Souveräne Cloud: ohne die US-Giganten auskommen?

Die Frage der digitalen Souveränität taucht oft auf, wenn es um KI im Unternehmen geht, und zwar in binärer Form: Entweder man akzeptiert, alles den großen US-Anbietern anzuvertrauen, oder man lehnt KI ab. Beide Optionen sind schlecht. Wir glauben, dass vollständige Souveränität für Europa außer Reichweite ist, und für ein mittelständisches Unternehmen erst recht. Selektive Souveränität dagegen ist erreichbar: wissen, was bei einem selbst bleiben muss, was anderswohin gehen kann und wie man die Kontrolle zurückgewinnen würde, wenn sich die Bedingungen ändern. Die souveräne Cloud ist eines ihrer Werkzeuge, nützlich für die Daten, die es rechtfertigen, nicht für alles.

Kurz gesagt

• Europäische Anbieter halten nur noch etwa 15 % des europäischen Cloud-Markts; Amazon, Microsoft und Google halten 70 %, laut einer Messung vom Juli 2025.
• Bei KI waren die privaten Investitionen in den USA 2024 fast zwölfmal so hoch wie in China, und Europa hat in jenem Jahr 3 der als bedeutend eingestuften Modelle hervorgebracht, gegenüber 40 in den USA.
• US-Recht kann einen Anbieter zwingen, außerhalb der USA gespeicherte Daten herauszugeben; europäisches Recht wird die Gebühren für den Wechsel des Cloud-Anbieters am 12. Januar 2027 abschaffen.
• Eine souveräne Cloud beurteilt man nach dem Recht, das für ihren Anbieter gilt, nicht nur nach dem Standort ihrer Server: In Frankreich ist die Referenz die SecNumCloud-Qualifizierung der ANSSI, die laut der Behörde selbst nur auf bestimmte Bedrohungen antwortet.
• Unsere Position: eine selektive Souveränität, die ihre Daten einstuft, exportierbare Lösungen bevorzugt und den Ausstieg schon beim Einstieg plant.

Bevor wir unsere Meinung ausführen, betrachten wir die Zahlen und die beiden Lager.

Was die Zahlen sagen

Zur Cloud hat das Analysehaus Synergy Research Group am 24. Juli 2025 eine Messung des Marktanteils europäischer Anbieter in Europa veröffentlicht. Die europäischen Anbieter haben ihren Umsatz zwischen 2017 und 2024 mehr als verdreifacht; der Markt selbst hat sich jedoch versechsfacht, auf 61 Milliarden Euro im Jahr 2024, und von diesem Wachstum haben vor allem Amazon, Microsoft und Google profitiert.

Bei KI ist der Abstand noch deutlicher. Der AI Index 2025 der Stanford University beziffert die privaten KI-Investitionen Land für Land: Die der USA sind fast zwölfmal so hoch wie die Chinas und vierundzwanzigmal so hoch wie die des Vereinigten Königreichs.

Im selben Jahr haben laut diesem Bericht US-Institutionen 40 als bedeutend eingestufte KI-Modelle hervorgebracht, gegenüber 15 in China und 3 in Europa.

Diese beiden Feststellungen stecken den Rahmen ab: Die Abhängigkeit ist keine Hypothese, sondern der Zustand des Markts, so wie diese beiden Quellen ihn messen.

Position 1: Die Abhängigkeit ist ein strategisches Risiko

Das erste Lager bringt drei Argumente vor.

Das Recht. Ein Anbieter, der dem Recht eines anderen Landes unterliegt, kann durch dieses Recht gezwungen werden, auch für in Europa gespeicherte Daten. In den USA ist das der Sinn des CLOUD Act vom März 2018.

Für ein Unternehmen, das Gesundheitsdaten, Finanzdaten oder Betriebsgeheimnisse verwaltet, löst der physische Standort des Servers die Frage also nicht.

Der Preis. Wenn drei Anbieter den Großteil eines Markts halten, bestimmen sie die Spielregeln: Tarife, Ausstiegsbedingungen, Gebühren für die Rückholung der eigenen Daten. Je mehr sich ein Unternehmen auf anbieterspezifische Dienste stützt, desto teurer wird der Wechsel. Die europäische Datenverordnung geht einen Teil des Problems an: Laut der Europäischen Kommission wird sie die Gebühren für den Wechsel des Cloud-Anbieters, einschließlich der Gebühren für den Datenexport, ab dem 12. Januar 2027 vollständig abschaffen. Bis dahin dürfen die Anbieter diese Kosten noch berechnen, und der Migrationsaufwand selbst verschwindet nicht mit ihnen.

Die Kontinuität. Ein Dienst kann seine Bedingungen ändern, verschwinden oder aus geschäftlichen oder politischen Gründen eingeschränkt werden. Ein Unternehmen, dessen Tätigkeit auf einem einzigen KI-Anbieter beruht, hat keinen Hebel, wenn dieser Anbieter sein Modell oder seine Tarife über Nacht ändert.

Position 2: Das Aufholen ist illusorisch, und das beste Werkzeug bleibt das beste Werkzeug

Das zweite Lager antwortet mit Realismus.

Der Investitionsabstand lässt sich nicht per Dekret schließen. Bei solchen Unterschieden in den investierten Beträgen ist der Anspruch, kurzfristig mit den großen US-Laboren gleichzuziehen, Wunschdenken.

Unternehmen wollen, was funktioniert. Ein Geschäftsführer im Mittelstand wählt ein Werkzeug nicht aus geopolitischen Gründen: Er will, dass es zuverlässig, dokumentiert und in seine anderen Programme integriert ist. Ein schlechteres Werkzeug im Namen der Souveränität vorzuschreiben, bestraft die eigenen Teams.

Souveränität hat ihren Preis. Selbst zu hosten erfordert Kompetenzen, Wartung, Backups. Ein mittelständisches Unternehmen ohne diese Ressourcen kann auf seinem eigenen Server weniger sicher sein als bei einem großen Anbieter.

Diese Argumente sind solide. Sie haben nur einen Fehler: Sie denken in Alles oder Nichts.

Was wir davon halten

Wir betreiben selbst einen Server, auf dem rund ein Dutzend Dienste laufen: das CRM (Twenty, das wir seit mehr als anderthalb Jahren nutzen), die Automatisierung (n8n), die Reichweitenmessung (Matomo), die elektronische Signatur, die Rechnungsstellung und lokale KI-Modelle (Ollama). Wir tun das nicht aus Ideologie: Diese Werkzeuge mit öffentlichem Code laufen auf einer einzigen Maschine, und wir behalten die Kontrolle über ihre Daten, ihre Updates und ihre Backups. Dagegen vertrauen wir US-Anbietern an, was nicht sensibel ist. Die Übersetzungspipeline von Palmora Property, einem Immobilienportal in Thailand, das wir betreiben, ist so von DeepL, einem deutschen Dienst, zu Gemini von Google gewechselt: Ihre Kosten wurden durch 60 geteilt. Für sensible Daten (Personal, Recht, Gesundheit) sieht unsere Routing-Tabelle das Gegenteil vor: ein Modell, das auf unserem eigenen Server mit Ollama läuft, bei uns bereits im Einsatz.

Beides widerspricht sich nicht. Unsere Position passt in drei Regeln:

1. Die Daten einstufen, bevor man die Werkzeuge wählt. Unser eigenes Raster hat drei Stufen. Was öffentlich ist (Produktseiten, Artikel, Objektbeschreibungen), kann über jeden guten Anbieter laufen, zum besten Preis. Interne, nicht personenbezogene Daten (Verfahren, Wissensdatenbanken) gehen zu einem Anbieter, der sich verpflichtet, die Daten weder zu speichern noch zum Training seiner Modelle zu nutzen, eine Zusage, die bei der Auswahl zu prüfen ist. Personenbezogenes oder Reguliertes (Personal, Gesundheit, Recht, namentliche Kundendaten) bleibt auf einem Server, den man selbst verwaltet, oder bei einem vertraglich gebundenen europäischen Anbieter.
2. Exportierbares bevorzugen. Offene Software, ein Standardformat, eine Datenbank, die man kopieren kann: Das sind Ausgänge. Ein geschlossener Dienst, aus dem man nichts herausholen kann, ist eine Abhängigkeit, selbst wenn er hervorragend ist.
3. Den Ausstieg schon beim Einstieg planen. Die Frage „Wie gehen wir, wenn sich die Preise verdoppeln?“ muss am Tag der Unterschrift gestellt werden, nicht am Tag, an dem sich die Preise verdoppeln.

Was uns umstimmen würde: die Ankunft europäischer Cloud-Angebote und KI-Modelle auf gleichem Niveau, zu vergleichbarem Preis, mit demselben Ökosystem an Integrationen. An diesem Tag könnte die selektive Souveränität breiter werden. Im Oktober 2026 sind wir nicht so weit.

Souveräne Cloud: was SecNumCloud wirklich garantiert

Hinter dem Ausdruck „souveräne Cloud“ steht zuerst eine rechtliche Frage. Ein in Frankreich aufgestellter Server reicht nicht aus: Unterliegt sein Anbieter US-Recht, gilt für ihn der oben vorgestellte CLOUD Act. In Frankreich ist die Referenz die SecNumCloud-Qualifizierung der ANSSI, der französischen Behörde für die Sicherheit der Informationssysteme. Laut ihrer Seite zur Cloud ermöglicht sie, „vertrauenswürdige“ Cloud-Angebote zu erkennen, deren Nutzung zum Schutz sensibler Daten empfohlen wird, sowohl gegen die Bedrohung durch Cyberkriminalität als auch gegen die Anwendung extraterritorialer Gesetze.

Was sie von einem bloßen Hosting in Europa unterscheidet, sind ihre Kriterien der Immunität gegenüber nichteuropäischen Gesetzen. Der 2016 erarbeitete Anforderungskatalog wurde nach einem Rundschreiben vom 5. Juli 2021 aktualisiert: Diese Aktualisierung hat technische und rechtliche Kriterien der Immunität gegenüber außereuropäischen Gesetzen hinzugefügt. Er deckt Online-Software ebenso ab wie Infrastrukturen, und die Qualifizierung gilt drei Jahre, mit jährlichen Überwachungsaudits.

Die FAQ der ANSSI zu SecNumCloud beschreibt, was die Qualifizierung vom Anbieter verlangt. Die Behörde legt auch ihre Grenzen fest, und diese zählen ebenso viel wie die Garantien.

Für seine eigenen digitalen Dienste hat der französische Staat entschieden. Seine Doktrin „Cloud au centre“ schreibt für jedes digitale Produkt, das Daten besonderer Sensibilität verarbeitet, ein SecNumCloud-qualifiziertes kommerzielles Angebot vor, oder eines mit einer europäischen Qualifizierung mindestens gleichwertigen Niveaus, das „immun gegen jeden unbefugten Zugriff durch Behörden von Drittstaaten“ ist. Gemeint sind Daten, deren Verletzung die öffentliche Ordnung, die öffentliche Sicherheit, Gesundheit und Leben von Personen oder den Schutz des geistigen Eigentums beeinträchtigen könnte.

Auf europäischer Ebene ist das Zertifizierungsschema für die Cybersicherheit von Cloud-Diensten, EUCS genannt, „bis heute nicht abgeschlossen“, laut der im Oktober 2026 eingesehenen FAQ der ANSSI. Am 17. November 2025 haben die ANSSI und ihr deutsches Pendant, das BSI, eine gemeinsame Erklärung zu den Kriterien der digitalen Souveränität der Cloud veröffentlicht: Sie betont die Notwendigkeit für die Europäische Union, ihre digitale Souveränität gegenüber nichteuropäischen technologischen Abhängigkeiten zu stärken.

Unsere Lesart: SecNumCloud behandelt das rechtliche Risiko, das der CLOUD Act darstellt, was ein bloßes Hosting in Europa nicht tut; es regelt nicht alles andere. Es ersetzt weder getestete Backups noch den Ausgang, von dem wir oben sprachen. Es hat seinen Platz auf der dritten Stufe unseres Rasters: Wenn personenbezogene oder regulierte Daten nicht auf einem selbst verwalteten Server bleiben können, ist es die Referenz, um zu prüfen, dass ein europäischer Anbieter es auch rechtlich ist, und die erste Option, die man betrachtet, wenn ein Vertrag oder eine Vorschrift es verlangt. Prüfen Sie vor der Wahl, dass das konkrete Angebot, das Sie ins Auge fassen, mit seinen Gültigkeitsdaten im Katalog der von der ANSSI qualifizierten Lösungen steht, der mindestens einmal im Monat aktualisiert wird: Qualifiziert ist das Angebot, nicht der Anbieter.

Was das konkret für ein Unternehmen ändert

Für ein Unternehmen mit 20 bis 500 Personen beginnt Souveränität nicht mit einem Großprojekt. Sie beginnt mit einer Bestandsaufnahme:

• Wo sind meine Daten? Die Werkzeuge auflisten, die Kunden- oder Mitarbeiterdaten speichern, und bei wem. Das ist auch das erste Kriterium für die Entscheidung, wo Sie Ihre Cloud-Infrastruktur aufstellen.
• Was passiert, wenn ein Anbieter morgen verschwindet? Für jedes kritische Werkzeug prüfen, dass ein vollständiger Export existiert und bereits getestet wurde.
• Welche KI-Aufgaben berühren sensible Daten? Diese verdienen ein offenes Modell, das in Europa oder intern gehostet wird, wie die vier Stufen einer privaten KI im Unternehmen ausführen. Für einen Teil davon genügt ein kleineres Modell und kostet weniger: Das ist das Thema unserer Rubrik über private Unternehmens-KI zum fairen Preis.
• Welche Werkzeuge lassen sich durch eine offene Version ersetzen? Ein CRM, ein Automatisierungswerkzeug oder eine Reichweitenmessung laufen auf einem einzigen Server, wie unsere, sofern man den Betrieb sicherstellt. Wo Sie anfangen: die Werkzeuge, die Sie zuerst aus dem SaaS holen sollten; die übrigen Entscheidungen finden Sie in unserer Rubrik Infrastruktur und Cloud.

Dieselbe Logik gilt für die Website: Eine statische Website lässt sich von jedem Hoster ausliefern, weil sie nur aus Dateien besteht. Das ist eine einfache Form des Ausgangs.

Und wenn Sie wissen wollen, was sich lohnen würde, zu Ihnen zurückzuholen, vergleicht das Audit unseres Angebots für den Ausstieg aus dem SaaS, was Sie heute zahlen und was Sie über drei Jahre zahlen werden; wenn sich die Migration nicht lohnt, sagen wir es Ihnen.

Häufige Fragen

Quellen

1. Messung des Marktanteils europäischer Anbieter in Europa (neuer Tab)srgresearch.com
2. AI Index 2025 der Stanford University (neuer Tab)hai.stanford.edu
3. CLOUD Act vom März 2018 (neuer Tab)law.cornell.edu
4. Der Europäischen Kommission (neuer Tab)digital-strategy.ec.europa.eu
5. Ihrer Seite zur Cloud (neuer Tab)cyber.gouv.fr
6. Die FAQ der ANSSI zu SecNumCloud (neuer Tab)cyber.gouv.fr
7. Doktrin „Cloud au centre“ (neuer Tab)numerique.gouv.fr
8. Eine gemeinsame Erklärung zu den Kriterien der digitalen Souveränität der Cloud (neuer Tab)cyber.gouv.fr
9. Katalog der von der ANSSI qualifizierten Lösungen (neuer Tab)cyber.gouv.fr