Warum europäische Unternehmen ihre Cloud-Strategie jetzt überdenken müssen.

Schrems II war nur der Anfang.

Fünf Jahre lang haben europäische Unternehmen die Frage der Cloud-Souveränität als Compliance-Problem behandelt: etwas, das zu managen, zu dokumentieren und mit Vertragsklauseln abzusichern ist. Diese Sichtweise ist nicht mehr tragfähig.

Zwischen Schrems II, dem EU AI Act und der stetig wachsenden Anwendung des CLOUD Act durch US-Behörden ist Datenresidenz aus dem juristischen Kleingedruckten in die strategische Architektur gerückt. Wo Ihre Daten leben, entscheidet heute darüber, welche Produkte Sie ausliefern, welche Kunden Sie onboarden und welchen Regulatoren Sie genügen können.

Das CLOUD-Act-Problem, in einem Absatz

Der US CLOUD Act von 2018 erlaubt es amerikanischen Strafverfolgungsbehörden, US-ansässige Cloud-Anbieter zur Herausgabe von Kundendaten zu verpflichten, unabhängig davon, wo diese Daten physisch gespeichert sind. Ein europäischer Kunde von AWS Frankfurt kann einer US-Herausgabeanordnung unterliegen, obwohl seine Daten deutschen Boden nie verlassen. Europäische Gerichte haben wiederholt festgestellt, dass dies mit den DSGVO-Rechten Betroffener unvereinbar ist.

Das ist keine theoretische Sorge. Es ist der konkrete juristische Grund, warum eine wachsende Zahl europäischer Beschaffungsstellen, vor allem im Gesundheitswesen, Finanzsektor und öffentlichen Dienst, heute Infrastrukturverträge mit europäisch ansässigen Anbietern verlangt.

Die realistische europäische Cloud-Landschaft

"Nutzt einen europäischen Anbieter" ist leicht gesagt und schwer umzusetzen. Die tatsächlichen Optionen zerfallen in drei Kategorien:

1. Eigens gebaute europäische Hyperscaler

OVHcloud, Scaleway, Hetzner, IONOS. Diese Anbieter bieten konkurrenzfähige Preise und eine echte europäische Rechtsstruktur, aber die Breite der Managed Services ist geringer als bei AWS/GCP/Azure. Erwarten Sie, dass Sie mehr vom Stack selbst verwalten.

2. Sovereign-Partitionen von US-Hyperscalern

Microsoft Cloud for Sovereignty, AWS European Sovereign Cloud, Google Cloud Sovereign Solution. Das sind echte Verbesserungen gegenüber Standard-Public-Cloud, aber die rechtliche Lage bleibt uneinheitlich. Eine Sovereign-Partition läuft immer noch auf Software, die von einem US-Unternehmen lizenziert wird.

3. Domain-spezifische compliant Plattformen

GAIA-X-konforme, BSI C5-zertifizierte Anbieter, die sich auf bestimmte Branchen spezialisieren (Gesundheit, Verteidigung, regulierter Finanzsektor). Höhere Kosten, aber die Compliance-Story ist von Anfang an vollständig.

Wie eine gestufte Hybrid-Strategie aussieht

Die Teams, mit denen wir arbeiten, entscheiden sich selten für eine Kategorie. Sie staffeln Workloads nach Sensibilität:

• Tier 1: Personenbezogene Daten, regulierte Workloads, alles was Artikel-22-Entscheidungen berührt. Nur europäische Sovereign-Anbieter.
• Tier 2: Geschäftsdaten, interne Tools, nicht-kundenseitige Analytik. US-Hyperscaler akzeptabel mit vertraglichen Schutzmaßnahmen.
• Tier 3: Öffentliche Daten, Marketing-Assets, Open-Source-Modelle. Jede Infrastruktur, die am günstigsten läuft.

Das Schwierige ist nicht, die Tiers festzulegen. Das Schwierige ist, die architektonische Disziplin zu haben, einen Workload zwischen ihnen zu verschieben, wenn sich seine Klassifikation ändert. Genau diese Disziplin fehlt den meisten Organisationen.

Die unbequeme Schlussfolgerung

Europäische Cloud-Souveränität wird Sie mehr kosten als US-Hyperscaler-Komfort. Das wird immer so sein. Die Frage ist nicht, ob Sie diesen Aufschlag zahlen, sondern an welcher Stelle des Stacks und für welche Workloads.

Die Unternehmen, die das richtig machen, entscheiden sich nicht zwischen Souveränität und Pragmatismus. Sie entwerfen für beides.