Souveräne Cloud 2026: Welche europäischen Optionen der Mittelstand hat

„Souveräne Cloud“ ist 2026 kein Nischenthema mehr. Amazon hat im Januar seine European Sovereign Cloud in Brandenburg gestartet, Microsoft baut seine Sovereign-Angebote aus, und deutsche Anbieter wie STACKIT und IONOS investieren massiv. Für mittelständische Unternehmen ist das eine gute Nachricht – und eine neue Unübersichtlichkeit. Denn „souverän“ steht inzwischen auf fast jedem Angebot. Dieser Beitrag erklärt, woran Sie echte Souveränität erkennen, welche Optionen es gibt und wie Sie die passende für Ihr Unternehmen finden.

Was „souverän“ eigentlich bedeuten sollte

Ein Rechenzentrum in Frankfurt allein macht eine Cloud noch nicht souverän. Entscheidend ist, wer im Ernstfall Zugriff auf Ihre Daten hat – und wer darüber entscheiden kann. Vier Kriterien haben sich als Prüfmaßstab etabliert:

1. Datenstandort: Werden Daten ausschließlich in der EU gespeichert und verarbeitet – einschließlich Backups, Protokolldaten und Supportzugriffen?
2. Rechtsraum des Betreibers: Unterliegt der Betreiber ausschließlich europäischem Recht, oder kann eine Muttergesellschaft außerhalb der EU zur Herausgabe von Daten verpflichtet werden?
3. Betriebspersonal: Wird die Plattform von Personal in der EU betrieben und gewartet?
4. Schlüsselhoheit: Liegen die Schlüssel zur Verschlüsselung Ihrer Daten bei Ihnen – oder beim Anbieter?

Hinzu kommt ein fünfter, oft übersehener Punkt: die Wechselfähigkeit. Eine Cloud, aus der Sie nicht wieder herauskommen, ist nicht souverän, egal wo sie steht. Was der Data Act hier ab 2027 ändert, beschreiben wir im Beitrag zum Cloud-Anbieterwechsel nach dem Data Act.

Die Optionen im Überblick

Europäische Anbieter

STACKIT, die Cloud der Schwarz-Gruppe, ist der sichtbarste deutsche Anbieter und wird zunehmend auch von regulierten Branchen eingesetzt. IONOS bietet eine nach dem BSI-Kriterienkatalog C5 testierte Cloud. Dazu kommen T Cloud bzw. die Open Telekom Cloud der Telekom auf OpenStack-Basis, OVHcloud aus Frankreich und Plusserver. Ihr Vorteil: Sie unterliegen vollständig europäischem Recht. Ihr Nachteil: Der Funktionsumfang ist – vor allem bei spezialisierten Diensten – kleiner als bei den großen US-Plattformen, auch wenn der Abstand schrumpft.

Souveräne Angebote der US-Hyperscaler

Die AWS European Sovereign Cloud ist seit Januar 2026 mit ihrer ersten Region in Brandenburg verfügbar. Sie ist nach Angaben von AWS physisch und logisch von den übrigen AWS-Regionen getrennt und wird von EU-Personal betrieben. Microsoft hat seine EU Data Boundary abgeschlossen, nach der Kundendaten von Microsoft 365 und den meisten Azure-Diensten in der EU gespeichert und verarbeitet werden, und baut darüber hinaus eigene Sovereign-Cloud-Angebote auf. Für den öffentlichen Sektor in Deutschland entsteht mit Delos Cloud eine Microsoft-basierte Plattform unter deutscher Kontrolle.

Der Vorteil dieser Angebote: Sie behalten den vertrauten Funktionsumfang und Ihre bestehenden Werkzeuge. Die offene Frage: Ob die Konstruktionen einem Herausgabeverlangen nach US-Recht, etwa dem CLOUD Act, in jedem Fall standhalten, ist rechtlich umstritten und bislang nicht abschließend geklärt.

Eigener Betrieb und hybride Modelle

Die souveränste Lösung bleibt der Betrieb in eigener Verantwortung – im eigenen Rechenzentrum oder bei einem deutschen Hosting-Partner. Für viele Mittelständler ist ein hybrides Modell am sinnvollsten: sensible Daten und Kernsysteme unter eigener Kontrolle, Standarddienste und Lastspitzen in der Public Cloud. Gerade für KI-Anwendungen mit vertraulichen Daten hat sich dieser Weg bewährt, wie wir im Beitrag zu KI on-premises und in der Hybrid Cloud zeigen.

Welche Option passt zu Ihnen?

Die richtige Wahl hängt weniger vom Anbieter ab als von Ihren Daten und Anforderungen. Eine grobe Orientierung:

• Standardanwendungen ohne besonders sensible Daten: Die EU-Regionen der großen Anbieter, bei Microsoft mit EU Data Boundary, reichen in vielen Fällen aus.
• Personenbezogene Daten in größerem Umfang, Gesundheitsdaten, Geschäftsgeheimnisse: Ein europäischer Anbieter oder ein Sovereign-Angebot mit Schlüsselhoheit beim Kunden ist die bessere Wahl.
• Kritische Infrastruktur, öffentliche Auftraggeber, NIS2-Pflichten: Hier sollten Zertifizierungen wie BSI C5, klare Vorgaben zum Betriebspersonal und eine dokumentierte Exit-Strategie Pflicht sein – siehe auch unseren Beitrag zur NIS2-Registrierung.
• Abhängigkeit von speziellen Cloud-Diensten: Prüfen Sie, welche Dienste Sie wirklich brauchen. Je stärker Ihre Anwendungen auf proprietäre Dienste eines Anbieters setzen, desto schwieriger wird ein späterer Wechsel.

Worauf Sie bei der Auswahl achten sollten

• Zertifizierungen prüfen, nicht Werbeaussagen. BSI C5, ISO 27001 und – je nach Branche – weitere Testate sagen mehr als das Wort „souverän“ im Produktnamen.
• Verträge lesen. Wo werden Supportfälle bearbeitet? Wer darf auf Daten zugreifen? Wie werden Behördenanfragen behandelt?
• Schlüsselverwaltung klären. Können Sie eigene Schlüssel einbringen (Bring Your Own Key) oder sogar außerhalb der Cloud halten (Hold Your Own Key)?
• Portabilität einplanen. Container, offene Datenformate und Infrastruktur als Code halten Ihre Optionen offen.
• Kosten realistisch vergleichen. Souveräne Angebote sind nicht automatisch teurer, aber Preismodelle unterscheiden sich stark. Vergleichen Sie auf Basis Ihrer tatsächlichen Nutzung, nicht der Listenpreise.

Fazit

Die Auswahl an souveränen Cloud-Angeboten war nie so groß wie 2026 – und nie so schwer zu überblicken. Für den Mittelstand gibt es selten die eine richtige Lösung, sondern eine passende Kombination: europäische Anbieter oder Sovereign-Angebote für sensible Daten, bewährte Plattformen für Standarddienste und eine Architektur, die einen späteren Wechsel nicht verbaut. Wer seine Daten klassifiziert, bevor er sich für einen Anbieter entscheidet, trifft die bessere Wahl.

Wir beraten herstellerneutral bei der Auswahl und begleiten die Cloud-Migration – vom Datenbestand bis zum Betrieb. Wenn Sie Ihre Optionen besprechen möchten, sprechen Sie uns an.