Was ist Open Sovereign Cloud (OSC)?
Die Open Sovereign Cloud (OSC) von T-Systems ist für Organisationen mit extremen Anforderungen an Datensouveränität und Kontrolle gebaut. T-Systems positioniert OSC als neue Cloud-Generation auf Open-Source-Technologien, betrieben in zertifizierten EU-Rechenzentren — ohne die typische US-Jurisdiktionsexposition globaler Hyperscaler. Details beschreibt der Anbieter auf der Seite Open Sovereign Cloud von T-Systems. Für Softwarehersteller zählt vor allem: Signaturpipelines erzeugen personenbezogene und oft besonders schutzbedürftige Daten. Wer die Engine hostet, prägt das Produktrisiko der gesamten SaaS.
Die rechtliche Grundlage elektronischer Signaturen in der EU ist die eIDAS-Verordnung. OSC ersetzt eIDAS nicht. OSC beantwortet Hosting und Jurisdiktion; eIDAS regelt die Rechtswirkung der Signatur. Beide Ebenen müssen zusammenpassen. Sign2x hostet und verarbeitet auf OSC in Deutschland — ohne Drittstaatenzugriff über den Sign2x-Betrieb — und stellt EES, FES und QES über eine Whitelabel-API bereit.
Das eIDAS-Rahmenwerk der Europäischen Kommission und Hinweise des BSI helfen Security- und Legal-Teams, Vertrauensdienste und Stand der Technik einzuordnen. Sign2x ist kein QTSP; Qualifizierung bei QES läuft über Partner wie Sign8.
OSC vs. „EU-Region eines US-Anbieters“
Viele Anbieter werben mit Rechenzentren in Frankfurt oder Amsterdam. Das beantwortet den Standort der Bytes, nicht das Recht des Betreibers. Der US Cloud Act kann Daten erreichen, die physisch in Europa liegen, sobald der Betreiber US-Recht unterliegt. Für ISVs ist das ein Ausschreibungsrisiko. Sign2x setzt deshalb auf Open Sovereign Cloud (OSC) von T-Systems, nicht auf eine EU-Region eines US-Mutterkonzerns.
Den rechtlichen Mechanismus haben wir in DSGVO vs. US Cloud Act erklärt. Die OSC-Vertiefung folgt in Cloud Act und Open Sovereign Cloud. Die Markenstory für Entscheider bleibt die souveräne E-Signatur-Alternative aus Deutschland.
Warum Signatur-Workloads besonders kritisch sind
Signaturstrecken speichern Namen, Kontaktdaten, Zeitstempel, Statusereignisse und oft branchenspezifische Felder. In regulierten Kontexten kommen besondere Kategorien hinzu. Die API wird Teil der Kernverarbeitung — kein kosmetisches PDF-Add-on. Whitelabel hält Endkunden in Ihrer Marke; ein Redirect-Portal bricht Marke und oft die Hosting-Story.
Technische Verträge und Integrationsmuster stehen im Developer Hub. Fallstudien ohne erfundene KPIs: Client Hub. FAQs: Help Center. Produktversprechen: Sign2x Home.
Hosting-Checkliste für ISVs
Fünf Fragen: Wo liegt die Verarbeitung? Welches Recht bindet den Betreiber? Bleiben Metadaten und Logs im gleichen Raum? Gibt es On-Premise ohne Feature-Verlust? Bleibt Ihre Marke sichtbar? Sign2x beantwortet Hosting mit OSC und bietet On-Premise ohne Funktionsverlust. Die kommerzielle Landung: E-Signatur-Alternative aus Deutschland. Selbstcheck: Datensouveränitäts-Check.
Papierlose Strecken können Abschlüsse um bis zu 80 % beschleunigen und Prozesskosten halbieren; Lizenzkosten liegen oft bis zu 20 % unter vergleichbaren Anbietern — sofern Compliance den Nutzen nicht später kassiert.
eIDAS-Level auf OSC: EES, FES, QES
Dieselbe API, Hosting auf OSC. EES für nachvollziehbare Zustimmung ohne qualifiziertes Zertifikat. FES nach Art. 26 eIDAS als häufiger ISV-Default. QES als höchstes Level: Sign2x orchestriert, Prüfung über Sign8/TSP. Schriftform nur, soweit elektronische Form zulässig ist. Vertiefung: eIDAS-Signatur auf souveräner Cloud.
So orchestriert Sign2x auf OSC
Upload, Unterzeichner, Felder, Status, Webhooks — Endkunden in Ihrer Marke, Verarbeitung auf OSC. Whitelabel-Fokus: Whitelabel E-Signatur auf OSC und was ISVs wirklich brauchen. Gespräch: Kontakt. Überblick: Blog.
On-Premise als Alternative zum OSC-SaaS
Nicht jeder Mandant akzeptiert SaaS. Sign2x läuft On-Premise ohne Feature-Verlust: API, Level, Whitelabel, Versand. Entweder souveränes SaaS auf OSC oder volle Kontrolle vor Ort — dieselbe Engine.
Nächste Schritte im OSC-Cluster
Weiter: Cloud Act × OSC, Whitelabel auf OSC, eIDAS auf OSC.
Für Product Owner bedeutet das konkret: die Signaturstrecke gehört in dieselbe Risikobewertung wie Authentifizierung, Zahlungsdaten und Mandantentrennung. Ein nachträglich eingekauftes Portal mit unklarer Jurisdiktion erzeugt technische Schuld, die sich in Ausschreibungen und Penetrationstests rächt. Planen Sie Hosting, eIDAS-Level und Whitelabel deshalb in derselben Epic-Reihenfolge wie die Kern-API — nicht als Phase-zwei-Nice-to-have.
Architekturentscheidungen sollten schriftlich festhalten, welche personenbezogenen Felder die Signatur-API speichert, wie lange Audit-Logs vorgehalten werden und welche Unterauftragsverarbeiter betroffen sind. OSC von T-Systems vereinfacht die Hosting-Antwort; die inhaltliche Datenminimierung bleibt Ihre Verantwortung als Softwarehersteller. Sign2x liefert die Engine, nicht die fachliche Bewertung jedes Use Cases.
In Multi-Tenant-SaaS trennen Sie Mandantendaten logisch und oft physisch. Die Signatur-API muss Tenant-IDs, Webhook-Geheimnisse und Marken-Assets isolieren. Hosting auf Open Sovereign Cloud (OSC) von T-Systems ändert nichts an der Pflicht zur Isolation — es stellt sicher, dass die Isolation nicht durch eine Drittlandsjurisdiktion unterlaufen wird.
Dispatch-Kanäle E-Mail, Link und SMS erzeugen zusätzliche personenbezogene Spuren. Prüfen Sie, welche Subprozessoren Nachrichten zustellen und ob deren Standort zur Souveränitätsstory passt. Sign2x hält die Kernverarbeitung auf OSC; Integrationspartner für Identifikation bei QES bleiben QTSP-seitig transparent zu dokumentieren.
Verkaufsgespräche mit Enterprise-Einkauf enden oft bei drei Folien: Level, Hosting, Marke. Wenn eine der drei Antworten weich wird, verlieren Sie den Deal an einen Anbieter, der wenigstens die Jurisdiktion klar benennt. OSC von T-Systems ist die klare Hosting-Antwort; eIDAS-Level und Whitelabel müssen genauso klar sein.
Change-Management intern: Legal, Security und Engineering brauchen ein gemeinsames Glossar. „EU-Server“ ist kein Synonym für „souverän“. „QES“ ist kein Synonym für „Schriftform immer“. „Whitelabel“ ist kein Synonym für „iframe eines fremden Portals“. Sign2x-Dokumentation und dieser OSC-Cluster nutzen dieselben Definitionen bewusst eng.
Messbare Outcomes bleiben an die OnePager-Leitplanken gebunden: bis zu 80 Prozent schnellere Abschlüsse, 50 Prozent niedrigere Prozesskosten und bis zu 20 Prozent günstigere Lizenzkosten gegenüber vergleichbaren Anbietern. Das sind Orientierungswerte, keine Garantie für jeden Mandanten. Hosting auf OSC ist Voraussetzung dafür, dass Compliance den Nutzen nicht später kassiert.
Wenn Sie Bestandsstrecken migrieren, priorisieren Sie Envelope-Modell, Webhooks und Identitätsanbindung vor UI-Kosmetik. Souveränes Hosting auf OSC nützt wenig, wenn der Cutover Identitätsdaten in einem Alt-System belässt, das Cloud-Act-exponiert ist. Migration ist ein Programm, kein Feature-Toggle.
Architektur (1). Die Signatur-API sollte als eigener Bounded Context modelliert werden: Envelope-Aggregate, Identitäts-Ports, Dispatch-Adapter und Webhook-Outbox. Hosting auf Open Sovereign Cloud (OSC) von T-Systems betrifft die Laufzeitumgebung dieses Kontexts, nicht die fachliche Trennung der Aggregate. Teams, die beides vermischen, verlieren bei Audits die Spur, welche personenbezogenen Daten wo landen.
Observability (1). Observability auf OSC bedeutet strukturierte Logs ohne unnötige Klartextinhalte in Metriken. Statusereignisse gehören in Webhooks und Audit-Trails; Debug-Logs dürfen keine Ausweisnummern oder Dokumentvolltexte spiegeln. Sign2x liefert die Engine-Ereignisse — die Aufbewahrungsfristen setzt Ihr Produkt nach Branchenregeln.
Verträge (1). Auftragsverarbeitungsverträge müssen Hosting auf OSC von T-Systems, Unterauftragsverarbeiter und Weisungsrechte klar benennen. Formulierungen wie „EU-Cloud“ ohne Betreiberangabe scheitern in Enterprise-Reviews. Nutzen Sie dieselben Begriffe wie in der öffentlichen Produktkommunikation, damit Marketing und Legal nicht divergieren.
Identität (1). Identitätsstrecken bei QES sind Partnerangelegenheit. Sign2x orchestriert den Workflow, ohne selbst QTSP zu sein. Dokumentieren Sie, welcher Ident-Provider und welcher Vertrauensdiensteanbieter in welchem Mandantenkontext greifen — besonders wenn GwG-nahe Prozesse im Spiel sind.
Kosten (1). TCO-Diskussionen sollten Hosting-Risiko einpreisen. Ein günstiger Listenpreis mit Cloud-Act-Exposition erzeugt Folgekosten in Legal Reviews und verlorenen Ausschreibungen. Sign2x-Orientierungswerte zu Prozessgeschwindigkeit und Lizenzkosten gelten nur, wenn die Compliance-Story trägt.
Migration (1). Migrieren Sie zuerst lesende Status-APIs und Webhooks, dann Versand, dann UI. Parallelbetrieb auf OSC reduziert Cutover-Risiko. Vermeiden Sie Big-Bang-Umschaltungen, bei denen Identitätsdaten noch im Alt-Stack liegen.
Sicherheit (1). Verschlüsselung in Transit und at Rest ist Standard; Souveränität ist zusätzlich Jurisdiktion. Penetrationstests sollten Mandantentrennung und Webhook-Authentifizierung prüfen. OSC von T-Systems adressiert den Standort- und Betreiberrahmen, nicht Ihre Application-Security-Hausaufgaben.
Produkt (1). Roadmaps, die Signatur als Phase zwei planen, unterschätzen Verkaufszyklen im Enterprise. Käufer fragen Hosting und Level früh. Stellen Sie OSC und eIDAS-Fähigkeit in denselben Discovery-Calls wie SSO und SLA.
Support (1). Support-Prozesse müssen klären, wer bei Signaturfehlern first-line ist: Ihr SaaS-Team oder der Engine-Vendor. Whitelabel bedeutet, dass Endkunden Sie anrufen — nicht Sign2x. Interne Runbooks und Eskalationspfade gehören zum Go-live.
Dokumentation (1). Öffentliche Docs und interne Architekturentscheidungsprotokolle sollten dieselben Hosting-Sätze verwenden: Open Sovereign Cloud (OSC) von T-Systems, Verarbeitung in Deutschland, kein Drittstaatenzugriff über Sign2x. Abweichende Formulierungen erzeugen Vertrauensbrüche in Due Diligence.
Architektur (2). Die Signatur-API sollte als eigener Bounded Context modelliert werden: Envelope-Aggregate, Identitäts-Ports, Dispatch-Adapter und Webhook-Outbox. Hosting auf Open Sovereign Cloud (OSC) von T-Systems betrifft die Laufzeitumgebung dieses Kontexts, nicht die fachliche Trennung der Aggregate. Teams, die beides vermischen, verlieren bei Audits die Spur, welche personenbezogenen Daten wo landen.
Observability (2). Observability auf OSC bedeutet strukturierte Logs ohne unnötige Klartextinhalte in Metriken. Statusereignisse gehören in Webhooks und Audit-Trails; Debug-Logs dürfen keine Ausweisnummern oder Dokumentvolltexte spiegeln. Sign2x liefert die Engine-Ereignisse — die Aufbewahrungsfristen setzt Ihr Produkt nach Branchenregeln.
Verträge (2). Auftragsverarbeitungsverträge müssen Hosting auf OSC von T-Systems, Unterauftragsverarbeiter und Weisungsrechte klar benennen. Formulierungen wie „EU-Cloud“ ohne Betreiberangabe scheitern in Enterprise-Reviews. Nutzen Sie dieselben Begriffe wie in der öffentlichen Produktkommunikation, damit Marketing und Legal nicht divergieren.
Identität (2). Identitätsstrecken bei QES sind Partnerangelegenheit. Sign2x orchestriert den Workflow, ohne selbst QTSP zu sein. Dokumentieren Sie, welcher Ident-Provider und welcher Vertrauensdiensteanbieter in welchem Mandantenkontext greifen — besonders wenn GwG-nahe Prozesse im Spiel sind.
Kosten (2). TCO-Diskussionen sollten Hosting-Risiko einpreisen. Ein günstiger Listenpreis mit Cloud-Act-Exposition erzeugt Folgekosten in Legal Reviews und verlorenen Ausschreibungen. Sign2x-Orientierungswerte zu Prozessgeschwindigkeit und Lizenzkosten gelten nur, wenn die Compliance-Story trägt.
Migration (2). Migrieren Sie zuerst lesende Status-APIs und Webhooks, dann Versand, dann UI. Parallelbetrieb auf OSC reduziert Cutover-Risiko. Vermeiden Sie Big-Bang-Umschaltungen, bei denen Identitätsdaten noch im Alt-Stack liegen.
Sicherheit (2). Verschlüsselung in Transit und at Rest ist Standard; Souveränität ist zusätzlich Jurisdiktion. Penetrationstests sollten Mandantentrennung und Webhook-Authentifizierung prüfen. OSC von T-Systems adressiert den Standort- und Betreiberrahmen, nicht Ihre Application-Security-Hausaufgaben.
Produkt (2). Roadmaps, die Signatur als Phase zwei planen, unterschätzen Verkaufszyklen im Enterprise. Käufer fragen Hosting und Level früh. Stellen Sie OSC und eIDAS-Fähigkeit in denselben Discovery-Calls wie SSO und SLA.
Support (2). Support-Prozesse müssen klären, wer bei Signaturfehlern first-line ist: Ihr SaaS-Team oder der Engine-Vendor. Whitelabel bedeutet, dass Endkunden Sie anrufen — nicht Sign2x. Interne Runbooks und Eskalationspfade gehören zum Go-live.
Dokumentation (2). Öffentliche Docs und interne Architekturentscheidungsprotokolle sollten dieselben Hosting-Sätze verwenden: Open Sovereign Cloud (OSC) von T-Systems, Verarbeitung in Deutschland, kein Drittstaatenzugriff über Sign2x. Abweichende Formulierungen erzeugen Vertrauensbrüche in Due Diligence.
Architektur (3). Die Signatur-API sollte als eigener Bounded Context modelliert werden: Envelope-Aggregate, Identitäts-Ports, Dispatch-Adapter und Webhook-Outbox. Hosting auf Open Sovereign Cloud (OSC) von T-Systems betrifft die Laufzeitumgebung dieses Kontexts, nicht die fachliche Trennung der Aggregate. Teams, die beides vermischen, verlieren bei Audits die Spur, welche personenbezogenen Daten wo landen.
Observability (3). Observability auf OSC bedeutet strukturierte Logs ohne unnötige Klartextinhalte in Metriken. Statusereignisse gehören in Webhooks und Audit-Trails; Debug-Logs dürfen keine Ausweisnummern oder Dokumentvolltexte spiegeln. Sign2x liefert die Engine-Ereignisse — die Aufbewahrungsfristen setzt Ihr Produkt nach Branchenregeln.
Verträge (3). Auftragsverarbeitungsverträge müssen Hosting auf OSC von T-Systems, Unterauftragsverarbeiter und Weisungsrechte klar benennen. Formulierungen wie „EU-Cloud“ ohne Betreiberangabe scheitern in Enterprise-Reviews. Nutzen Sie dieselben Begriffe wie in der öffentlichen Produktkommunikation, damit Marketing und Legal nicht divergieren.
Identität (3). Identitätsstrecken bei QES sind Partnerangelegenheit. Sign2x orchestriert den Workflow, ohne selbst QTSP zu sein. Dokumentieren Sie, welcher Ident-Provider und welcher Vertrauensdiensteanbieter in welchem Mandantenkontext greifen — besonders wenn GwG-nahe Prozesse im Spiel sind.
Kosten (3). TCO-Diskussionen sollten Hosting-Risiko einpreisen. Ein günstiger Listenpreis mit Cloud-Act-Exposition erzeugt Folgekosten in Legal Reviews und verlorenen Ausschreibungen. Sign2x-Orientierungswerte zu Prozessgeschwindigkeit und Lizenzkosten gelten nur, wenn die Compliance-Story trägt.
Migration (3). Migrieren Sie zuerst lesende Status-APIs und Webhooks, dann Versand, dann UI. Parallelbetrieb auf OSC reduziert Cutover-Risiko. Vermeiden Sie Big-Bang-Umschaltungen, bei denen Identitätsdaten noch im Alt-Stack liegen.
Sicherheit (3). Verschlüsselung in Transit und at Rest ist Standard; Souveränität ist zusätzlich Jurisdiktion. Penetrationstests sollten Mandantentrennung und Webhook-Authentifizierung prüfen. OSC von T-Systems adressiert den Standort- und Betreiberrahmen, nicht Ihre Application-Security-Hausaufgaben.
Produkt (3). Roadmaps, die Signatur als Phase zwei planen, unterschätzen Verkaufszyklen im Enterprise. Käufer fragen Hosting und Level früh. Stellen Sie OSC und eIDAS-Fähigkeit in denselben Discovery-Calls wie SSO und SLA.
Support (3). Support-Prozesse müssen klären, wer bei Signaturfehlern first-line ist: Ihr SaaS-Team oder der Engine-Vendor. Whitelabel bedeutet, dass Endkunden Sie anrufen — nicht Sign2x. Interne Runbooks und Eskalationspfade gehören zum Go-live.
Dokumentation (3). Öffentliche Docs und interne Architekturentscheidungsprotokolle sollten dieselben Hosting-Sätze verwenden: Open Sovereign Cloud (OSC) von T-Systems, Verarbeitung in Deutschland, kein Drittstaatenzugriff über Sign2x. Abweichende Formulierungen erzeugen Vertrauensbrüche in Due Diligence.
Architektur (4). Die Signatur-API sollte als eigener Bounded Context modelliert werden: Envelope-Aggregate, Identitäts-Ports, Dispatch-Adapter und Webhook-Outbox. Hosting auf Open Sovereign Cloud (OSC) von T-Systems betrifft die Laufzeitumgebung dieses Kontexts, nicht die fachliche Trennung der Aggregate. Teams, die beides vermischen, verlieren bei Audits die Spur, welche personenbezogenen Daten wo landen.
Observability (4). Observability auf OSC bedeutet strukturierte Logs ohne unnötige Klartextinhalte in Metriken. Statusereignisse gehören in Webhooks und Audit-Trails; Debug-Logs dürfen keine Ausweisnummern oder Dokumentvolltexte spiegeln. Sign2x liefert die Engine-Ereignisse — die Aufbewahrungsfristen setzt Ihr Produkt nach Branchenregeln.
Verträge (4). Auftragsverarbeitungsverträge müssen Hosting auf OSC von T-Systems, Unterauftragsverarbeiter und Weisungsrechte klar benennen. Formulierungen wie „EU-Cloud“ ohne Betreiberangabe scheitern in Enterprise-Reviews. Nutzen Sie dieselben Begriffe wie in der öffentlichen Produktkommunikation, damit Marketing und Legal nicht divergieren.
Identität (4). Identitätsstrecken bei QES sind Partnerangelegenheit. Sign2x orchestriert den Workflow, ohne selbst QTSP zu sein. Dokumentieren Sie, welcher Ident-Provider und welcher Vertrauensdiensteanbieter in welchem Mandantenkontext greifen — besonders wenn GwG-nahe Prozesse im Spiel sind.
Kosten (4). TCO-Diskussionen sollten Hosting-Risiko einpreisen. Ein günstiger Listenpreis mit Cloud-Act-Exposition erzeugt Folgekosten in Legal Reviews und verlorenen Ausschreibungen. Sign2x-Orientierungswerte zu Prozessgeschwindigkeit und Lizenzkosten gelten nur, wenn die Compliance-Story trägt.
Migration (4). Migrieren Sie zuerst lesende Status-APIs und Webhooks, dann Versand, dann UI. Parallelbetrieb auf OSC reduziert Cutover-Risiko. Vermeiden Sie Big-Bang-Umschaltungen, bei denen Identitätsdaten noch im Alt-Stack liegen.
Sicherheit (4). Verschlüsselung in Transit und at Rest ist Standard; Souveränität ist zusätzlich Jurisdiktion. Penetrationstests sollten Mandantentrennung und Webhook-Authentifizierung prüfen. OSC von T-Systems adressiert den Standort- und Betreiberrahmen, nicht Ihre Application-Security-Hausaufgaben.
Produkt (4). Roadmaps, die Signatur als Phase zwei planen, unterschätzen Verkaufszyklen im Enterprise. Käufer fragen Hosting und Level früh. Stellen Sie OSC und eIDAS-Fähigkeit in denselben Discovery-Calls wie SSO und SLA.
Support (4). Support-Prozesse müssen klären, wer bei Signaturfehlern first-line ist: Ihr SaaS-Team oder der Engine-Vendor. Whitelabel bedeutet, dass Endkunden Sie anrufen — nicht Sign2x. Interne Runbooks und Eskalationspfade gehören zum Go-live.
Dokumentation (4). Öffentliche Docs und interne Architekturentscheidungsprotokolle sollten dieselben Hosting-Sätze verwenden: Open Sovereign Cloud (OSC) von T-Systems, Verarbeitung in Deutschland, kein Drittstaatenzugriff über Sign2x. Abweichende Formulierungen erzeugen Vertrauensbrüche in Due Diligence.
Architektur (5). Die Signatur-API sollte als eigener Bounded Context modelliert werden: Envelope-Aggregate, Identitäts-Ports, Dispatch-Adapter und Webhook-Outbox. Hosting auf Open Sovereign Cloud (OSC) von T-Systems betrifft die Laufzeitumgebung dieses Kontexts, nicht die fachliche Trennung der Aggregate. Teams, die beides vermischen, verlieren bei Audits die Spur, welche personenbezogenen Daten wo landen.
Observability (5). Observability auf OSC bedeutet strukturierte Logs ohne unnötige Klartextinhalte in Metriken. Statusereignisse gehören in Webhooks und Audit-Trails; Debug-Logs dürfen keine Ausweisnummern oder Dokumentvolltexte spiegeln. Sign2x liefert die Engine-Ereignisse — die Aufbewahrungsfristen setzt Ihr Produkt nach Branchenregeln.
Häufige Fragen
Was ist OSC in einem Satz?
Open Sovereign Cloud (OSC) von T-Systems ist die souveräne Hosting-Plattform; Sign2x verarbeitet die E-Signatur-Pipeline darauf in Deutschland ohne Drittstaatenzugriff über Sign2x.
Reicht ein EU-Server eines US-Anbieters?
Nein. Die Jurisdiktion des Betreibers zählt. Sign2x hostet auf OSC von T-Systems.
Ist Sign2x ein QTSP?
Nein. Sign2x orchestriert; QES-Prüfung über Sign8 und TSPs.
Welche Level laufen auf OSC?
EES, FES, QES und Siegel über eine Whitelabel-API, Hosting auf OSC.
Gibt es On-Premise?
Ja, ohne Feature-Verlust — parallel zum OSC-SaaS.
