Kurz gesagt: AWS eröffnet eine „souveräne" Region in Brandenburg, Microsoft bringt 365 Local, Delos wirbt um Behörden. 2026 nennt sich fast jede Cloud souverän. Die EU-Kommission hat im Juni vier Stufen vorgelegt, an denen sich das Etikett endlich messen lässt.
Drei von vier Angeboten trugen dasselbe Wort
Anfang August saß ich in der Angebotsbewertung eines kommunalen Zweckverbands in Niedersachsen. Vier Angebote für eine Dokumentenplattform lagen auf dem Tisch. Drei davon führten das Wort „souverän" bereits auf dem Deckblatt.
Eines basierte auf Azure. Eines auf einer deutschen Colocation mit amerikanischer Software. Eines war tatsächlich ein europäischer Anbieter auf europäischer Infrastruktur. Auf dem Papier: dreimal dasselbe Versprechen.
Das erinnert mich an „cloud-native" um 2019. Sobald ein Begriff Ausschreibungen gewinnt, steht er in jedem Prospekt — und unterscheidet nichts mehr. Genau dafür braucht die Bewertungsrunde dann Kriterien statt Vokabeln.
Was 2026 tatsächlich passiert ist
Fairerweise: Hinter dem Etikett steckt in diesem Jahr echte Ingenieursarbeit, keine bloße Umbenennung.
Am 15. Januar hat AWS die European Sovereign Cloud in Brandenburg in Betrieb genommen — eine eigene, von der restlichen AWS-Welt getrennte Partition, EU-Personal, Abrechnung in Euro, 7,8 Milliarden Euro Investment. Wer damit arbeitet, merkt die Trennung sofort: bestehende Accounts lassen sich nicht mitnehmen, IAM-Rollen und Terraform-Module müssen neu aufgesetzt werden. Das ist kein Marketing-Anstrich, das ist eine zweite AWS-Welt.
Wenige Wochen später folgte Microsoft mit 365 Local: Exchange und SharePoint auf kundeneigener Hardware, entkoppelt von der Public Cloud. Und für die deutsche Verwaltung baut die SAP-Tochter Delos eine eigene Plattform — auf Basis von Microsoft-Technologie.
Technisch ist das alles ernst zu nehmen. Die Frage ist nur, welches Problem es löst.
Die Ebene, die keine Ansiedlung erreicht
Ein Beitrag bei heise hat es im Juni auf den Punkt gebracht: Souveränität hat drei Ebenen. Wo die Daten liegen. Wer den Betrieb führt. Und wessen Recht im Konfliktfall gilt.
Die neuen Angebote lösen die ersten beiden Ebenen — teils beeindruckend gründlich. Die dritte lösen sie nicht, weil sie sie nicht lösen können. Der US-CLOUD-Act verpflichtet amerikanische Unternehmen zur Datenherausgabe unabhängig vom Speicherort, und daran ändert weder eine Brandenburger Region noch eine deutsche Betreibergesellschaft etwas. Warum das rechtlich so ist, haben wir im Mai ausführlich aufgeschrieben.
Wie ehrlich die Anbieter selbst damit umgehen, zeigte die Anhörung vor dem französischen Senat. Auf die Frage, ob Microsoft garantieren könne, dass französische Daten nie ohne Zustimmung französischer Behörden an die US-Regierung gehen, antwortete der Chefjustiziar von Microsoft France:
„Nein, das kann ich nicht garantieren." — Anton Carniaux, Juni 2025, vor dem französischen Senat
Bei Delos kommt eine zweite Abhängigkeit dazu: Auch das Bundesinnenministerium räumt ein, dass Drittstaatenzugriffe nicht ausgeschlossen werden können. Und liefert Microsoft eines Tages keine Updates mehr, läuft die Plattform noch eine Weile weiter. Dann nicht mehr.
Vier Stufen statt eines Etiketts
Das Interessante am Juni 2026: Die EU-Kommission hat mit dem Vorschlag zum Cloud and AI Development Act erstmals einen gestuften Souveränitätsrahmen vorgelegt. Vier Stufen, gedacht als Bewertungsmaßstab für die öffentliche Beschaffung — und nebenbei das beste Werkzeug, das ich bisher gegen das Etiketten-Problem gesehen habe.
| Stufe | Anforderung |
|---|---|
| 1 | Daten werden in der EU verarbeitet und gespeichert |
| 2 | Nachweisbare Unabhängigkeit von Drittländern, transparente Software-Lieferkette |
| 3 | EU-Eigentum und EU-Kontrolle des Anbieters |
| 4 | Volle Kontrolle über die Lieferkette, keine Einflussnahme von Drittstaaten |
Die Pointe steht zwischen den Zeilen: Stufe 3 verlangt EU-Eigentum. Ein Anbieter mit US-Konzernmutter kann sie strukturell nicht erreichen — egal wie viele Rechenzentren er in Brandenburg baut.
Ich sage das ohne Häme. Für viele Workloads reichen Stufe 1 oder 2 völlig aus; wer seine Marketing-Assets in der Brandenburger AWS-Region ablegt, macht nichts falsch. Personalakten, Mandantendaten und Patientendokumente sind eine andere Kategorie. Dort entscheidet die dritte Ebene — und damit die Stufe, nicht das Etikett.
Der Rahmen zielt auf die öffentliche Beschaffung, aber er wird nicht dort bleiben. Ich habe in den letzten Monaten zwei Due-Diligence-Fragebögen von privaten Konzernen gesehen, die ihre Zulieferer nach dem Sitz der Konzernmutter des Cloud-Anbieters fragen. Wer als Mittelständler für Banken, Versicherer oder die Verwaltung arbeitet, bekommt diese Fragen früher oder später selbst gestellt — und sollte die Antwort für die eigene Dokumentenablage parat haben.
Vier Fragen für die nächste Anbieterrunde
Sie müssen den Verordnungstext nicht lesen. Diese vier Fragen holen das Gleiche aus jedem Vertriebsgespräch heraus — und kosten Sie eine halbe Stunde, kein Beratungsprojekt:
- Wem gehört die Betreibergesellschaft — bis ganz nach oben? Nicht die GmbH auf dem Angebot zählt, sondern die Konzernmutter und deren Rechtsordnung.
- Wessen Recht gilt im Konfliktfall? „Server in Deutschland" beantwortet diese Frage nicht. Fragen Sie konkret nach CLOUD Act und FISA 702 — und lassen Sie sich die Antwort schriftlich geben.
- Was passiert, wenn der Technologielieferant abspringt? Die Delos-Frage. Ein Betreiber ohne Zugriff auf den Quellcode seiner Plattform ist souverän bis zum nächsten ausbleibenden Update.
- Kommen Sie mit Ihren Daten wieder heraus? Exportformat, Frist, Kosten. Wie man das systematisch prüft, steht in unserem Leitfaden zum Anbietervergleich.
Wer im öffentlichen Sektor ausschreibt, kann die vier Stufen schon heute als Bewertungskriterium formulieren — die Vergabepraxis geht ohnehin in diese Richtung.
Wo wir selbst stehen
Volle Transparenz, weil die Frage sonst in den Kommentaren kommt: Aktenplatz ist eine deutsche GmbH, gehostet bei Hetzner und IONOS in Falkenstein und Nürnberg, ohne US-Subdienstleister im Stack. In der Logik des EU-Rahmens ist das Stufe 3. Wer Stufe 4 anstrebt, betreibt Aktenplatz auf eigener Hardware — die Option gab es bei uns vor dem Etiketten-Jahr 2026, und sie kostet keinen Aufpreis.
Der Zweckverband aus Niedersachsen hat übrigens genau das gemacht: Das Wort „souverän" wurde aus der Bewertung gestrichen und durch die Frage nach Eigentum, anwendbarem Recht und Exit ersetzt. Zwei der drei „souveränen" Angebote verloren dadurch Punkte. Eines gewann welche.
Das Wort „souverän" wird in den nächsten Monaten noch inflationärer werden, da lege ich mich fest. Lassen Sie es im Angebot einfach durchstreichen und durch eine Stufenzahl ersetzen. Dann wird aus einem Adjektiv eine überprüfbare Aussage.
Wenn Sie gerade vor so einer Bewertung stehen — wir schauen gern gemeinsam auf Ihre Anbieterliste, auch wenn am Ende kein Aktenplatz-Projekt daraus wird.
