Die kurze Antwort
Schwarz Digits, die IT-Sparte der Schwarz Gruppe, und der US-Cybersecurity-Anbieter Zscaler betreiben ab sofort eine gemeinsame, souveräne Zero-Trust-Sicherheitsplattform in deutschen Rechenzentren. Technisch läuft Zscalers Zero Trust Exchange auf STACKIT, der Cloud-Plattform von Schwarz Digits. Die Partnerschaft wurde am 28. Juli 2026 vorgestellt und richtet sich an europäische Unternehmen und Behörden, die eine Zero-Trust-SASE-Architektur nutzen wollen, ohne die Kontrolle über ihre Daten aus der EU zu geben.
Der Kern ist das Zusammenspiel zweier Dinge, die bisher meist getrennt zu haben waren: eine ausgereifte, kommerziell erprobte Sicherheitsplattform und ein Betrieb, bei dem Daten nachweislich in Deutschland bleiben und dem Zugriff Dritter entzogen sind. Für Software-Teams, die auf Datenhoheit angewiesen sind, verschiebt das die Machbarkeitsgrenze.
Was Schwarz Digits und Zscaler ankündigen
Am 28. Juli 2026 haben Schwarz Digits und Zscaler eine Partnerschaft für eine souveräne Cloud-Sicherheitsplattform in Europa vorgestellt. Das Angebot verbindet die Zero-Trust-Secure-Access-Service-Edge-Architektur (SASE) von Zscaler mit der deutschen Cloud-Infrastruktur STACKIT. Konkret wird Zscalers Zero Trust Exchange auf STACKIT betrieben, dem Cloud-Dienst von Schwarz Digits, der in deutschen Rechenzentren läuft. Laut den Partnern bleiben alle sensiblen Daten innerhalb der EU und sind vor dem Zugriff Dritter geschützt; der Dienst steht europaweit ab sofort zur Verfügung.
Erklärtes Ziel ist der Schutz vor zunehmend KI-gestützten Cyberangriffen bei gleichzeitiger digitaler Souveränität. „Technologische Unabhängigkeit beginnt bei der Infrastruktur", wird Christian Müller, CEO von Schwarz Digits, zitiert. Bernd Wagner, CSO von Schwarz Digits, betont, Kunden brauchten eine sichere und resiliente IT-Infrastruktur „ohne Kompromisse bei der digitalen Souveränität". Von Zscaler-Seite verweist Misha Kuperman, Chief Reliability Officer, auf ein langfristiges Engagement in Europa und auf Lösungen, die die Angriffsfläche verkleinern und zugleich europäische Vorgaben erfüllen. Für Teams, die eine maßgeschneiderte Lösung mit hohen Sicherheitsanforderungen bauen, ist genau diese Kombination relevant: geprüfte Schutzmechanik und ein Betrieb im eigenen Rechtsraum.
Warum „souverän" hier mehr ist als ein EU-Hosting
„Souveräne Cloud" ist zu einem Marketingbegriff geworden, hinter dem sich sehr Unterschiedliches verbirgt. Ein Rechenzentrumsstandort in Frankfurt allein macht einen Dienst nicht souverän, wenn Betrieb, Steuerung und Rechtszugriff woanders liegen. Der Anspruch dieser Partnerschaft geht weiter: Der Sicherheitsdienst läuft nicht auf einer US-Hyperscaler-Infrastruktur, sondern auf STACKIT, einer Plattform unter deutscher Kontrolle. Damit adressiert das Angebot genau die Sorge, die viele europäische Behörden und regulierte Unternehmen von reinen US-Clouds fernhält: den möglichen extraterritorialen Zugriff nach ausländischem Recht.
Technisch interessant ist, dass ausgerechnet die Sicherheitsebene souverän wird. Eine Zero-Trust-SASE-Plattform sieht sehr viel — sie prüft jede Zugriffsanfrage, terminiert Verbindungen und wertet Identitäts- und Kontextsignale aus. Läuft diese Ebene bei einem Anbieter außerhalb der eigenen Jurisdiktion, ist die Kontrolle über die sensibelsten Metadaten des Unternehmens genau dort. Sie in ein deutsches Rechenzentrum zu verlagern, ist deshalb ein qualitativ anderer Schritt als das Hosten einer Web-Anwendung in der EU. Für die Bewertung solcher Aussagen liefern die BSI-Kataloge C5:2026 und der neue Katalog C3A einen praktikablen Maßstab — sie fragen nicht nur, wie sicher ein Cloud-Dienst ist, sondern wie autonom er sich betreiben lässt.
Was das für DACH-Teams bedeutet
Für Software-Teams in Deutschland, Österreich und der Schweiz ist die wichtigste Botschaft, dass Souveränität von einer Grundsatzdebatte zu einem einkaufbaren Baustein wird. Wer bisher zwischen einer ausgereiften, aber US-betriebenen Sicherheitsplattform und einer souveränen, aber weniger vollständigen Eigenlösung wählen musste, bekommt eine dritte Option. Der Effekt reicht über den einzelnen Vertrag hinaus: Je mehr souveräne Bausteine marktreif werden, desto weniger lässt sich Datenhoheit als „technisch nicht machbar" abtun — in Ausschreibungen wie in internen Architekturentscheidungen.
Zugleich ist die Plattform kein Selbstläufer. Zero Trust ist ein Architekturprinzip, keine Ware, die man nachträglich überstülpt. Damit ein SASE-Dienst seine Wirkung entfaltet, braucht es sauber modelliertes Identitäts- und Zugriffsmanagement, definierte Netzsegmente und Anwendungen, die nicht auf implizites Vertrauen im internen Netz gebaut sind. Genau hier scheitern viele Migrationen: Der Dienst ist verfügbar, aber die eigene Software geht noch davon aus, dass „innen" gleich „vertrauenswürdig" heißt. Die Compliance-Klammer aus Datenschutz, NIS-2 und DORA verstärkt den Druck, diese Hausaufgaben zu machen — sie verlangen ohnehin Nachweisbarkeit von Zugriff und Datenstandort, die eine souveräne Zero-Trust-Plattform liefern kann, wenn die Anwendung mitspielt.
Technisch ist die gute Nachricht, dass sich der Aufwand doppelt auszahlt. Dieselben Eigenschaften, die eine Anwendung Zero-Trust- und souveränitätsfähig machen — klare Dienstgrenzen, explizite Authentifizierung zwischen Komponenten, portable und containerisierte Workloads — sind auch die Merkmale gut gebauter, wartbarer Systeme. Wer eine ältere, eng gekoppelte Plattform betreibt, für den wird die Entkopplung zur konkreten Modernisierungsaufgabe, die weit über Sicherheit hinaus Nutzen stiftet.
Was Sie jetzt tun sollten
Ob Sie die neue Plattform konkret prüfen oder sich nur breiter auf souveräne Zero-Trust-Modelle vorbereiten — die Schritte ähneln sich:
- Klären Sie Ihre Identitäts- und Zugriffsbasis. Ein SASE-Dienst ist nur so gut wie die Identitäten, die er prüft. Sauberes Rollen- und Rechtemanagement ist die Voraussetzung, nicht das Ergebnis.
- Prüfen Sie implizites Vertrauen im internen Netz. Suchen Sie Komponenten, die einander ohne Authentifizierung vertrauen, weil sie „im selben Netz" liegen. Sie sind die eigentliche Baustelle jeder Zero-Trust-Umstellung.
- Bestimmen Sie Ihren Datenstandort — belegbar. Halten Sie fest, wo Daten verarbeitet und gespeichert werden und wer unter welchem Recht Zugriff hat. Ohne diese Grundlage lässt sich Souveränität weder bewerten noch nachweisen.
- Richten Sie sich an C5:2026 und C3A aus. Nutzen Sie die BSI-Kataloge als Checkliste, damit Aussagen zu Sicherheit und Autonomie an anerkannten Maßstäben hängen, nicht an eigenen Formulierungen.
- Planen Sie Portabilität mit. Ein souveräner Dienst nützt wenig, wenn Ihre Anwendung an ihn genauso fest gebunden ist wie zuvor an den US-Anbieter. Offene Schnittstellen und ein getestetes Exit-Konzept halten die Wahlfreiheit.
Nichts davon ist Rechtsberatung, und die genaue Bewertung hängt von Ihrer Branche, Ihren Systemen und Ihren Nachweispflichten ab. Das Signal der Ankündigung ist aber deutlich: Souveräne Cloud-Sicherheit ist kein Nischenversprechen mehr, sondern wird zum verfügbaren Angebot. Im Vorteil sind die Teams, die Zero-Trust-Prinzipien und Datenhoheit von Anfang an in ihre Architektur schreiben — statt sie unter Zeitdruck nachzurüsten.
Häufig gestellte Fragen
Was haben Schwarz Digits und Zscaler angekündigt?
Beide betreiben ab sofort gemeinsam eine souveräne Zero-Trust-Sicherheitsplattform in deutschen Rechenzentren. Zscalers Zero Trust Exchange läuft auf der Cloud-Plattform STACKIT von Schwarz Digits. Vorgestellt am 28. Juli 2026, europaweit verfügbar; alle sensiblen Daten bleiben in der EU und sind vor dem Zugriff Dritter geschützt.
Was ist eine Zero-Trust-SASE-Architektur?
Zero Trust bedeutet, dass keinem Nutzer und keinem Gerät automatisch vertraut wird — jede Zugriffsanfrage wird einzeln geprüft. SASE (Secure Access Service Edge) bündelt diese Zugriffskontrolle mit Netzwerkfunktionen in einem cloudbasierten Dienst, statt sie über klassische VPNs und Firewalls abzubilden. Für verteilte, hybride Teams verkleinert das die Angriffsfläche.
Warum ist die STACKIT-Cloud für die Souveränität entscheidend?
STACKIT ist die Cloud-Plattform von Schwarz Digits und läuft in deutschen Rechenzentren. Weil der Zero-Trust-Dienst dort betrieben wird und nicht auf einer US-Hyperscaler-Infrastruktur, bleiben Daten und Kontrolle in Deutschland beziehungsweise der EU — das adressiert die Sorge vor extraterritorialem Zugriff nach ausländischem Recht.
Welche Compliance-Anforderungen adressiert die Plattform?
Die Partner nennen ausdrücklich NIS-2, DORA und den EU AI Act. Eine souveräne, EU-gehostete Zero-Trust-Plattform hilft, die Anforderungen an Datenstandort, Zugriffskontrolle und Nachweisbarkeit zu erfüllen — Punkte, die diese Regelwerke verlangen.
Was bedeutet das für Software-Teams in der DACH-Region?
Souveränität wird vom politischen Anspruch zum verfügbaren Baustein. Teams können Zero-Trust-Sicherheit mit EU-Datenhoheit einkaufen, ohne selbst eine Plattform zu betreiben. Wer eigene Anwendungen baut, sollte auf Zero-Trust-Prinzipien, sauberes Zugriffsmanagement und Portabilität setzen, damit sich souveräne Infrastruktur ohne teuren Umbau nutzen lässt.
Quellen
Computerwoche — Schwarz Digits und Zscaler schmieden Security-Allianz, 28. Juli 2026
Computer&Automation — Digitale Souveränität: Schwarz Digits und Zscaler schaffen europäische Sicherheitsplattform
Presseportal — Schwarz Digits und Zscaler schließen Partnerschaft für souveräne Cloud-Sicherheitsplattform für Europa
it-daily — Zscaler hostet Plattform auf STACKIT von Schwarz Digits