Die souveräne Cloud: Wer wirklich die Kontrolle über Ihre Daten hat

Was ist eine Cloud?

Der Begriff „Cloud" klingt nach etwas Schwebendem und schwer Greifbarem. Dabei ist sie etwas sehr Konkretes: ein Verbund aus Servern in Rechenzentren. Speichern Sie eine Datei in einer Cloud, liegt diese nicht auf Ihrer lokalen Festplatte, sondern auf den Servern eines Cloud-Anbieters.

Eine Cloud ermöglicht es Ihnen, Speicherplatz und Rechenleistung auszulagern. Die dafür genutzten Server sind über das Internet erreichbar und die Daten von überall abrufbar. Clouds dienen auch als Backup oder zur gemeinsamen Nutzung von Programmen. Dies ermöglicht flexiblen Zugriff mehrerer Personen, die z. B. Dokumente gemeinsam bearbeiten können.

Was Unternehmen und Behörden in der Cloud speichern

Welchen Anbieter Sie wählen und ob es sich um eine souveräne Cloud handelt, ist entscheidend, denn Cloud-Dienste verarbeiten heute den größten Teil der digitalen Inhalte eines Unternehmens oder einer Behörde:

• Personenbezogene Daten: Sensible Daten von Mitarbeitenden, Kunden und Bürgern, z. B. Gehaltsabrechnungen, Kundendatenbanken oder Melde- und Sozialdaten im öffentlichen Sektor
   
• Geschäfts- und Betriebsgeheimnisse: Konstruktionspläne, Forschungsergebnisse, Preiskalkulationen, Vertragsentwürfe und ähnliches
   
• Kommunikationsdaten: E-Mail-Verläufe, Chat-Protokolle oder Videokonferenzaufzeichnungen, die oft Rückschlüsse auf interne Entscheidungsprozesse geben
   
• Identitäts- und Zugangsdaten: Anmeldeinformationen, Zertifikate und Schlüssel
   
• Besonders sensible Datenkategorien: Gesundheitsdaten, Verfassungsschutz- und Sicherheitsbehördendaten oder Daten aus Justiz- und Sozialverfahren, wie sie sich vor allem im öffentlichen Sektor und den streng regulierten Branchen finden

Vier Cloud-Modelle

Es gibt im Wesentlichen vier Wege, eine Cloud zu nutzen. Ihre Wahl des Modells und des Cloud-Anbieters hat weitreichende Konsequenzen für die Cloud-Souveränität und Ihre Datenkontrolle:

• On-Premises (On-Prem): Hier nutzen Sie Ihre eigene Hardware in Ihrem eigenen Haus. Als Unternehmen etwa besitzen Sie die Server, betreiben sie selbst und tragen die volle Verantwortung – und Sie haben die volle Kontrolle. Der Preis dafür ist hoher eigener Aufwand für Hardware, Wartung, Ausfallsicherung und Sicherheitsupdates.
   
• IaaS (Infrastructure as a Service): Als Organisation mieten Sie Rechenleistung und Speicherplatz, müssen sich aber nicht mehr um Hardware, Kühlung oder Stromversorgung kümmern. Das liegt im Aufgabenbereich der IaaS-Anbieter. Bei diesem Modell ziehen Sie eine weitere Organisation hinzu, damit sinkt Ihr Anteil an der Kontrolle – vor allem, wenn Sie einen der US-amerikanischen Anbieter wie Amazon Web Services (AWS), Microsoft Azure oder Google Cloud Platform nutzen.
   
• PaaS (Platform as a Service): Dabei stellt der Anbieter eine ganze Entwicklungsplattform bereit, inklusive Datenbanken, Laufzeitumgebungen und Schnittstellen. Entwickler konzentrieren sich auf die eigene Anwendung, während im Hintergrund praktisch alles vom Anbieter verwaltet wird. Bauen Sie Ihre Anwendung tief in anbieterspezifische Schnittstellen, können Sie sie nur mit erheblichem Aufwand woanders nachbauen. Die Kontrolle wandert spürbar zum PaaS-Anbieter.
   
• SaaS (Software as a Service): Bei dieser Form übernimmt der Anbieter alles: Software, Infrastruktur, Updates, Sicherheit. Für das Unternehmen bleibt nur die Nutzung der fertigen Oberfläche. Beispiele dafür sind Microsoft 365 oder Google Workspace. Dieses Modell ist sehr bequem, doch Sie haben am wenigsten Einblick in das, was mit Ihren Daten geschieht. Nutzer dieses Modells sollten ihre Anbieter besonders kritisch auswählen.

Cloud-Souveräntität: Europa ist abhängig von den USA

Europa ist strukturell abhängig von US-Hyperscalern: Circa 70 % des EU-Marktes für Cloud-Infrastruktur werden von AWS, Microsoft Azure und Google Cloud abgedeckt. Darüber hinaus dominieren US-amerikanische Anbieter auch bei Produktivitätssoftware, wie etwa Microsoft 365. Microsoft hat aktuell quasi ein Monopol in der deutschen Verwaltung: Der Marktanteil von Microsoft in Deutschland liegt im Bereich Office bei über 90 Prozent.

Treffen eine tief verwurzelte Abhängigkeit und ein intransparentes Kostenmodell aufeinander, wird die Gefahr verschärft: So hat Microsoft hat den Preis für Microsoft 365 in den vergangenen Jahren laufend erhöht – auch für den öffentlichen Sektor. Zudem bringt die einseitige Abhängigkeit ein höheres Ausfallrisiko mit sich.

Alle Zeichen sprechen dafür, für mehr digitale Selbstbestimmung zu sorgen. Doch gerade die gewachsene Abhängigkeit durch die Nutzung eines ganzes IT-Ökosystems macht es so schwer, zu anderen Anbietern zu wechseln. Diese Abhängigkeit und das damit einhergehende hohe Schadenspotenzial macht diese im öffentlichen Sektor beinahe flächendeckend genutzten Anwendungen zu attraktiven Zielen von Cyberangriffen und zu beliebten Druckmitteln in geopolitischen Konflikten.

Die wirklich souveräne Cloud: Server-Standort und Rechtsraum unterscheiden

Die Rechenzentren der Cloud-Anbieter stehen an festen Orten und unterliegen damit einerseits dem Recht des jeweiligen Landes. Zusätzlich unterliegt das Unternehmen, das die Infrastruktur betreibt, dem Recht seines Hauptsitzlandes. Bei internationalen Konzernen bedeutet das, dass sie auch dem Recht der Muttergesellschaft unterliegen, selbst wenn die operative Tochtergesellschaft formal in Europa registriert ist.

Speichern Sie eine Datei in Google Drive, legen Sie sie auf einem der zahlreichen Server ab, die Google weltweit betreibt – auch in Europa. Liegt die Datei in einem dieser europäischen Rechenzentren, wirkt das auf den ersten Blick beruhigend. Vertragspartner für europäische Kunden ist zudem oft eine europäische Google-Gesellschaft.

Doch diese Gesellschaft gehört letztlich der in den USA registrierten Google LLC, die wiederum Teil der US-amerikanischen Alphabet Inc. ist. Die Konzernmutter, der Sie Ihre Daten anvertrauen, unterliegt also US-amerikanischem Recht. Der Server-Standort und selbst die Adresse der Vertragsgesellschaft ändern nichts an dieser übergeordneten Kontrolle. Dasselbe gilt für Microsoft und AWS.

US CLOUD Act: US-amerikanisches Recht entscheidet über Ihren Datenschutz

Seit 2018 besteht der US CLOUD Act (Clarifying Lawful Overseas Use of Data Act). Durch das Gesetz sind US-amerikanische Tech-Unternehmen dazu verpflichtet, US-Behörden den Zugriff auf von ihnen gespeicherte Daten zu ermöglichen – auch wenn die Unternehmen die Daten gar nicht in den USA speichern, sondern etwa in Europa. Den IT-Unternehmen kann gemäß Gesetz untersagt werden, die Betroffenen zu informieren. Nutzer der Dienste erfahren also unter Umständen gar nicht, dass sie vom Datenzugriff durch US-Behörden betroffen sind.

Eine US-Behördenanfrage an Microsoft kann also durchaus die E-Mails einer deutschen Organisation betreffen, selbst wenn der Server-Standort in Deutschland liegt und auch wenn dies im Gegensatz zu der in der EU geltenden DSGVO steht. Die strukturelle Abhängigkeit von US-Hyperscalern erlangt damit eine weitere Ebene der Abhängigkeit und Gefahr für die Souveränität Europas.

Microsofts damaliger Head of Legal Affairs räumte 2025 vor dem französischen Senat unter Eid ein, dass das Unternehmen nicht garantieren kann, dass europäische Kundendaten vor dem Zugriff US-amerikanischer Behörden geschützt sind – unabhängig davon, wo die Daten gespeichert sind.

Vermeintliche „Sovereign Cloud"-Angebote und europäische Rechenzentren ändern nichts daran, dass hinter dem Angebot stehende US-Unternehmen letztlich US-amerikanischem Recht unterliegen.

Wenn der digitale Stecker gezogen wird, zeigen sich Abhängigkeit und Souveränität

Mit dem Urteil des US Supreme Court im Fall „Trump vs. Slaughter“ im Juni 2026 wurde zudem die Basis des transatlantischen Datenschutzes zerstört: Das Urteil stärkt die Machtbefugnisse des US-Präsidenten und schwächt die Unabhängigkeit der Federal Trade Commission (FTC), die in den USA für Verstöße gegen Datenschutzgrundsätze zuständig ist.

Ein weiteres Ereignis aus dem Juni 2026 zeigt, dass die Kontrolle einer ausländischen Behörde bis zur Frage reichen kann, ob ein Dienst überhaupt verfügbar bleibt: Anthropic, das US-Unternehmen hinter den Claude-Modellen, musste auf direkte Anweisung der US-Regierung den Zugang zu zwei seiner KI-Modelle deaktivieren. Die bereits zahlreich genutzt Software war daraufhin weltweit nicht mehr verfügbar.

Ein Unternehmen, das seine Prozesse auf US-amerikanischer IT-Infrastruktur aufgebaut hat und von diesem Ökosystem abhängig ist, geht das Risiko ein, auf behördliche Anweisung aus den USA hin digital handlungsunfähig gemacht zu werden.

Die Wahl des Cloud-Anbieters entscheidet über die eigene Unabhängigkeit

Geben Sie die Kontrolle über Infrastruktur und Daten ab, geben Sie damit also mehr ab, als Ihnen vielleicht zunächst bewusst ist. Machen Sie sich klar, an welchen Punkten Ihre digitale Souveränität besonders kritische Entscheidungen erfordert:

• Technisch: Die Wahl des Cloud-Modells entscheidet zu einem beträchtlichen Teil über das Ausmaß Ihrer Datenkontrolle.
   
• Inhaltlich: Machen Sie sich bewusst, welche (sensiblen) Daten Sie einem Cloud-Anbieter anvertrauen.
   
• Rechtlich: Überprüfen Sie, ob die in Frage kommenden Cloud-Anbieter ausländischem Recht, z. B. dem US CLOUD Act, unterliegen und welche Auswirkungen das auf Informationssicherheit und Datenschutz hat.
   
• Politisch: Achten Sie in Ihrer Auswahl auf die Konsequenzen geopolitischer Veränderungen, die längst spürbar sind. Der Fall Anthropic verdeutlicht, dass Kontrolle nicht nur Daten betrifft, sondern auch die Verfügbarkeit eines Dienstes.
   
• Wirtschaftlich: Überprüfen Sie, ob Sie sich mit der Auswahl des Cloud-Anbieters in eine digitale Abhängigkeit begeben oder sich gar schon im Vendor Lock-in wiederfinden, und steuern sie aktiv dagegen.

Drei Leitfragen, um eine souveräne Cloud zu erkennen

Der Markt für souveräne Cloud-Lösungen wächst und mit ihm die Zahl der Anbieter, die Souveränität als Verkaufsversprechen nutzen, ohne sie strukturell zu erfüllen. Europäische Rechenzentren, DSGVO-Zertifikate und „Sovereign Cloud“-Labels sind keine Garantie dafür, dass ein Dienst tatsächlich frei von ausländischer Rechtszuständigkeit ist.

Wer nicht genau prüft, läuft Gefahr, so genanntem Souveränitäts-Washing aufzusitzen, also einem Angebot, das Unabhängigkeit suggeriert, sie aber nicht hält. Drei Leitfragen helfen, echte von vermeintlicher Souveränität zu unterscheiden:

1. Wo sitzt das Mutterunternehmen rechtlich?
2. Wo liegen die Daten – und auf wessen Infrastruktur?
3. Gibt es überprüfbare Nachweise?

Vergewissern Sie sich, dass hinter der vermeintlich souveränen Cloud auch eine tatsächlich souveräne Cloud steckt und Sie kein Opfer von Souveränitäts-Washing werden. Unterstützung dabei finden Sie im Tech Sovereignty Catalogue, Europas geprüfter Liste für erwiesene digitale Souveränität. Das Verzeichnis hilft dabei, echte europäische Alternativen zu Google, Microsoft und AWS zu identifizieren. Die Anbieter im Tech Sovereignty Catalogue müssen die Kriterien des Katalogs nachweislich erfüllen.

BSI C5: Orientierung bei der Bewertung von Cloud-Anbietern

Digitale Souveränität betrifft jedes Unternehmen, jede Behörde und jede Privatperson. Wählen Sie Ihren Cloud-Anbieter also mit Bedacht. Einen verlässlichen Orientierungsrahmen für die Bewertung von Cloud-Anbietern bietet der BSI C5-Katalog.

Der Cloud Computing Compliance Criteria Catalogue (C5) des Bundesamts für Sicherheit in der Informationstechnik (BSI) ist explizit auf Cloud-Dienste zugeschnitten: Er prüft in 17 Kriteriendomänen cloud-spezifische Anforderungen, darunter Datenlokalisierung, Mandantentrennung, Transparenz über Subunternehmer und Verarbeitungsstandorte sowie Exit-Fähigkeit. Für Unternehmen, die Cloud-Anbieter strukturiert bewerten wollen, und für Organisationen im regulierten Umfeld ist ein C5-Testat damit aussagekräftiger als eine ISO-27001-Zertifizierung allein.