Digitale Souveränität soll überprüfbar werden. Die EU entwickelt abgestufte Kriterien für Cloud-Dienste, Frankreich bereitet den Umzug sensibler Gesundheitsdaten vor und neue sogenannte souveräne Clouds verschärfen die Debatte um den Einfluss des US-Rechts. Gleichzeitig wachsen die Zweifel am EU-US Data Privacy Framework. Für Unternehmen wird damit entscheidend, was hinter dem Etikett »souverän« technisch, rechtlich und organisatorisch steckt.

Über souveräne Clouds wird viel gesprochen. Oft bleibt jedoch unklar, was ein solcher Dienst tatsächlich leisten muss. Ein europäisches Rechenzentrum, eine EU-Vertragsgesellschaft und die Zusicherung, Daten in der Region zu halten, reichen nicht aus. Ebenso wichtig sind Eigentumsverhältnisse, administrative Zugriffe, Schlüsselkontrolle, Metadaten, Subdienstleister, Lieferketten und die Fähigkeit, den Betrieb unabhängig fortzuführen. Die EU versucht nun, aus dem politischen Begriff ein überprüfbares Modell zu machen.

Die EU-Kommission hat bei einer Cloud-Ausschreibung im Umfang von bis zu 180 Millionen Euro erstmals ihr Cloud-Sovereignty-Framework eingesetzt. Es bewertet Angebote anhand von 48 Kriterien aus acht Bereichen. Dazu gehören strategische und rechtliche Kontrolle, Daten und KI, Betrieb, Lieferketten, technologische Autonomie, Sicherheit und Compliance sowie Nachhaltigkeit.

Souveränität wird prüfbar

Das Verfahren kombiniert einen Gesamtscore mit sogenannten Sovereignty Effectiveness Assurance Levels (SEAL). Die Skala reicht von SEAL-0 ohne nachgewiesene Souveränität bis SEAL-4 mit einer vollständig europäischen Lieferkette. Damit wird Souveränität nicht mehr ausschließlich als Ja-Nein-Eigenschaft behandelt. Ein Dienst kann einzelne Anforderungen erfüllen und an anderer Stelle deutliche Abhängigkeiten behalten.

Der im Juni 2026 vorgelegte Entwurf des Cloud and AI Development Act geht noch weiter. Er sieht vier europaweite Union Assurance Levels für Cloud-Dienste vor. Für besonders sensible staatliche Aufgaben sollen höhere Stufen vorgeschrieben werden können. Geprüft würden unter anderem Drittstaatenzugriffe, Eigentumsverhältnisse, Support-Standorte, administrative Fernzugriffe, Subunternehmer und die Software-Lieferkette.

Für hohe Schutzstufen sieht der Entwurf vor, dass Betrieb, Administration, Incident-Response, Backup-Verarbeitung und Disaster-Recovery innerhalb der EU erfolgen. Eine Software Bill of Materials soll die Lieferkette transparenter machen. Noch ist das ein Gesetzgebungsvorschlag und keine verbindliche Zertifizierung. Die Stoßrichtung ist dennoch klar: Herkunftssiegel sollen durch nachweisbare Kontrollen ergänzt werden.

Vier EU-Stufen machen Cloud-Souveränität messbar: vom reinen Datenstandort bis zur vollständigen Kontrolle ohne Einfluss aus Drittstaaten. (Quelle: Europäische Kommission)

Frankreich testet die Reversibilität

Wie aufwendig echte Wechselbereitschaft ist, zeigt der französische Health Data Hub. Die Plattform für Gesundheitsdaten soll von Microsoft Azure zum französischen Anbieter Scaleway wechseln. Nach Angaben des Betreibers wurde die Architektur bereits seit 2019 auf Reversibilität vorbereitet.

Der Auswahlprozess umfasste mehr als 350 technische Anforderungen zu Sicherheit, Skalierbarkeit und Resilienz. Zwischen Ende 2026 und Anfang 2027 soll die Plattform eine eigenständig verwaltete Kopie der Hauptdatenbank des französischen Gesundheitsdatensystems SNDS betreiben können.

Der Fall ist bemerkenswert, weil hier nicht nur ein neuer Anbieter ausgewählt wird. Eine früh geplante Exit-Architektur wird tatsächlich genutzt. Trotzdem bleibt der Wechsel ein aufwendiges Migrationsprojekt. Cloud-native Standards und dokumentierte Schnittstellen helfen, ersetzen aber weder Zielplattform noch Tests, Know-how und Betriebsprozesse.

US-Anbieter bleiben unter US-Recht

Auch der Storage-Markt reagiert. Die AWS European Sovereign Cloud ist beispielsweise seit Januar 2026 verfügbar und nutzt eine von den übrigen AWS-Regionen getrennte Infrastrukturpartition. Identitäten, Abrechnung und vom Kunden erzeugte Metadaten sollen innerhalb der EU verbleiben. Der Betrieb erfolgt über eigens gegründete deutsche Gesellschaften und Personal in der EU.

Diese organisatorische Trennung ändert jedoch nichts daran, dass AWS zu einem US-Konzern gehört. Amerikanische Anbieter können nach US-Recht verpflichtet werden, Daten herauszugeben, sofern sich diese in ihrem Besitz oder unter ihrer Kontrolle befinden – unabhängig vom Speicherort. Hinzu kommt das Risiko, dass Dienste infolge amerikanischer Sanktionen eingeschränkt oder eingestellt werden müssen.

Dass dies keine rein theoretische Möglichkeit ist, zeigte sich 2025 beim Internationalen Strafgerichtshof. Nach Berichten der Nachrichtenagentur Associated Press (AP) verlor dessen damaliger Chefankläger Karim Khan infolge von US-Sanktionen den Zugriff auf sein Microsoft-E-Mail-Konto und musste zu einem Schweizer Anbieter wechseln. Microsoft erklärte dagegen, zu keinem Zeitpunkt Dienste für den Gerichtshof eingestellt oder ausgesetzt zu haben. Der Fall zeigt dennoch, wie unmittelbar politische Entscheidungen der USA die Nutzung amerikanischer IT-Dienste außerhalb des Landes beeinflussen können.

Obacht vor Souveränitäts-Washing

Kritiker wie der Arbeitskreis Digitale Souveränität der Gesellschaft für Informatik und der Digitalexperte Markus Beckedahl sprechen deshalb von »Souveränitäts-Washing«. Rechenzentren, Gesellschaften und Personal in der EU verringern zwar einzelne Risiken, beseitigen aber weder die US-Konzernzugehörigkeit noch die technologische Abhängigkeit vom Hyperscaler.

Genau diesen Unterschied macht der Entwurf des Cloud and AI Development Act sichtbar: Datenverarbeitung und Datenspeicherung in der EU bilden lediglich Stufe 1. Eine europäische Region eines US-Hyperscalers ist damit nicht automatisch vollständig souverän.

Deutsche Unternehmen sollten solche Angebote daher nicht als souveräne Endlösung behandeln – auch dann nicht, wenn ein staatlicher Zugriff oder eine Dienstsperre im eigenen Geschäftsalltag unwahrscheinlich erscheint. Wer Compliance- und Rechtsrisiken begrenzen will, sollte zumindest für schutzwürdige Daten, Identitäten, Schlüssel und Backups eine technisch und rechtlich unabhängige europäische Alternative vorhalten.

Gerade bei der Datensicherung reicht ein Backup innerhalb derselben souveränen Hyperscaler-Plattform nicht aus. Hängen Produktivdaten, Sicherungen, Identitäten, Schlüssel und Management vom selben US-Anbieter ab, bleibt ein gemeinsamer politischer, rechtlicher und technischer Fehlerbereich. Entscheidend ist, ob sich eine unabhängige Kopie mit kontrollierten Schlüsseln und dokumentierten Exportformaten auf einer anderen Infrastruktur wiederherstellen lässt. Andernfalls ist das Backup im Ernstfall eher ein Treueprogramm als ein Exit-Instrument.

Neue Unsicherheit beim Datentransfer

Auch die rechtliche Grundlage transatlantischer Datenübermittlungen wird erneut diskutiert. Der Europäische Datenschutzausschuss forderte die EU-Kommission Ende Juli auf, die Folgen des US-Supreme-Court-Urteils »Trump v. Slaughter« für das EU-US Data Privacy Framework zu prüfen.

Das Urteil betrifft die Unabhängigkeit der US-Handelsaufsicht FTC. Gerade diese Unabhängigkeit hatte die EU-Kommission bei ihrer Angemessenheitsentscheidung als Schutzbaustein berücksichtigt. Das Data Privacy Framework bleibt gültig. Das Schreiben des Datenschutzausschusses zeigt jedoch, dass sich rechtliche und politische Grundlagen verändern können.

Unternehmen sollten ihre Architektur deshalb so gestalten, dass eine geänderte Rechtslage nicht automatisch zum Betriebsproblem wird. Dazu gehören alternative Übermittlungsmechanismen, kontrollierte Schlüssel, unabhängige Backup-Kopien und getestete Ausweichwege.

Auch der EU Data Act erleichtert den Anbieterwechsel. Ab dem 12. Januar 2027 dürfen für den Wechsel einschließlich der dafür notwendigen Datenübertragung keine Switching-Gebühren mehr erhoben werden. Damit verschwindet eine finanzielle Hürde. Proprietäre APIs, Datenmodelle, Identitäten und Plattformdienste verschwinden allerdings nicht gleich mit.

Digitale Souveränität wird damit messbarer. Ein Score ersetzt jedoch keinen Praxistest. Erst wenn Unternehmen Daten und Anwendungen tatsächlich auf einer unabhängigen Infrastruktur weiterbetreiben können, wird aus formaler Souveränität belastbare Kontrolle.