Cloud-Souveränität wird Vorstandssache: Das EU-Tech-Paket

Die EU hat am 27. Mai ihr Tech-Sovereignty-Paket vorgelegt. Es schlägt vor, die Nutzung von US-Cloud-Anbietern für sensible Behördendaten in allen 27 Mitgliedstaaten einzuschränken. Drei US-Konzerne kontrollieren rund 70 Prozent des europäischen Cloud-Markts. Damit wird eine Frage, die jahrelang im IT-Einkauf hing, zur Vorstandsangelegenheit: Wessen Recht greift auf unsere Daten zu, und was passiert, wenn die Geopolitik kippt.

Verwandt:Warum Boards Verteidigbarkeit verlangen/Wie der Kapitalmarkt Governance bewertet

Warum das jetzt Vorstandssache ist

Was ist der CLOUD Act? Der CLOUD Act ist ein US-Gesetz, das amerikanische Unternehmen verpflichten kann, Daten herauszugeben, die sie verwahren, unabhängig davon, wo die Server stehen. Ein Anbieter in US-Eigentum kann sich dieser Pflicht nicht durch eine vertragliche Zusage zur Datenresidenz entziehen, weil das Gesetz die Zusage überlagert.

Lange galt die Cloud-Wahl als Beschaffungsentscheidung: Welcher Anbieter bietet welche Leistung zu welchem Preis. Diese Sicht ist überholt. Mit dem EU-Paket und der wachsenden Aufmerksamkeit für den CLOUD Act wird die Frage zur strategischen Risikoabwägung, die Vorstand, Rechtsabteilung und Compliance gemeinsam tragen. Es geht um operative Resilienz, geopolitische Abhängigkeit und die Frage, was passiert, wenn der Zugriff aus politischen Gründen eingeschränkt wird.

Die jüngsten Ereignisse machen das greifbar. Es gab Berichte über einen souveränen Microsoft-Dienst in Frankfurt, der zeitweise nicht mehr funktionierte, und über exponierte Cloud-Schlüssel einer US-Behörde. Solche Vorfälle sind keine abstrakte Sorge mehr, sondern konkrete Belege dafür, dass die Abhängigkeit von wenigen Anbietern eine eigene Risikoklasse ist. Ein Vorstand, der das nicht bewertet hat, hat eine Lücke in der Risikobilanz.

Was Souveränität praktisch bedeutet

Souveränität ist nicht gleich Datenresidenz. Ein Rechenzentrum in Frankfurt erfüllt die Residenz, aber wenn der Betreiber in US-Eigentum ist, bleibt die Exposition gegenüber dem CLOUD Act bestehen. Echte Souveränität verlangt, dass weder der Betrieb noch der rechtliche Zugriff an einer fremden Jurisdiktion hängen. Diese Unterscheidung gehört in jede Vorstandsdiskussion, weil sie über Schein und Substanz entscheidet.

Die EU hat selbst ein Signal gesetzt. Im April vergab die Kommission einen Vertrag über bis zu 180 Millionen Euro über sechs Jahre an vier europäische Anbieter, und zwar erstmals mit expliziten Souveränitäts-Kriterien in der Vergabe. Das ist mehr als Symbolik. Es etabliert Souveränität als Beschaffungsstandard und schafft einen Markt für Anbieter, die diese Kriterien erfüllen.

Was DACH-Vorstände jetzt tun sollten

Der erste Schritt ist eine ehrliche Bestandsaufnahme der Abhängigkeit. Welche kritischen Prozesse laufen auf welchem Anbieter, welche Daten liegen wo, und welcher Jurisdiktion unterliegt der Betreiber tatsächlich. Diese Karte fehlt in vielen Häusern, weil die Cloud-Wahl historisch dezentral und nach Funktion getroffen wurde, nicht nach geopolitischem Risiko.

Der zweite Schritt ist keine Hauruck-Migration. Niemandem ist gedient, der über Nacht alles aus der US-Cloud zieht. Sinnvoll ist eine Abstufung: Welche Workloads sind unkritisch und bleiben, wo sie sind, welche sind sensibel genug, dass die Souveränitäts-Frage zwingend wird. Diese Priorisierung ist eine Vorstandsentscheidung, weil sie Risiko gegen Kosten und Aufwand abwägt, und das ist keine reine IT-Frage.

Ein Server in Frankfurt beweist nichts, wenn ein fremdes Gesetz auf seine Daten zugreifen kann. Souveränität entscheidet sich an der Jurisdiktion, nicht an der Postleitzahl.

Was bleibt, ist die Einordnung als Pflichtaufgabe, nicht als Kür. Die Richtung der Regulierung ist gesetzt, die Marktkonzentration ist real, und die Vorfälle der vergangenen Wochen zeigen, dass das Risiko nicht theoretisch ist. Ein Vorstand muss diese Bewertung nicht heute abschließen. Er muss aber zeigen können, dass er sie begonnen hat. Wer beim nächsten Audit oder bei der nächsten geopolitischen Verwerfung keine Antwort hat, hat die Frage zu lange im Einkauf liegen lassen.

Häufige Fragen

Mehr aus dem MBF Media Netzwerk

Bildquelle: KI-generiert (Mai 2026), C2PA-Zertifikat im Bild hinterlegt