Eine souveräne Cloud ist ein Cloud-Angebot, bei dem Daten, Betrieb und Kontrolle vollständig dem Recht und der Verfügungsgewalt einer bestimmten Rechtsordnung unterliegen – in Europa in der Regel dem Recht der EU und ihrer Mitgliedstaaten. Der Begriff geht dabei über den Speicherort hinaus: Maßgeblich sind ebenso die Eigentümerstruktur des Betreibers, der administrative Zugriff, die Hoheit über kryptografische Schlüssel und die Fähigkeit zum Anbieterwechsel.

Was ist eine souveräne Cloud?

Eine souveräne Cloud ist keine eigene Technologie, sondern eine Eigenschaftszusage über Betrieb und Kontrolle eines Cloud-Dienstes. Technisch unterscheidet sich eine souveräne Cloud nicht zwingend von anderen Cloud-Angeboten; unterschiedlich sind die Antworten auf vier Fragen: Wer betreibt den Dienst, welchem Recht unterliegt dieser Betreiber, wer kann auf Daten und Systeme zugreifen, und wie schnell lässt sich der Dienst wieder verlassen.

Der Begriff hat sich in Europa als Reaktion auf eine konkrete Lücke etabliert. Große Cloud-Anbieter betreiben seit Jahren Rechenzentren innerhalb der EU, unterliegen als US-Unternehmen aber zugleich extraterritorialem Recht. Der Speicherort allein beantwortet die Frage nach der Kontrolle daher nicht. Eine souveräne Cloud adressiert genau diese Lücke, indem sie den Zugriff durch Drittstaaten nicht vertraglich, sondern strukturell ausschließen soll.

Zugleich ist „souveräne Cloud“ ein ungeschützter Begriff ohne einheitliche Definition. Er wird von Anbietern sehr unterschiedlich belegt – von einer EU-Region eines globalen Hyperscalers bis zu einer vollständig europäisch beherrschten Plattform auf Open-Source-Basis. Für Beschaffungsentscheidungen ist deshalb nicht die Bezeichnung maßgeblich, sondern die Prüfung der einzelnen Souveränitätsdimensionen. Wer eine Ausschreibung auf das Wort „souverän“ stützt, erhält Angebote mit sehr unterschiedlichem Schutzniveau.

Welche Dimensionen umfasst eine souveräne Cloud?

Eine souveräne Cloud wird üblicherweise anhand von vier Dimensionen bewertet, die unabhängig voneinander erfüllt oder verfehlt werden können:

Dimension	Leitfrage	Typische Nachweise
Datensouveränität	Wo liegen die Daten, und wer kann sie im Klartext lesen?	Speicher- und Verarbeitungsort im EWR, Verschlüsselung mit eigener Schlüsselhoheit, dokumentierte Sub-Auftragsverarbeiter
Betriebssouveränität	Wer administriert die Plattform und den Support?	Betriebspersonal im EWR, kontrollierte und protokollierte Admin-Zugriffe, kein Fernzugriff aus Drittstaaten
Technologische Souveränität	Lässt sich der Dienst verlassen und ersetzen?	Offene Standards und Schnittstellen, Datenexport in nutzbaren Formaten, dokumentierte Exit-Strategie
Rechtliche Souveränität	Welchem Recht unterliegt der Betreiber?	Gesellschaftsrechtliche Struktur ohne beherrschenden Drittstaatsbezug, ausschließlich EU-Recht als anwendbares Recht

Die vierte Dimension ist die entscheidende und zugleich die am schwersten nachprüfbare. Rechtliche Souveränität hängt nicht am Vertrag, sondern an der Beherrschungsstruktur: Wer ist Gesellschafter, wo sitzt die Muttergesellschaft, welche Weisungsrechte bestehen, und wer stellt das Personal mit privilegierten Rechten? Angebote, die die ersten drei Dimensionen vorbildlich erfüllen, aber von einer Drittstaatsgesellschaft beherrscht werden, bleiben angreifbar.

Warum ist die souveräne Cloud für Organisationen relevant?

Die souveräne Cloud ist relevant, weil sich drei Entwicklungen überlagern: eine verschärfte Datenschutzlage, wachsende regulatorische Pflichten und ein neu bewertetes geopolitisches Risiko. Datenschutzrechtlich hat das Schrems-II-Urteil klargestellt, dass Übermittlungen in Drittländer eine dokumentierte Einzelfallprüfung erfordern und dass vertragliche Zusagen behördliche Zugriffsbefugnisse nicht aushebeln. Der US CLOUD Act macht zusätzlich deutlich, dass ein Rechenzentrum in Europa keinen Zugriffsschutz begründet, wenn der Anbieter US-amerikanischem Recht unterliegt.

Regulatorisch kommen konkrete Pflichten hinzu. NIS-2 verlangt die Absicherung der Lieferkette einschließlich IT-Dienstleistern, die DORA-Verordnung verpflichtet Finanzunternehmen zur Steuerung von IKT-Drittparteirisiken samt dokumentierter Ausstiegsstrategie, und für Betreiber kritischer Infrastrukturen greifen zusätzliche Nachweispflichten. Allen gemeinsam ist die Anforderung, Abhängigkeiten zu kennen und beherrschbar zu halten – was ohne belastbare Aussagen zu Betriebsort, Zugriffswegen und Wechselfähigkeit nicht möglich ist.

Hinzu tritt eine Risikoart, die lange als theoretisch galt: die politische Verfügbarkeit. Konzentrieren sich Verwaltung, Gesundheitswesen und kritische Versorgung auf wenige außereuropäische Plattformen, entsteht eine Abhängigkeit, die im Konfliktfall zum Hebel werden kann. Diese Überlegung, nicht der Datenschutz allein, treibt derzeit den Ausbau souveräner Cloud-Angebote im öffentlichen Sektor.

Reicht ein Rechenzentrum in der EU für eine souveräne Cloud aus?

Nein – ein Rechenzentrum in der EU reicht für eine souveräne Cloud nicht aus. Der Speicherort ist eine notwendige, aber keine hinreichende Bedingung. Entscheidend ist, wer administrativen Zugriff auf die Systeme hat, welchem Recht dieser Zugriff unterliegt und ob der Betreiber im Konfliktfall zur Herausgabe verpflichtet werden kann.

Diese Unterscheidung wird in der Praxis regelmäßig übersehen, weil Anbieter mit dem Standort werben. Drei Konstellationen zeigen die Lücke: Support- und Wartungszugriffe erfolgen häufig aus Drittstaaten, auch wenn die Daten in Frankfurt oder Amsterdam liegen. Telemetrie-, Diagnose- und Absturzdaten verlassen den EWR oft unbemerkt. Und Sub-Auftragsverarbeiter der eingesetzten Plattform sind in Verträgen häufig nur pauschal beschrieben. Eine belastbare Bewertung setzt daher am gesamten Verarbeitungspfad an, nicht am Ort der Festplatte – so wie auch die DSGVO-Konformität nicht am Serverstandort, sondern an der Verarbeitungskette entschieden wird.

Ein warnendes Beispiel liefert die Geschichte der Treuhandmodelle: Das um 2015 gestartete deutsche Cloud-Angebot eines US-Anbieters mit einem deutschen Datentreuhänder wurde wenige Jahre später eingestellt, weil es funktional hinter dem globalen Angebot zurückblieb. Souveränität, die zu Lasten von Funktionsumfang und Aktualität geht, hält dem Marktdruck selten stand – ein Aspekt, der bei der Auswahl mitbedacht werden sollte.

Welche Betriebsmodelle einer souveränen Cloud gibt es?

Souveräne Cloud-Angebote unterscheiden sich vor allem im Grad der Trennung vom globalen Anbieter. Fünf Modelle sind derzeit verbreitet:

Modell	Beschreibung	Souveränitätsgrad
EU-Region eines globalen Anbieters	Verarbeitung und Support innerhalb des EWR, Anbieter bleibt konzernverbunden	Begrenzt: rechtliche Souveränität nicht erreicht
Treuhand- oder Partnermodell	Betrieb durch einen europäischen Partner, Technologie vom globalen Anbieter	Mittel: abhängig von Beherrschungsverhältnissen und Lizenzbedingungen
Getrennte Gesellschaft mit eigener Governance	Rechtlich verselbstständigte europäische Einheit mit eigenem Personal	Höher, aber von der Konzernstruktur abhängig
Europäischer Anbieter	Betreiber unterliegt ausschließlich EU-Recht, häufig auf Open-Source-Basis	Hoch, bei Open Source zusätzlich technologische Souveränität
Private Cloud oder On-Premises	Betrieb im eigenen Rechenzentrum oder in einer dedizierten Umgebung	Am höchsten, mit dem größten Eigenaufwand

Ergänzend existieren abgeschottete Varianten für besonders sensible Bereiche – dedizierte, vom Internet getrennte oder physisch isolierte Umgebungen, wie sie für Verteidigung, Nachrichtendienste und Teile der Verwaltung eingesetzt werden. Diese bieten das höchste Schutzniveau, verzichten aber auf viele Vorteile des Cloud-Betriebs wie automatische Aktualisierung und elastische Skalierung. In der Praxis entscheiden sich Organisationen daher zunehmend für eine gestufte Zuordnung: Verfahren mit hohem Schutzbedarf in eine souveräne oder eigene Umgebung, unkritische Arbeitslasten in Standardangebote.

Welche technischen Maßnahmen sichern eine souveräne Cloud ab?

Die wirksamste technische Maßnahme in einer souveränen Cloud ist die Schlüsselhoheit. Verschlüsselung schützt nur dann vor Zugriffen des Betreibers, wenn die Schlüssel außerhalb seiner Kontrolle verwaltet werden – etwa über ein externes Schlüsselmanagement mit Hardware-Sicherheitsmodulen im eigenen Verantwortungsbereich. Wird der Schlüssel in derselben Plattform verwaltet, in der auch die Daten liegen, ist der Schutz gegenüber dem Betreiber weitgehend formal.

Ergänzend kommen Confidential Computing, bei dem Daten auch während der Verarbeitung in geschützten Speicherbereichen verbleiben, sowie kontrollierte Administrationsprozesse zum Einsatz: privilegierte Zugriffe nur nach Freigabe, mit Vier-Augen-Prinzip, revisionssicherer Protokollierung und Beschränkung auf Personal im EWR. Für die technologische Souveränität zählen offene Schnittstellen, Standardformate für den Datenexport und die Vermeidung proprietärer Dienste, die sich nur innerhalb einer einzigen Plattform betreiben lassen.

Wichtig ist die realistische Einordnung dieser Maßnahmen. Verschlüsselung mit eigener Schlüsselhoheit funktioniert gut für Speicherung und Archivierung, stößt aber dort an Grenzen, wo der Dienst die Daten im Klartext verarbeiten muss – bei Suche, Indexierung, Kollaborationsfunktionen oder Schadsoftwareprüfung. Genau an dieser Stelle entscheidet sich, ob eine Anwendung überhaupt souverän betreibbar ist oder ob nur der Betriebsort verlagert wurde.

Welche Zertifizierungen und Standards gelten für die souveräne Cloud?

Für die souveräne Cloud existiert bislang kein einheitlicher europäischer Nachweis; stattdessen wird auf mehrere Prüfschemata zurückgegriffen. Der Kriterienkatalog C5 des Bundesamts für Sicherheit in der Informationstechnik prüft die Informationssicherheit von Cloud-Diensten und ist in Deutschland weit verbreitet – er ist allerdings ausdrücklich ein Sicherheits-, kein Souveränitätsnachweis. Dasselbe gilt für ISO/IEC 27001 und den EU Cloud Code of Conduct: Beide belegen Managementqualität beziehungsweise Datenschutzkonformität, nicht die Freiheit von Drittstaatszugriffen.

Souveränitätsanforderungen im engeren Sinn enthält bisher vor allem die französische Qualifizierung SecNumCloud der ANSSI, die neben technischen Kriterien auch Vorgaben zur Beherrschungsstruktur des Anbieters macht. Auf europäischer Ebene sollte das geplante Zertifizierungsschema für Cloud-Dienste (EUCS) eine vergleichbare Stufe schaffen; ob und in welcher Form Souveränitätskriterien darin verankert werden, ist Gegenstand einer anhaltenden politischen Auseinandersetzung und sollte vor jeder Aussage geprüft werden. Ergänzend liefert das Label-Framework von Gaia-X abgestufte Kriterien, deren höchste Stufe Anforderungen an die Immunität gegenüber außereuropäischem Zugriff formuliert.

Für die Praxis folgt daraus: Zertifikate ersetzen die eigene Prüfung nicht. Sie belegen jeweils einen Ausschnitt, und der Ausschnitt entspricht selten dem, was eine Organisation unter Souveränität versteht.

Welche rechtlichen Vorgaben treiben die souveräne Cloud?

Die rechtlichen Treiber der souveränen Cloud liegen in vier Regelungsbereichen. Das Datenschutzrecht mit Kapitel V der DSGVO und der Rechtsprechung zu Drittlandübermittlungen setzt den Rahmen für die Frage, ob Daten überhaupt in ein Drittland gelangen dürfen. Das Sicherheitsrecht – NIS-2, die KRITIS-Regulierung und branchenspezifische Vorgaben – verlangt die Beherrschung von Lieferkettenrisiken einschließlich der eingesetzten IT-Dienstleister.

Hinzu kommt das Wettbewerbs- und Datenrecht. Der EU Data Act adressiert erstmals unmittelbar den Anbieterwechsel: Er verpflichtet Anbieter von Datenverarbeitungsdiensten, den Wechsel zu einem anderen Anbieter vertraglich und technisch zu ermöglichen, Wechselentgelte abzubauen und Maßnahmen gegen rechtswidrige Zugriffe durch Behörden aus Drittstaaten zu treffen. Damit wird Portabilität von einer Verhandlungsposition zu einer gesetzlichen Anforderung – und die technologische Souveränität von einem Wunsch zu einem prüfbaren Kriterium. Viertens wirkt das Recht der Drittstaaten selbst als Treiber, weil extraterritoriale Zugriffsbefugnisse den Anlass für die gesamte Debatte bilden.

Wie unterscheidet sich die souveräne Cloud von digitaler Souveränität und Datensouveränität?

Die souveräne Cloud ist die konkrete Umsetzungsform, digitale Souveränität das übergeordnete Ziel und Datensouveränität eine ihrer Teildimensionen. Digitale Souveränität beschreibt die Fähigkeit einer Organisation oder eines Staates, über die eigene Informationstechnik selbstbestimmt zu entscheiden – einschließlich Software, Hardware, Kompetenzen und Lieferketten. Datensouveränität bezieht sich enger auf die Kontrolle über die Daten selbst: Wer darf sie verarbeiten, wer kann auf sie zugreifen, welchem Recht unterliegen sie.

Die souveräne Cloud ist demgegenüber ein Betriebsmodell. Sie ist ein Mittel, um beide Ziele im Bereich der Infrastruktur zu erreichen, deckt aber nicht alles ab, was digitale Souveränität ausmacht: Anwendungssoftware, Endgeräte, Netze, Fachkräfte und Beschaffungsprozesse gehören ebenso dazu. Eine souveräne Cloud, auf der ausschließlich proprietäre Anwendungen eines Drittstaatsanbieters laufen, verlagert die Abhängigkeit lediglich eine Ebene nach oben.

Was bedeutet die souveräne Cloud für Kommunikationslösungen?

Für Kommunikationslösungen ist die souveräne Cloud besonders relevant, weil hier neben Inhalten auch Verbindungsdaten anfallen – wer wann mit wem kommuniziert, in welchen Gruppen und mit welcher Frequenz. Diese Metadaten sind personenbezogen, lassen Rückschlüsse auf Organisationsstrukturen und Einsatzlagen zu und sind durch Inhaltsverschlüsselung nicht geschützt. Für Behörden, Einsatzorganisationen und Betreiber kritischer Infrastrukturen sind sie deshalb häufig sensibler als die Nachrichten selbst.

Hinzu kommt die Verfügbarkeitsfrage. Kommunikation ist die Ressource, auf die im Störungs- und Krisenfall alle anderen Maßnahmen aufsetzen. Eine Lösung, deren Betrieb, Schlüsselverwaltung oder Push-Zustellung von Anbietern außerhalb des eigenen Rechtsraums abhängt, verlagert genau diese Ressource in eine Abhängigkeit, die im Ernstfall nicht steuerbar ist. Bei der Bewertung zählen daher nicht nur der Serverstandort, sondern auch Push-Gateways, Telemetrie, Support-Zugriffe und die Frage, ob sich der Dienst im Bedarfsfall vollständig in die eigene Infrastruktur überführen lässt.

Organisationen lösen diese Anforderung in der Regel über Kommunikationslösungen, die vollständig innerhalb des EWR oder in der eigenen Infrastruktur betrieben werden, deren Verarbeitungskette einschließlich Sub-Auftragsverarbeitern dokumentiert ist und die keinen administrativen Zugriff aus Drittstaaten erfordern.

Welche typischen Fehler treten bei der Auswahl einer souveränen Cloud auf?

Der häufigste Fehler bei der Auswahl einer souveränen Cloud ist die Gleichsetzung von Speicherort und Kontrolle. Weitere Schwachstellen, die in Beschaffungsverfahren regelmäßig auffallen:

Souveränitätsanforderungen in der Ausschreibung nur als Schlagwort formuliert, ohne die vier Dimensionen einzeln abzufragen und nachweisen zu lassen
Konzernstruktur des Anbieters ungeprüft, obwohl sie über die rechtliche Souveränität entscheidet
Schlüsselverwaltung beim selben Anbieter belassen, bei dem auch die Daten liegen
Support-, Wartungs- und Telemetriewege nicht erfasst, obwohl sie den Verarbeitungspfad regelmäßig aus dem EWR herausführen
Exit-Strategie nicht ausgearbeitet und nie erprobt, sodass Portabilität im Vertrag steht, aber praktisch nicht durchführbar ist
C5-Testat oder ISO-Zertifikat als Souveränitätsnachweis behandelt, obwohl beide andere Fragen beantworten
Souveränität pauschal für alle Verfahren gefordert, statt sie am Schutzbedarf auszurichten – mit der Folge unnötig hoher Kosten und langer Projektlaufzeiten

Zusammenfassung: Wichtige Punkte zur souveränen Cloud

Eine souveräne Cloud ist ein Cloud-Angebot, bei dem Daten, Betrieb und Kontrolle dem Recht und der Verfügungsgewalt einer bestimmten Rechtsordnung unterliegen – in Europa dem EU-Recht.
Der Begriff ist nicht geschützt und nicht einheitlich definiert; maßgeblich ist die Prüfung der einzelnen Souveränitätsdimensionen, nicht die Bezeichnung des Angebots.
Bewertet wird eine souveräne Cloud entlang von vier Dimensionen: Datensouveränität, Betriebssouveränität, technologische Souveränität und rechtliche Souveränität.
Ein Rechenzentrum in der EU genügt nicht: Entscheidend sind administrative Zugriffe, Support- und Telemetriewege sowie die Beherrschungsstruktur des Anbieters.
Verbreitete Betriebsmodelle reichen von der EU-Region eines globalen Anbieters über Treuhand- und Partnermodelle bis zu europäischen Anbietern, Private Cloud und On-Premises-Betrieb.
Die wirksamste technische Maßnahme ist die Schlüsselhoheit: Verschlüsselung schützt vor dem Betreiber nur, wenn die Schlüssel außerhalb seiner Kontrolle liegen.
C5, ISO/IEC 27001 und der EU Cloud Code of Conduct sind keine Souveränitätsnachweise; Souveränitätskriterien im engeren Sinn enthält bislang vor allem die französische Qualifizierung SecNumCloud.
Treiber sind DSGVO und Schrems II, NIS-2 und DORA, der EU Data Act mit seinen Vorgaben zum Anbieterwechsel sowie extraterritoriale Zugriffsbefugnisse wie der US CLOUD Act.
Die souveräne Cloud ist ein Betriebsmodell, kein Selbstzweck: Sie dient der digitalen Souveränität, deckt aber Anwendungen, Endgeräte und Kompetenzen nicht mit ab.
Bei Kommunikationslösungen wiegen Metadaten und Verfügbarkeit besonders schwer, weil Kommunikation die Ressource ist, auf der alle weiteren Maßnahmen im Krisenfall aufsetzen.