{"id":88554,"date":"2026-03-24T08:58:21","date_gmt":"2026-03-24T08:58:21","guid":{"rendered":"https:\/\/www.sardinasystems.com\/?p=88554"},"modified":"2026-03-24T11:20:04","modified_gmt":"2026-03-24T11:20:04","slug":"how-to-build-a-truly-sovereign-cloud-in-europe-two-paths-and-what-to-check-before-you-trust-a-provider","status":"publish","type":"post","link":"https:\/\/www.sardinasystems.com\/de\/blog\/how-to-build-a-truly-sovereign-cloud-in-europe-two-paths-and-what-to-check-before-you-trust-a-provider\/","title":{"rendered":"Wie Sie eine wirklich souver\u00e4ne Cloud in Europa aufbauen: zwei Wege und worauf Sie achten sollten, bevor Sie einem Anbieter vertrauen"},"content":{"rendered":"\n

Da europ\u00e4ische L\u00e4nder weiterhin die extraterritoriale Reichweite des US-Rechts \u00fcber die globale digitale Infrastruktur sp\u00fcren, ist das Thema souver\u00e4ne Cloud nicht l\u00e4nger theoretisch. Zwar gibt es keine neuen direkten Sanktionen oder Exportbeschr\u00e4nkungen f\u00fcr Technologien, die sich gegen europ\u00e4ische L\u00e4nder richten, doch der bestehende Rechtsrahmen \u2013 insbesondere der Clarifying Lawful Overseas Use of Data Act (CLOUD Act)<\/a> \u2013 verpflichtet US-Cloud-Anbieter weiterhin, Datenanfragen amerikanischer Beh\u00f6rden nachzukommen, selbst wenn diese Daten in der EU gespeichert und verarbeitet werden. In Kombination mit geheimen Regelungen zum Datenzugriff und Haftungsausschl\u00fcssen f\u00fcr Anbieter entsteht dadurch eine strukturelle Verwundbarkeit der digitalen Souver\u00e4nit\u00e4t Europas. <\/em><\/p>\n\n\n\n

Amerikanische Hyperscaler \u2013 Amazon, Microsoft und Google \u2013 dominieren weiterhin den europ\u00e4ischen Cloud-Markt. In diesem Artikel werfen wir einen genaueren Blick darauf, wie diese Anbieter die DSGVO einhalten und gleichzeitig vollst\u00e4ndig der US-Gerichtsbarkeit unterliegen.<\/strong> Au\u00dferdem beleuchten wir m\u00f6gliche Exit-Strategien f\u00fcr Organisationen, die eine wirklich souver\u00e4ne Cloud-Infrastruktur<\/strong> aufbauen m\u00f6chten.

Verwurzelt seit 2018: Der CLOUD Act und das falsche Versprechen der souver\u00e4nen<\/strong> Cloud<\/strong>

Der Wortlaut des CLOUD Act erlaubt nominell die Ber\u00fccksichtigung ausl\u00e4ndischer Gesetze und rechtlicher Einw\u00e4nde. Er sch\u00fctzt Anbieter jedoch ausdr\u00fccklich vor jeglicher rechtlicher Haftung f\u00fcr die Erf\u00fcllung von Anfragen der US-Regierung. Unter Section 2705 \u2013 \u201eDelayed Notice\u201c<\/a> kann die Benachrichtigung von Nutzern nicht nur aufgeschoben, sondern auch vollst\u00e4ndig untersagt<\/strong> werden (gag order), sodass Nutzer m\u00f6glicherweise nie davon erfahren. In solchen F\u00e4llen ist es schwierig, vor Gericht zu gehen oder EU-rechtliche Schutzmechanismen geltend zu machen, wenn die US-Regierung eine Anfrage direkt an ein amerikanisches Unternehmen richtet und der Nutzer nie informiert wird. <\/p>\n\n\n\n

Dar\u00fcber hinaus besagt eine zus\u00e4tzliche Klausel im CLOUD Act, dass der Anbieter keine Haftung f\u00fcr die Zusammenarbeit mit US-Beh\u00f6rden tr\u00e4gt<\/strong> und im Falle eines Rechtsstreits keiner der Hyperscaler Konsequenzen zu bef\u00fcrchten hat:<\/p>\n\n\n\n

\n

\u201e(d) No Cause Of Action Against A Provider Disclosing Information Under This Chapter. No cause of action shall lie in any court against any provider\u2026 for providing information, facilities, or assistance in accordance with a court order under this chapter\u2026\u201c<\/strong><\/p>\n<\/blockquote>\n\n\n\n


Hyperscaler verf\u00fcgen \u00fcber enorme Marketingbudgets und sind \u00e4u\u00dferst effektiv darin, Narrative zum richtigen Zeitpunkt zu pr\u00e4gen. Heute bietet nahezu jeder gro\u00dfe US-Cloud-Anbieter irgendeine Form eines \u201esouver\u00e4nen\u201c Cloud-Produkts an, das auf den europ\u00e4ischen Markt zugeschnitten ist. Eines der am h\u00e4ufigsten zitierten Beispiele ist<\/a>: \u201eDie AWS European Sovereign Cloud wird mit einer unabh\u00e4ngigen Governance-Struktur, einem dedizierten Security Operations Centre und unter einer neu gegr\u00fcndeten Muttergesellschaft betrieben, die in der EU lokal kontrolliert wird, von EU-B\u00fcrgern gef\u00fchrt wird und lokalen Gesetzen unterliegt.\u201c<\/em> <\/p>\n\n\n\n

Auf den ersten Blick klingt das nach der Einhaltung europ\u00e4ischer Souver\u00e4nit\u00e4tsprinzipien. Ein genauerer Blick zeigt jedoch, dass diese Designelemente \u2013 wie eine lokal registrierte Gesellschaft, eine EU-basierte F\u00fchrung und die Einhaltung lokaler Gesetze \u2013 in erster Linie darauf ausgelegt sind, die DSGVO<\/strong> und Datenschutzanforderungen zu erf\u00fcllen, nicht aber, die US-Gerichtsbarkeit auszuschlie\u00dfen.<\/strong>
Tats\u00e4chlich hat sich kein Hyperscaler \u00f6ffentlich dazu verpflichtet,<\/strong> den Geltungsbereich der US-Rechtsautorit\u00e4t zu verlassen, noch haben sie klargestellt, wie solche \u201esouver\u00e4nen\u201c Produkte vor Verpflichtungen aus Gesetzen wie dem CLOUD Act gesch\u00fctzt werden. Der US-Rechtsrahmen gilt weiterhin extraterritorial und erkennt Konflikte mit EU-Recht erst nachtr\u00e4glich an. <\/p>\n\n\n\n

Da solche europ\u00e4ischen souver\u00e4nen Angebote letztlich weiterhin auf US-eigenen Technologiestacks beruhen \u2013 einschlie\u00dflich Cloud-Control-Planes und Infrastruktur \u2013, bleibt der Zugriff auf Daten m\u00f6glich, wenn auch st\u00e4rker geschichtet. Wie bereits erw\u00e4hnt, k\u00f6nnen Zugriffsanfragen geheim gestellt werden, und Anbieter sind rechtlich vor Haftung gesch\u00fctzt, wenn sie mit US-Beh\u00f6rden kooperieren. <\/p>\n\n\n\n

Das schafft eine beunruhigende Asymmetrie: Eine europ\u00e4ische juristische Person kann lokal zur Verantwortung gezogen werden, doch im Falle eines Versto\u00dfes oder verdeckten Zugriffs hat das Unternehmen, dessen Daten kompromittiert wurden, kaum M\u00f6glichkeiten, und die US-Muttergesellschaft hat keine rechtlichen Konsequenzen zu bef\u00fcrchten. <\/p>\n\n\n\n

Wie kam es zu Europas Abh\u00e4ngigkeit von souver\u00e4nen Clouds?<\/strong><\/h2>\n\n\n\n

Auf den ersten Blick scheint die Rechtslage klar. Nutzen Sie einfach keine US-basierten Cloud-Anbieter mehr. Bis 2026 sollte jedem europ\u00e4ischen B\u00fcrger klar sein, dass Goodwill nicht l\u00e4nger der prim\u00e4re Treiber amerikanischer Politik ist. Und doch erz\u00e4hlen die Zahlen eine andere Geschichte: <\/p>\n\n\n\n

\n

\u201eDer europ\u00e4ische Cloud-Markt wird weitgehend von US-Anbietern dominiert, was strukturelle Abh\u00e4ngigkeiten schafft und Risiken f\u00fcr die Vertraulichkeit europ\u00e4ischer Daten birgt. Der Marktanteil europ\u00e4ischer Cloud-Anbieter sank von 29 % im Jahr 2017 auf 15 % im Jahr 2022<\/a>, ist seitdem jedoch relativ konstant geblieben. Die Hauptprofiteure des Marktwachstums waren Amazon, Microsoft und Google, die inzwischen 70 % des regionalen Marktes ausmachen.\u201c <\/em><\/p>\n<\/blockquote>\n\n\n\n

\"\"<\/a><\/figure>\n\n\n\n

Obwohl der CLOUD Act seit 2018 seit acht Jahren in Kraft ist, st\u00fctzen sich 70 % des europ\u00e4ischen Cloud-Marktes weiterhin auf amerikanische Anbieter.<\/strong> Angesichts mangelnder Transparenz und Marketingphrasen wie \u201eselbst wir k\u00f6nnen nicht darauf zugreifen\u201c ist es wichtig zu erkennen, dass dies ein bequemes, aber unvollst\u00e4ndiges Narrativ<\/strong> ist. Man kann vern\u00fcnftigerweise annehmen, dass die offizielle Reaktion sorgf\u00e4ltig formuliert w\u00e4re, falls ein Hyperscaler jemals \u00f6ffentlich eines Datenlecks beschuldigt w\u00fcrde: \u201eWir k\u00f6nnen nicht auf Ihre Daten zugreifen, also k\u00f6nnen wir weder etwas best\u00e4tigen noch dementieren! Das ist technisch unm\u00f6glich!\u201c<\/em>

Cloud-Souver\u00e4nit\u00e4t in Public Clouds l\u00e4uft letztlich auf Vertrauen in eine Blackbox hinaus. Wenn ein gro\u00dfer Anbieter wie AWS sagt: \u201eNicht einmal wir k\u00f6nnen auf Ihre Daten zugreifen\u201c, dank Isolation, Verschl\u00fcsselung und Architektur, sollen wir das glauben. Kunden haben keine technischen Mittel, um zu verifizieren<\/strong>, wie die internen Mechanismen funktionieren, wie Daten w\u00e4hrend der Verarbeitung behandelt werden oder wie Zugriffskontrollen durchgesetzt werden. Aber man muss kein Informatikexperte sein, um zu verstehen, dass verschl\u00fcsselte Daten w\u00e4hrend der Verarbeitung irgendwann entschl\u00fcsselt werden m\u00fcssen \u2013 konkret im Arbeitsspeicher.<\/strong> Und Daten im Arbeitsspeicher sind per Definition f\u00fcr das System zug\u00e4nglich, das sie verarbeitet. Diese einfache, aber entscheidende technische Tatsache wird in \u00f6ffentlichen Aussagen und Marketingmaterialien oft ausgelassen \u2013 dabei steht sie im Zentrum der Souver\u00e4nit\u00e4tsdebatte. <\/p>\n\n\n\n

Rechtlich ist die Lage noch unklarer. Hyperscaler halten die DSGVO ein, erwerben Zertifizierungen (z. B. CISPE), kooperieren mit lokalen Unternehmen und bieten Datenresidenz an. Sie bleiben jedoch der US-Gerichtsbarkeit unterworfen, k\u00f6nnen den CLOUD Act nicht ignorieren und sind verpflichtet, Datenanfragen der US-Regierung zu erf\u00fcllen \u2013 selbst wenn die Daten in Frankfurt oder Paris liegen. Unabh\u00e4ngig davon, wie viele technische Zusicherungen Anbieter geben, bleibt die rechtliche M\u00f6glichkeit einer Intervention bestehen, sodass Kunden zwischen Vertrauen und einer Infrastruktur w\u00e4hlen m\u00fcssen, die vollst\u00e4ndig unter europ\u00e4ischer Gerichtsbarkeit steht. <\/p>\n\n\n\n

Welche Alternative gibt es zur souver\u00e4nen Cloud?<\/strong><\/h2>\n\n\n\n

Alternativen gibt es \u2013 auch wenn sie schwierig sind. H\u00e4tte Europa vor einem Jahrzehnt gehandelt, s\u00e4he die Landschaft heute m\u00f6glicherweise ganz anders aus. Das Kernproblem ist Kontrolle, und echte Kontrolle entsteht nur, wenn jede Phase der Datenverarbeitung und des Computings verstanden und gesteuert wird. <\/p>\n\n\n\n

Heute haben europ\u00e4ische Organisationen Zugang zu einer Reihe echter Alternativen zu US-Hyperscalern, die es ihnen erm\u00f6glichen, die Datenkontrolle zu behalten und Souver\u00e4nit\u00e4tsanforderungen zu erf\u00fcllen. Zu den f\u00fchrenden Anbietern z\u00e4hlen T-Systems, Orange Cloud und andere \u2013 unter EU-Gerichtsbarkeit<\/strong> operierend, mit lokalen Rechenzentren<\/strong> und zunehmend zertifiziert<\/strong> nach vertrauensw\u00fcrdigen Cloud-Standards wie Frankreichs SecNumCloud oder GAIA-X. <\/p>\n\n\n\n

Verstehen, was Sie kontrollieren: Zwei Wege zur Souver\u00e4nit\u00e4t<\/strong><\/h2>\n\n\n\n
Volle technische Kontrolle: Souver\u00e4ne Cloud als Architekturentscheidung<\/strong><\/h5>\n\n\n\n

Volle technische Kontrolle stellt die h\u00f6chste Stufe der Cloud-Souver\u00e4nit\u00e4t dar, bei der die Organisation jede Infrastruktur- und Software-Schicht direkt steuert<\/strong> \u2013 ohne Zwischeninstanzen. Dieses Modell ist besonders relevant f\u00fcr Regierungen, Verteidigung, Gesundheitswesen und kritische Industrien. <\/p>\n\n\n\n

Zentrale technische Komponenten:<\/strong><\/p>\n\n\n\n

Dieses \u00d6kosystem wird zus\u00e4tzlich durch Open-Source-Technologien<\/strong> unterst\u00fctzt \u2013 vor allem OpenStack (f\u00fcr IaaS), Kubernetes (f\u00fcr Orchestrierung), Ceph (f\u00fcr verteilten Storage) und <\/a>Plattformen wie FishOS.<\/a><\/mark> Viele Nischenanbieter bieten zudem vorintegrierte, unterst\u00fctzte und gehostete L\u00f6sungen an, wodurch Open Source zug\u00e4nglicher wird.<\/strong> Experten-Support ist hier entscheidend \u2013 er erm\u00f6glicht eine schnellere Bereitstellung und eine effektivere Nutzung dieser Tools. In der Praxis erweist sich eine Kombination aus Open Source und kommerziellem Support<\/strong> oft als kosteneffizienter und nachhaltiger, als sich ausschlie\u00dflich auf europ\u00e4ische Hyperscaler zu verlassen. <\/p>\n\n\n\n