Souveräne Infrastruktur Sovereignty Washing – die gefährliche Illusion der digitalen Souveränität

Anbieter zum Thema

Schwarz IT KG

FTAPI Software GmbH

FIS Informationssysteme und Consulting GmbH

d.velop AG

Yorizon GmbH & Co. KG

Auch wenn Unternehmen Rechenzentren in der EU und deutsches Personal nutzen und Milliarden-schwere Investments tätigen – greift trotzdem häufig US-Recht. Warum „souveräne" Cloud-Angebote von US-Hyperscalern eine Mogelpackung sind.

Am 27. April 2026 hat das Schweizer Unternehmen Wire eine Pressemitteilung mit stolzer Nachricht versendet: Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) hat den Messenger Wire Bund für VS-NfD zugelassen – für Verschlusssachen, deren unbefugte Weitergabe dem nationalen Interesse schaden könnte. BKA, Verfassungsschutz, Bundesministerien – sie alle dürfen ab sofort klassifizierte Informationen über "Wire Bund" austauschen. Dr. Günther Welsch, Abteilungsleiter beim BSI, erklärt in der Pressemitteilung: Wire bringe uns "einen Schritt näher zu einer digital souveränen Bundesrepublik".

Eine eigene Pressemitteilung des BSI dazu? Fehlanzeige. Die Behörde überlässt es dem Anbieter, die Nachricht zu verbreiten – und sich damit auch gleich das Narrativ der „digitalen Souveränität" zu eigen zu machen. Unwidersprochen. Was in der Pressemitteilung nicht steht: Die Wire Swiss GmbH ist eine Tochtergesellschaft der Wire Group Holdings Inc. – registriert in Dover, Delaware, USA. Seit Juli 2019, als der US-Investor Morpheus Ventures einstieg, liegt die Eigentümerschaft bei einer US-Holding. Das BSI zertifiziert heute einen Messenger für die sensibelste Regierungskommunikation unterhalb der Geheimhaltung – dessen Muttergesellschaft dem US Cloud Act unterliegt.

US-Hyperscaler versprechen digitale Souveränität

In Den Haag arbeitet der Internationale Strafgerichtshof inzwischen mit openDesk, einer deutschen Open-Source-Suite. Nicht ganz freiwillig. Im Februar 2025 hatte die Trump-Administration Sanktionen gegen IStGH-Chefankläger Karim Khan verhängt – und sein Microsoft-Konto wurde gesperrt. Und vor dem französischen Senat bestätigte Anton Carniaux, Rechtsdirektor bei Microsoft, unter Eid, dass er die Datensouveränität europäischer Kunden nicht garantieren könne: „Non, je ne peux pas le garantir."

Das ist Sovereignty Washing – und es durchzieht die europäische Digitalpolitik von der Cloud-Infrastruktur bis in den Hochsicherheitsbereich. US-Hyperscaler versprechen digitale Souveränität mit EU-Rechenzentren, deutschem Personal und milliardenschweren Investitionen. Das BSI zertifiziert Tools unter US-Eigentümerschaft für Verschlusssachen. Und die EU-Kommission vergibt einen 180-Millionen-Euro-Auftrag für „souveräne Cloud", bei dem Google im Maschinenraum sitzt.

Die Eigentümerstrukturen führen nach Seattle, Redmond, Mountain View – und Delaware. Dort gilt US-Recht: Cloud Act, FISA Section 702, und National Security Letters. Keine EU-Tochtergesellschaft, kein Rechenzentrum in Brandenburg und kein BSI-Zertifikat kann das ändern. Das ist derzeit die Realität hinter dem Begriff „Sovereignty Washing": US-Hyperscaler versprechen Europa digitale Souveränität mit EU-Rechenzentren, deutschem Personal und milliardenschweren Investitionen. Doch die Eigentümerstruktur führt nach Seattle, Redmond oder Mountain View. Und dort gilt US-Recht. Keine EU-Tochtergesellschaft, kein Rechenzentrum in Deutschland und kein Beirat aus EU-Bürgern kann das ändern. Der Rechtsvertreter von Microsoft hat es unter Eid bestätigt.

Was bedeutet „Sovereignty Washing“?

Der Begriff „Sovereignty Washing“ (deutsch: Reinwaschen der Souveränität) beschreibt die Praxis von Cloud-Anbietern aus den USA, ihre europäischen Angebote als „souveräne Cloud-Lösungen“ zu vermarkten, obwohl diese Dienste strukturell und juristisch weiterhin der US-amerikanischen Gerichtsbarkeit unterliegen. Ähnlich wie beim Greenwashing wird ein Etikett aufgeklebt, das ein Versprechen suggeriert, das systemisch nicht eingehalten werden kann. Die Maßnahmen – EU-Rechenzentren, lokales Personal, deutsche Tochtergesellschaften – sind real, aber sie adressieren das eigentliche Problem nicht: di extraterritoriale Reichweite des US-Rechts.

Wichtige Akteuere beim Sovereignty Washing

AWS European Sovereign Cloud: AWS hat die im Januar 2026 angekündigte European Sovereign Cloud als „die einzige vollumfänglich unabhängig betriebene souveräne Cloud" positioniert. Die Maßnahmen klingen beeindruckend:

• Betrieb über Amazon Web Services EMEA SARL (deutsche Rechtseinheit)
• Ausschließlich EU-Ansässige im operativen Betrieb
• Separates IAM, Billing und Security Operations Center
• Eigene Metadatenresidenz – auch Rollen, Berechtigungen und Konfigurationen bleiben in der EU
• 7,8 Milliarden Euro Investition bis 2040
• Über 90 Services inklusive KI – ohne Funktionseinschränkungen gegenüber der globalen AWS-Cloud

Microsoft EU Data Boundary & Delos Cloud: Microsoft verfolgt einen zweigleisigen Ansatz: Die 2025 gestartete EU Data Boundary soll globale Microsoft-Dienste auf EU-Datenverarbeitung beschränken. Für den deutschen öffentlichen Sektor entwickelt SAP-Tochter Delos Cloud eine auf Microsoft Azure basierende Plattform mit über 2 Milliarden Euro Investition über zehn Jahre.

Kooperation von Google Cloud und BSI: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat 2025 eine Kooperationsvereinbarung mit Google Cloud geschlossen – für „sichere und souveräne Cloud-Lösungen" inklusive KI und Post-Quanten-Kryptographie.

Warum digitale Souveränität nicht funktioniert

Der 2018 beschlossene Cloud Act besagt: „A provider of electronic communication service or remote computing service shall comply with the obligations of this chapter to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider's possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States.”

Die entscheidenden drei Worte: „possession, custody, or control". Die Jurisdiktion folgt der Unternehmenskontrolle, nicht dem Serverstandort. AWS EMEA SARL ist eine Tochtergesellschaft von Amazon Inc. (Seattle). Demnach kann die Muttergesellschaft die Herausgabe aller kontrollierten Daten erzwingen.

Im April 2024 hat das US-Repräsentantenhaus FISA Section 702 um zwei Jahre verlängert und erweitert. Der Geltungsbereich umfasst jetzt explizit alle Diensteanbieter mit Zugang zu Kommunikationsgeräten– einschließlich Cloud-Anbieter und Serververmieter. FISA 702 erlaubt die massenhafte Überwachung von Nicht-US-Personen ohne richterliche Einzelfallgenehmigung und ohne Benachrichtigung der Betroffenen.

Das Compliance-Dilemma in der Praxis

Ein Gutachten der Universität Köln vom März 2025 bestätigt: Die US-Zugriffsrechte bestehen unverändert fort – unabhängig von technischen oder organisatorischen Maßnahmen europäischer Tochtergesellschaften.

Souveräne KI-Lösungen

Digitale Souveränität und KI: Anspruch und Wirklichkeit klaffen auseinander