Cloud ist kein Neuland mehr – sie ist Realität. Für Start-ups wie für Mittelständler, für Konzerne ebenso wie für Behörden. Und doch drängt sich in der Praxis immer öfter eine unbequeme Frage auf: Haben wir die Kontrolle über unsere Daten wirklich behalten?
Im letzten Beitrag dieser losen Blogserie zur Digitalen Souveränität haben wir den Begriff Datensouveränität entschlüsselt und ihn von Datensicherheit und digitaler Souveränität abgegrenzt. Jetzt gehen wir einen Schritt weiter: Wie lässt sich Datensouveränität in der Praxis erreichen – speziell in der Cloud? Und was bedeutet das im Spannungsfeld zwischen Innovation und Regulierung, zwischen Hyperscalern und EU-Recht?
In diesem 3. Teil dieser Serie geht es um Digitale Souveränität in der Cloud und ich richte ich meinen Blick auf die Lieferantenseite. Wie reagieren Hyperscaler und kleinere Cloudanbieter auf die steigenden Ansprüchen und Risiken im Bereich der Digitalen Souveränität? In welchem technischen, politischen und juristischen Spannungsfeld bewegen sie sich? Wie verändern sich ihre Cloud Services und was bedeutet das für uns als Kunden? Fragen, die Unternehmen heute ganz konkret beantworten müssen.
Warum Unternehmen ihre Cloud-Strategie überdenken müssen
Datensouveränität rückt nicht ohne Grund in den Fokus. Politische Unsicherheiten, neue EU-Verordnungen und datenhungrige Technologien wie KI sorgen dafür, dass Unternehmen ihre Cloud-Strategien neu überdenken müssen.
- Politisch sorgen CLOUD Act & Co. für Rechtsrisiken – auch ohne physische Datenverlagerung.
- Regulatorisch erhöht die EU mit NIS2, dem Data Act und dem Cyber Resilience Act den Druck auf Transparenz und Kontrolle.
- Technologisch treiben Cloud und KI den Datenbedarf – und die Fragen nach Standort, Zugriff und Exit-Fähigkeit.
Kurz: Die Cloud treibt Innovation – aber nur, wenn Unternehmen die Kontrolle behalten.
Hyperscaler und Souveränität – ein Widerspruch?
Viele Unternehmen setzen auf Hyperscaler wie AWS, Azure oder Google Cloud – und das aus guten Gründen. Die Plattformen bieten bewährte Performance, Innovationskraft, ein breites Service-Ökosystem und schnelle Skalierbarkeit.
Doch die Frage bleibt: Ist Datensouveränität mit diesen Anbietern überhaupt möglich?
Die Antwort hängt stark von der Zielsetzung des Unternehmens ab – und davon, wie Datensouveränität priorisiert wird. Denn sie lässt sich in drei Bereiche aufteilen:
- Technische Unabhängigkeit
- Organisatorische Kontrolle
- Juristische Absicherung
Je nachdem, welche dieser Bereiche für ein Unternehmen im Vordergrund stehen, fällt auch die Bewertung anders aus.
Technisch: Ja. Hyperscaler bieten mittlerweile umfangreiche Funktionen zur Steuerung und Absicherung:
- Datenlokalisierung durch Auswahl von EU-Regionen
- Eigene Schlüsselverwaltung (Customer Managed Keys)
- Umfangreiche Monitoring- und Governance-Tools
Organisatorisch: Auch Exit-Strategien und eine klare Datenklassifikation lassen sich technisch und prozessual umsetzen – durch definierte Migrationsprozesse, Richtlinien für Datenkategorien und klare Verantwortlichkeiten im Datenmanagement.
Juristisch wird’s knifflig. Der US CLOUD Act erlaubt US-Behörden theoretisch den Zugriff auf Daten – auch wenn diese in Rechenzentren innerhalb der EU liegen, solange der Anbieter seinen Hauptsitz in den USA hat. Das zwingt Unternehmen zur ehrlichen Abwägung: Wie viel Kontrolle brauche ich – und welches Risiko bin ich bereit einzugehen?
Die großen Cloud-Anbieter versuchen, dieses Spannungsfeld zu entschärfen. Sie integrieren längst EU-Standardvertragsklauseln in ihre Verträge, veröffentlichen Transparenzberichte und geben Schutzversprechen wie Microsofts „Defending Your Data“ oder das AWS GDPR Addendum, in denen sie sich verpflichten, Behördenanfragen anzufechten und ihre Kunden zu informieren. Zusätzlich entstehen Sovereign-Cloud-Angebote in Kooperation mit europäischen Partnern oder über separate Tochtergesellschaften, die das EU-Geschäft rechtlich und organisatorisch klar vom US-Konzern trennen sollen.
Diese Maßnahmen ersetzen zwar keine juristische Unabhängigkeit, sie wirken aber wie ein Puffer: Sie verschaffen technische Kontrolle über Daten und Schlüssel, rechtliche Absicherung durch klar geregelte Verträge – und sie machen Zugriffe von außen deutlich schwerer. Das Restrisiko bleibt, aber es wird kleiner. Für viele Unternehmen ist genau das der Unterschied zwischen unsicher und tragbar.
Was das für Unternehmen konkret bedeutet – und welche Stellschrauben sie selbst in der Hand haben – beleuchte ich im nächsten Teil dieser Serie.
Neue Verantwortung für Cloud-Anbieter durch EU-Regulierungen
Lange galten Cloud-Anbieter primär als Technologielieferanten: Sie lieferten Rechenleistung, Speicher und Services – um Datenschutz und Compliance musste sich der Kunde selbst kümmern. Doch diese Zeiten sind vorbei. Mit Regulierungen wie der DSGVO, NIS2, dem Cyber Resilience Act und dem neuen EU Data Act verändert sich das Kräfteverhältnis.
Cloud-Anbieter geraten stärker in die Verantwortung. Sie müssen nicht nur performante, sondern auch rechtskonforme und vertrauenswürdige Plattformen bereitstellen. Und die großen Player reagieren: AWS, Microsoft und Google investieren massiv in Sovereign-Cloud-Angebote, europäische Datenräume und Partnerschaften mit EU-Anbietern wie T-Systems oder Thales. Datenlokalisierung, Schlüsselhoheit, Audit-Funktionen und Governance-Tools gehören zunehmend zum Standard – nicht nur für Behörden, sondern auch für den Mittelstand.
Gleichzeitig positionieren sich europäische Anbieter wie STACKIT oder OVHcloud offensiv mit dem Versprechen: „Unsere Daten unterliegen ausschließlich EU-Recht.“ Gerade bei kritischen Infrastrukturen und sicherheitsbewussten Unternehmen sorgt das für Vertrauen – und damit für ein neues Wettbewerbsumfeld.
Kurz gesagt: Die Rolle der Cloud-Anbieter verändert sich grundlegend. Wer heute auf Souveränität – technisch wie juristisch – setzt, positioniert sich nicht nur als Dienstleister, sondern als strategischer Partner. Für Unternehmen eröffnet das neue Spielräume – vorausgesetzt, sie wissen, was sie brauchen und worauf sie setzen.
Im nächsten Teil dieser Serie betrachten wir die Anwenderseite: Was können Unternehmen konkret tun, um ihre Datensouveränität in der Cloud zu stärken? Welche Strategien, Tools und Partnerschaften helfen dabei? Bleiben Sie dran!
Alle Artikel zum Thema Datensouveränität
- Was bedeutet Digitale Souveränität konkret?
- Wege zur Datensouveränität
- Datensouveränität & Cloud: Wie kompatibel sind Hyperscaler mit EU-Vorgaben?
- Datensouveränität & Cloud: Sechs Stellschrauben für mehr Kontrolle
- Datensouveränität in der KI-Ära: Warum Datenhoheit das größte Kapital ist
