Souveräne Cloud: Europas Daten, Rechtsraum und KI-Infrastruktur

Die Europäische Kommission erklärte am 1. Juni 2026 ihr Sovereign Cloud Framework. Dabei geht es um Kriterien für Cloud-Souveränität: strategische Kontrolle, Rechtsraum, Daten und KI, Lieferketten, Sicherheit, Betrieb und Nachhaltigkeit. Quelle: EU-Kommission zum Sovereign Cloud Framework (externer Link, öffnet in neuem Tab). Das ist frisch und wichtig. Denn damit sagt Europa im Grunde: Es reicht nicht mehr, dass Cloud funktioniert. Entscheidend ist, unter welchen Regeln sie funktioniert. Wo liegen Daten? Wer betreibt Infrastruktur? Welches Recht gilt? Wer kann Zugriff erzwingen?

Welche Abhängigkeit entsteht bei KI, Verwaltung und kritischen Diensten? Das sind keine Technikfragen für Spezialisten. Das sind Souveränitätsfragen.

Das Framework ist ein Kriterienkatalog, kein fertiges Produkt. Es definiert, was souverän sein soll, aber es baut nicht automatisch die Infrastruktur, die diese Kriterien erfüllt. Das ist der entscheidende Unterschied. Ein Framework ist eine Absichtserklärung mit Struktur. Die Umsetzung liegt bei Mitgliedstaaten, Unternehmen und europäischen Initiativen. Ob das Framework die Realität verändert oder nur ein Dokument bleibt, wird sich in den nächsten Jahren zeigen. Die Kriterien sind gut. Die Frage ist, ob jemand sie einhält und wer das prüft.

Europas strukturelle Abhängigkeit bei Cloud-Infrastruktur

Europa hat in vielen digitalen Bereichen Abhängigkeiten aufgebaut. Betriebssysteme, Cloud-Dienste, Plattformen, Chips, KI-Modelle, App-Stores, Zahlungsinfrastruktur, Suchmaschinen, soziale Netzwerke. Man kann diese Abhängigkeit ignorieren, solange alles ruhig ist. Aber in Krisen wird sichtbar, was sie bedeutet.

Sanktionen, Handelskonflikte, Datenzugriffsrechte, geopolitische Spannung, Lieferketten, Sicherheitsvorfälle, Abhängigkeit von wenigen Hyperscalern: All das macht Cloud politisch. Welcher Anbieter am bequemsten ist, steht nicht mehr im Zentrum. Entscheidend ist, ob Europa seine wichtigsten digitalen Funktionen noch selbst kontrollieren kann, wenn Druck entsteht.

Die Abhängigkeit von Hyperscalern ist ein strukturelles Problem. Drei amerikanische Unternehmen dominieren den europäischen Cloud-Markt. Sie bieten exzellente Dienste, enorme Skalierung und attraktive Preise. Aber sie unterliegen amerikanischem Recht. Amerikanische Behörden können unter bestimmten Bedingungen Zugriff auf Daten haben, die auf europäischen Servern liegen. Das ist nicht paranoia. Es ist eine juristische Realität, die durch den CLOUD Act und andere Instrumente geschaffen wurde.

Wenn europäische Krankenhäuser, Verwaltungen oder Energieversorger ihre Daten bei Anbietern speichern, die unter fremder Gerichtsbarkeit stehen, entsteht ein Souveränitätsrisiko. Nicht weil diese Anbieter böswillig sind. Sondern weil sie rechtlich verpflichtet werden können, Daten herauszugeben, die Europa als schützenswert betrachtet. Das Framework versucht, dieses Problem zu adressieren. Ob es das schafft, hängt davon ab, ob europäische Alternativen konkurrenzfähig werden.

KI braucht Daten und Rechenleistung. Wer KI-Infrastruktur besitzt, besitzt nicht automatisch die Zukunft. Aber er besitzt eine harte Voraussetzung für Zukunft. Im Artikel AI Act 2026 ging es um Regeln, Kennzeichnung und Risikoklassen. Bei der souveränen Cloud geht es um die darunterliegende Schicht. Ein Gesetz kann viel regeln. Aber wenn Rechenleistung, Modelle und Plattformen in fremden Abhängigkeiten liegen, bleibt Souveränität theoretisch. Deshalb gehört Cloud-Souveränität direkt neben AI Act, Tech-Souveränität und Datenräume. Regulierung ohne Infrastruktur ist Papier. Infrastruktur ohne Kontrolle ist Abhängigkeit.

Die Verbindung zwischen KI und Cloud ist eng. Große Sprachmodelle werden auf Cloud-Infrastruktur trainiert. Wer die Cloud kontrolliert, kontrolliert die Trainingsbedingungen. Er bestimmt, welche Modelle entstehen, wie schnell sie trainiert werden und wer Zugang hat. Wenn europäische Forscher und Unternehmen auf Cloud-Infrastruktur angewiesen sind, die in fremder Hand ist, sind sie bei der KI-Entwicklung eingeschränkt. Sie zahlen für Rechenleistung, die woanders kontrolliert wird. Sie trainieren Modelle auf Infrastruktur, die jederzeit verteuert oder eingeschränkt werden kann.

Dazu kommt die Frage der Daten. KI-Modelle brauchen Trainingsdaten. Wenn diese Daten in einer Cloud liegen, die nicht europäisch kontrolliert wird, kann der Anbieter die Nutzung einschränken. Er kann Bedingungen stellen. Er kann Daten zugänglich machen oder sperren. Wer KI-Souveränität will, braucht Cloud-Souveränität. Beides sind nicht zwei Themen, sondern zwei Schichten desselben Systems.

Rechtsraum ist kein Detail

Viele Cloud-Debatten drehen sich um Standort. Liegt der Server in Europa? Das ist wichtig, aber nicht genug. Entscheidend ist auch: Welches Unternehmen betreibt ihn? Welchem Recht unterliegt dieses Unternehmen? Welche Muttergesellschaft hat Zugriff? Welche Behörden können Daten verlangen? Welche Verträge regeln Support, Wartung und Sicherheit? Datenstandort allein kann wie Souveränität aussehen, ohne echte Souveränität zu sein.

Wenn der technische Betrieb, die Software, die Kontrolle oder rechtliche Zugriffspfade außerhalb Europas liegen, bleibt die Frage offen. Genau darum ist der Begriff „souverän" anspruchsvoll. Er meint nicht nur Geografie. Er meint Handlungsfähigkeit.

Ein Beispiel macht das deutlich. Ein europäisches Unternehmen betreibt ein Rechenzentrum in Frankfurt. Die Server stehen in der EU. Aber die Cloud-Software, die Verwaltungsoberfläche und die Wartung kommen von einer amerikanischen Muttergesellschaft. Wenn die Muttergesellschaft unter amerikanischem Druck steht, kann sie theoretisch auf die Systeme zugreifen, die in Frankfurt stehen. Der Datenstandort ist europäisch. Die Kontrolle ist es nicht. Das ist der Unterschied zwischen geografischer und funktionaler Souveränität. Das Framework versucht, beide Ebenen zu erfassen. Ob es das kann, hängt davon ab, wie streng die Kriterien sind und ob sie in der Praxis geprüft werden.

Eine souveräne Cloud kann sinnvoll sein. Staaten, Krankenhäuser, Energieversorger, Forschung, Verteidigung, Schulen und Verwaltungen sollten nicht vollständig von fremden Plattformentscheidungen abhängen. Auch Unternehmen brauchen Klarheit, welche Daten sie wo verarbeiten und welche Risiken entstehen. Souveränität kann Sicherheit geben. Sie kann Innovation in Europa stärken.

Sie kann verhindern, dass sensible Daten und kritische Prozesse zu stark an wenige Anbieter gebunden werden. Das ist kein antiamerikanischer Reflex und kein romantischer Techniknationalismus. Es ist eine nüchterne Frage: Wer kann im Ernstfall noch handeln?

Die Vorteile einer souveränen Cloud sind konkret. Daten liegen im europäischen Rechtsraum, unterliegen europäischem Datenschutzrecht und sind vor fremder Gerichtsbarkeit besser geschützt. Europäische Unternehmen können Cloud-Dienste anbieten, ohne von ausländischen Konzernen abhängig zu sein. Forschungseinrichtungen können Rechenleistung nutzen, ohne Bedingungen zu akzeptieren, die von woanders diktiert werden. Verwaltungen können digitale Dienste anbieten, ohne dass Bürgerdaten durch fremde Hände gehen. Das sind keine kleinen Vorteile. Sie sind strukturell.

Wo die Gefahr liegt

Die Gefahr liegt darin, dass Souveränität zum Etikett wird. Wenn jeder Anbieter plötzlich „souverän" klingt, ohne reale Kontrolle zu liefern, wird der Begriff wertlos. Oder der Staat baut unter dem Banner der Souveränität neue zentrale Dateninfrastrukturen, die zwar europäisch sind, aber trotzdem zu viel Macht bündeln. Souverän heißt nicht automatisch frei.

Eine europäische Abhängigkeit kann besser sein als eine fremde Abhängigkeit. Aber sie bleibt Abhängigkeit, wenn der Bürger keine Transparenz, Rechte und Alternativen hat.

Die Gefahr der Etikettierung ist real. Wenn der Begriff „souverän" zum Marketinginstrument wird, kaufen Behörden und Unternehmen Cloud-Dienste, die das Etikett tragen, ohne die Substanz zu liefern. Ein Anbieter kann eine europäische Gesellschaft gründen, einen Server in Europa aufstellen und „souverän" rufen, während die technische Infrastruktur, die Software und die Wartung von woanders kommen. Das Framework muss verhindern, dass solche Etikettenschwindeleien als Souveränität verkauft werden. Das erfordert unabhängige Zertifizierung, regelmäßige Überprüfung und echte Sanktionen bei Verstößen.

Die zweite Gefahr ist die Zentralisierung. Wenn Europa eine souveräne Cloud baut, entsteht die Versuchung, alles zentral zu steuern. Eine zentrale Cloud für alle Verwaltungen, alle Krankenhäuser, alle Schulen. Das kann effizient sein. Aber es schafft ein neues Machtzentrum. Wenn alle Daten an einer Stelle liegen, ist diese Stelle ein attraktives Ziel für Angriffe, Missbrauch und politische Einflussnahme. Dezentralität kann robuster sein als Zentralität. Das Framework sollte beides zulassen: europäische Souveränität ohne zentrale Monopole.

Der European Health Data Space zeigt, warum Cloud so wichtig ist. Gesundheitsdaten brauchen Infrastruktur. KI braucht Infrastruktur. Wallets brauchen Infrastruktur. Grenzsysteme brauchen Infrastruktur. Digitaler Euro, Verwaltung, Identität und Forschung brauchen Infrastruktur.

Man kann über jedes Thema einzeln schreiben. Aber am Ende laufen viele Wege in Rechenzentren, Cloud-Verträge, Standards und Zugriffskontrollen zusammen. Das ist die harte Seite digitaler Ordnung.

Jede dieser Initiativen braucht eine Cloud, auf der sie läuft. Wenn die Cloud nicht souverän ist, ist keine dieser Initiativen souverän. Gesundheitsdaten, die auf einer fremden Cloud liegen, sind nicht europäisch geschützt, auch wenn das Gesetz es vorschreibt. Ein digitaler Euro, der auf fremder Infrastruktur läuft, ist nicht souverän, auch wenn die Politik es verspricht. Die Cloud ist die Basis. Was auf der Basis passiert, kann nur so souverän sein wie die Basis selbst.

Die Bremse im Text

Man sollte nicht so tun, als könne Europa über Nacht alles selbst bauen. Globale Cloud-Anbieter haben enorme Erfahrung, Sicherheit, Skalierung und Innovationskraft. Viele europäische Projekte scheitern nicht an Böswilligkeit, sondern an Komplexität, Kosten und langsamer Umsetzung. Der notwendige Einwand lautet: Souveränität darf nicht zur Ausrede für schlechtere Technik werden. Aber die Grenze zur reinen Marktperspektive lautet: Billig, bequem und skalierbar ist nicht dasselbe wie kontrollierbar. Gerade kritische Infrastruktur braucht mehr als Preisvergleich.

Europäische Cloud-Projekte haben eine gemischte Bilanz. Gaia-X wurde als europäische Cloud-Initiative gestartet, hat aber Jahre mit Strukturdebatten verbracht und kaum sichtbare Infrastruktur produziert. Das ist kein Argument gegen Souveränität. Es ist ein Argument für Realismus. Souveränität braucht nicht nur Frameworks, sondern auch kompetente Unternehmen, klare Standards und die Bereitschaft, öffentlich zu investieren. Wenn Europa Cloud-Souveränität will, muss es Geld, Zeit und politischen Willen aufbringen. Ein Framework allein reicht nicht.

Im SIGMACODE geht es immer wieder darum, unter die Oberfläche zu schauen. Bei Cloud ist die Oberfläche: App funktioniert, Datei synchronisiert, KI antwortet. Die Struktur darunter lautet: Rechenzentrum, Vertrag, Rechtsraum, Zugriff, Anbieter, Abhängigkeit. Wer nur die Oberfläche nutzt, bleibt Konsument. Wer die Struktur liest, wird handlungsfähiger. Souveräne Cloud ist deshalb kein trockenes IT-Thema. Es ist die Frage, ob Europa digitale Freiheit nur reguliert oder auch technisch tragen kann.

Als Anschluss gehören Data Union und Digital Networks Act direkt daneben: Daten, Cloud und Netze sind keine getrennten Themen, sondern drei Schichten derselben Infrastruktur.

Die Leseprobe zeigt dir den Ton. Der Vergleich zeigt dir die Tiefe.