Management Summary

Cloud-Abhängigkeit wird zum geopolitischen Risiko: Europäische Unternehmen lagern kritische Prozesse an US‑Hyperscaler aus und geraten damit unter fremde Rechtsordnungen, die im Konfliktfall Zugriff auf Daten und Dienste erzwingen können.
US‑Recht sticht europäische Verträge: CLOUD Act, FISA 702 und EO 12333 ermöglichen weitreichende Datenzugriffe – unabhängig vom Speicherort. Kein europäischer Vertrag oder Serverstandort bietet vollständigen Schutz.
Regulatorischer Druck zwingt zu souveränen Architekturen: NIS2 und DORA verlangen kontinuierliche Prüfungen, Auditierbarkeit und klare Verantwortlichkeiten entlang der gesamten Lieferkette – ein Problem für Anbieter mit außereuropäischer Muttergesellschaft.
Souveräne KI‑Infrastrukturen werden strategisch: Dedizierte GPU‑Cluster, Open‑Weight‑Modelle und europäische Rechenzentren verhindern Datenabfluss und proprietäre Abhängigkeiten, ohne auf Leistung zu verzichten.
Nachhaltigkeit und Rechtssicherheit als Auswahlkriterien: Europäische Betreiber bieten energieeffiziente, zertifizierte Infrastrukturen (z. B. ISO 50001, BSI‑C5 Typ 2) und vermeiden Rechtskonflikte – ein zentraler Baustein für langfristige digitale Souveränität.

Mit dem Umzug in die Cloud haben viele europäische Unternehmen ihre Geschäftsprozesse, Kommunikation und Datenbestände in die Hände weniger US-amerikanischer Technologiekonzerne gelegt. Diese, einst aus pragmatischen Gründen getroffene, Entscheidung entpuppt sich mehr und mehr als Verwundbarkeit. Denn die Daten, auf denen europäische Wertschöpfung beruht, unterliegen fremden Rechtsordnungen, fremden Regierungen und im Zweifel fremden Interessen.

Wie schnell aus dieser Abhängigkeit Erpressbarkeit wird, zeigt die jüngste Geschichte: Als westliche Staaten im Frühjahr 2022 russische Banken vom SWIFT-System abkoppelten, zogen Microsoft und Oracle zeitgleich aus dem russischen Markt ab: Tausende Organisationen verloren in kurzer Zeit den Zugang zu ihren Geschäftsanwendungen. Im Juni 2025 erklärte Microsoft-Chefjustiziar Anton Carniaux unter Eid vor dem französischen Senat, er könne nicht ausschließen, dass europäische Daten an die US-Regierung weitergegeben werden. Mittlerweile droht Washington sogar offen damit, Europa den Zugang zu Spitzentechnologie zu kappen, sollte Brüssel seine Digitalregulierung weiter verschärfen.

Geheimdienstrecht sticht Vertragsrecht

Hinter den Drohgebärden steht ein juristisches Fundament, das den Zugriff auf europäische Daten systematisch billigt. Der CLOUD Act von 2018 etwa verpflichtet US-Unternehmen, Daten auf behördliche Anordnung herauszugeben – unabhängig davon, wo auf der Welt sie gespeichert sind. Noch gravierender wirken FISA Section 702 und Executive Order 12333 auf das Geschäft: Sie ermöglichen US-Geheimdiensten eine anlasslose Massenüberwachung, gegen die sich keine europäische Organisation oder Behörde wehren kann, solange es Dienste eines US-Anbieters nutzt. Kein Vertrag, keine Standardvertragsklausel und kein Serverstandort in Frankfurt schützen davor.

Europa zieht Zügel an

Europäische Unternehmen geraten damit in eine Sackgasse. Denn gleichzeitig verlangen Richtlinien wie NIS2 und DORA von Organisationen nicht nur, die eigene Sicherheitsarchitektur widerstandsfähig zu gestalten, sondern auch die ihrer Dienstleister lückenlos zu prüfen. Zertifizierungen und Audits werden damit zur Pflicht. Und zwar als kontinuierlicher Prozess. DORA etwa schreibt für den Finanzsektor vor, dass Auslagerungen an IKT-Drittdienstleister regelmäßig überwacht, getestet und dokumentiert werden müssen. Wer kritische Workloads bei einem Anbieter betreibt, dessen Muttergesellschaft einem außereuropäischen Rechtsrahmen unterliegt, gerät bei diesen Prüfungen in Erklärungsnot. NIS2 weitet den Kreis der betroffenen Unternehmen erheblich aus und erfasst neben klassischen KRITIS-Betreibern auch deren Zulieferer und Dienstleister. Die Verantwortung für Informationssicherheit erstreckt sich somit tief in die Lieferkette hinein.

Europäische Rechenzentrumsbetreiber mit eigener In-frastruktur in Deutschland können an dieser Stelle liefern, was globale Hyperscaler strukturell schuldig bleiben: jurisdiktionelle Klarheit. Wer ausschließlich unter deutschem beziehungsweise europäischem Recht operiert, muss keinen Interessenkonflikt zwischen zwei Rechtsordnungen austarieren. Prüfpfade, Zugriffskontrollen und Eskalationswege lassen sich durchgängig nach europäischen Maßstäben gestalten, ohne dass ein Rechtsstreit in Washington das mühsam aufgebaute Compliance-Gerüst über Nacht ins Wanken bringt. Das BSI-C5-Testat – insbesondere in der Typ-2-Variante, die über einen Beobachtungszeitraum nachweist, dass Sicherheitsmaßnahmen nicht nur auf dem Papier existieren, sondern im operativen Alltag greifen – hat sich hier als Gütesiegel etabliert.

Wenn KI auf Souveränität trifft

Aber auch die Implementierung von künstlicher Intelligenz (KI) verschärft die Souveränitätsfrage – allerdings auf eine Weise, die viele Unternehmen erst allmählich durchdringen. Große Sprachmodelle sind Datenstaubsauger: Trainings- und Inferenzdaten, Prompts, generierte Inhalte, alles durchläuft Verarbeitungsketten, in denen sensible Informationen offenliegen. Unternehmen, die ein LLM über einen US-Cloud-Dienst betreiben, liefern im Zweifelsfall Patientenakten, Vertragsentwürfe oder behördliche Vorgangsdaten in eine Jurisdiktion, die europäische Schutzstandards nicht garantieren kann.

Souveräne KI-Infrastrukturen aus Deutschland lösen diese Herausforderung auf der physischen Ebene: dedizierte GPU-Cluster in deutschen Rechenzentren, kuratierte Open-Weight-Sprachmodelle und Open-Source-basierte, keine proprietären Abhängigkeiten, der gefürchtete Vendor-Lock-in bleibt aus. noris network etwa stellt solche Umgebungen als Managed Service bereit. Dazu gehören Ultra-High-Density-Racks mit bis zu 50 kVA pro Rack für luftgekühlte GPU-Server ebenso wie modulare Container-Rechenzentren mit Direct-to-Chip-Wasserkühlung für Hochleistungscluster. Kurz: KI-Workloads bleiben im europäischen Rechtsraum, ohne auf Rechenleistung verzichten zu müssen.

Nachhaltigkeit wird Auswahlkriterium

Nebenbei lässt sich damit auch die ökologische Pflicht erfüllen. So dehnen die Corporate Sustainability Reporting Directive und die EU-Taxonomie die Berichtspflichten auf ausgelagerte IT-Leistungen aus. Organisationen, die ihre IT-Infrastruktur in ein Colocation-Rechenzentrum verlagern, profitieren von energieeffizientem Design, regenerativer Energieversorgung, Abwärmenutzung und zertifiziertem Energiemanagement nach ISO 50001. Europäische Betreiber wie noris network, die seit Jahren in nachhaltige Infrastrukturen investieren, bieten hier einen messbaren Vorteil.

Unabhängigkeit als Prinzip

Digitale Souveränität, soviel steht fest, lässt sich nicht einkaufen wie eine Softwarelizenz. Sie entsteht dort, wo Unternehmen Infrastrukturstandort, Rechtsrahmen, Sicherheitsarchitektur und Nachhaltigkeit als zusammenhängendes Ökosystem begreifen.

Johannes Meyer ist Senior Market Development Manager für Cloud‑Lösungen bei der noris network AG und verantwortet die strategische Positionierung sowie die Marktentwicklung moderner Cloud‑ und Managed‑Service‑Angebote. In seiner Rolle verbindet er technologische Expertise mit tiefem Marktverständnis, um Unternehmen beim sicheren und souveränen Einsatz von Cloud‑Infrastrukturen zu unterstützen. Mit langjähriger Erfahrung in IT‑Infrastruktur, Cloud‑Architekturen und digitalen Transformationsprojekten gilt er als kompetenter Ansprechpartner für CIOs und IT‑Entscheider im deutschsprachigen Raum.

Illustration: © Sunnyfrog | Dreamstime.com

1429 Artikel zu „Souveränität“

News | Cloud Computing | Infrastruktur | Rechenzentrum | Strategien

Digitale Souveränität beginnt weit vor der Cloud

4. Juli 2026

Wie Fsas Technologies digitale Abhängigkeiten analysiert – und daraus tragfähige IT-Architekturen ableitet. Digitale Souveränität ist mehr als Cloud, Open Source und Datenschutz. Beim Presse Roundtable anlässlich des Fsas Technologies Summit 2026 in München wurde deutlich: Unternehmen und öffentliche Institutionen müssen ihre technologische Abhängigkeit entlang der gesamten Wertschöpfungskette bewerten – von Chips und Daten bis…