Cloud-Souveränität: Wie uns Datenabfluss und Kill-Switch abhängig machen

Cloud-Computing ist ein Wachstumsmarkt. Für 2026 prognostiziert das Statistische Bundesamt einen weltweiten Umsatz von 943 Milliarden Euro und eine jährliche Wachstumsrate von 15 Prozent. Doch fair ist der Wettbewerb am Cloud-Markt derzeit nicht. Momentan dominieren drei Tech-Konzerne aus den USA das Angebot: Google, Microsoft und Amazon Web Services (AWS). Es gibt zwar einige europäische Unternehmen, die ihre Cloud-Lösungen offen als Open Source bereitstellen und sich den EU-Gesetzen verpflichtet fühlen – doch Wirtschaft, Verwaltung und Bürger*innen in Deutschland sind noch in großem Umfang abhängig von außereuropäischen Anbieter*innen. Dadurch besteht das immanente Risiko, dass US-Sicherheitsbehörden auf Datenbestände aus der EU zugreifen und unter Druck der US-Regierung sogar den Hahn zu ihren virtuellen Speicher- und Anwendungsumgebungen abdrehen. Der Weg zur Cloud-Souveränität ist noch weit. 

Dass die drei marktdominanten Unternehmen auf dem europäischen Cloud-Markt ihren Hauptsitz in den USA haben, störte bis zur zweiten Amtszeit von Donald Trump nur wenige Unternehmen und Behörden. Die transatlantische Partnerschaft war stabil. AWS vermietete billigen Cloud-Speicherplatz und Microsoft migrierte seine Office-Suite allmählich von Softwarelizenzen auf dem lokalen Rechner zu cloudbasierten Abo-Modellen. Um digitale Dienste aus den USA zu nutzen, ließ man sich schriftlich versichern, dass sich Microsoft und Co. an geltendes EU-Recht halten und vertraute ansonsten darauf, dass die Systeme vertragsgemäß funktionieren. Auch wenn der Datenschützer Max Schrems die rechtlichen Grundlagen für den Datentransfer in die USA zweimal vor dem EuGH kippte: Es gab immer ein neues Privacy Shield. Man kaufte Software „von Freunden“ und hoffte auf das Beste.

Doch im letzten Jahr hat sich die öffentliche Wahrnehmung spürbar verschoben. Mittlerweile sorgen sich fast drei Viertel aller Unternehmen darum, dass US-Anbieter auf Druck der US-Regierung wichtige Dienste – wie Cloud-Dienste – aus geopolitischen Gründen sperren könnten. In Washington und Kalifornien sieht man die EU-Digitalgesetze von DSGVO bis hin zum aktuellen „Tech Sovereign Package“ nicht mehr als demokratische Regeln einer Wertepartnerin, sondern als Handelshemmnis und als Gängelung der invasiven Geschäftsmodelle von Big Tech. Die mächtigen Tech-Oligarchen wie Jeff Bezos haben sich unter den Schutzschirm von Donald Trump eingekauft. Und dass Bill Gates dem US-Präsidenten bei einem Tech-Gipfel im Weißen Haus „incredible leadership“ bescheinigte, ist nur einer von vielen Indizien dafür, dass sich Microsoft dem zunehmend autoritären und europafeindlichen Kurs von Donald Trump im Zweifel nicht entgegenstellen wird.

Um ihre Interessen durchzusetzen, schreckt die US-Regierung nicht davor zurück, Strafzölle zu verhängen, wenn andere Länder die US-Konzerne zu stark regulieren. Auch das US-Außenwirtschaftsrecht erweist sich mittlerweile als geopolitische Waffe: Kurz nach dem Start des KI-Modells „Mythos“ stoppte die US-Regierung den Zugang für Kund*innen außerhalb der USA per Exportkontrolle. Damit ist die Büchse der Pandora geöffnet.

Aus Sicht des politischen Leitziels der „digitalen Souveränität“ erweist sich die Dominanz der großen US-Konzerne im europäischen Markt für cloudbasierte Dienste als existenzielles Problem. Wenn der US-Präsident seine Befugnisse ausspielt, sind europäische Daten auf US-Clouds nicht mehr sicher. Die Funktionsfähigkeit von Wirtschaft und Verwaltung steht auf dem Spiel. Die Abhängigkeit von US-Exporten macht die EU erpressbar. Doch wie schafft es Europa sich im Bereich Cloud-Computing künftig unabhängiger aufzustellen?

US-Konzerne nutzen Cloud-Migration zu ihren Gunsten

Vor die Cloud-Ära zurückzuspringen, wird kaum funktionieren. Denn wer seine Daten in einer gemieteten Cloud ablegt oder Anwendungen nicht mehr auf dem lokalen Rechner, sondern cloudbasiert betreibt (sog. Software-as-a-Service), spart sich eigene Infrastruktur. Die Wartung, Weiterentwicklung und Datenverfügbarkeit an Drittanbieter*innen auszulagern, ist für viele wirtschaftliche und staatliche Akteur*innen die einfache und schnelle Lösung. Man spart das eigene Rechenzentrum und kann Software gleichsam von der Stange einkaufen. So verwundert es nicht, dass Unternehmen für cloudbasierte Dienste immer mehr Geld ausgeben: Für 2026 prognostiziert statista durchschnittliche Ausgaben von 255,60 Euro je Arbeitsplatz. Auch staatliche Einrichtungen in der EU sind Großkund*innen: Allein auf Bundesebene floss zuletzt eine halbe Milliarde Euro an Lizenzkosten nur an Microsoft.

Die Dominanz einzelner Akteur*innen in der Digitalbranche schlägt auch auf den immer lukrativeren Cloud-Markt durch: Eine Studie der Open Cloud Coalition kam 2025 zu dem Ergebnis, dass Microsoft einen Marktanteil von über 90 Prozent im Bereich Bürosoftware und gut 84 Prozent für Collaboration-Lösungen in Europa hat. Europäische Wettbewerber*innen wie nextcloud, Hetzner oder Ionos aus Deutschland oder OVHCloud aus Frankreich hinken hinterher. Sie sind (noch) nicht vollständig in der Lage, ein Gesamtpaket zu schnüren, das allen Bedürfnissen der Unternehmen und Behörden gerecht wird. Gegen die US-Granden, die mit Milliardengewinnen aufwarten und ihre dominante Stellung verteidigen, kommen die europäischen Newcomer bislang noch nicht ausreichend an.

Die Abhängigkeit von US-Software ist fast schon ein Evergreen der digitalpolitischen Debatte. Das liegt auch daran, dass Unternehmen wie Microsoft den IT-Markt für Endkund*innen früh erschlossen haben und jetzt in weiten Teilen beherrschen. Die Eintrittshürden für neue Firmen sind hoch. Das ist das Ergebnis einer jahrzehntelangen expansiven Geschäftsstrategie: Schon immer setzt der von Bill Gates gegründete Konzern auf geschlossene Ökosysteme, gezieltes Produkt-Bundling, ein restriktives Lizenzmanagement und massive Lobbyarbeit. Ganz konkret heißt das: Wer bereits Microsoft-Lizenzen für Outlook oder Word für seine Beschäftigten hatte, konnte seine Office-Anwendungen mit wenigen Klicks und Unterstützung des vertrauten Microsoft-Vertriebspartners um Teams erweitern. Das war für viele leichter als neue Kollaborations-Lösungen in ihren IT-Stack zu integrieren. Da Microsoft-Lösungen nicht mit anderen Anbieter*innen kompatibel (also interoperabel) sind, kaufen viele IT-Abteilungen einfach beim Bestandslieferanten ein. Die Tech-Granden nutzen ihren Startvorteil strategisch aus und die Zugangshürden für neue Anbieter*innen steigen dadurch immens. 

Die Marktdominanz von Big Tech droht sich nun beim Einstieg in Cloud-Infrastrukturen weiter zu verfestigen. So hat Microsoft angekündigt, sein Angebot für sog. Einzelplatzlizenzen auf lokalen Rechnern (etwa für Microsoft Office 2024) zunehmend auf cloudbasierte Abomodelle (wie Microsoft 365) umzustellen. Mit Abomodellen für cloudbasierte Software lässt sich für Microsoft viel Geld verdienen. Der Konzern verschafft sich mit Software-as-a-Service nicht nur vertragsrechtlich mehr Spielraum: Bei Cloud-Lösungen wenden sie das Mietrecht an und nicht das ausdifferenzierte Modell des Softwarekaufs mit Lizenzen. Und en passant wandern die Datenbestände vom Laptop oder dem behördlichen Rechenzentrum in die Microsoft Azure Cloud. Für manche Unternehmen und Behörden mag das bequem und günstig sein – gesamtgesellschaftlich ist es der nächste Schritt in eine ferngesteuerte digitale Infrastruktur, die sich politisch immer weniger beeinflussen lässt. Die Gefahr, dass die Daten auf US-Clouds nicht mehr sicher sein könnten, und dass die US-Regierung den „Kill Switch“, also das plötzliche Abschalten von Cloud-Diensten aktivieren könnte, wird immer mehr Akteur*innen bewusst. 

Souveränitäts-Washing verschleiert reale Gefahr durch US-Gesetzgebung

Zwar versuchen Google, Microsoft und Amazon der Furcht ihrer europäischen Kund*innen vor extraterritorialen Datenzugriffen oder Exportkontrollen durch die Trump-Regierung zu begegnen: Sie passen ihre Geschäftsmodelle schrittweise an, nutzen verstärkt Rechenzentren auf europäischem Boden oder schließen sich mit europäischen Unternehmen zusammen. All das nehmen sie zum Anlass, ihre cloudbasierten Dienste mit dem Stempel „souverän“ anzubieten. Doch trotz aller Beteuerungen besteht auch bei den „sovereign clouds“ aus dem Big-Tech-Portfolio die reale Gefahr, dass die Trump-Regierung die Abhängigkeit von US-Cloudanbietern als geopolitischen Hebel ausspielt. US-Unternehmen und ihre Tochtergesellschaften fühlen sich im Zweifel einer Anordnung aus Washington mehr verbunden als strengen EU-Gesetzen, die einer Weitergabe an Sicherheitsbehörden widersprechen.

Auch mit Blick auf die Rechtslage in den USA spricht wenig dafür, dass NSA, FBI und Co. darauf verzichten werden, einen Datenzugriff zu verlangen oder die beteiligten Unternehmen auf andere Weise zu einer Herausgabe zu zwingen.  Das gilt umso mehr, da die Herausgabeverlangen der US-Sicherheitsbehörden in aller Regel im Verborgenen bleiben, und die europäischen Aufsichtsbehörden nichts mitbekommen. Wo keine Klägerin, da kein Richter. Die Versprechungen für eine „souveräne“ Cloud für Kund*innen in der EU entpuppen sich daher bei näherem Hinsehen als Souveränitäts-Washing. 

Selbst wenn ein US-Cloudunternehmen seinen europäischen Kund*innen nachprüfbar ermöglicht, ihre Daten auf ihrer Cloud so zu verschlüsseln, dass niemand außer ihnen darauf zugreifen kann, dürften US-Gerichte mit Strafzahlungen oder gar Gefängnisstrafen gegen leitende Mitarbeiter*innen der IT-Unternehmen vorgehen. Unter dem Druck der US-Regierung wäre es also durchaus denkbar, dass ein Tech-Konzern die Möglichkeit, einen Fernzugriff zur „Wartung“ der Cloud-Lösung nutzt, um an bestimmte Daten heranzukommen – obwohl diese in der ausschließlich EU-weiten „Datenresidenz“ liegen. All das würde die Öffentlichkeit, einschließlich der Datenschutzbehörden, im Zweifel gar nicht mitbekommen. Denn solche Verfahren finden unter strenger Geheimhaltung (sog. „gag orders“) statt. Es verwundert insofern nicht, dass ein Microsoft-Manager bei einer Anhörung im französischen Senat unter Eid einräumen musste, dass Daten in europäischen Rechenzentren vor US-Zugriff nicht sicher sind. 

Um den Risiken eines Datenabflusses in die USA zu begegnen, setzen manche Unternehmen nicht mehr nur darauf, dass ihre Daten in europäischen Rechenzentren bleiben, sondern lagern kritische Arbeitslasten komplett in gesonderte Umgebungen aus. Projekte wie „Delos-Cloud“, bei der eine Tochtergesellschaft der SAP die Microsoft-Umgebung aus einem deutschen Rechenzentrum heraus anbietet, zielen auf eine Zwischenlösung zwischen vollständiger Cloud-Abhängigkeit und IT-Autarkie ab. Doch das Innenministerium in Baden-Württemberg warnte bereits 2025, dass „nicht in vollem Umfang von vollständiger Souveränität gesprochen werden“ könne, solange sich ausländische Zugriffe – legal oder illegal – nicht ausschließen lassen. Dahinter steckt letztlich die Erkenntnis: Wenn US-Sicherheitsbehörden die Muttergesellschaft SAP oder einzelne leitende Angestellte durch Gerichtsbeschluss dazu verpflichtet, einzelne Datenbestände einer Tochtergesellschaft herauszugeben, kommt auch ein europäisches Unternehmen, das in den USA tätig ist, in einen schwierigen Loyalitätskonflikt.

US-Exportkontrollen als „Kill Switch“

Ein zweites Risiko für die digitale Souveränität existiert mit Blick auf das US-Exportkontrollrecht. Der Fall rund um das KI-Modell „Mythos“ hat gezeigt: Wenn die US-Regierung einen Fall der „nationalen Sicherheit“ annimmt, kann sie US-Anbieter dazu zwingen, ihren Vertrieb außerhalb der USA einzustellen oder bestimmte Lizenzen zu kappen. Für Unternehmen und Behörden, die auf cloudbasierte Angebote von US-Anbietern setzen, droht im worst-case ein Totalausfall. Denn auch bei „souveränen“ Lösungen auf europäischen Rechenzentren, die keinerlei Fernzugriffsmöglichkeit aus den USA zulassen, liegt die Steuerung zentraler Systemparameter in der Hand der Anbieter. Solange Kontrolle über Updates, Code und Architektur beim Anbieter verbleiben, steht die IT-Infrastruktur bei transatlantischen Spannungen auf wackligen Füßen. Ohne Updates ist eine Cloud-Infrastruktur wie ein offenes Scheunentor; es wäre verantwortungslos, wenn ein Staat darauf weiterhin seine Daten und Anwendungen laufen ließe. Auch deutsche Unternehmen haben ein Interesse, ihre digitale Arbeitsgrundlage selbst beherrschen und dauerhaft betreiben zu können. Wäre es in einer solchen Situation nicht pragmatischer, sich nach Alternativen zu Big Tech umzuschauen?

Deutsche und europäische Behörden wirken handlungsunfähig 

Es stellt sich die Frage, warum sich die politischen Entscheidungsträger*innen in Bund und Ländern sowie in Konzernzentralen nicht entschlossener aus der digitalen Abhängigkeit von US-Konzernen lösen. Ein wesentlicher Grund ist die derzeitige Marktlage. Offene Lösungen und vertrauenswürdigere Anbieter als Big Tech gibt es durchaus, doch deren Lobby- und Marketingstrukturen sind weniger eng mit möglichen Kund*innen verflochten als etwa bei Microsoft. Und sie müssen sich ihre Stellung am Markt erst einmal hart erarbeiten. Durch Marketing-Maßnahmen wie unentgeltliche oder billige Lizenzen für Schulen und Studierende stellt Microsoft zudem sicher, dass Powerpoint und Word, Outlook und Sharepoint, Teams und Excel – und jetzt eben auch Microsoft365 – als Standard gelehrt und gelernt werden. 

Hinzu kommen ganz praktische Herausforderungen, denen sich gerade kleine Unternehmen oder die Rathäuser einer Kleinstadt nicht gewachsen fühlen. Wer sich aus dem Microsoft-Ökosystem lösen will und den Umzug auf die Azure Cloud öffentlicher Datenbestände verhindern will, hat bislang kein klares Logbuch: Der Wechsel ist aufwändig, teuer und operativ riskant. Viele Behörden scheuen die Integration neuer Lösungen, weil ihnen Ressourcen und Know-how fehlen – oder die aktive Rückendeckung von der Leitungsebene. Zudem können kleinere Anbieter oft nicht mit dem Serviceumfang, dem Support und der Marktmacht der Big Tech-Konzerne konkurrieren. Die Folgen sind gravierend: Ein fehlender Wettbewerb hemmt Innovation, erhöht die Kosten langfristig und schränkt die Wahlfreiheit der Unternehmen und Behörden ein.

Denn so sehr sich viele Menschen auch an das Microsoft-Universum gewöhnt haben: Wie sich die Produkte und Dienste weiterentwickeln, ob sie den Bedürfnissen einer Behörde wirklich entsprechen, ob die Lizenzkosten auf Dauer akzeptabel bleiben und ob sie lokalen Gesetzen wirklich genügen, bestimmen nicht die Kund*innen – sondern die Konzernleitung in den USA.  Die Verantwortung dafür, Big Tech den Rücken zu kehren, kann daher nicht ausschließlich an einzelne Unternehmen oder Behörden ausgelagert werden.  

Kleine Schritte statt großem Wurf

In der Vergangenheit gab es mehrere zaghafte Versuche, dem Abhängigkeitsproblem zu begegnen. Doch der politische Wille, der öffentliche Druck und die notwendige Finanzierung fehlten, um es mit den US-Konzernen ernsthaft aufzunehmen. Es gab auch keine langfristige EU-weite oder wenigstens bundesweite Strategie. Jede*r kochte sein eigenes Süppchen.

Zwar förderten die Europäische Kommission und viele nationale Regierungen gezielt offene Standards, Multi-Cloud-Architekturen und Referenzimplementierungen für Open-Source-Lösungen. Das europäische Projekt GAIA-X, das eine souveräne Cloud-Umgebung schaffen sollte, ist auf halber Strecke versandet. Und der EU-weite Rahmenvertrag für Cloud- und KI-Leistungen, den GovTech Deutschland jüngst an die Bechtle AG vergeben hat, bündelt in seiner Multi-Cloud-Strategie nicht nur europäische Lösungen von T-Systems oder STACKIT der Schwarz-Gruppe, sondern auch die Angebote von AWS, Microsoft und Google. Obwohl die Risiken für die nationale Sicherheit und europäische Handlungsfähigkeit immer deutlicher werden, behandeln Entscheidungsträger*innen in Politik und Wirtschaft die Frage der Cloud-Nutzung noch zu sehr als eine marktwirtschaftliche Frage von Angebot und Nachfrage. Das könnte sich im Ernstfall rächen.

Pionierarbeit in Schleswig-Holstein 

Es gibt sie aber schon, die kleinen „gallischen Dörfer“. Die schwarz-grüne Landesregierung in Schleswig-Holstein hat umfassend damit begonnen, die IT der Landesverwaltung auf Open-Source-Produkte wie LibreOffice, NextCloud und Open-XChange umzustellen. Im hohen Norden ist den politischen Verantwortlichen offenbar klar, dass die technische Abhängigkeit von internationalen Konzernen weitreichende Konsequenzen für die Funktionsfähigkeit des Staates haben kann. Die These aus Kiel lautet: Auf Dauer ist eine Verwaltungs-IT mit Open-Source-Lösungen sogar günstiger und für den Wirtschaftsstandort besser, als hohe Lizenzkosten in die USA zu überweisen.

In Schleswig-Holstein will man schon jetzt proaktiv verhindern, die Kontrolle über wesentliche Aspekte der eigenen IT-Architektur in Zukunft zu verlieren. Der Einsatz von quelloffener, also Open-Source Software bringt viele Vorteile: Wichtige Funktionalitäten sind dann nicht mehr durch den Anbieter als Geschäftsgeheimnisse abgeschirmt, Updates und Systemänderungen kann man in Auftrag geben lassen und die einzelnen Komponenten sind dank offener Standards und Schnittstellen interoperabel. Das führt auf lange Sicht zu Wahlfreiheit und Unabhängigkeit. Nicht Microsoft gibt durch sein Produktportfolio vor, was möglich ist, sondern die Landesregierung lässt sich das bauen, was den Bedürfnissen der Behörden entspricht. Der Staat wird so zum Treiber eines Open-Source-Ökosystems. Durch die Beschaffung souveräner und offener Lösungen tritt der Staat als sogenannter Ankerkunde auf: Er sorgt für den initialen Geldfluss, mit dem sich neue Geschäftsmodelle am Markt etablieren können – davon profitiert dann am Ende auch die Wirtschaft. Die Landesverwaltung kann die Funktionsweise ihrer IT-Landschaft voll auditieren, individuelle Sicherheitsanforderungen implementieren und im Zusammenspiel mit den zuständigen Aufsichtsbehörden dafür sorgen, dass die technischen Lösungen rechtskonform sind. Und ein „Kill Switch“ existiert nicht, wenn man alles selbst hostet und betreibt.

Wege zu fairem Wettbewerb und vertrauenswürdigen Lösungen auf dem Cloud-Markt

Cloud-Souveränität ist kein Selbstzweck, sondern eine grundlegende Voraussetzung für eine funktionsfähige, resiliente und rechtskonforme digitale Infrastruktur. Sie stärkt die nationale Sicherheit und erhöht die Unabhängigkeit der öffentlichen und privaten IT. Am Ende des Wegs zur Cloud-Souveränität steht Wahlfreiheit über die beste und sicherste Cloud-Lösung für Behörden und Unternehmen. Der durch US-Anbieter*innen beherrschte Cloud-Markt könnte sich endlich für europäische und internationale Wettbewerber*innen öffnen. Die Ergebnisse wären mehr Auswahl, bessere Preise und mehr Wertschöpfung in der EU.

Aber auch Sicherheit, Datenschutz und Innovationskraft verlangen eine strategisch breit aufgestellte, offene und kontrollierbare Cloud-Landschaft. Die Kernpfeiler sollten Open-Source-Software und eine auswechselbare Verschlüsselung der abgelegten Daten sein. Nur so lässt sich sicherstellen, dass Daten von EU-Bürger*innen und -Unternehmen zum Beispiel bei Cyberangriffen nicht in ungewünschte Hände geraten. Um Unternehmen, Privatpersonen und Behörden zu ermöglichen, ihre Informationen vertraulich und abgeschirmt in die Cloud zu laden, muss sich aber auch die europäische Sicherheitspolitik zurückhalten. Die EU sollte den US-amerikanischen Cloud Act und die heimlichen Zugriffsbefugnisse der Sicherheitsbehörden nicht nachbauen. Denn ebenso wenig wie bei US-Geheimdiensten würden viele Personen ihre Daten in der Hand der deutschen Ermittlungsbehörden oder bei Europol wissen wollen.

Der jüngste Vorschlag der EU-Kommission für ein „Tech Sovereignty Package“ ist ein erster Schritt in diese Richtung: Erstmals gäbe es explizite Vorschriften für Mitgliedstaaten, die sich Cloud-Lösungen beschaffen wollen, und einen Kriterienkatalog, der Versuche eines „Souveränitäts-Washings“ bereits im Keim erstickt. Doch der Anwendungsbereich könnte – gerade unter dem Einfluss der Big-Tech-Lobby – zu eng geraten.

Derweil zeigt Frankreich, wie ein ambitionierter Weg in eine digitalsouveräne Zukunft aussehen kann: Ab 2030 will die Republik nur noch Open-Source-Lösungen einkaufen und betreiben. Deutschland sollte sich davon inspirieren lassen: Klarer Stichtag für den Ausstieg, langfristige Finanzierungsstruktur auf der Grundlage „gesparte Lizenzkosten“ und bei alledem aus Schleswig-Holsteins Erfahrungen lernen. Am Ende steht im besten Fall ein europäisches Konsortium, das eine Cloud-Infrastruktur baut, die auf die Ziele der Wahlfreiheit, Datensicherheit und digitalen Resilienz einzahlt.

Auf dem langen Weg zur digitalen Souveränität stehen Deutschland und Europa nun vor einer historischen Weichenstellung. Es ist höchste Eisenbahn, digitale Resilienz und Wahlfreiheit auf dem Digitalmarkt als existentielle Aufgabe zu verstehen – und in ambitionierte Reformvorhaben und Transformationsprozesse zu gießen. Mit einem Fokus auf Kollaboration und offenen Strukturen könnte die europäische Digitalwirtschaft ihren Anteil am heimischen und globalen Wachstumsmarkt „Cloud“ deutlich vergrößern. Der Staat kauft ein – das tut er sowieso – und die Wirtschaft zieht mit. Am Ende stünde eine digitale Infrastruktur, die einer freiheitlichen Demokratie auch in stürmischen Zeiten als Fundament dient.