Warum das Wort allein nichts mehr bedeutet
„Souverän“ steht heute auf fast jeder Hosting-Website: bei deutschen Mittelständlern, bei europäischen Clouds und seit Anfang 2026 auch bei einer eigenen „European Sovereign Cloud“ eines US-Hyperscalers mit Standort in Brandenburg. Wenn alle dasselbe sagen, trägt das Wort keine Information mehr.
Souveränität ist keine Eigenschaft, die man behauptet, sondern eine Summe überprüfbarer Antworten: Wo liegen die Daten? Wer kann zugreifen? Welches Recht gilt? Und wie leicht kommt man wieder heraus? Genau danach sollten Sie fragen.
Die Rechtslage in Kürze
US-Anbieter unterliegen dem CLOUD Act von 2018. Er erlaubt US-Behörden, unter bestimmten Voraussetzungen Daten von US-Unternehmen herauszuverlangen, unabhängig davon, in welchem Land die Server stehen. Ein Rechenzentrum in Frankfurt ändert daran nichts, wenn die Konzernmutter in den USA sitzt.
Für Übermittlungen in die USA gilt seit Juli 2023 der Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Das Gericht der Europäischen Union hat eine Klage dagegen am 3. September 2025 abgewiesen (Rechtssache T-553/23); das Rechtsmittel ist beim Europäischen Gerichtshof anhängig (C-703/25 P). Die beiden Vorgänger, Safe Harbor und Privacy Shield, hat der EuGH 2015 und 2020 gekippt.
Übermittlungen sind heute zulässig. Planbar sind sie nur, solange die Rechtsgrundlage hält, und die hat schon zweimal nicht gehalten.
Sieben Prüffragen
1. Wo liegen die Daten, auch Sicherungen und Protokolle?
Der Serverstandort ist nur der Anfang. Fragen Sie nach Sicherungen, Replikaten, Protokollen, Support-Zugängen und Analysewerkzeugen. Oft liegt die Anwendung in Deutschland, das Monitoring aber bei einem US-Dienst.
2. Welcher Rechtsordnung unterliegt der Anbieter?
Entscheidend ist nicht nur der Sitz des Vertragspartners, sondern auch der seiner Muttergesellschaft. Eine deutsche Tochter eines US-Konzerns kann vom CLOUD Act erfasst sein.
3. Wer hat administrativen Zugriff, und wie ist er abgesichert?
Gute Antworten sind konkret: personengebundene Konten, zweiter Faktor, keine öffentlich erreichbaren Verwaltungsoberflächen, protokollierte Zugriffe. „Nur autorisiertes Personal“ ist keine Antwort.
4. Welche Subunternehmer und Drittdienste sind beteiligt?
Rechenzentrumsbetreiber, DNS, Zertifikate, E-Mail-Versand, Support-Werkzeuge: Lassen Sie sich die Liste geben und fragen Sie, welche davon Inhalte sehen und welche nur Metadaten wie Domainnamen.
5. Wie leicht komme ich wieder heraus?
Souveränität heißt auch, wechseln zu können. Standard-Container, offene Datenformate und dokumentierte Exporte sind ein gutes Zeichen; proprietäre Datenbanken und Funktionen, die es nur bei einem Anbieter gibt, das Gegenteil.
6. Was legt der Anbieter offen?
Seriöse Anbieter nennen Komponenten, Maßnahmen und Grenzen, inklusive dessen, was sie nicht leisten. Wer nur Superlative liefert, hat meist keine Details.
7. Welche Nachweise gibt es, und wofür genau?
Zertifikate wie ISO 27001 oder ein BSI-C5-Testat sind wertvoll, wenn der Geltungsbereich stimmt: Gilt das Zertifikat für den Dienst, den Sie buchen, oder nur für das Rechenzentrum eines Partners? Seit dem 27. April 2026 gibt es zudem den Kriterienkatalog BSI C3A („Criteria enabling Cloud Computing Autonomy“). Er baut auf C5 auf, ist freiwillig und macht Autonomie (etwa rechtlichen Zugriff, Lieferkette und operative Unabhängigkeit) erstmals prüfbar. Eine Selbstauskunft entlang solcher Kriterien kann hilfreich sein, solange sie als Selbstauskunft gekennzeichnet ist.
Souverän heißt nicht: alles selbst machen
Kein Anbieter ist vollständig autark. Auch wir nutzen Dienste von außen: Die DNS-Zonen unserer eigenen Domains liegen bei Cloudflare, Zertifikate stellt Let’s Encrypt aus. Beide sehen Domainnamen, aber keine Inhalte. Entscheidend ist, dass die Verarbeitung Ihrer Inhalte unter Kontrolle bleibt und dass Sie wissen, welche Abhängigkeiten es gibt.
Wie wir diese Fragen beantworten
- Standort: dedizierte Hardware in einem Rechenzentrum in Deutschland, verwaltet ausschließlich von uns.
- Zugriff: Betriebsoberflächen über ein Zero-Trust-Netz mit Single Sign-on und zweitem Faktor, Server und Hypervisor über einen eigenen verschlüsselten Tunnel.
- Drittdienste: keiner verarbeitet Inhalte; DNS und Zertifikate sind offen benannt.
- Portabilität: Anwendungen laufen als Standard-Container.
- Nachweise: keine Zertifizierung, dafür offengelegte Maßnahmen (nachzulesen auf unserer Seite Sicherheit).
Quellen
- Amazon: AWS Launches AWS European Sovereign Cloud and Announces Expansion Across Europe (15. Januar 2026)
- IAPP: European General Court dismisses Latombe challenge, upholds EU-US Data Privacy Framework (September 2025)
- WilmerHale: European Court of Justice to Review Challenge to EU-U.S. Data Privacy Framework (1. Dezember 2025)
- U.S. Department of Justice: CLOUD Act Resources (abgerufen 18. Oktober 2026)
- Vergabeblog: BSI veröffentlicht C3A · neuer Maßstab für digitale Souveränität in der Cloud-Beschaffung (30. April 2026)
- KPMG: BSI C3A · Cloud-Souveränität erstmals messbar machen (abgerufen 18. Oktober 2026)
HinweisDieser Artikel gibt den Stand vom 30. Oktober 2026 wieder und ist keine Rechtsberatung.