Cloud-Investitionen mit geopolitischer Sprengkraft Warum Datenkontrolle neu gedacht werden muss

Anbieter zum Thema

Fsas Technologies GmbH

netfiles GmbH

STACKIT GmbH & Co. KG

Oracle investiert Milliarden in Frankfurt. Ein starkes Signal? Ja. Aber nicht unbedingt das richtige. Denn wer die Infrastruktur kontrolliert, kontrolliert auch die Daten. Und Europas Unternehmen brauchen endlich mehr als nur vermeintliche Autonomie.

Cloud-Infrastrukturen sind längst zum Rückgrat der digitalen Wirtschaft geworden – und das nicht nur für Großkonzerne, sondern zunehmend auch für mittelständische Unternehmen. In diesem Kontext gewinnt der Begriff der digitalen Souveränität (Digital Sovereignty) an Bedeutung: Damit ist die Fähigkeit gemeint, Daten und digitale Prozesse rechtlich, technisch und operativ unter eigener Kontrolle zu halten – unabhängig von außereuropäischen Einflüssen.

Mit dem wachsenden Bedarf an Rechenleistung und Speicher entstehen derzeit überall in Europa neue Cloud-Regionen und Datenzentren. Zuletzt erregte Oracle mit der Ankündigung, rund zwei Milliarden Euro in den Standort Frankfurt am Main zu investieren, viel Aufmerksamkeit – nicht nur in der IT-Welt, sondern auch in der Politik.

Für einige Branchenbeobachter ist das ein Zeichen dafür, dass globale Hyperscaler die Bedürfnisse europäischer Unternehmen zunehmend ernst nehmen und sich in Richtung „Sovereign Cloud“ bewegen.

Doch reicht das aus?

Als CEO eines europäischen Cloud-Anbieters freue ich mich zwar über jede Investition in moderne Infrastruktur, sehe aber auch die Kehrseite: Hinter vielen dieser Vorhaben stehen US-Konzerne – und damit ein vollkommen anderes Verständnis von Kontrolle, Zugriff und rechtlicher Zuständigkeit.

Ich sehe jedoch auch die Kehrseite: Hinter vielen dieser Vorhaben stehen US-Konzerne – und damit ein vollkommen anderes Verständnis von Kontrolle, Zugriff und rechtlicher Zuständigkeit. In solchen Fällen wird der Begriff der digitalen Souveränität auf eine rein infrastrukturelle Ebene reduziert – und damit seiner eigentlichen Bedeutung beraubt. Denn digitale Souveränität endet eben nicht am Zaun des Rechenzentrums.

Cloud ist geopolitisch geworden

Spätestens seit dem US CLOUD Act ist klar: Wer Daten in der Cloud speichert, überträgt nicht nur Informationen, sondern auch Verantwortung – und im schlimmsten Fall sogar Kontrolle. Denn der Cloud Act erlaubt es US-Behörden, bei US-Anbietern auf Daten zuzugreifen, selbst wenn diese Daten in Rechenzentren außerhalb der USA gespeichert sind. Hinzu kommt: Unternehmen dürfen oft nicht einmal darüber informieren, wenn dieser Zugriff erfolgt. Transparenz? Fehlanzeige.

Das bedeutet also: Selbst, wenn die Infrastruktur physisch in Frankfurt steht, kann sie rechtlich gesehen in Washington liegen. Eine europäische Hülle schützt nicht vor amerikanischem Zugriff – solange der Anbieter US-Recht unterliegt.

In der Praxis kann selbst bei korrektem Umgang mit Datenschutz und Compliance-Vorgaben eine rechtliche Unsicherheit entstehen, die zur Falle werden kann. Denn es geht nicht mehr nur um „Compliance Risk“, sondern um „Jurisdictional Risk“: das Risiko, dass sich unterschiedliche Rechtsräume widersprechen und ein Unternehmen zwischen den Systemen zerrieben wird.

Datenschutz am seidenen Faden

Warum europäische Datenräume US-Zugriff nicht ausschließen

Der Unterschied zwischen Standort und Gerichtsbarkeit

Bei ihren Cloud-Entscheidungen orientieren sich viele Unternehmen an technischen Kriterien: Verfügbarkeit, Skalierbarkeit und Preis. Dabei wird immer häufiger auf „Sovereign Cloud“-Angebote verwiesen, bei denen europäische Standorte, lokale Mitarbeiter und Datenschutz-Labels im Vordergrund stehen. Doch eine andere Frage ist entscheidend: Welcher Gerichtsbarkeit unterliegt der Anbieter?

Denn der physische Standort bedeutet noch lange nicht rechtliche Unabhängigkeit. Wer seine Daten in ein von den USA kontrolliertes System gibt, kann sich auch mit DSGVO und EU Data Act nicht sicher fühlen.

Ein anschauliches Beispiel ist Microsoft 365: Obwohl der Anbieter europäische Rechenzentren nutzt, unterliegt er weiterhin US-Gesetzen. Auch europäische Initiativen wie Gaia-X zeigen, wie schwierig es ist, echte digitale Eigenständigkeit mit globalen Partnern umzusetzen – ganz zu schweigen vom Aufbau eines nachhaltigen europäischen Cloud-Ökosystems.

Ungleiche Voraussetzungen bei EU Data Act vs. Cloud Act

Mit dem neuen EU Data Act geht Europa einen wichtigen Schritt in Richtung echter digitaler Souveränität.

• Cloud-Anbieter sollen den Wechsel zu anderen Diensten vereinfachen.

• Egress-Gebühren werden bis 2027 verboten.

• Interoperabilität soll gestärkt und Lock-in verhindert werden.

• Der Zugriff von Drittstaaten auf EU-Daten wird klarer geregelt.

Der Data Act ergänzt die DSGVO um eine wichtige Komponente: die Kontrolle über nicht personenbezogene Daten und deren technische Nutzbarkeit. Damit wird auch die Abhängigkeit von bestimmten Plattformen adressiert. Unternehmen erhalten somit den klaren Auftrag, ihre Provider-Wahl strategisch zu hinterfragen.

Doch auch der beste EU-Rechtsrahmen hat Grenzen, nämlich dann, wenn ein Anbieter dem US-Recht unterliegt. Genau hier liegt das Problem vieler sogenannter „souveräner“ Clouds.

Unternehmen brauchen Strategie für Resilienz

Gerade angesichts globaler Unsicherheiten – von geopolitischen Spannungen bis zu möglichen Wahlausgängen in den USA – ist es für Unternehmen in Europa unerlässlich, ihre Cloud-Strategie neu zu bewerten.

Denn: Die Cloud ist kein neutraler Raum. Wer sie nutzt, muss die Regeln ihres Betriebs verstehen. Benötigt wird dabei keine blinde Skepsis gegenüber US-Anbietern, sondern ein realistischer Blick auf die eigene Risikolage.

Fünf Fragen, die sich Unternehmen stellen sollten:

• Welche Daten sind geschäftskritisch – und wo liegen sie aktuell?

• Welche rechtliche Kontrolle hat mein Cloud-Anbieter über diese Daten?

• Was passiert im Krisenfall – wer kann eingreifen, wer darf zugreifen?

• Wie einfach kann ich wechseln – technologisch, vertraglich, praktisch?

• Habe ich eine Exit-Strategie, die nicht nur auf dem Papier funktioniert?

Für Unternehmen in regulierten Branchen – etwa aus dem Finanzwesen, dem Gesundheitswesen oder dem Bereich kritischer Infrastrukturen – ist es höchste Zeit, ihre Cloud-Strategie nicht nur operativ, sondern auch rechtlich und politisch abzusichern.

Souveräne Cloud „made in Finland“

Upcloud setzt auf europäische Werte

Digitale Souveränität ist kein Zustand, sondern eine Haltung

Digitale Souveränität beginnt immer mit der Frage: Wem vertraue ich meine Daten an und welches Recht gilt im Ernstfall?

Die Milliarden-Investition von Oracle zeigt, dass die Cloud längst nicht mehr nur eine Frage der Infrastruktur ist, sondern auch eine geopolitische Dimension hat. Wer die Infrastruktur kontrolliert, kontrolliert auch Geschäftsmodelle, Innovationszyklen und zunehmend auch KI-Anwendungen.

Europa braucht starke, eigenständige Alternativen. Nämlich Anbieter, die nicht nur in Europa arbeiten, sondern auch europäischem Recht unterliegen. Denn nur, wer Kontrolle, Transparenz und Souveränität ganzheitlich denkt, kann im Ernstfall wirklich unabhängig agieren.

(ID:50554346)