Europas Ausgaben für souveräne Cloud-IaaS steigen um 83 % – und „souverän“ leistet dabei viel Arbeit

Die souveräne Cloud ist von den Positionspapieren in die Beschaffungsbudgets gewandert. Gartner erwartet, dass die weltweiten Ausgaben für souveräne Cloud-IaaS 2026 bei 80 Milliarden US-Dollar liegen und die europäischen Ausgaben um 83 % im Jahresvergleich wachsen – von 6,9 Milliarden US-Dollar im Jahr 2025 auf 12,6 Milliarden 2026. Weiter gedacht rechnet Gartner damit, dass Unternehmen weltweit bis 2029 rund 20 % ihrer bestehenden Workloads aus Souveränitätsgründen von globalen zu lokalen Cloud-Anbietern verlagern. 1

Das ist kein Rundungsfehler. Das ist eine strukturelle Umschichtung, und angetrieben wird sie von Dingen, die bereits passiert sind – nicht von Dingen, die man befürchtet.

Durchsetzung, Beweise und eine Antwort

Zuerst holte die Durchsetzung auf. Die Erhebung von DLA Piper vom Januar 2026 beziffert die kumulierten DSGVO-Bußgelder seit Inkrafttreten 2018 auf 7,1 Milliarden €. 2 Die österreichische, die französische und die italienische Datenschutzbehörde haben übereinstimmend festgestellt, dass die Übermittlung von Analysedaten in die USA gegen die Übermittlungsregeln der DSGVO verstieß. 3 Datenresidenz war damit keine Folie in einer Compliance-Präsentation mehr, sondern ein Posten mit einer Zahl daneben.

Dann sprach jemand unter Eid das Unausgesprochene aus. Auf die Frage einer Untersuchung des französischen Senats im Juni 2025, ob er garantieren könne, dass Daten französischer Bürgerinnen und Bürger niemals ohne französische Zustimmung an US-Behörden herausgegeben würden, antwortete der Leiter für Öffentlichkeits- und Rechtsfragen von Microsoft Frankreich: „Nein. Das kann ich nicht garantieren, aber, nochmals, es ist bisher nie vorgekommen.“ Auf die Frage, ob ein ordnungsgemäß gestelltes Ersuchen Microsoft zur Herausgabe verpflichten würde, sagte er: ja. 4

Das ist die gesamte Argumentation in zwei Antworten – vom Anbieter selbst, nicht von einem Wettbewerber.

Und die Hyperscaler haben reagiert. AWS hat seine European Sovereign Cloud im Januar 2026 allgemein verfügbar gemacht, mit Start in Brandenburg. AWS beschreibt sie als physisch und logisch getrennt von den übrigen Regionen und ausschließlich von EU-Ansässigen betrieben. Die Struktur läuft über eine neue Muttergesellschaft und drei deutsche Tochterfirmen, und AWS erklärt, die operative Kontrolle bleibe innerhalb der EU-Grenzen. 5

Der Einwand des „Sovereignty Washing“

Genau an diesem letzten Punkt wird es strittig. CISPE, der Verband europäischer Cloud-Infrastrukturanbieter, hat die Kommission öffentlich vor „Sovereignty Washing“ gewarnt: Souveränität müsse über Kontrolle definiert werden, nicht über eine Präsenz in der EU. Ein Unternehmen mit Hauptsitz in den USA, das eine souveräne EU-Region betreibt, bleibe in Reichweite extraterritorialen Rechts wie des CLOUD Act – gleichgültig, wo die Racks stehen und wer am Eingang den Ausweis trägt. 6

Man muss sich keiner Seite anschließen, um zu bemerken, dass die beiden Aussagen nicht gleichwertig sind. „Unser Rechenzentrum steht in Frankfurt“ ist eine Aussage über Geografie. „Keine Regierung außerhalb der EU kann die Herausgabe dieser Daten rechtmäßig erzwingen“ ist eine Aussage über Unternehmensstruktur und Rechtsordnung. Nur die zweite ist das, was die meisten mit Souveränität meinen – und nur die zweite ist schwer.

Die nützliche Frage lautet nicht, wo die Server stehen. Sie lautet: Wem kann eine Anordnung zugestellt werden, in welchem Land, und kann diese Stelle ihr nachkommen, ohne es Ihnen zu sagen?

Unsere Position, unverblümt

Wir sollten klar sagen, was wir sind und was nicht.

Wir sind ein europäischer Betreiber mit Diensten aus vier Ländern: Tirana, Skopje, Amsterdam und Dublin. Zwei davon liegen vollständig außerhalb der EU, was für manche Kunden genau der Punkt und für andere eine Komplikation ist. So oder so ist es eine echte Wahl und keine Marketingregion.

Wir sind kein Hyperscaler mit einem Souveränitätsprogramm. Wir sind ein kleiner unabhängiger ISP – unsere Antwort auf „Wer kann gezwungen werden?“ ist entsprechend kurz und überprüfbar statt ein Schaubild.

Was aus dieser Struktur folgt, ist konkret. Wir erheben keine Ausweisdokumente, um Ihnen einen Server zu verkaufen – also haben wir keinen Stapel davon. Wir akzeptieren Krypto, Ihre Identität muss für die Zahlung also nicht durch ein Kartennetz laufen. Wir überwachen Ihren Datenverkehr nicht über das hinaus, was der Betrieb erfordert, wir betreiben keine Website-Analytik, und die IP-Adressen von Besuchern werden von unseren Missbrauchsschutzsystemen nur flüchtig verarbeitet statt gespeichert – es gibt also weniger herauszugeben. Und die Rechtsordnung wählen Sie je Maschine beim Einrichten, das heißt: Ein VPS für 5 €/Monat genügt, um einen Workload unter ein anderes Rechtsregime zu stellen. Das löst die Souveränitätsfrage nicht, ist aber ein erheblich günstigeres Experiment als ein Migrationsprogramm.

Fragen statt Etiketten

Souveränität ist kein Produkt, das man kauft. Sie ist eine Eigenschaft einer Anordnung, und sie ist immer nur teilweise gegeben. Transit überquert Grenzen. Upstreams haben eigene Pflichten. Jeder Anbieter, wir eingeschlossen, arbeitet unter Gesetzen, die er nicht geschrieben hat.

Was Sie tun können: Hören Sie auf, das Ganze als Ja-oder-Nein zu behandeln, und stellen Sie die konkreten Fragen. Welche juristische Person hält den Vertrag, nach welchem Recht, was kann sie zwingen, welche Daten existieren überhaupt, die herausgegeben werden könnten – und was passiert, wenn Sie gehen wollen?

Ein Markt von 80 Milliarden US-Dollar wird in den nächsten achtzehn Monaten sehr viel selbstbewusstes Marketing hervorbringen. Diese Fragen sind das Mittel, es vom Gehalt zu unterscheiden.

Quellen

1. Gartner: European spending on sovereign cloud IaaS to nearly double in 2026, Computerworld, 10. Februar 2026
2. GDPR Fines and Data Breach Survey: January 2026, DLA Piper
3. UPDATE: Further EU DPA orders stop of Google Analytics, noyb
4. Microsoft admits it cannot guarantee data sovereignty, The Register, 25. Juli 2025
5. AWS Launches AWS European Sovereign Cloud and Announces Expansion Across Europe, Amazon, 15. Januar 2026
6. Don't let hyperscalers hijack digital sovereignty, EC told, The Register, 18. März 2026