Souveräne Infrastruktur Sovereignty Washing – die gefährliche Illusion der digitalen Souveränität

Anbieter zum Thema

Schwarz IT KG

FTAPI Software GmbH

d.velop AG

xSuite Group GmbH

Yorizon GmbH & Co. KG

Auch wenn Unternehmen Rechenzentren in der EU und deutsches Personal nutzen und Milliarden-schwere Investments tätigen – greift trotzdem häufig US-Recht. Warum „souveräne" Cloud-Angebote von US-Hyperscalern eine Mogelpackung sind.

Am 27. April 2026 verschickte das Berliner Unternehmen Wire eine Pressemitteilung mit stolzer Nachricht: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat den Messenger Wire Bund für VS-NfD zugelassen – für Verschlusssachen, deren unbefugte Weitergabe dem nationalen Interesse schaden könnte. BKA, Verfassungsschutz, Bundesministerien – sie alle dürfen ab sofort klassifizierte Informationen über Wire Bund austauschen. Dr. Günther Welsch, Abteilungsleiter beim BSI, wird in der Pressemitteilung zitiert: Wire bringe uns "einen Schritt näher zu einer digital souveränen Bundesrepublik". Und Benjamin Schilz, Geschäftsführer von Wire, nennt es „echte digitale Souveränität".

Was in der Pressemitteilung nicht steht: Die Wire Swiss GmbH wurde 2019 im Zuge einer Finanzierungsrunde unter das Dach der Wire Group Holdings Inc. gestellt – registriert in Delaware, USA –, als der US-Investor Morpheus Ventures einstieg. Seither haben sich der Skype-Mitgründer Janus Friis (über London) und die Schwarz-Gruppe (Neckarsulm) beteiligt. Auf Nachfrage erklärt die Pressestelle von Wire, die US-Holding sei bereits im August 2020 aufgelöst worden – die Wire Group Holdings GmbH in Berlin sei seither die alleinige Holdinggesellschaft. Über 85 Prozent der Anteile lägen in europäischer Hand, davon rund 50 Prozent bei deutschen Investoren. US-Investoren halten demnach heute unter zehn Prozent und ohne Governance-Einfluss.

Wire hat seine Holding-Struktur also nach Europa verlagert. Doch warum brauchte es eine journalistische Nachfrage, um das zu erfahren? In der aktuellen Pressemitteilung, in der von „digitaler Souveränität" die Rede ist, findet sich kein Wort zur Eigentümerstruktur. Auf den Webseiten des Unternehmens auch nicht. Wer den Begriff Souveränität für sich beansprucht, sollte Transparenz über die Besitzverhältnisse als Grundvoraussetzung pflegen. Erst recht mit der Vorgeschichte des BSI.

US-Hyperscaler versprechen digitale Souveränität

Denn was geschieht dort, wo die Kontrolle nicht in europäischer Hand liegt – und Washington Ernst macht? Im niederländischen Den Haag kennen sie die Antwort. Der Internationale Strafgerichtshof arbeitet seit 2025 mit OpenDesk, einer deutschen Open-Source-Suite. Nicht ganz freiwillig. Im Februar 2025 hatte die Trump-Administration Sanktionen gegen IStGH-Chefankläger Karim Khan verhängt – und sein Microsoft-Konto wurde gesperrt. Ein internationales Gericht, ansässig in den Niederlanden, arbeitend unter Völkerrecht – digital abgeschaltet per Executive Order aus Washington. Dass dies kein Einzelfall ist, bestätigte Anton Carniaux, Rechtsdirektor bei Microsoft, wenige Monate später unter Eid vor dem französischen Senat. Auf die Frage, ob er garantieren könne, dass Daten französischer Bürger nie ohne Zustimmung an US-Behörden gehen, sagte er: „Non, je ne peux pas le garantir."

Das ist die Realität hinter dem US-Recht. Und trotzdem versprechen AWS, Microsoft und Google ihren europäischen Kunden „digitale Souveränität" – mit EU-Rechenzentren, deutschem Personal und milliardenschweren Investments. Das BSI, das diese Risiken kennt wie kaum eine andere Behörde, kooperiert gleichzeitig mit Google Cloud bei „souveränen Cloud-Lösungen" für Behörden. Und die EU-Kommission vergab am 17. April 2026 einen 180-Millionen-Euro-Auftrag für „souveräne Cloud" – an ein Konsortium, bei dem Google im Maschinenraum sitzt. Wenn die Fakten das eine zeigen und das Marketing das Gegenteil behauptet, hat das einen Namen: Sovereignty Washing.

Was bedeutet „Sovereignty Washing“?

Der Begriff „Sovereignty Washing“ (deutsch: Reinwaschen der Souveränität) beschreibt die Praxis von Cloud-Anbietern aus den USA, ihre europäischen Angebote als „souveräne Cloud-Lösungen“ zu vermarkten, obwohl diese Dienste strukturell und juristisch weiterhin der US-amerikanischen Gerichtsbarkeit unterliegen. Ähnlich wie beim Greenwashing wird ein Etikett aufgeklebt, das ein Versprechen suggeriert, das systemisch nicht eingehalten werden kann. Die Maßnahmen – EU-Rechenzentren, lokales Personal, deutsche Tochtergesellschaften – sind real, aber sie adressieren das eigentliche Problem nicht: di extraterritoriale Reichweite des US-Rechts.

Wichtige Akteuere beim Sovereignty Washing

AWS European Sovereign Cloud: AWS hat die im Januar 2026 angekündigte European Sovereign Cloud als „die einzige vollumfänglich unabhängig betriebene souveräne Cloud" positioniert. Die Maßnahmen klingen beeindruckend:

• Betrieb über Amazon Web Services EMEA SARL (deutsche Rechtseinheit)
• Ausschließlich EU-Ansässige im operativen Betrieb
• Separates IAM, Billing und Security Operations Center
• Eigene Metadatenresidenz – auch Rollen, Berechtigungen und Konfigurationen bleiben in der EU
• 7,8 Milliarden Euro Investition bis 2040
• Über 90 Services inklusive KI – ohne Funktionseinschränkungen gegenüber der globalen AWS-Cloud

Microsoft EU Data Boundary & Delos Cloud: Microsoft verfolgt einen zweigleisigen Ansatz: Die 2025 gestartete EU Data Boundary soll globale Microsoft-Dienste auf EU-Datenverarbeitung beschränken. Für den deutschen öffentlichen Sektor entwickelt SAP-Tochter Delos Cloud eine auf Microsoft Azure basierende Plattform mit über 2 Milliarden Euro Investition über zehn Jahre.

Kooperation von Google Cloud und BSI: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat 2025 eine Kooperationsvereinbarung mit Google Cloud geschlossen – für „sichere und souveräne Cloud-Lösungen" inklusive KI und Post-Quanten-Kryptographie.

Warum digitale Souveränität nicht funktioniert

Der 2018 beschlossene Cloud Act besagt: „A provider of electronic communication service or remote computing service shall comply with the obligations of this chapter to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider's possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States.”

Die entscheidenden drei Worte: „possession, custody, or control". Die Jurisdiktion folgt der Unternehmenskontrolle, nicht dem Serverstandort. AWS EMEA SARL ist eine Tochtergesellschaft von Amazon Inc. (Seattle). Demnach kann die Muttergesellschaft die Herausgabe aller kontrollierten Daten erzwingen.

Im April 2024 hat das US-Repräsentantenhaus FISA Section 702 um zwei Jahre verlängert und erweitert. Der Geltungsbereich umfasst jetzt explizit alle Diensteanbieter mit Zugang zu Kommunikationsgeräten– einschließlich Cloud-Anbieter und Serververmieter. FISA 702 erlaubt die massenhafte Überwachung von Nicht-US-Personen ohne richterliche Einzelfallgenehmigung und ohne Benachrichtigung der Betroffenen.

Das Compliance-Dilemma in der Praxis

Ein Gutachten der Universität Köln vom März 2025 bestätigt: Die US-Zugriffsrechte bestehen unverändert fort – unabhängig von technischen oder organisatorischen Maßnahmen europäischer Tochtergesellschaften.

Souveräne KI-Lösungen

Digitale Souveränität und KI: Anspruch und Wirklichkeit klaffen auseinander