Sovereign Cloud: Digitale Souveränität im Mittelstand
Sovereign Cloud und digitale Souveränität waren lange ein Thema für Behörden und Konzerne. 2026 ist daraus eine reale Architekturfrage für Unternehmen jeder Größe geworden. Auslöser sind keine abstrakten Prinzipien, sondern konkrete rechtliche und geopolitische Verschiebungen. Wer Workloads in der Cloud betreibt, sollte verstehen, was Souveränität technisch wirklich bedeutet, welche Anbieter welches Versprechen einlösen und wo der Mittelstand sinnvoll die Grenze zieht. Dieser Beitrag sortiert die Begriffe und liefert einen Entscheidungsrahmen ohne Dogma.
Was Sovereign Cloud wirklich meint
Souveränität ist kein Schalter, sondern besteht aus drei Ebenen, die in der Praxis oft durcheinandergeraten.
Die erste Ebene ist die Datensouveränität. Sie beantwortet die Frage, wo Daten physisch liegen und ob sie ausschließlich europäischem Recht unterliegen. Eine Region wie eu-central-1 reicht dafür nicht aus, denn der Speicherort allein sagt nichts über den rechtlichen Zugriff darauf aus.
Die zweite Ebene ist die Betriebssouveränität. Hier geht es darum, wer auf das System zugreifen kann, wer den Support leistet und wer die administrativen Schlüssel hält. Eine Cloud, deren Server in Frankfurt stehen, die aber aus den USA fernadministriert wird, ist betrieblich nicht souverän.
Die dritte Ebene ist die technische Souveränität. Sie misst, ob ein Unternehmen den Stack so weit kontrolliert, dass ein Anbieterwechsel ohne kompletten Neubau möglich bleibt. Offene Standards, portierbare Container und Infrastructure as Code sind hier die eigentlichen Hebel, nicht das Marketing-Label auf der Produktseite. Genau an dieser Stelle entscheidet sich, ob Souveränität ein Vertragstext bleibt oder im Betrieb trägt.
Warum das Thema 2026 auf dem Tisch liegt
Der rechtliche Kern ist der US CLOUD Act von 2018. Er verpflichtet US-Anbieter, Daten auf eine gültige behördliche Anordnung hin herauszugeben, unabhängig davon, in welchem Land die Daten gespeichert sind. Das betrifft auch die europäischen Regionen der großen US-Hyperscaler. Microsoft hat eine EU Data Boundary aufgebaut, die Speicherung und Verarbeitung personenbezogener Daten in Europa hält. Den CLOUD Act hebt sie trotzdem nicht aus. Microsofts eigene Juristen bestätigten vor dem französischen Senat, dass dieser Konflikt rechtlich ungelöst bleibt. Eine EU-Region ist also ein Datenschutz-Pluspunkt, aber kein Beweis für rechtliche Souveränität.
Die EU hat darauf reagiert. Mit dem Cloud Sovereignty Framework von Oktober 2025 definiert die Kommission acht Anforderungen und einen Souveränitäts-Score, der misst, wie stark ein Dienst ausländischer Gesetzgebung ausgesetzt ist. Parallel arbeitet die ENISA am Zertifizierungsschema EUCS. Die ursprünglich geplanten Eignungskriterien zur Souveränität, etwa zum Hauptsitz des Anbieters, wurden zwar entschärft, bleiben aber politisch umstritten. Über die NIS-2-Richtlinie und den Data Act können Mitgliedsstaaten zertifizierte Anbieter für kritische Workloads faktisch verbindlich machen.
Der Markt zieht entsprechend an. Gartner rechnet damit, dass die Ausgaben für europäische Sovereign-Cloud-Infrastruktur von rund 6,9 Milliarden US-Dollar im Jahr 2025 auf etwa 12,6 Milliarden im Jahr 2026 steigen. Souveränität ist damit von der Compliance-Pflicht zum eigenen Produktsegment geworden.
Die Anbieterlandschaft im Überblick
Das Angebot ist inzwischen breiter, als viele annehmen, und reicht von der separierten Hyperscaler-Partition bis zur durchgehend deutschen Cloud.
AWS hat seine European Sovereign Cloud am 15. Januar 2026 in Brandenburg allgemein verfügbar gemacht und investiert rund 7,8 Milliarden Euro in die Infrastruktur. Sie wird ausschließlich von in der EU ansässigem Personal betrieben, ist strukturell von der regulären AWS-Umgebung getrennt und startet mit BSI-C5-Attestierung. Das ist die bisher konsequenteste Antwort eines US-Anbieters, die offene Frage zur US-Jurisdiktion bleibt jedoch im Hintergrund bestehen. Die Details dazu hat AWS in der offiziellen Ankündigung dokumentiert.
Microsoft kombiniert die EU Data Boundary mit der Delos Cloud, die auf Microsoft-Technologie für die öffentliche Verwaltung in Deutschland aufsetzt. Auf der europäischen Seite hat sich STACKIT von Schwarz Digits zu einem ernsthaften Faktor entwickelt. Der Dienst wird vollständig in Deutschland betrieben, ist Gaia-X-Mitglied der ersten Stunde und betreibt unter anderem RISE-with-SAP-Workloads. Dazu kommen Anbieter ohne US-Konzernmutter wie IONOS, OVHcloud und die Telekom-Tochter T-Systems. Diese liefern die stärkste rechtliche Souveränität, bieten dafür aber meist einen schmaleren Katalog an Managed Services. Das ist der zentrale Zielkonflikt: Je souveräner ein Angebot rechtlich ist, desto kleiner ist häufig das Ökosystem an fertigen Diensten.
Pragmatisch entscheiden: Souveränität nach Schutzbedarf
Der teuerste Fehler ist, Souveränität als Alles-oder-nichts-Frage zu behandeln. Eine öffentliche Marketing-Website und ein System mit Gesundheits- oder Vertragsdaten haben völlig unterschiedlichen Schutzbedarf. Der erste Schritt ist deshalb keine Anbieterauswahl, sondern eine Klassifizierung der Workloads nach öffentlich, intern, streng vertraulich und reguliert.
Für unkritische Lasten bleibt der Standard-Hyperscaler in den meisten Fällen die rationalste Wahl, weil Servicebreite und Kosten überzeugen. Für sensible und regulierte Daten lohnt der Blick auf eine souveräne Partition oder einen europäischen Anbieter. In gemischten Landschaften ist ein zweigleisiger Betrieb oft die ehrlichste Lösung, sofern die Datenflüsse zwischen den Welten sauber kontrolliert sind.
Entscheidend ist die Austrittsfähigkeit. Wer von Tag eins auf portierbare Container, offene Datenformate und automatisierte Provisionierung setzt, hält die Wechselkosten niedrig und behält die technische Souveränität, unabhängig vom Anbieter. Open Source ist dabei kein Selbstzweck, sondern das Fundament dieser Unabhängigkeit, wie wir in Open Source für KMU und am Beispiel des souveränen Arbeitsplatzes OpenDesk gezeigt haben. Auch die Frage, ob ein Dienst überhaupt in die Cloud gehört oder besser im Eigenbetrieb läuft, gehört in diese Abwägung, wie der Vergleich Self-Hosted statt SaaS zeigt. Wer eine Migration plant, sollte Souveränität als Kriterium gleich in die Cloud-Strategie aufnehmen, statt sie später teuer nachzurüsten.
Fazit
Souveränität ist kein Siegel, sondern ein Spektrum, das sich am Schutzbedarf der Daten und an der Austrittsfähigkeit des Systems entscheidet. Wer seine Workloads klassifiziert, pro Anwendungsfall den passenden Anbieter wählt und Portabilität von Anfang an einplant, bekommt echte Kontrolle statt eines beruhigenden Labels. Eine EU-Region ist ein guter Start, aber sie ersetzt die Architekturentscheidung nicht.
EverBright IT begleitet genau diese Abwägung, von der Datenklassifizierung über den Anbietervergleich bis zur portablen Architektur. Mehr zu unserer Cloud-Beratung oder direkt Kontakt aufnehmen.
Häufige Fragen
Was ist eine Sovereign Cloud?
Eine Sovereign Cloud ist ein Cloud-Angebot, das Daten, Betrieb und Technik so weit unter europäische Kontrolle stellt, dass der Zugriff durch ausländische Gesetzgebung ausgeschlossen oder stark begrenzt wird. Sie umfasst drei Ebenen: Datenresidenz, Betriebshoheit durch europäisches Personal und technische Unabhängigkeit über offene, portierbare Standards.
Schützt eine EU-Region vor dem US CLOUD Act?
Nein, nicht zuverlässig. Eine EU-Region stellt sicher, dass Daten in Europa gespeichert werden, sie ändert aber nichts an der rechtlichen Reichweite des CLOUD Act. Solange ein US-Mutterkonzern beteiligt ist, kann eine US-Behörde Zugriff verlangen. Volle rechtliche Souveränität bieten nur Anbieter ohne US-Jurisdiktion oder strukturell getrennte Partitionen.
Welche Sovereign-Cloud-Anbieter gibt es in Deutschland?
Verfügbar sind unter anderem die AWS European Sovereign Cloud in Brandenburg, STACKIT von Schwarz Digits, die Delos Cloud für die Verwaltung sowie europäische Anbieter wie IONOS, OVHcloud und T-Systems. Sie unterscheiden sich stark in Servicebreite und im Grad der rechtlichen Souveränität, weshalb die Auswahl vom Schutzbedarf der Workloads abhängt.
Lohnt sich Sovereign Cloud für den Mittelstand?
Für Teile der Landschaft ja, für andere nicht. Unkritische Workloads laufen weiter günstig beim Standard-Hyperscaler. Bei regulierten oder besonders sensiblen Daten senkt eine souveräne Lösung das rechtliche Risiko spürbar. Der pragmatische Weg ist die Klassifizierung nach Schutzbedarf statt einer pauschalen Entscheidung für die gesamte Infrastruktur.
