Sovereign Cloud
Sovereign Cloud (souveräne Cloud) bezeichnet Cloud-Dienste, die einen Zugriff von außerhalb der EU technisch, organisatorisch und rechtlich ausschließen oder zumindest begrenzen sollen. Auslöser der Debatte sind Gesetze wie der US-amerikanische CLOUD Act, nach dem US-Anbieter Daten auch dann herausgeben müssen, wenn sie in Europa gespeichert sind. Eine verbindliche Definition gibt es nicht; jeder Anbieter kann sein Produkt so nennen.
Ebenen der Souveränität
Ein Speicherort in Deutschland allein macht noch keine Sovereign Cloud. Üblich ist die Unterscheidung nach vier Ebenen:
| Ebene | Frage | Beispiel für eine Maßnahme |
|---|---|---|
| Daten | Wo liegen die Daten, wer hält die Schlüssel? | EU-Cloud-Region, Schlüssel beim Kunden (BYOK, HYOK) |
| Betrieb | Wer administriert, wer hat Zugriff im Störfall? | Betrieb nur durch Personal mit Sitz in der EU, Zugriffsprotokolle |
| Recht | Welchem Recht unterliegt der Betreiber? | Betreibergesellschaft nach EU-Recht ohne Weisungsrecht einer Muttergesellschaft außerhalb der EU |
| Technik | Lässt sich der Dienst ohne den Hersteller weiterbetreiben oder wechseln? | Open Source, offene Schnittstellen, Betrieb ohne Verbindung zum Hersteller |
Die Angebote am Markt decken diese Ebenen unterschiedlich weit ab.
Modelle am Markt
- Hyperscaler mit EU-Datengrenze: Der Hyperscaler verspricht, Daten und Support in der EU zu halten. Die Muttergesellschaft und damit die Rechtsfrage bleiben unverändert.
- Eigenständige EU-Betreibergesellschaft: Ein Hyperscaler gründet eine europäische Gesellschaft mit eigener Infrastruktur und eigenem Personal, die getrennt von den übrigen Regionen läuft.
- Partnermodell: Ein europäisches Unternehmen betreibt die Technik eines Hyperscalers unter Lizenz in eigenen Rechenzentren. Der europäische Partner hält Betrieb und Kundenverträge.
- Europäische Anbieter mit eigener Technik: Clouds auf Basis von OpenStack und Kubernetes, betrieben von europäischen Unternehmen in eigenen oder angemieteten Rechenzentren (Colocation).
- Getrennte Clouds: vom Internet und vom Hersteller abgekoppelte Installationen beim Kunden, etwa für Behörden mit Verschlusssachen.
Cloud Sovereignty Framework der EU
Die Europäische Kommission hat im Oktober 2025 ein Cloud Sovereignty Framework vorgestellt, mit dem öffentliche Auftraggeber Cloud-Angebote bei der Beschaffung bewerten. Es definiert acht Ziele (SOV-1 bis SOV-8): strategische, rechtliche, Daten- und KI-, operative, Lieferketten-, technologische, Sicherheits- und Nachhaltigkeitssouveränität.
Je Ziel vergibt das Framework eine Stufe, das Sovereignty Effectiveness Assurance Level (SEAL):
| Stufe | Bedeutung |
|---|---|
| SEAL-0 | keine Souveränität, ausschließlich Kontrolle und Recht außerhalb der EU |
| SEAL-1 | EU-Recht gilt formal, ist aber praktisch kaum durchsetzbar |
| SEAL-2 | EU-Recht gilt, wesentliche Abhängigkeiten außerhalb der EU bleiben (Datensouveränität) |
| SEAL-3 | EU-Akteure haben maßgeblichen, aber nicht vollständigen Einfluss (technologische Souveränität) |
| SEAL-4 | vollständige Kontrolle in der EU, keine kritischen Abhängigkeiten außerhalb |
Das Gesamtergebnis eines Angebots ist die niedrigste Stufe, die es in einem der acht Ziele erreicht. Der Auftraggeber legt eine Mindeststufe fest, in der ersten Ausschreibung der Kommission auf dieser Grundlage war das SEAL-2. Erst unter den Angeboten, die diese Stufe erreichen, entscheidet ein gewichteter Punktwert.
Sovereign Cloud Stack
Der Sovereign Cloud Stack (SCS) ist ein offener Software-Stack und ein Satz von Standards für interoperable Clouds. Er baut auf OpenStack für Infrastruktur und Kubernetes für Container auf. Ziel ist, dass Anbieter kompatible Clouds betreiben und Kunden ihre Workloads zwischen ihnen verschieben können.
| Träger | Open Source Business Alliance (OSBA) |
|---|---|
| Förderung | Bundesministerium für Wirtschaft und Klimaschutz, Juli 2021 bis Ende 2024, rund 13,2 Mio. Euro |
| Weiterführung | Forum SCS-Standards in der OSBA seit 1. Januar 2025, gegründet mit 14 Unternehmen; Standards und Zertifizierung |
Die Software selbst entwickeln seitdem vor allem Unternehmen weiter, die SCS-basierte Clouds betreiben oder Dienstleistungen dafür anbieten.
Was Souveränität nicht ersetzt
- Sicherheit: Eine souveräne Cloud ist nicht automatisch sicherer. Informationssicherheit belegen Zertifizierungen und Maßnahmen wie IT-Grundschutz, nicht die Herkunft des Anbieters.
- Verfügbarkeit: Wer von einem einzigen europäischen Anbieter abhängt, hat ein anderes Abhängigkeitsproblem, aber keines weniger.
- Pflichten: Betreiber kritischer Infrastrukturen müssen KRITIS- und NIS2-Anforderungen unabhängig vom Cloud-Modell erfüllen.