Sovereign Cloud im Jahr 2026 — Warum europäische Unternehmen ihre Daten zurückholen

Im Januar 2026 startete AWS seine European Sovereign Cloud in Brandenburg. Airbus schrieb einen Auftrag über 50 Millionen Euro für die Migration geschäftskritischer Anwendungen in eine souveräne Cloud aus. 61 % der europäischen CIOs geben an, die Nutzung lokaler Cloud-Anbieter erhöhen zu wollen. Und IDC prognostiziert, dass bis 2028 60 % der multinationalen Unternehmen KI-Stacks über souveräne Zonen hinweg betreiben werden — mit dreifachen Integrationskosten. Digitale Souveränität ist kein politisches Schlagwort mehr. Für europäische Unternehmen ist es eine Frage der Business Continuity.

Marktlage: Europa wacht auf¶

Drei amerikanische Cloud-Plattformen — AWS, Microsoft Azure und Google Cloud — kontrollieren derzeit etwa 70 % des europäischen Marktes für Cloud-Infrastruktur. Europäische Anbieter halten lediglich 15 %. Diese Abhängigkeit, lange als akzeptables Risiko im Austausch für Innovation und Skalierbarkeit betrachtet, wurde 2026 zu einem strategischen Problem.

70 % des EU-Cloud-Marktes werden von US-Hyperscalern kontrolliert

61 % der europäischen CIOs wollen die Nutzung lokaler Anbieter erhöhen

100 Mrd. € prognostizierter EU-Sovereign-Cloud-Markt bis 2031

3× Anstieg der Integrationskosten bei aufgeteilten KI-Stacks (IDC)

Regulatorischer Tsunami: Was sich 2025–2026 geändert hat¶

2025 und Anfang 2026 brachten eine beispiellose Welle von EU-Regulierungen, die die Cloud-Strategie europäischer Unternehmen direkt beeinflussen.

NIS2 — Cybersicherheit kritischer Infrastrukturen¶

Die NIS2-Richtlinie trat im Oktober 2024 in Kraft. Sie erweitert den Kreis der regulierten Einrichtungen auf mittlere und große Unternehmen in 18 Sektoren. Für Unternehmen bedeutet das ein obligatorisches Supply-Chain-Risikomanagement (einschließlich Cloud-Anbieter), eine 24-Stunden-Frist für Vorfallmeldungen und persönliche Haftung des Managements.

DORA — Digitale operationale Resilienz des Finanzsektors¶

DORA trat im Januar 2025 in Kraft und zielt speziell auf den Finanzsektor ab. Sie erfordert ein explizites Konzentrationsrisikomanagement für Drittparteien, Stresstests von ICT-Systemen, Exit-Strategien von Cloud-Anbietern.

EU Data Act — Datenportabilität und Interoperabilität¶

Der EU Data Act verlangt, dass Cloud-Anbieter den Datentransfer zwischen Plattformen unterstützen, technische Barrieren für den Wechsel abbauen und Daten in Standardformaten bereitstellen.

Was Sovereign Cloud tatsächlich ist — und was nicht¶

Der Begriff „Sovereign Cloud” hat keine offizielle Definition. Im Oktober 2025 veröffentlichte DGIT ein Framework mit einer 8-Punkte-Definition und einer Formel zur Berechnung eines „Souveränitäts-Scores”:

• Datenresidenz — Daten physisch in der EU gespeichert, verlassen nie die Jurisdiktion
• Betriebliche Autonomie — Betrieb und Verwaltung ausschließlich durch EU-Bürger auf EU-Territorium
• Rechtliche Unabhängigkeit — juristische Person unter EU-Recht, ohne Unterordnung unter extraterritoriale Gesetzgebung (CLOUD Act, FISA)
• Technische Isolation — physisch und logisch getrennte Infrastruktur von globalen Regionen
• Governance-Transparenz — unabhängige Aufsicht, Audit Trail, Kontrollmechanismen
• Lieferketten-Souveränität — Kontrolle über Hardware- und Software-Lieferketten
• Interoperabilität — Fähigkeit zum Transfer von Daten und Workloads zwischen Anbietern
• Verschlüsselung & Key Management — Verschlüsselungsschlüssel unter Kontrolle des Kunden oder einer EU-Entität

Warum „AWS in Frankfurt” nicht ausreicht¶

Ihre Daten mögen physisch in Frankfurt liegen, aber Ihr Vertrag ist mit einem amerikanischen Konzern. Der CLOUD Act erlaubt US-Behörden, Daten von amerikanischen Unternehmen anzufordern, unabhängig vom Standort.

Europäische native Cloud-Anbieter¶

Anbieter	Herkunft	Stärken	Geeignet für
OVHcloud	Frankreich	Breitestes europäisches Portfolio, SecNumCloud-Zertifizierung, eigene Rechenzentren, GPU Cloud	Enterprise-Workloads, KI-Inferenz, regulierte Branchen
Scaleway	Frankreich	Entwicklerfreundlich, Managed Kubernetes, KI/ML-Services	Startups, Entwicklerteams, Cloud-native Workloads
Hetzner	Deutschland	Bestes Preis-Leistungs-Verhältnis, Bare Metal, Rechenzentren in EU und Finnland	Selbstverwaltete Infrastruktur, CI/CD, rechenintensive Workloads
T-Systems / Open Telekom Cloud	Deutschland	Enterprise-Grade, BSI-C5-Zertifizierung, DSGVO-nativ	Große Konzerne, öffentlicher Sektor, Bankwesen
STACKIT	Deutschland	Schwarz-Gruppe (Lidl/Kaufland), Kubernetes, Managed Databases	Einzelhandel, Enterprise mit Fokus auf deutschen Markt

Sovereign AI: Wo Datensouveränität auf GPU-Realität trifft¶

Die größte Herausforderung der Sovereign Cloud 2026 ist die KI-Infrastruktur. LLM-Training erfordert Tausende von GPUs, die heute hauptsächlich von amerikanischen Unternehmen kontrolliert werden. Konkrete Lösungen zeichnen sich ab: Mistral AI, AWS European Sovereign Cloud mit AI Factories, IBM Sovereignty Platform und Open-Source-Modelle, die Self-Hosted-Inferenz auf europäischer Infrastruktur ermöglichen.

Praktischer Ansatz: Sovereignty Assessment für Unternehmen¶

Der Übergang zur Sovereign Cloud ist keine binäre Entscheidung. Es ist eine risikogesteuerte Klassifizierung von Workloads und schrittweise Migration:

1. Inventarisierung & Klassifizierung — Kartieren Sie, was Sie haben und wo es läuft
2. Sovereignty Decision Framework — Entscheiden Sie, was Souveränität braucht
3. Hybride Architektur — Entwerfen Sie Multi-Cloud-/Sovereign-Topologie
4. Exit-Strategie — Dokumentieren Sie, wie Sie jeden Anbieter verlassen können
5. Schrittweise Migration — Migrieren Sie iterativ, nicht im Big Bang
6. Continuous Compliance — Souveränität ist kein einmaliges Projekt

Fazit: Souveränität ist kein Protektionismus — es ist Risikomanagement¶

Sovereign Cloud bedeutet nicht, AWS wegzuwerfen und zu Servern unter dem Schreibtisch zurückzukehren. Es geht um bewusste Diversifizierung — zu erkennen, dass eine 90 %-Abhängigkeit von amerikanischer Cloud-Infrastruktur ein Single Point of Failure auf geopolitischer Ebene ist. Es geht darum, eine Exit-Strategie zu haben, bevor man sie braucht. Es geht darum, NIS2- und DORA-Regulierungen zu erfüllen, bevor der Audit kommt.

Beginnen Sie mit Schritt 1: Kartieren Sie, was Sie haben, wo es läuft und unter wessen Jurisdiktion. Das Ergebnis wird Sie wahrscheinlich überraschen.