Digitale Souveränität Das SAP-Dilemma: Gefangen zwischen Walldorf und Washington

Anbieter zum Thema

xSuite Group GmbH

Esker Software Entwicklungs-und Vertrieb

Yorizon GmbH & Co. KG

SAP ist ein europäisches Vorzeigeunternehmen – und dennoch tief verstrickt in die Rechtslogik der US-Cloud-Giganten. Die Kombination aus Cloud Act, KI-Regulierung und globalen Partnerschaften stellt zentrale Fragen rund um die digitale Souveränität in Europa in den Fokus.

Während SAP seine Cloud-Transformation vorantreibt, wächst die Unsicherheit bei Kunden: Welche Daten könnten theoretisch unter US-Zugriffsrecht fallen – und welche nicht? Der Beitrag zeigt, wo reale technische Abhängigkeiten bestehen, welche Risiken überschätzt werden und warum selbst „Sovereign Clouds“ an klare juristische Grenzen stoßen.

SAP steht exemplarisch für Europas Dilemma: Ein globaler Champion, technologisch stark, aber in einer rechtlichen Zwickmühle.

Michael O. Hübener, CEO bei Synnq Pulse

1. SAP als deutsches Unternehmen – aber mit US-Verstrickung

Auf den ersten Blick scheint SAP sicher: Ein DAX-Unternehmen mit Hauptsitz in Walldorf, deutschem Recht unterworfen, DSGVO-konform zertifiziert, und Vorreiter bei europäischen Cloud-Lösungen.

Aber: Seit dem massiven Cloud-Shift ab 2018 betreibt SAP seine Dienste nicht mehr rein selbstständig, sondern in strategischen Allianzen mit US-Hyperscalern – vor allem Microsoft (Azure), Amazon (AWS) und Google Cloud. Diese Kooperationen bringen SAP technologisch nach vorne, öffnen aber gleichzeitig juristische Hintertüren.

2. Der Cloud Act: Zugriff über die Hintertür der Partner

Direkter Zugriff: Wenn SAP Kundendaten auf Infrastruktur von AWS, Azure oder Google Cloud hostet (zum Beispiel in „SAP Cloud Platform“ oder „Rise with SAP“), unterliegen diese Daten automatisch dem US Cloud Act. 

→ US-Behörden können bei diesen Cloud-Providern anfragen, Daten herauszugeben – ohne deutsche oder europäische Gerichtsbeteiligung.

Indirekter Zugriff: Selbst bei Hosting durch SAP selbst kann ein Zugriff entstehen, wenn SAP US-Softwarekomponenten oder APIs nutzt (zum Beispiel Microsoft Azure AD für Identity-Management, US-basierte Logging- oder Telemetrie-Dienste). Diese Integrationen übertragen Metadaten, Audit-Logs oder Zugriffstoken, die wiederum in den Geltungsbereich des Cloud Act fallen können.

Interview mit Amazon Web Services (AWS)

Digitale Souveränität: Schützen die EU-Clouds der Hyperscaler vor US-Behörden?

3. Der Patriot Act: Nationale Sicherheit als Vorwand

Der Patriot Act  ist die historische Basis für US-Überwachungsprogramme.
Er erlaubt Zugriffe auf „alle relevanten Daten für nationale Sicherheit“,
auch auf Daten, die über US-Kommunikationsnetze oder Software laufen.

SAP-Systeme, die Datenverkehr über US-Backbones oder amerikanische Sicherheitslösungen routen, können theoretisch in diesen Raster fallen – insbesondere bei Industrie- oder Rüstungsdaten. Das betrifft zum Beispiel SAP-Kunden aus der Verteidigungs- oder Energiebranche.

4. Der US AI Act (und Bidens AI Executive Order)

Der neue US AI Act / AI Executive Order (Oktober 2023) erweitert die Zugriffspflichten auf KI-Modelle, Trainingsdaten und sicherheitsrelevante Software. Wenn SAP KI-Komponenten oder generative Modelle nutzt, die auf US-Frameworks basieren (etwa OpenAI-Schnittstellen, Microsoft Copilot-Integrationen, Google Vertex AI), dann könnten diese Modelle offenlegungspflichtig werden.

Das bedeutet: SAP-KI-Modelle oder Anwendungsdaten könnten auf Anfrage an US-Behörden übermittelt werden, insbesondere, wenn sie sicherheitskritische oder Infrastrukturdaten enthalten.

Kurz gesagt: Selbst ein deutsches Unternehmen wie SAP kann unter US-KI-Regulierung fallen, sobald es US-Software oder US-Cloud-Komponenten integriert.

5. SAPs Versuch, sich und digitale Souveränität zu schützen – „EU Sovereign Cloud“

SAP hat das Problem erkannt und 2022 gemeinsam mit Microsoft die „EU Sovereign Cloud“ angekündigt. Das Ziel:

• Daten sollen nur von EU-Personal verwaltet werden,
• keine Daten sollen die EU verlassen,
• keine US-Jurisdiktion soll greifen.

Aber:

• Die zugrunde liegende Technologie bleibt Microsoft Azure.
• Microsoft unterliegt weiterhin dem US Cloud Act –
  auch wenn die Verwaltung in Europa erfolgt.
• Die „Sovereign Cloud“ kann also nicht garantieren, dass US-Behörden nicht doch zugreifen.

Fazit: Die EU Sovereign Cloud ist ein politisch cleveres, aber juristisch fragiles Konstrukt. Sie kann Vertrauen schaffen – aber keine Rechtssicherheit.

Interview

Gaia-X: So funktioniert der europäische Ansatz für digitale Souveränität

6. Konsequenzen für SAP-Kunden

Unternehmen, die SAP-Cloud-Dienste nutzen (zum Beispiel. S/4HANA Cloud, SuccessFactors, Ariba), müssen wissen:

• Ihre Daten können unter US-Recht fallen,
• sie dürfen nach DSGVO keine sensiblen personenbezogenen Daten ohne ausreichenden Schutz in solche Umgebungen legen,
• eine „Standardvertragsklausel“ (SCC) schütz  nicht, wenn US-Gesetze den Zugriff erlauben.

Das gilt besonders für:

• Öffentliche Einrichtungen (Ministerien, Universitäten, kommunale Betriebe)
• Unternehmen in kritischer Infrastruktur (Energie, Gesundheit, Verkehr)
• Forschung & Defense (Rüstungszulieferer, KI-Entwicklung, Space-Tech et cetera)

7. Strategische Perspektive: Was SAP (und Europa) tun müsste

• 1. Entkoppelung vom US-Tech-Stack: SAP müsste konsequent eine rein europäische Cloud-Architektur etablieren, zum Beispiel mit Partnern wie Gaia-X, EuroHPC, Ovhcloud oder T-Systems – ohne US-Softwareebene, ohne US-APIs.
• 2. Föderierte Architekturen: Daten bleiben beim Kunden, Modelle werden föderiert trainiert. Damit gäbe es keinen zentralen Zugriffspunkt für ausländische Behörden. Dies wäre technisch möglich – und strategisch überlebenswichtig.
• Juristische Klarheit: Nur eine Cloud unter ausschließlich europäischer Jurisdiktion kann echten DSGVO- und EU-AI-Act-Konformitätsstatus erreichen.

Die Quintessenz

SAP steht exemplarisch für Europas Dilemma: Ein globaler Champion, technologisch stark, aber in einer rechtlichen Zwickmühle. Die Kombination aus Cloud Act, Patriot Act und US AI Act bedeutet: Solange SAP auf US-Infrastruktur oder -Software setzt, bleibt jeder europäische Datensatz potenziell US-rechtlich abrufbar. Das ist nicht nur ein Datenschutzproblem, sondern eine Frage der wirtschaftlichen und wissenschaftlichen Souveränität Europas.