Digitale Souveränität?

Warum Europa seine digitale Handlungsfähigkeit nicht an wenige US-Konzerne abgeben darf

Cloud-Dienste sind bequem. E-Mails, Dokumente, Videokonferenzen, Kundendaten, Verwaltungsakten und komplette Geschäftsprozesse lassen sich innerhalb weniger Stunden einrichten. Speicherplatz und Rechenleistung wachsen automatisch mit dem Bedarf. Updates erfolgen im Hintergrund, Beschäftigte können von überall arbeiten, und neue Funktionen stehen oft ohne eigene technische Entwicklung bereit.

Gerade diese Bequemlichkeit hat jedoch dazu geführt, dass Unternehmen, Verwaltungen, Bildungseinrichtungen und selbst Staaten einen großen Teil ihrer digitalen Infrastruktur an wenige internationale Konzerne ausgelagert haben. Amazon Web Services, Microsoft Azure und Google Cloud betreiben nicht mehr nur Rechenzentren. Sie stellen Betriebssysteme, Datenbanken, Identitätsdienste, Bürosoftware, Kommunikationsplattformen, künstliche Intelligenz und Sicherheitsfunktionen bereit. Wer sich einmal tief in einem solchen Ökosystem eingerichtet hat, kann es häufig nur noch mit erheblichem Aufwand verlassen.

Damit stellt sich eine grundsätzliche Frage: Ist die Nutzung amerikanischer Hyperscaler ein notwendiger Preis für technischen Fortschritt – oder verliert Europa dadurch die Kontrolle über seine Daten, seine Infrastruktur und letztlich seine politische und wirtschaftliche Handlungsfähigkeit?

Die Antwort muss differenziert ausfallen. US-amerikanische Cloud-Dienste sind nicht grundsätzlich unsicher oder rechtswidrig. Viele von ihnen bieten technisch hervorragende Leistungen. Problematisch wird ihre Nutzung dort, wo aus einem nützlichen Dienst eine Abhängigkeit entsteht, die sich praktisch, wirtschaftlich oder politisch nicht mehr auflösen lässt.

Digitale Souveränität bedeutet deshalb nicht Abschottung. Sie bedeutet die Fähigkeit, selbst entscheiden zu können.

Was digitale Souveränität bedeutet

Digitale Souveränität wird häufig mit Datenschutz gleichgesetzt. Datenschutz ist ein wichtiger Teil davon, reicht aber nicht aus, um das große Ganze zu erklären. Ein System kann datenschutzrechtlich zulässig sein und dennoch eine gefährliche Abhängigkeit erzeugen.

Digitale Souveränität umfasst mehrere Ebenen:

• Datensouveränität bedeutet, bestimmen zu können, welche Daten verarbeitet werden, wo sie gespeichert sind, wer darauf zugreifen kann und für welche Zwecke sie verwendet werden.
• Rechtliche Souveränität bedeutet, dass die maßgebliche Rechtsordnung, die zuständigen Gerichte und die tatsächlichen Zugriffsmöglichkeiten bekannt und beherrschbar bleiben.
• Technologische Souveränität bedeutet, Software, Schnittstellen, Datenformate und Sicherheitsmechanismen verstehen, prüfen und gegebenenfalls ersetzen zu können.
• Betriebliche Souveränität bedeutet, einen Dienst auch dann weiterführen oder auf eine andere Plattform übertragen zu können, wenn ein Anbieter ausfällt, seine Preise verändert oder die Geschäftsbeziehung beendet.
• Wirtschaftliche Souveränität bedeutet, nicht dauerhaft von Lizenzmodellen und Preissetzungen abhängig zu sein, die außerhalb des eigenen Einflussbereichs festgelegt werden.
• Wissenssouveränität bedeutet, genügend eigenes technisches Verständnis zu erhalten, um Entscheidungen nicht vollständig an einen Anbieter oder externe Berater abgeben zu müssen.

Vollständige technologische Autarkie ist in einer global vernetzten Wirtschaft weder realistisch noch sinnvoll. Auch europäische Rechenzentren verwenden Prozessoren, Netzwerkkomponenten und Softwarebestandteile aus aller Welt. Digitale Souveränität verlangt deshalb nicht, jedes Kabel, jeden Chip und jede Programmzeile selbst herzustellen.

Sie verlangt aber, kritische Abhängigkeiten zu erkennen, Wahlmöglichkeiten zu schaffen und einen glaubwürdigen Ausstieg zu ermöglichen.

Digitale Souveränität heißt nicht, alles selbst zu machen. Sie heißt, nicht ausgeliefert zu sein.

Warum Hyperscaler so erfolgreich sind

Die großen Cloud-Anbieter verfügen über erhebliche technische und wirtschaftliche Vorteile. Ihre Rechenzentren sind weltweit verteilt, hochgradig automatisiert und gegen viele Ausfallrisiken abgesichert. Sie beschäftigen große Teams für IT-Sicherheit, reagieren schnell auf neue Bedrohungen und können Schutzmaßnahmen finanzieren, die für kleinere Organisationen kaum erreichbar wären.

Sie bieten skalierbare Rechenleistung, Datenbanken, Datensicherung, weltweite Auslieferungsnetze, künstliche Intelligenz und Sicherheitsüberwachung aus einer Hand. Unternehmen können neue Anwendungen bereitstellen, ohne zuvor eigene Server kaufen und betreiben zu müssen. Gerade für junge Unternehmen oder zeitlich begrenzte Projekte kann das wirtschaftlich sinnvoll sein.

Auch die pauschale Behauptung, Daten seien bei einem kleinen europäischen Anbieter grundsätzlich sicherer, wäre falsch. Ein deutsches Rechenzentrum mit schlechter Administration, fehlenden Updates und unzureichender Zugriffskontrolle ist nicht souveräner, nur weil es in Deutschland steht. Sicherheit entsteht durch nachvollziehbare Prozesse, kompetentes Personal, geeignete Technik und überprüfbare Standards.

Das Bundesamt für Sicherheit in der Informationstechnik definiert mit seinem Kriterienkatalog C5 Mindestanforderungen für sicheres Cloud-Computing. Solche Prüfstandards helfen Unternehmen und Behörden, die Sicherheitsleistungen eines Anbieters zu beurteilen.
Quelle: BSI: Cloud Computing Compliance Criteria Catalogue C5

Eine C5-Prüfung oder eine ISO-Zertifizierung beantwortet jedoch nicht automatisch alle Fragen der digitalen Souveränität. Sie kann bestätigen, dass ein Anbieter bestimmte Sicherheitsmaßnahmen umsetzt. Sie beseitigt aber weder eine ausländische Rechtszuständigkeit noch proprietäre Datenformate oder einen wirtschaftlichen Lock-in.

Informationssicherheit, Datenschutz und digitale Souveränität hängen zusammen. Sie sind aber nicht dasselbe.

Welche Daten Hyperscaler sammeln

Wer von Datensammlung durch Hyperscaler spricht, muss unterscheiden. Nicht jeder Cloud-Anbieter verwendet sämtliche Inhalte seiner Geschäftskunden für Werbung oder trainiert damit ungefragt künstliche Intelligenz. Bei vielen Unternehmensprodukten schließen Verträge eine solche Verwendung ausdrücklich aus.

Trotzdem entstehen bei der Nutzung umfangreiche Datenbestände. Dazu gehören zunächst die eigentlichen Kundendaten: Dokumente, E-Mails, Datenbanken, Bilder, Gesprächsinhalte, Backups oder Anwendungssysteme. Diese Daten werden im Auftrag des Kunden verarbeitet.

Hinzu kommen zahlreiche weitere Daten:

• Namen, Kontaktdaten und Vertragsinformationen,
• Zahlungs- und Abrechnungsdaten,
• IP-Adressen und Geräteinformationen,
• Anmeldezeiten und verwendete Standorte,
• Benutzerkonten und Rollen,
• administrative Aktionen,
• aufgerufene Dienste und Programmschnittstellen,
• Fehlerberichte und Diagnosedaten,
• Telemetrie über Nutzung und Systemzustand,
• Supportanfragen und deren Inhalte,
• Kommunikations- und Verbindungsmetadaten,
• Informationen über Sicherheitsereignisse,
• Daten über Dauer, Umfang und Intensität der Nutzung.

Metadaten wirken auf den ersten Blick weniger sensibel als die eigentlichen Inhalte. In ihrer Gesamtheit können sie jedoch sehr genaue Rückschlüsse ermöglichen: Wer arbeitet mit wem zusammen? Welche Abteilung greift auf welche Systeme zu? Wann befindet sich eine Organisation in einer Krise? Welche Projekte wachsen plötzlich? Welche Behörden, Unternehmen oder Personen stehen miteinander in Verbindung?

Wer eine E-Mail nicht lesen kann, aber Absender, Empfänger, Zeitpunkt, Häufigkeit, Standort und beteiligte Geräte kennt, weiß oft bereits erstaunlich viel.

Besonders problematisch ist die Konzentration. Wenn E-Mail, Kalender, Videokonferenz, Dokumentenverwaltung, Benutzeridentität, künstliche Intelligenz und Cloud-Infrastruktur vom selben Anbieter stammen, entsteht ein umfassendes Bild der Organisation. Dabei muss der Anbieter diese Daten nicht einmal missbräuchlich zusammenführen. Schon die technische Möglichkeit, unterschiedliche Datenbestände miteinander zu verknüpfen, erhöht das Schadenspotenzial bei Fehlkonfigurationen, internen Zugriffen, Angriffen oder behördlichen Anordnungen.

Datensparsamkeit bedeutet deshalb nicht nur, möglichst wenige Inhalte zu speichern. Sie bedeutet auch, möglichst wenige digitale Spuren bei möglichst wenigen zentralen Akteuren zu bündeln.

Der Standort eines Rechenzentrums löst das Problem nicht

Viele Anbieter werben damit, Daten ausschließlich in Frankfurt, Irland oder einer anderen Region der Europäischen Union zu speichern. Das ist besser als eine unkontrollierte weltweite Verteilung und kann wichtige datenschutzrechtliche Anforderungen erfüllen. Es beantwortet aber nicht die entscheidende Frage:

Wer kann rechtlich und technisch über diese Daten verfügen?

Ein Rechenzentrum in Frankfurt unterliegt zunächst deutschem und europäischem Recht. Gehört der Dienst jedoch zu einem US-amerikanischen Konzern, kann zugleich amerikanisches Recht eine Rolle spielen. Entscheidend ist nicht allein der physische Standort der Festplatte, sondern auch, welche Gesellschaft den Dienst kontrolliert, wer Zugriff auf Systeme und Schlüssel besitzt und ob die Konzernmutter eine Herausgabe durchsetzen kann.

Datenspeicherung in Europa ist noch keine Datensouveränität in Europa.

Auch eine europäische Tochtergesellschaft schafft nicht automatisch vollständige Unabhängigkeit. Wenn wesentliche Software, Updates, Administrationssysteme, Identitätsdienste oder kryptografische Schlüssel aus dem US-Konzern stammen, bleibt eine technische oder organisatorische Einflussmöglichkeit bestehen.

Deshalb müssen vermeintlich „souveräne Cloud-Angebote“ genau geprüft werden. Der Begriff allein ist kein Beweis. Entscheidend sind Eigentumsverhältnisse, Rechtszuständigkeit, Schlüsselkontrolle, Betriebspersonal, Fernzugriffe, Unterauftragnehmer, Update-Infrastruktur und die Fähigkeit, den Dienst in einer geopolitischen Krise unabhängig weiterzubetreiben.

Die Europäische Kommission unterscheidet in ihrem Cloud Sovereignty Framework daher unter anderem zwischen strategischer, rechtlicher, operativer sowie Daten- und KI-Souveränität. Ein Rechenzentrumsstandort bildet nur einen Teil dieser Betrachtung.
Quelle: Europäische Kommission: Cloud Sovereignty Framework

Der US CLOUD Act

Der Clarifying Lawful Overseas Use of Data Act, kurz CLOUD Act, wurde 2018 in den Vereinigten Staaten verabschiedet. Er stellt klar, dass US-amerikanische Anbieter aufgrund einer rechtmäßigen amerikanischen Anordnung Daten herausgeben müssen, die sich in ihrem Besitz, ihrer Verfügungsgewalt oder unter ihrer Kontrolle befinden. Nach Darstellung des US-Justizministeriums gilt dies grundsätzlich auch dann, wenn die kontrollierten Daten außerhalb der Vereinigten Staaten gespeichert werden.
Quelle: US Department of Justice: Purpose and Impact of the CLOUD Act

Das bedeutet nicht, dass amerikanische Behörden jederzeit beliebig auf alle europäischen Cloud-Daten zugreifen dürfen. Auch nach dem CLOUD Act ist eine rechtliche Grundlage erforderlich. Anbieter können bestimmte Anordnungen anfechten, und für grenzüberschreitende Konflikte bestehen besondere Verfahren.

Die Gefahr sollte deshalb weder verharmlost noch übertrieben dargestellt werden. Der CLOUD Act ist kein geheimer Generalschlüssel für sämtliche Rechenzentren der Welt. Er schafft aber eine rechtliche Zugriffsmöglichkeit, die allein durch die Speicherung in einem europäischen Rechenzentrum nicht verschwindet.

Damit können sich europäische Datenschutzpflichten und amerikanische Herausgabepflichten widersprechen. Artikel 48 der Datenschutz-Grundverordnung stellt klar, dass Entscheidungen und Urteile aus Drittstaaten in Europa nicht automatisch anerkannt oder vollstreckt werden. Der Europäische Datenschutzausschuss betont, dass jede entsprechende Datenübermittlung eine Rechtsgrundlage und einen zulässigen Übermittlungsmechanismus nach der DSGVO benötigt.
Quelle: EDPB: Leitlinien zu Artikel 48 DSGVO

Für einen europäischen Kunden bleibt damit ein unangenehmer Konflikt: Sein Vertrag verspricht europäischen Datenschutz, während der Anbieter zugleich einer ausländischen Rechtsordnung unterliegt. Der Kunde hat im Ernstfall häufig weder die technische Kontrolle noch die vollständige Kenntnis über das Verfahren. Und wir alle erleben derzeit, wie unberechenbar eine ausländische Rechtsordnung wird, wenn brutale und dumme Schulhofschläger-Gangs ins weiße Haus einziehen.

FISA Section 702 und der Zugriff von Nachrichtendiensten

Neben strafrechtlichen Herausgabeverlangen existieren nachrichtendienstliche Befugnisse. Section 702 des US-amerikanischen Foreign Intelligence Surveillance Act erlaubt die gezielte Überwachung von Nicht-US-Personen, die sich außerhalb der Vereinigten Staaten befinden, wenn dadurch auslandsnachrichtendienstliche Informationen gewonnen werden sollen.

Das Gesetz richtet sich damit gerade an Menschen und Organisationen außerhalb der USA. Nach offizieller Darstellung sind individuelle Zielentscheidungen erforderlich; eine wahllose Massenerfassung aller Daten ist durch Section 702 nicht erlaubt. Die US-Regierung kann amerikanische Anbieter elektronischer Kommunikationsdienste jedoch zur Mitwirkung verpflichten.
Quelle: Office of the Director of National Intelligence zu Section 702 und US-Justizministerium zur Mitwirkung der Anbieter

Aus amerikanischer Sicht ist dies ein Instrument zum Schutz vor Terrorismus, Spionage, Cyberangriffen und anderen Gefahren. Auch europäische Staaten betreiben Nachrichtendienste und verlangen unter bestimmten Voraussetzungen Daten von Unternehmen. Die Frage lautet daher nicht, ob staatliche Zugriffe grundsätzlich legitim sein können. Die Frage lautet, wie vertrauenswürdig sind die Regierungen und deren Auslegungen solcher Rechtsnormen.

Entscheidend ist also, wessen Recht gilt, welche Kontrolle besteht und welche Rechtsschutzmöglichkeiten die Betroffenen haben. Für einen europäischen Bürger oder ein deutsches Unternehmen ist es ein wesentlicher Unterschied, ob ein Zugriff nach deutschem und europäischem Recht durch deutsche oder europäische Gerichte überprüft werden kann – oder ob er nach einer ausländischen Nachrichtendienstordnung erfolgt, deren Schutzvorschriften vorrangig auf die eigenen Staatsangehörigen ausgerichtet sind.

Digitale Souveränität ist deshalb auch Rechtsschutzsouveränität.

Das EU-US Data Privacy Framework

Nach dem Urteil „Schrems II“ erklärte der Europäische Gerichtshof 2020 den damaligen EU-US Privacy Shield für unwirksam. Der Gerichtshof beanstandete insbesondere, dass das Schutzniveau für in die USA übermittelte personenbezogene Daten nicht im Wesentlichen dem europäischen Niveau entsprach.
Quelle: Europäischer Gerichtshof: Zusammenfassung des Schrems-II-Urteils

Im Jahr 2023 erließ die Europäische Kommission auf der Grundlage neuer amerikanischer Zusagen und Kontrollmechanismen einen Angemessenheitsbeschluss für das EU-US Data Privacy Framework. Zertifizierte US-Unternehmen können seitdem personenbezogene Daten auf dieser Grundlage empfangen. Die Kommission kam bei ihrer ersten Überprüfung 2024 zu dem Ergebnis, dass die erforderlichen Strukturen vorhanden seien. Der Europäische Datenschutzausschuss erkannte die Verbesserungen an, äußerte aber weiterhin den Bedarf an sorgfältiger Überwachung.

Im September 2025 bestätigte das Gericht der Europäischen Union den Angemessenheitsbeschluss in erster Instanz und wies eine dagegen gerichtete Klage ab. Das Framework ist damit derzeit gültiges Recht.
Quelle: Gericht der Europäischen Union: Latombe gegen Kommission

Eine seriöse Erörterung darf deshalb nicht behaupten, jeder Datentransfer in die USA sei automatisch rechtswidrig. Das ist falsch.

Ebenso falsch wäre jedoch die Annahme, der Angemessenheitsbeschluss löse das Problem der digitalen Abhängigkeit. Er schafft eine Rechtsgrundlage für bestimmte Datenübermittlungen. Er garantiert weder technische Unabhängigkeit noch dauerhafte politische Stabilität. Seine Vorgänger Safe Harbor und Privacy Shield wurden gerichtlich aufgehoben. Auch heutige Garantien beruhen teilweise auf amerikanischen Regelungen und politischen Zusagen, die sich unter veränderten Regierungen oder durch neue Gesetze weiterentwickeln können. Und nicht zwingend zum Guten, wie die gegenwärtige Geschichte zeigt.

Rechtliche Zulässigkeit ist deshalb nicht dasselbe wie strategische Klugheit.

Wenn aus Nutzung Abhängigkeit wird

Die größte Gefahr liegt möglicherweise nicht in einem einzelnen behördlichen Datenzugriff, sondern in der schleichenden Unfähigkeit, einen Anbieter wieder zu verlassen.

Ein Wechsel ist noch relativ einfach, wenn lediglich Dateien in offenen Formaten gespeichert werden. Schwieriger wird er, sobald Benutzerverwaltung, Rechte, E-Mail, Kalender, Workflows, Datenbanken, künstliche Intelligenz und Fachanwendungen eng miteinander verbunden sind.

Abhängigkeit entsteht auf mehreren Ebenen.

Technischer Lock-in

Proprietäre Datenbanken, Programmierschnittstellen, Automatisierungsdienste und KI-Funktionen lassen sich nicht ohne Weiteres auf eine andere Plattform übertragen. Daten können exportiert werden, aber ihre Beziehungen, Berechtigungen, Versionen und Arbeitsabläufe gehen dabei möglicherweise verloren.

Ein exportiertes Dokument ist noch kein exportierter Geschäftsprozess.

Identitäts-Lock-in

Wenn Anmeldung, Benutzerkonten, Mehrfaktor-Authentifizierung, Gerätesteuerung und Rechteverwaltung an einem einzigen Anbieter hängen, wird dieser Anbieter zum digitalen Türsteher der gesamten Organisation. Ein Ausfall oder eine Kontosperrung betrifft dann nicht nur einen Dienst, sondern potenziell alle angeschlossenen Anwendungen.

Vertraglicher und wirtschaftlicher Lock-in

Cloud-Dienste starten häufig mit überschaubaren Kosten. Mit zunehmender Nutzung wachsen Speicherbedarf, Datenverkehr, Zusatzfunktionen und Lizenzstufen. Preise und Produktbedingungen können sich ändern. Ein Wechsel wäre theoretisch möglich, praktisch aber teurer als das Akzeptieren der nächsten Preiserhöhung.

Organisatorischer Lock-in

Beschäftigte gewöhnen sich an Werkzeuge und Abläufe. Schulungen, Dokumentationen und interne Prozesse werden auf eine Plattform zugeschnitten. Nach einigen Jahren fehlt nicht nur eine technische Alternative, sondern auch das Wissen, wie die Organisation ohne den Anbieter arbeiten könnte.

Wissens-Lock-in

Wer den Betrieb vollständig auslagert, verliert eigenes Fachwissen. Irgendwann kann die Organisation nicht mehr beurteilen, was technisch notwendig ist, welche Alternativen bestehen oder ob ein Angebot angemessen ist. Sie wird vom selbstbestimmten Auftraggeber zum abhängigen Konsumenten.

Politischer Lock-in

US-amerikanische Unternehmen müssen amerikanische Gesetze, Sanktionen und Exportbestimmungen beachten. Vertragsversprechen können diese staatlichen Vorgaben nicht außer Kraft setzen.

Die Auswirkungen der 2025 verhängten US-Sanktionen gegen den Chefankläger des Internationalen Strafgerichtshofs zeigen, dass politische Entscheidungen der Vereinigten Staaten auch digitale Dienste und alltägliche Infrastruktur außerhalb ihres Staatsgebiets beeinträchtigen können. Über eine Sperrung seines Microsoft-E-Mail-Kontos wurde berichtet; Microsoft bestritt allerdings, seine Dienste für den Internationalen Strafgerichtshof eingestellt oder ausgesetzt zu haben. Unabhängig von diesem in Einzelheiten umstrittenen Vorgang machte der Fall sichtbar, wie amerikanische Sanktionen internationale Organisationen, Vertragspartner und digitale Dienstleister unter Druck setzen können.
Quelle: Associated Press zu den Folgen der Sanktionen

Die entscheidende Frage lautet deshalb nicht, ob Microsoft, Google oder Amazon derzeit beabsichtigen, Europa abzuschalten. Die Frage lautet, ob Europa technisch und organisatorisch weiterarbeiten könnte, wenn ein Konzern aufgrund gesetzlicher Vorgaben, einer politischen Eskalation oder einer geschäftlichen Entscheidung einzelne Leistungen nicht mehr bereitstellen dürfte.

Souveränität bemisst sich nicht am freundlichen Normalbetrieb. Sie zeigt sich im Konfliktfall.

Ein strategisches Risiko für Europa

Die europäische Abhängigkeit ist erheblich. Eine 2026 veröffentlichte Untersuchung der Gemeinsamen Forschungsstelle der Europäischen Kommission geht davon aus, dass mehr als 70 Prozent des europäischen Cloud-Markts von drei US-amerikanischen Hyperscalern kontrolliert werden, während europäische Anbieter lediglich etwa 15 Prozent halten. Für die öffentliche Verwaltung nennt die Untersuchung eine besonders starke Abhängigkeit von Microsoft-Technologien.
Quelle: JRC: Strengthening Digital Sovereignty in EU Public Governance

Diese Konzentration hat Folgen, die über den Datenschutz hinausgehen.

Ein großer Teil der europäischen Ausgaben für digitale Infrastruktur fließt an außereuropäische Konzerne. Mit dem Geld wandern technisches Wissen, Marktgestaltungsmacht und zukünftige Innovationsfähigkeit ab. Europäische Unternehmen werden zu Vertriebspartnern, Integratoren und Unterauftragnehmern, während die eigentlichen Plattformen, Standards und wiederkehrenden Einnahmen außerhalb Europas kontrolliert werden.

Besonders kritisch ist dies für öffentliche Verwaltungen, Krankenhäuser, Energieversorger, Forschungseinrichtungen, Schulen und Sicherheitsbehörden. Ihre Daten sind nicht nur Wirtschaftsgüter. Sie betreffen staatliche Handlungsfähigkeit, Gesundheit, kritische Infrastruktur und demokratische Entscheidungsprozesse.

Wenn eine Kommune ihre Dokumente, Kommunikation, Benutzerkonten und Fachverfahren vollständig von einem außereuropäischen Konzern abhängig macht, geht es nicht mehr nur um eine Softwarelizenz. Es geht um die Fähigkeit des Staates, seine Aufgaben unabhängig wahrzunehmen.

Ein Staat, der seine Verwaltung nur mit Erlaubnis eines ausländischen Konzerns betreiben kann, ist digital nicht souverän.

Verschlüsselung als Lösung?

Verschlüsselung ist eine der wichtigsten Schutzmaßnahmen. Daten sollten während der Übertragung und bei der Speicherung verschlüsselt werden. Entscheidend ist jedoch, wer die Schlüssel kontrolliert.

Bei einer vom Anbieter verwalteten Verschlüsselung schützt der Schlüssel vor Diebstahl von Festplatten und vielen externen Angriffen. Der Anbieter kann die Daten aber technisch entschlüsseln, wenn seine Systeme den Schlüssel für die Verarbeitung benötigen.

Kundenseitig verwaltete Schlüssel verbessern die Kontrolle. Doch auch hier muss geprüft werden, ob der Anbieter Kopien, Zwischenschlüssel oder technische Zugriffsmöglichkeiten besitzt. Liegt der Schlüssel letztlich im Schlüsselverwaltungsdienst desselben Hyperscalers, bleibt die Unabhängigkeit begrenzt.

Den stärksten Schutz bietet eine Verschlüsselung, bei der ausschließlich der europäische Kunde oder eine unabhängige europäische Stelle über die Schlüssel verfügt. Das kann allerdings Funktionen einschränken, weil eine Cloud Daten nicht durchsuchen, analysieren oder mit künstlicher Intelligenz verarbeiten kann, die sie niemals entschlüsseln darf.

Moderne Verfahren wie Confidential Computing sollen Daten auch während der Verarbeitung schützen. Sie können Risiken reduzieren, lösen aber nicht automatisch Fragen zu Metadaten, Identitäten, Softwareupdates, Vertragsabhängigkeit und Betriebsfortführung.

Verschlüsselung ist unverzichtbar. Sie ersetzt aber keine Souveränitätsstrategie.

Ist Multi-Cloud die Antwort?

Häufig wird empfohlen, mehrere Cloud-Anbieter gleichzeitig zu nutzen. Das kann Ausfallrisiken verteilen und die Verhandlungsposition verbessern. Es schafft jedoch nur dann echte Unabhängigkeit, wenn Anwendungen tatsächlich portabel sind und die Organisation einen Anbieter ohne längere Unterbrechung ersetzen kann.

Wer seine E-Mails bei Microsoft, seine Datenanalyse bei Google und seine Server bei Amazon betreibt, hat zwar mehrere Lieferanten. Er bleibt aber von drei US-amerikanischen Rechts- und Technologieräumen abhängig und muss zugleich drei komplexe Plattformen beherrschen.

Multi-Cloud kann aus einer Abhängigkeit auch drei Abhängigkeiten machen.

Entscheidend sind offene Standards, dokumentierte Schnittstellen, portable Datenformate, beherrschbare Anwendungen und praktisch getestete Exit-Verfahren. Ein Ausstiegsplan, der nur in einem Vertragsanhang steht und niemals erprobt wurde, ist kein Ausstiegsplan.

Open Source und europäische Anbieter

Open-Source-Software kann digitale Souveränität erheblich stärken. Ihr Quellcode kann grundsätzlich geprüft, angepasst und von verschiedenen Dienstleistern betrieben werden. Der Wechsel eines Dienstleisters muss nicht automatisch den Austausch der gesamten Software bedeuten.

Lösungen wie Linux, PostgreSQL, Nextcloud, Collabora Online und zahlreiche offene Infrastrukturkomponenten zeigen, dass moderne digitale Zusammenarbeit nicht zwangsläufig an proprietäre Plattformen gebunden sein muss.

Open Source ist allerdings kein Selbstzweck und keine automatische Sicherheitsgarantie. Auch offene Software benötigt Wartung, Updates, kompetente Administration, Dokumentation und langfristige Finanzierung. Eine schlecht gepflegte Open-Source-Installation kann unsicherer sein als ein professionell betriebener kommerzieller Cloud-Dienst.

Der entscheidende Vorteil besteht in der Wahlfreiheit: Eine Organisation kann den Betrieb selbst übernehmen, einen anderen Dienstleister beauftragen oder die Software weiterentwickeln lassen. Wissen und Daten bleiben grundsätzlich übertragbar.

Europäische Anbieter müssen sich dabei an professionellen Anforderungen messen lassen. Digitale Souveränität darf nicht bedeuten, aus politischen Gründen schlechte oder unzuverlässige Produkte einzusetzen. Europa braucht leistungsfähige, benutzerfreundliche und wirtschaftlich tragfähige Alternativen. Dazu gehören Investitionen, gemeinsame öffentliche Beschaffung und langfristige Entwicklungsaufträge statt kurzfristiger Modellprojekte.

Wer europäische Alternativen fordert, muss auch bereit sein, sie dauerhaft zu finanzieren und einzusetzen.

Der Weg zu einer souveränen Digitalstrategie

Die Lösung besteht nicht darin, morgen alle amerikanischen Dienste abzuschalten. Ein ungeplanter Komplettwechsel könnte teuer, riskant und technisch kaum beherrschbar sein. Notwendig ist ein abgestuftes Vorgehen.

Zunächst müssen Organisationen wissen, welche Daten und Prozesse sie besitzen. Gesundheitsdaten, Personalakten, Geschäftsgeheimnisse, Verwaltungsentscheidungen und sicherheitsrelevante Informationen benötigen einen stärkeren Schutz als eine öffentlich zugängliche Werbebroschüre.

Anschließend sollte für jeden Dienst geprüft werden:

• Wer ist der tatsächliche Vertragspartner?
• Welcher Konzern kontrolliert den Anbieter?
• Welche Rechtsordnungen können auf den Dienst einwirken?
• Wo werden Inhalte, Metadaten, Protokolle und Backups verarbeitet?
• Welche Unterauftragnehmer sind beteiligt?
• Wer kontrolliert die Verschlüsselungsschlüssel?
• Kann der Anbieter technisch auf unverschlüsselte Daten zugreifen?
• Welche Daten werden für Telemetrie, Diagnose oder Produktverbesserung erhoben?
• In welchen Formaten lassen sich Daten exportieren?
• Können Benutzerkonten, Rechte, Versionen und Workflows übertragen werden?
• Wie lange würde ein vollständiger Wechsel dauern?
• Was kostet der Ausstieg?
• Gibt es eine unabhängige Datensicherung außerhalb der Plattform?
• Kann der Betrieb im Fall von Sanktionen oder einer politischen Krise fortgeführt werden?
• Wurde das Exit-Szenario praktisch getestet?

Kritische Daten und Kernprozesse sollten bevorzugt bei Anbietern betrieben werden, die tatsächlich europäischer Kontrolle unterliegen. Identitäten, Verschlüsselungsschlüssel und unabhängige Backups dürfen nicht vollständig an denselben Plattformbetreiber ausgelagert werden.

Bei weniger sensiblen oder leicht austauschbaren Diensten kann die Nutzung eines Hyperscalers weiterhin vernünftig sein. Digitale Souveränität verlangt keine ideologische Reinheit, sondern eine nachvollziehbare Risikobewertung.

Auch der seit September 2025 anwendbare europäische Data Act verbessert die Ausgangslage. Er soll den Wechsel zwischen Cloud-Anbietern erleichtern und enthält Schutzvorkehrungen gegen unrechtmäßige Zugriffe ausländischer Behörden auf in der EU gespeicherte nicht personenbezogene Daten. Wie konsequent das umgesetzt werden kann, muss sich nich zeigen.
Quelle: Europäische Kommission: Der Data Act erklärt

Gesetze können Wechselbarrieren senken. Sie können jedoch fehlende Alternativen, verlorenes Fachwissen und tief in proprietäre Plattformen eingebaute Prozesse nicht nachträglich vollständig ersetzen.

Gegenargument: Ist europäische Souveränität zu teuer?

Europäische Lösungen erscheinen im direkten Preisvergleich häufig teurer. Hyperscaler profitieren von enormen Skaleneffekten und können einzelne Dienste günstig anbieten. Außerdem müssen Unternehmen bei selbst betriebenen oder kleineren europäischen Lösungen eigenes Personal, Wartung und Weiterentwicklung finanzieren.

Dieser Vergleich greift jedoch zu kurz, wenn nur die monatliche Lizenz betrachtet wird. Zu den tatsächlichen Kosten gehören auch Migration, Datenexport, Schulung, Abhängigkeit von Preisänderungen, Ausfallrisiken und der Verlust eigener Kompetenzen.

Ein günstiger Einstieg kann langfristig teuer werden, wenn ein Anbieterwechsel praktisch unmöglich ist.

Digitale Souveränität hat deshalb Ähnlichkeit mit einer Versicherung. Solange alles funktioniert, wirken Redundanz, offene Standards, eigenes Fachwissen und unabhängige Backups wie unnötige Mehrkosten. Im Krisenfall entscheiden sie jedoch darüber, ob eine Organisation weiterarbeiten kann.

Nicht jede Organisation muss sämtliche Systeme selbst betreiben. Aber jede Organisation sollte wissen, wie sie ohne ihren wichtigsten Anbieter überleben würde.

Gegenargument: Die USA sind doch ein demokratischer Partner

Die Vereinigten Staaten sind ein wichtiger Verbündeter und wirtschaftlicher Partner Europas. Amerikanische Technologieunternehmen haben einen erheblichen Beitrag zur Digitalisierung geleistet. Eine europäische Strategie darf deshalb nicht in pauschalen Antiamerikanismus abgleiten.

Digitale Souveränität richtet sich nicht gegen die Bevölkerung oder die Wirtschaft der USA. Sie richtet sich gegen unkontrollierte Abhängigkeit.

Gerade unter Partnern sollte es normal sein, dass jeder seine kritische Infrastruktur kontrolliert. Die USA würden zentrale staatliche Daten und militärisch relevante Systeme ebenfalls nicht vollständig einer ausländischen Rechtsordnung unterstellen. Europa sollte denselben Anspruch an seine eigene Handlungsfähigkeit stellen.

Außerdem kann sich politische Nähe verändern. Regierungen wechseln, Handelskonflikte entstehen, Sanktionen werden verhängt und Sicherheitsinteressen verschieben sich. Eine verantwortungsvolle Infrastrukturpolitik darf nicht darauf beruhen, dass ein anderer Staat auf unbegrenzte Zeit freundlich, stabil und berechenbar bleibt. Und die USA verspielen mit dem bildungsfernen Präsidenten und seiner mindestens genauso intellektuell begrenzten Regierungs-Gang gerade sehr effektiv jedes Vertrauen zu ihren globalen Partnern.

Vertrauen ist wichtig. Souveränität beginnt dort, wo Vertrauen allein nicht mehr ausreichen muss.

Fazit

Hyperscaler bieten leistungsfähige, sichere und innovative Dienste. Ihre Nutzung kann wirtschaftlich sinnvoll und datenschutzrechtlich zulässig sein. Eine pauschale Ablehnung amerikanischer Cloud-Dienste wäre ebenso wenig überzeugend wie die Behauptung, jede europäische Lösung sei automatisch sicher und souverän.

Die eigentliche Gefahr liegt in der Konzentration von Daten, Infrastruktur, Identitäten, Fachwissen und Entscheidungsmacht bei wenigen Konzernen. Wenn dieselben Anbieter Kommunikation, Dokumente, Benutzerkonten, Geschäftsprozesse, Cloud-Infrastruktur und künstliche Intelligenz kontrollieren, entsteht eine Abhängigkeit, die weit über normale Lieferbeziehungen hinausgeht.

Der CLOUD Act und FISA Section 702 zeigen, dass der Standort eines Rechenzentrums nicht allein entscheidet, welche Behörden auf Daten zugreifen können. Das derzeit gültige EU-US Data Privacy Framework schafft eine rechtliche Grundlage für viele Datentransfers, beseitigt aber weder technische noch wirtschaftliche oder politische Abhängigkeiten.

Digitale Souveränität verlangt daher keine digitale Abschottung Europas. Sie verlangt eine bewusste Verteilung von Risiken, offene Standards, europäische Alternativen, eigene Schlüssel, unabhängige Backups, überprüfbare Verträge und praktisch funktionierende Ausstiegswege.

Für öffentliche Verwaltungen, kritische Infrastrukturen und besonders sensible Daten sollte europäische Kontrolle nicht die Ausnahme, sondern der Regelfall sein. Weniger kritische Dienste können weiterhin international bezogen werden, solange ein Wechsel möglich bleibt.

Die entscheidende Frage lautet nicht:

Wo stehen unsere Server?

Sie lautet:

Wer entscheidet im Ernstfall darüber, ob wir noch auf unsere Daten, unsere Kommunikation und unsere eigenen Arbeitsprozesse zugreifen können?

Wer seine digitale Infrastruktur vollständig aus der Hand gibt, verliert nicht sofort seine Freiheit. Er verliert zunächst nur Alternativen. Dann verliert er Wissen. Danach verliert er Verhandlungsmacht. Und irgendwann stellt er fest, dass eine formal freiwillige Entscheidung praktisch nicht mehr rückgängig zu machen ist.

Digitale Souveränität ist deshalb kein technisches Luxusproblem. Sie ist eine Voraussetzung für Datenschutz, wirtschaftliche Unabhängigkeit, staatliche Handlungsfähigkeit und demokratische Selbstbestimmung.

Das Ziel ist nicht Autarkie. Das Ziel ist Handlungsfähigkeit. Und das wichtigste Ziel muss sein, gegen die Unzurechnungsfähigkeit eines ganz offensichtlich kognitiv beeinträchtigten Staatsoberhaupts gewappnet zu sein.