Sovereign Cloud — Warum europäische Firmen ihre Daten zurückholen

Im Januar 2026 startete AWS seine European Sovereign Cloud in Brandenburg. Airbus schrieb einen Auftrag über 50 Millionen Euro für die Migration geschäftskritischer Anwendungen in eine souveräne Cloud aus. 61 % der europäischen CIOs geben an, die Nutzung lokaler Cloud-Anbieter erhöhen zu wollen. Und IDC prognostiziert, dass bis 2028 60 % der multinationalen Unternehmen KI-Stacks über souveräne Zonen hinweg betreiben werden — mit dreifachen Integrationskosten. Digitale Souveränität ist kein politisches Schlagwort mehr. Für europäische Unternehmen ist es eine Frage der Business Continuity.

Marktlage: Europa wacht auf¶

Drei amerikanische Cloud-Plattformen — AWS, Microsoft Azure und Google Cloud — kontrollieren derzeit etwa 70 % des europäischen Marktes für Cloud-Infrastruktur. Europäische Anbieter halten lediglich 15 %. Diese Abhängigkeit, lange als akzeptables Risiko im Austausch für Innovation und Skalierbarkeit betrachtet, wurde 2026 zu einem strategischen Problem.

70 % des EU-Cloud-Marktes werden von US-Hyperscalern kontrolliert

61 % der europäischen CIOs wollen die Nutzung lokaler Anbieter erhöhen

100 Mrd. € prognostizierter EU-Sovereign-Cloud-Markt bis 2031

3× Anstieg der Integrationskosten bei aufgeteilten KI-Stacks (IDC)

Regulatorischer Tsunami: Was sich 2025–2026 geändert hat¶

2025 und Anfang 2026 brachten eine beispiellose Welle von EU-Regulierungen, die die Cloud-Strategie europäischer Unternehmen direkt beeinflussen.

NIS2 — Cybersicherheit kritischer Infrastrukturen¶

Die NIS2-Richtlinie trat im Oktober 2024 in Kraft. Sie erweitert den Kreis der regulierten Einrichtungen auf mittlere und große Unternehmen in 18 Sektoren. Für Unternehmen bedeutet das ein obligatorisches Supply-Chain-Risikomanagement (einschließlich Cloud-Anbieter), eine 24-Stunden-Frist für Vorfallmeldungen und persönliche Haftung des Managements.

DORA — Digitale operationale Resilienz des Finanzsektors¶

DORA trat im Januar 2025 in Kraft und zielt speziell auf den Finanzsektor ab. Sie erfordert ein explizites Konzentrationsrisikomanagement für Drittparteien, Stresstests von ICT-Systemen, Exit-Strategien von Cloud-Anbietern.

EU Data Act — Datenportabilität und Interoperabilität¶

Der EU Data Act verlangt, dass Cloud-Anbieter den Datentransfer zwischen Plattformen unterstützen, technische Barrieren für den Wechsel abbauen und Daten in Standardformaten bereitstellen.

Was Sovereign Cloud tatsächlich ist — und was nicht¶

Der Begriff „Sovereign Cloud” hat keine offizielle Definition. Im Oktober 2025 veröffentlichte DGIT ein Framework mit einer 8-Punkte-Definition und einer Formel zur Berechnung eines „Souveränitäts-Scores”:

• Datenresidenz — Daten physisch in der EU gespeichert, verlassen nie die Jurisdiktion
• Betriebliche Autonomie — Betrieb und Verwaltung ausschließlich durch EU-Bürger auf EU-Territorium
• Rechtliche Unabhängigkeit — juristische Person unter EU-Recht, ohne Unterordnung unter extraterritoriale Gesetzgebung (CLOUD Act, FISA)
• Technische Isolation — physisch und logisch getrennte Infrastruktur von globalen Regionen
• Governance-Transparenz — unabhängige Aufsicht, Audit Trail, Kontrollmechanismen
• Lieferketten-Souveränität — Kontrolle über Hardware- und Software-Lieferketten
• Interoperabilität — Fähigkeit zum Transfer von Daten und Workloads zwischen Anbietern
• Verschlüsselung & Key Management — Verschlüsselungsschlüssel unter Kontrolle des Kunden oder einer EU-Entität

Warum „AWS in Frankfurt” nicht ausreicht¶

Ihre Daten mögen physisch in Frankfurt liegen, aber Ihr Vertrag ist mit einem amerikanischen Konzern. Der CLOUD Act erlaubt US-Behörden, Daten von amerikanischen Unternehmen anzufordern, unabhängig vom Standort.

Europäische native Cloud-Anbieter¶

Anbieter	Herkunft	Stärken	Geeignet für
OVHcloud	Frankreich	Breitestes europäisches Portfolio, SecNumCloud-Zertifizierung, eigene Rechenzentren, GPU Cloud	Enterprise-Workloads, KI-Inferenz, regulierte Branchen
Scaleway	Frankreich	Entwicklerfreundlich, Managed Kubernetes, KI/ML-Services	Startups, Entwicklerteams, Cloud-native Workloads
Hetzner	Deutschland	Bestes Preis-Leistungs-Verhältnis, Bare Metal, Rechenzentren in EU und Finnland	Selbstverwaltete Infrastruktur, CI/CD, rechenintensive Workloads
T-Systems / Open Telekom Cloud	Deutschland	Enterprise-Grade, BSI-C5-Zertifizierung, DSGVO-nativ	Große Konzerne, öffentlicher Sektor, Bankwesen
STACKIT	Deutschland	Schwarz-Gruppe (Lidl/Kaufland), Kubernetes, Managed Databases	Einzelhandel, Enterprise mit Fokus auf deutschen Markt

Sovereign AI: Wo Datensouveränität auf GPU-Realität trifft¶

Die größte Herausforderung der Sovereign Cloud 2026 ist die KI-Infrastruktur. LLM-Training erfordert Tausende von GPUs, die heute hauptsächlich von amerikanischen Unternehmen kontrolliert werden. Konkrete Lösungen zeichnen sich ab: Mistral AI, AWS European Sovereign Cloud mit AI Factories, IBM Sovereignty Platform und Open-Source-Modelle, die Self-Hosted-Inferenz auf europäischer Infrastruktur ermöglichen.

Praktischer Ansatz: Sovereignty Assessment für Unternehmen¶

Der Übergang zur Sovereign Cloud ist keine binäre Entscheidung. Es ist eine risikogesteuerte Klassifizierung von Workloads und schrittweise Migration:

1. Inventarisierung & Klassifizierung — Kartieren Sie, was Sie haben und wo es läuft
2. Sovereignty Decision Framework — Entscheiden Sie, was Souveränität braucht
3. Hybride Architektur — Entwerfen Sie Multi-Cloud-/Sovereign-Topologie
4. Exit-Strategie — Dokumentieren Sie, wie Sie jeden Anbieter verlassen können
5. Schrittweise Migration — Migrieren Sie iterativ, nicht im Big Bang
6. Continuous Compliance — Souveränität ist kein einmaliges Projekt

Fazit: Souveränität ist kein Protektionismus — es ist Risikomanagement¶

Sovereign Cloud bedeutet nicht, AWS wegzuwerfen und zu Servern unter dem Schreibtisch zurückzukehren. Es geht um bewusste Diversifizierung — zu erkennen, dass eine 90 %-Abhängigkeit von amerikanischer Cloud-Infrastruktur ein Single Point of Failure auf geopolitischer Ebene ist. Es geht darum, eine Exit-Strategie zu haben, bevor man sie braucht. Es geht darum, NIS2- und DORA-Regulierungen zu erfüllen, bevor der Audit kommt.

Fallstudie: Airbus und die 50-Millionen-Euro-Sovereign-Cloud-Migration¶

Der Sovereign-Cloud-Trend wurde am deutlichsten bei Airbus sichtbar. Der europäische Luftfahrtriese schrieb Ende 2025 einen zehnjährigen Auftrag über 50 Millionen Euro für die Migration geschäftskritischer Anwendungen in eine souveräne europäische Cloud aus. Catherine Jestin, Executive Vice President für Digital, fasste es einfach zusammen: „Wir wollen sicherstellen, dass diese Informationen unter europäischer Kontrolle bleiben.”

Airbus verlangt einen kompletten Stack unter EU-Jurisdiktion: Daten at Rest und in Transit innerhalb der EU, Logging und Audit Trail unter EU-Recht, IAM betrieben von einer EU-Entität, Sicherheitsmonitoring unabhängig von amerikanischen Tools, vertragliche und rechtliche Firewalls gegen extraterritorialen Zugriff.

Sovereign AI: Wo Datensouveränität auf GPU-Realität trifft — Details¶

Die größte Herausforderung der Sovereign Cloud 2026 ist die KI-Infrastruktur. LLM-Training erfordert Tausende von GPUs, die heute hauptsächlich von amerikanischen Unternehmen kontrolliert werden. IDC prognostiziert, dass bis 2028 80 % der Enterprise-Organisationen KI-Souveränität für geschäftskritische Workloads priorisieren werden.

IDC FutureScape für 2026 identifiziert ein Schlüsselproblem: bis 2028 werden 60 % der multinationalen Unternehmen KI-Stacks über souveräne Zonen hinweg betreiben. Das Ergebnis? Dreifache Integrationskosten aufgrund regulatorischer Fragmentierung.

Konkrete Lösungen zeichnen sich ab: - Mistral AI (Frankreich) investiert in eigene GPU-Infrastruktur in der EU - AWS European Sovereign Cloud bietet AI Factories und Outposts - IBM führte seine Sovereignty Platform im Januar 2026 ein - Open-Source-Modelle (Llama, Mistral, Qwen) ermöglichen Self-Hosted-Inferenz auf europäischer Infrastruktur

Praktischer Tipp: Sovereign AI in der Praxis¶

Für KI-Agenten, die sensible Daten verarbeiten, erwägen Sie eine hybride Architektur: Training auf Hyperscaler-GPUs (anonymisierte Daten), Inferenz auf souveräner Infrastruktur (sensible Daten, Embeddings, Vektordatenbank). Open-Source-Modelle wie Mistral Large oder Llama 3 können auf dedizierter Hardware bei OVHcloud oder Hetzner mit voller Datenkontrolle betrieben werden.

Kontext für europäische Unternehmen — Details¶

Die Tschechische Republik befindet sich in einer einzigartigen Position. Einerseits ist sie stark in die europäische Industriekette integriert (Automobil, Maschinenbau, Verteidigungsindustrie), andererseits hat sie einen relativ kleinen lokalen Cloud-Markt. Die meisten tschechischen Enterprise-Unternehmen betreiben Workloads auf AWS (Frankfurt, Irland), Azure (Niederlande, Irland) oder Google Cloud (Belgien, Finnland) — innerhalb der EU, aber bei amerikanischen Unternehmen.

Für Unternehmen in regulierten Sektoren empfehlen wir:

• NIS2-Umsetzung in nationales Recht — nationale Cybersicherheitsbehörden bereiten Implementierung vor. Bleiben Sie aktiv informiert.
• Hetzner — der günstigste EU-native Anbieter mit Rechenzentrum in Finnland, exzellentes Preis-Leistungs-Verhältnis
• OVHcloud — die umfassendste europäische Alternative mit Managed Kubernetes, GPU Cloud und SecNumCloud-Zertifizierung
• Hybrider Ansatz — sensible Daten auf EU-nativer Infrastruktur, KI-Inferenz und allgemeines Compute auf Hyperscalern mit klarer Exit-Strategie

Vergessen Sie nicht die SaaS-Schicht¶

Sovereign Cloud adressiert IaaS und PaaS, aber was ist mit SaaS? Microsoft 365, Google Workspace, Salesforce, Slack — alles amerikanische Unternehmen unter dem CLOUD Act. Frankreich migriert bereits aktiv seine öffentliche Verwaltung auf Nextcloud und lokale Videokonferenzlösungen.

Fazit: Souveränität ist kein Protektionismus — es ist Risikomanagement¶

Sovereign Cloud bedeutet nicht, AWS wegzuwerfen und zu Servern unter dem Schreibtisch zurückzukehren. Es geht um bewusste Diversifizierung — zu erkennen, dass eine 90 %-Abhängigkeit von amerikanischer Cloud-Infrastruktur ein Single Point of Failure auf geopolitischer Ebene ist. Es geht darum, eine Exit-Strategie zu haben, bevor man sie braucht. Es geht darum, NIS2- und DORA-Regulierungen zu erfüllen, bevor der Audit kommt. Und es geht darum, Kundendaten vor einer Jurisdiktion zu schützen, die Sie nicht kontrollieren.

2026 ist ein Wendepunkt. AWS startete die European Sovereign Cloud. Die EU bereitet CADA vor. Airbus migriert. 61 % der CIOs ändern ihre Strategie. Unternehmen in regulierten Sektoren sollten mit einem Sovereignty Assessment beginnen — nicht in einem Jahr, sondern jetzt.

Beginnen Sie mit Schritt 1: Kartieren Sie, was Sie haben, wo es läuft und unter wessen Jurisdiktion. Das Ergebnis wird Sie wahrscheinlich überraschen.