cloud.



Was meinen Sie mit „gehärteter Software“ konkret?



Merz: Das ist tatsächlich einer unserer großen Vorteile. Angefangen hat alles mit den Anforderungen der US-Regierung. Dort mussten wir unsere Software an sehr strengen Sicherheits- und Souveränitätsvorgaben ausrichten.



Dann kamen Australien und andere Länder hinzu – jedes mit zusätzlichen Anforderungen. Das BSI wiederum hatte eigene zusätzliche Vorgaben. Dadurch ist unsere Plattform Schritt für Schritt immer stärker abgesichert worden.



Ich vergleiche das gerne mit einer Mercedes G-Klasse: Es gibt die normale Version – und die gepanzerte. Wir haben unsere ‚Panzerung‘ über Jahre kontinuierlich erweitert. Deshalb können wir heute in neue Länder gehen und oft sagen: Eure Anforderungen erfüllen wir bereits weitgehend.



„Souveränität definiert nicht SAP allein“



Bedeutet das auch, dass Regulatoren eng eingebunden sind?



Merz: Genau. Souveränität definiert nicht SAP allein. Wir gehen mit unseren Konzepten direkt zu den nationalen Behörden und Sicherheitsorganisationen. In Frankreich stimmen wir uns beispielsweise eng mit der Cybersicherheitsbehörde ANSSI ab.



Die Behörden schauen sich alles sehr genau an, geben Feedback, fordern Anpassungen – und am Ende entsteht ein Modell, das den jeweiligen nationalen Anforderungen entspricht. Genau so muss digitale Souveränität funktionieren.



Inwieweit funktioniert dieser Ansatz in der Praxis? Viele Unternehmen prüfen ja sehr genau, welche Daten und Prozesse wirklich in eine Sovereign Cloud müssen – schon allein aus Kostengründen. Und manche würden am liebsten bei On-Prem bleiben.



Merz: Tatsächlich verlaufen ungefähr 50 Prozent meiner Gespräche so, dass ich Kunden am Ende empfehle: Bleibt in der normalen Public Cloud. Nicht jeder braucht eine Sovereign Cloud.



Ich hatte beispielsweise einen großen Lebensmittelhersteller im Gespräch. Dort hieß es zunächst: ‚Wir brauchen unbedingt Sovereign Cloud.‘ Nach einer Stunde Diskussion war aber klar: Eigentlich ging es um Sicherheit – nicht um Souveränität. Und die Sicherheitsanforderungen erfüllt unsere Public Cloud bereits auf sehr hohem Niveau.



Sovereign Cloud braucht man vor allem dort, wo regulatorische oder nationale Sicherheitsanforderungen greifen. Das klassische Beispiel sind Betreiber kritischer Infrastruktur oder das Militär mit geheimen oder streng geheimen Daten. Solche Daten kann man nicht einfach in eine normale Public Cloud legen. Gleichzeitig wollen aber auch diese Kunden Innovationen nutzen – und die entstehen heute fast ausschließlich in der Cloud. Genau dafür haben wir unsere Sovereign-Angebote entwickelt.



Welche Varianten bietet SAP dabei konkret an?



Merz: Wir haben unterschiedliche Modelle. Zum einen SAP Sovereign Cloud auf AWS – besonders stark verbreitet in den Five-Eyes-Staaten und zunehmend auch in Europa. Dann gibt es enge Kooperationen mit Microsoft, etwa rund um Delos oder Azure Government Cloud.



Darüber hinaus betreiben wir eigene SAP-Cloud-Infrastrukturen. Das war ein klarer Kundenwunsch: europäische Rechenzentren unter SAP-Kontrolle. In Deutschland arbeiten wir hier eng mit dem BSI zusammen. In Kürze erhalten wir beispielsweise auch die Einsatzerlaubnis zur Verarbeitung von Daten der Geheimhaltungsstufe VS-NfD. Das ist besonders interessant für Kunden wie die Diehl Gruppe oder Behörden.



Und dann gibt es noch unser neuestes Angebot: „SAP On Site“. Der Name ist vielleicht etwas unglücklich gewählt, weil er schnell nach klassischem On-Prem klingt. Technisch ist es aber etwas anderes.



“On-Site bringt die SAP-Cloud-Infrastruktur direkt ins Kunden-RZ”



Was genau steckt hinter „On Site“?



Merz: Wir bringen unsere komplette SAP-Cloud-Infrastruktur direkt ins Rechenzentrum des Kunden. Betrieben wird sie weiterhin von SAP – inklusive Cloud-Technologie, Security und Innovationen.



Dadurch lassen sich auch höchste Sicherheitsstufen abbilden, bis hin zu Top-Secret- oder COSMIC-Secret-Anforderungen. Das Modell ist vor allem für Militär, Rüstungsunternehmen, kritische Infrastrukturen oder Ministerien interessant.



Der große Vorteil: Kunden bekommen damit den kompletten Stack – Infrastruktur, Plattform, Anwendungen, KI-Services – direkt vor Ort, trotzdem wird er als echtes Cloud-Modell betrieben.



Das klingt schon sehr nach klassischem On-Premises.



Merz: Ja, das kann man durchaus so sehen. Der Unterschied ist aber entscheidend: Es wird weiterhin als Cloud betrieben. Kunden erhalten automatisch neue Innovationen, KI-Funktionen und Updates – genau wie in unseren anderen Cloud-Angeboten.



Das ist letztlich die Kombination, die viele suchen: maximale Kontrolle und gleichzeitig Zugang zu moderner Cloud-Innovation.



Wie sieht es beim Preis aus? Gartner spricht davon, dass Unternehmen im Schnitt vielleicht 15 Prozent Aufpreis für souveräne Cloud-Angebote akzeptieren würden. Liegt SAP in dieser Größenordnung?



Merz: Konkrete Preise kommentiere ich natürlich nicht im Detail. Aber ich würde sagen: So weit liegt diese Einschätzung nicht daneben.



Ich vergleiche das gerne wieder mit der Mercedes G-Klasse: Die gepanzerte Version kostet natürlich mehr als das Standardmodell. Aber der Unterschied bleibt in einem nachvollziehbaren Rahmen.



Die Kosten hängen vermutlich auch stark vom jeweiligen Land ab? Gibt es in Europa einen Trend, Workloads aus Kostengründen eher in andere Länder auszulagern – etwa nach Osteuropa?



Merz: Interessanterweise erleben wir eher das Gegenteil. Besonders Staaten entlang der östlichen NATO-Grenze interessieren sich stark für SAP-Infrastrukturen in Deutschland.



Das hat geostrategische Gründe. Viele sagen ganz offen: Wir möchten sensible Daten lieber etwas weiter entfernt von bestimmten geopolitischen Spannungszonen betreiben. Deutschland gilt dabei als stabiler und vertrauenswürdiger Standort.



Deshalb führen wir derzeit eher Gespräche darüber, wie Kunden unsere SAP-Rechenzentren in Deutschland nutzen können – nicht umgekehrt.



Ein Argument für lokale Infrastrukturen ist oft auch der Fachkräftemangel.



Merz: Genau deshalb setzen wir stark auf internationale Zusammenarbeit. Unsere Mitarbeiter verfügen über Sicherheitsfreigaben, und über bilaterale Regierungsabkommen können Experten relativ schnell zwischen Ländern eingesetzt werden.



Wenn etwa ein Land kurzfristig Spezialisten benötigt, können Kollegen aus Deutschland oder anderen Standorten unterstützen – natürlich abgestimmt über die jeweiligen Behörden. Diese Prozesse existieren seit Jahren und funktionieren sehr gut.



Dadurch haben wir heute ein enormes internationales Wissensnetzwerk aufgebaut. Wir bieten Sovereign-Cloud-Lösungen inzwischen in rund zwei Dutzend Ländern an. Das erlaubt uns, Erfahrungen und Best Practices schnell zwischen Kunden und Staaten auszutauschen.



Also entsteht inzwischen auch eine Art internationale Sicherheits-Community rund um SAP?



Merz: Ja, definitiv. Wir haben beispielsweise eine eigene Defense User Group, in der sich Militärkunden austauschen. Viele wissen gar nicht: 23 der 32 NATO-Armeen nutzen SAP-Systeme.



Diese Kunden sprechen offen miteinander über Erfahrungen, Technologien und Herausforderungen. Wir sitzen mit am Tisch, hören zu und lernen ebenfalls daraus. Das hilft allen Beteiligten – und beschleunigt Innovationen enorm.