Gaia-X ist eine europäische Initiative für eine föderierte, souveräne Dateninfrastruktur. Gaia-X entwickelt keine eigene Cloud, sondern gemeinsame Regeln, Standards und Nachweisverfahren, mit denen Cloud- und Datendienste interoperabel, transparent und überprüfbar zusammenarbeiten können. Getragen wird Gaia-X von der 2021 in Brüssel gegründeten Gaia-X AISBL. Zentrale Bausteine sind das Gaia-X Trust Framework, die Federation Services und darauf aufbauende Datenräume.

Was ist Gaia-X?

Gaia-X ist ein Regelwerk und Ökosystem, nicht ein Rechenzentrum. Diese Unterscheidung ist der häufigste Verständnisfehler zum Thema: Gaia-X betreibt keine Server, verkauft keine Speicherkapazität und tritt nicht als Anbieter gegen AWS, Microsoft Azure oder Google Cloud an. Gaia-X definiert stattdessen, unter welchen nachprüfbaren Bedingungen Anbieter und Nutzer von Cloud- und Datendiensten miteinander arbeiten – und schafft die technischen Mittel, diese Bedingungen maschinenlesbar zu belegen.

Der Ursprung der Initiative liegt im Herbst 2019, als das damalige Bundesministerium für Wirtschaft und Energie das Vorhaben auf dem Digital-Gipfel vorstellte und kurz darauf gemeinsam mit Frankreich weiterentwickelte. Aus dem deutsch-französischen Projekt wurde eine europäische Organisation: Die Gaia-X Association for Data and Cloud AISBL mit Sitz in Brüssel bündelt seit 2021 Mitglieder aus Industrie, Mittelstand, Wissenschaft und öffentlicher Verwaltung. Die Schreibweise hat sich dabei geändert – die frühere Form „GAIA-X“ ist überholt, korrekt ist „Gaia-X“.

Das Grundprinzip von Gaia-X ist Föderation statt Zentralisierung. Anstatt eine europäische Alternativ-Cloud zu bauen, sollen bestehende Anbieter über gemeinsame Schnittstellen, Identitäten und Vertrauensnachweise verbunden werden. Jeder Teilnehmer behält Kontrolle über seine Infrastruktur und seine Daten, akzeptiert aber verbindliche Spielregeln für Beschreibung, Interoperabilität und Nachweisführung. Gaia-X unterscheidet dazu Rollen wie Provider, Consumer und Federator sowie Objekte wie Assets, Resources und Service Offerings.

Welche Ziele verfolgt Gaia-X?

Gaia-X verfolgt das Ziel, den Austausch von Daten zwischen Organisationen zu ermöglichen, ohne dass die beteiligten Parteien die Kontrolle über ihre Daten aufgeben. Aus diesem Leitgedanken leiten sich mehrere konkrete Zwecke ab:

Datensouveränität: Der Dateninhaber legt fest, wer welche Daten zu welchem Zweck und unter welchen Bedingungen nutzen darf – technisch durchsetzbar, nicht nur vertraglich zugesichert.
Interoperabilität und Portabilität: Dienste sollen einheitlich beschrieben und Anbieter wechselbar sein, um Vendor Lock-in zu reduzieren.
Transparenz und Überprüfbarkeit: Aussagen über Verarbeitungsort, Rechtsraum, Zertifizierungen und Vertragsbedingungen liegen maschinenlesbar und von unabhängigen Stellen bestätigt vor.
Wettbewerbsfähigkeit europäischer Anbieter: Kleinere Anbieter sollen über Föderation Angebote bündeln können, die einzeln nicht mit Hyperscalern konkurrieren könnten.
Datenbasierte Wertschöpfung: Branchendatenräume sollen Daten erschließen, die Unternehmen heute aus Sorge um Wettbewerbsgeheimnisse nicht teilen.

Bemerkenswert ist die Reihenfolge dieser Ziele in der öffentlichen Diskussion. Gaia-X wurde politisch als Souveränitätsprojekt kommuniziert, funktioniert technisch aber vor allem als Standardisierungsprojekt. Wer Gaia-X ausschließlich als Abgrenzung gegenüber US-Anbietern liest, unterschätzt den Teil, der praktisch die größte Wirkung hat: einheitliche Beschreibungssprachen für Dienste und Daten.

Wie funktioniert Gaia-X technisch?

Gaia-X funktioniert über eine Kette aus standardisierten Selbstbeschreibungen, kryptografisch prüfbaren Nachweisen und föderierten Diensten, die diese Nachweise ausstellen und validieren. Die technische Umsetzung ruht auf drei Säulen.

Die erste Säule sind die Gaia-X Federation Services (GXFS). Sie umfassen quelloffene Basisdienste für Identitäts- und Vertrauensmanagement, einen föderierten Katalog zum Auffinden von Angeboten, Komponenten für den souveränen Datenaustausch sowie Compliance- und Portalfunktionen. Entwickelt wurden sie in den öffentlich geförderten Projekten GXFS-DE und GXFS-FR; die Codebasis wird als Open-Source-Projekt unter dem Dach der Eclipse Foundation weitergeführt. Die Federation Services sind ausdrücklich als Bausteine gedacht, die Betreiber von Datenräumen selbst hosten – nicht als zentrale Plattform.

Die zweite Säule sind Verifiable Credentials und Self-Descriptions. Jeder Teilnehmer und jedes Angebot wird in einem maschinenlesbaren Format beschrieben: Wer ist der Anbieter, wo werden Daten verarbeitet, welchem Recht unterliegt der Vertrag, welche Zertifizierungen liegen vor, welche Nutzungsbedingungen gelten. Diese Angaben werden nicht als Marketingtext hinterlegt, sondern als digital signierte Nachweise, die sich automatisiert auswerten lassen. Ein Teil der Angaben stammt aus Selbstauskunft, ein Teil wird durch sogenannte Trust Anchors bestätigt – etwa Handelsregisterauszüge oder Zertifizierungsstellen.

Die dritte Säule ist das Gaia-X Digital Clearing House (GXDCH). Es prüft, ob Selbstbeschreibungen den Regeln des Trust Framework entsprechen, und stellt die entsprechenden Konformitätsnachweise aus. Betrieben wird das Clearing House nicht von der Gaia-X AISBL selbst, sondern an mehreren Knoten durch kommerzielle und institutionelle Partner. Zu den Diensten gehören ein Compliance Service, eine Registry, ein Notarization Service und Werkzeuge zur Erstellung konformer Beschreibungen.

Was ist das Gaia-X Trust Framework?

Das Gaia-X Trust Framework ist das verbindliche Regelwerk, das festlegt, welche Angaben ein Teilnehmer oder ein Dienst nachweisen muss, um als Gaia-X-konform zu gelten. Es löst das ursprüngliche „Gaia-X Compliance Document“ ab und wird in regelmäßigen Releases fortgeschrieben, da sich sowohl Technik als auch europäische Regulierung verändern.

Inhaltlich deckt das Trust Framework vier Bereiche ab: die Identität und Rechtsform des Teilnehmers, die vertraglichen Grundlagen des Angebots, Transparenzpflichten zu Verarbeitungsort und Subunternehmern sowie Anforderungen an Sicherheit und Datenschutz. Der entscheidende methodische Punkt ist die Prüfbarkeit: Das Framework fragt nicht, ob ein Anbieter souverän ist, sondern verlangt überprüfbare Einzelangaben, aus denen sich diese Bewertung ableiten lässt.

Auf dem Trust Framework setzen die Gaia-X Labels auf, ein dreistufiges Kennzeichnungssystem für Dienste. Die Stufen unterscheiden sich vor allem im Grad der Absicherung gegen Zugriffe aus Drittstaaten.

Label-Stufe	Schwerpunkt	Typische Anforderungen
Level 1	Transparenz und Grundkonformität	Gültige Selbstbeschreibung, offengelegte Vertragsbedingungen, benannter Verarbeitungsort, keine EU-rechtswidrigen Klauseln
Level 2	Verstärkte europäische Bindung	Verarbeitung und Speicherung in der EU, Vertragsrecht eines EU-Mitgliedstaats, erweiterte Nachweise zu Subunternehmern
Level 3	Immunität gegen Drittstaatenzugriff	Anbieter mit Sitz und Kontrolle in der EU, kein beherrschender außereuropäischer Einfluss, Schutz vor Zugriffen durch Behörden außerhalb der EU

Level 3 ist die Stufe, die in Ausschreibungen des öffentlichen Sektors und bei Betreibern kritischer Infrastruktur am häufigsten diskutiert wird, weil sie die Gesellschafterstruktur des Anbieters einbezieht und nicht nur den Standort der Server. Die konkreten Kriterien der Stufen werden mit den Releases des Trust Framework angepasst; für verbindliche Aussagen ist immer die aktuelle Fassung maßgeblich.

Was sind Datenräume im Gaia-X-Kontext?

Datenräume – englisch Data Spaces – sind branchen- oder anwendungsbezogene Ökosysteme, in denen Organisationen nach gemeinsamen Regeln Daten austauschen. Gaia-X liefert dafür die Grundlagen, während die Datenräume selbst von den beteiligten Branchen betrieben werden. Sie sind der Ort, an dem Gaia-X praktisch sichtbar wird.

Das bekannteste Beispiel ist Catena-X in der Automobilindustrie, das Daten zwischen Herstellern, Zulieferern und Dienstleistern etwa für CO₂-Bilanzierung, Qualitätsdaten und Nachweise zur Lieferkette austauschbar macht. Daran anschließend adressiert Manufacturing-X die industrielle Produktion breiter. Weitere Vorhaben decken Mobilität, Gesundheitswesen, Landwirtschaft, maritime Anwendungen und Cloud-Infrastruktur ab; das Projekt Structura-X verfolgt dabei speziell die Föderation europäischer Infrastrukturanbieter.

Technisch bewegen sich Datenräume häufig in einem Umfeld weiterer Initiativen. Die International Data Spaces Association (IDSA) liefert mit dem IDS-Referenzarchitekturmodell und Konnektoren wie den Eclipse Dataspace Components die Bausteine für den kontrollierten Datentransfer zwischen zwei Parteien, während Gaia-X den Vertrauens- und Konformitätsrahmen darüber legt. Gemeinsam mit FIWARE und der Big Data Value Association sind beide in der Data Spaces Business Alliance organisiert. In der Praxis ist diese Arbeitsteilung selten trennscharf, was die Einarbeitung für Anwenderorganisationen erschwert.

Wie unterscheidet sich Gaia-X von Cloud-Anbietern, IDSA und EUCS?

Gaia-X unterscheidet sich von den benachbarten Konzepten dadurch, dass es weder Infrastruktur bereitstellt noch eine staatlich anerkannte Zertifizierung ausspricht, sondern einen prüfbaren Vertrauensrahmen für den Austausch zwischen Organisationen definiert. Die folgende Abgrenzung erspart in Projekten viel Diskussion.

Konzept	Was es leistet	Verhältnis zu Gaia-X
Hyperscaler und Cloud-Provider	Betrieb konkreter Infrastruktur- und Plattformdienste	Mögliche Teilnehmer und Anbieter im Gaia-X-Ökosystem, kein Gegenmodell
IDSA / IDS-Konnektoren	Technischer Datentransfer mit Nutzungskontrolle zwischen zwei Parteien	Komplementär: Gaia-X ergänzt Identität, Konformität und Katalog
EUCS	Geplantes europäisches Zertifizierungsschema für Cloud-Dienste nach Cybersecurity Act	Regulatorische Zertifizierung; Gaia-X-Nachweise können darauf verweisen
BSI C5 / SecNumCloud	Nationale Prüfkataloge für Cloud-Sicherheit in Deutschland und Frankreich	Trust Anchors: bestehende Zertifikate werden als Nachweis eingebunden
Sovereign Cloud Stack, IPCEI-CIS	Technologie- und Förderprojekte für europäische Cloud-Infrastruktur	Umsetzungsebene: liefern Bausteine, die Gaia-X-konform beschrieben werden können

Praktisch bedeutet diese Abgrenzung: Ein Gaia-X-Label ersetzt keine Sicherheitszertifizierung, und eine Zertifizierung nach C5 macht einen Dienst nicht automatisch Gaia-X-konform. Beide Nachweisarten adressieren unterschiedliche Fragen – Sicherheit der Umsetzung auf der einen Seite, Transparenz und Rechtsraum auf der anderen.

Was bedeutet Gaia-X für Datensouveränität und Datenschutz?

Gaia-X macht Anforderungen an Datensouveränität prüfbar, ersetzt aber keine datenschutzrechtliche Bewertung. Die Initiative reagiert auf ein Problem, das seit dem Schrems-II-Urteil des Europäischen Gerichtshofs vom 16. Juli 2020 (Rechtssache C-311/18) offen ist: Der Rechtsraum eines Anbieters entscheidet mit darüber, ob europäische Daten wirksam geschützt sind. Der US CLOUD Act von 2018 verpflichtet US-Anbieter grundsätzlich zur Herausgabe von Daten in ihrem Gewahrsam, unabhängig vom Speicherort – ein Konflikt, der sich durch ein Rechenzentrum in Frankfurt nicht auflöst.

Genau an diesem Punkt liegt der Nutzen der Gaia-X-Nachweise. Angaben zu Anbietersitz, Gesellschafterstruktur, Subunternehmerkette und anwendbarem Vertragsrecht sind die Informationen, die eine Organisation für ihre Prüfung von Drittlandübermittlungen nach Art. 44 ff. DSGVO und für Verträge zur Auftragsverarbeitung ohnehin benötigt. Gaia-X standardisiert diese Angaben und macht sie vergleichbar, statt sie in Auftragsverarbeitungsverträgen einzeln zu recherchieren. Für die DSGVO-Konformität bleibt aber die Organisation selbst verantwortlich: Ein Label ist ein Beleg für Eigenschaften eines Dienstes, keine Freigabe für einen Verarbeitungszweck.

Welchen Bezug hat Gaia-X zur europäischen Regulierung?

Gaia-X ist keine Regulierung, bewegt sich aber im Umfeld mehrerer europäischer Rechtsakte, deren Anforderungen es technisch bedienbar macht. Der Data Act (Verordnung (EU) 2023/2854) verpflichtet Anbieter von Datenverarbeitungsdiensten zu Wechsel- und Portabilitätspflichten und schränkt Wechselgebühren ein – ein Anwendungsfall für standardisierte Dienstbeschreibungen. Der Data Governance Act (Verordnung (EU) 2022/868) schafft den Rahmen für Datenvermittlungsdienste und Datenaltruismus-Organisationen, also für Rollen, wie Gaia-X sie in Datenräumen vorsieht.

Hinzu kommen sicherheitsrechtliche Anforderungen. Die NIS-2-Richtlinie (EU) 2022/2555 verlangt von wesentlichen und wichtigen Einrichtungen ein Risikomanagement, das Lieferketten und Dienstleister ausdrücklich einbezieht; überprüfbare Angaben über Cloud-Dienstleister sind dafür unmittelbar verwertbar. Für Cloud-Zertifizierung ist das geplante europäische Schema EUCS unter dem Cybersecurity Act relevant, dessen Souveränitätsanforderungen politisch umstritten sind. Auf der Förderseite flankiert das IPCEI-CIS den Aufbau europäischer Cloud- und Edge-Infrastruktur.

Da sich Fristen, Umsetzungsgesetze und Entwurfsstände in diesem Feld schnell verändern, sollte der Rechtsstand vor jeder verbindlichen Aussage geprüft werden.

Wie erlangen Anbieter Gaia-X-Konformität?

Anbieter erlangen Gaia-X-Konformität, indem sie ihr Angebot nach den Vorgaben des Trust Framework beschreiben, die erforderlichen Nachweise beibringen und die Beschreibung über einen Knoten des Gaia-X Digital Clearing House prüfen lassen. Der Ablauf umfasst vier Schritte.

Teilnehmeridentität aufbauen. Der Anbieter registriert sich als Legal Person mit prüfbaren Registerdaten und einem geeigneten Signaturschlüssel.
Selbstbeschreibung erstellen. Dienst, Verarbeitungsort, Vertragsbedingungen, Subunternehmer und vorhandene Zertifikate werden in maschinenlesbarer Form als Verifiable Credentials abgebildet.
Konformität prüfen lassen. Das Clearing House validiert Struktur, Signaturen und inhaltliche Regeln und stellt bei Erfolg den Konformitätsnachweis aus.
Nachweis pflegen. Nachweise sind zeitlich begrenzt und müssen bei Änderungen an Dienst, Infrastruktur oder Vertragslage aktualisiert werden.

In der Praxis scheitert dieser Prozess selten an der Technik, sondern am Aufwand der Datenbeschaffung: Vollständige Angaben zur Subunternehmerkette und zur Konzernstruktur liegen in vielen Organisationen nicht in prüfbarer Form vor. Wer Gaia-X-Konformität anstrebt, sollte den Aufwand deshalb primär im Bereich Vertragsmanagement und Dokumentation einplanen.

Welche Kritik gibt es an Gaia-X?

Gaia-X wird vor allem für Komplexität, langsame Ergebnisse und eine Diskrepanz zwischen politischem Anspruch und praktischem Nutzen kritisiert. Die Kritikpunkte sind fachlich unterschiedlich schwer, sollten in einer Bewertung aber vollständig vorliegen:

Governance und Tempo: Der Aufbau von Organisation, Framework und Referenzimplementierungen hat mehrere Jahre gedauert; Berichte über Austritte einzelner Mitglieder und stagnierende Ergebnisse begleiten die Initiative seit einigen Jahren.
Beteiligung außereuropäischer Konzerne: Dass US-amerikanische und chinesische Anbieter von Beginn an mitwirkten, wurde als Widerspruch zum Souveränitätsziel gelesen.
Begriffliche Unschärfe: „Gaia-X-konform“ wird im Marketing verwendet, ohne dass immer klar ist, welche Label-Stufe oder welcher Nachweis gemeint ist.
Einstiegshürden für den Mittelstand: Referenzarchitektur, Credential-Modelle und Datenraum-Governance setzen Ressourcen voraus, die kleinere Organisationen selten haben.
Fehlende Nachfrage: Ohne Datenräume mit belastbarem Geschäftsnutzen bleibt die Infrastruktur ohne Anwender – ein Henne-Ei-Problem, das Catena-X am weitesten überwunden hat.

Fair bewertet ist Gaia-X damit weniger gescheitert als überzeichnet. Die entwickelten Standards für Dienstbeschreibungen und Vertrauensnachweise werden genutzt, auch dort, wo das Label nicht auf dem Produkt steht; die politische Erwartung einer europäischen Cloud hat die Initiative dagegen nie erfüllen können, weil das nie ihr Konstruktionsziel war.

Ist Gaia-X für Organisationen relevant, die keine Cloud-Dienste anbieten?

Gaia-X ist auch für reine Anwenderorganisationen relevant, allerdings anders als für Anbieter. Behörden, Betreiber kritischer Infrastruktur, Gesundheitseinrichtungen und Industrieunternehmen begegnen Gaia-X in drei Situationen: in Ausschreibungen, in denen Souveränitätsanforderungen als Kriterien auftauchen; in Branchendatenräumen, an denen Kunden oder Zulieferer teilnehmen; und in der Bewertung eigener Cloud-Dienste, für die dieselben Fragen nach Rechtsraum und Subunternehmern zu beantworten sind.

Der praktische Nutzen liegt dabei weniger im Label als in der Denkweise. Die Gaia-X-Kriterien sind eine brauchbare Prüfliste für jede Auswahl eines Cloud-Dienstes: Wo werden Daten verarbeitet, welchem Recht unterliegt der Anbieter, wer sind die Subunternehmer, welche Zertifikate liegen vor, wie ist ein Wechsel geregelt. Diese Fragen gelten unabhängig von Gaia-X – auch für Kollaborations- und Kommunikationsdienste, bei denen personenbezogene und teils besonders schutzbedürftige Inhalte anfallen.

Für Kommunikation ist der Souveränitätsaspekt besonders greifbar, weil hier Inhalte, Metadaten und Verzeichnisdaten gleichzeitig betroffen sind. Organisationen mit erhöhten Anforderungen setzen daher in der Regel auf Lösungen, die Ende-zu-Ende-Verschlüsselung, ein wählbares Betriebsmodell im eigenen Rechtsraum und die Integration in bestehende Identitäts- und Geräteverwaltung wie Mobile Device Management verbinden, statt Souveränität allein über den Serverstandort zu definieren.

Zusammenfassung: Wichtige Punkte zu Gaia-X

Gaia-X ist eine europäische Initiative für eine föderierte, souveräne Dateninfrastruktur, die gemeinsame Regeln und Nachweisverfahren definiert – nicht eine eigene Cloud betreibt.
Getragen wird Gaia-X von der Gaia-X AISBL in Brüssel, entstanden aus einem 2019 gestarteten deutsch-französischen Vorhaben; die korrekte Schreibweise ist „Gaia-X“, nicht „GAIA-X“.
Das Gaia-X Trust Framework legt fest, welche Angaben zu Identität, Vertrag, Verarbeitungsort und Sicherheit ein Dienst prüfbar nachweisen muss.
Die Gaia-X Labels kennzeichnen Dienste in drei Stufen; Level 3 verlangt Immunität gegen Zugriffe von Behörden außerhalb der EU und bezieht die Kontrollstruktur des Anbieters ein.
Die Gaia-X Federation Services (GXFS) liefern quelloffene Bausteine für Identität, Vertrauen, Katalog und souveränen Datenaustausch; das Gaia-X Digital Clearing House (GXDCH) stellt Konformitätsnachweise aus.
Technisch beruht Gaia-X auf maschinenlesbaren Self-Descriptions und Verifiable Credentials, die teils selbst erklärt, teils durch Trust Anchors bestätigt werden.
Datenräume wie Catena-X, Manufacturing-X oder Structura-X sind die praktische Anwendungsebene; IDSA, FIWARE und EDC-Konnektoren ergänzen Gaia-X technisch.
Gaia-X macht Anforderungen an Datensouveränität prüfbar, ersetzt aber keine datenschutzrechtliche Bewertung – Drittlandübermittlungen nach Art. 44 ff. DSGVO bleiben in der Verantwortung der Organisation.
Regulatorische Bezugspunkte sind Data Act (EU) 2023/2854, Data Governance Act (EU) 2022/868, NIS-2 (EU) 2022/2555 sowie das geplante Cloud-Zertifizierungsschema EUCS.
Kritik richtet sich auf Komplexität, Tempo, unscharfe Konformitätsaussagen und hohe Einstiegshürden; die entwickelten Standards werden dennoch breiter genutzt als das Label sichtbar macht.
Auch für reine Anwenderorganisationen sind die Gaia-X-Kriterien eine brauchbare Prüfliste für die Cloud-Auswahl: Verarbeitungsort, Rechtsraum, Subunternehmer, Zertifikate, Wechselmöglichkeit.