Mobile-Menu
  DB Podcast

Souveräne Infrastruktur

Sovereignty Washing – die gefährliche Illusion der digitalen Souveränität

< zurück

Seite: 2/2

Anbieter zum Thema

Schwarz IT KG
FTAPI Software GmbH
d.velop AG
xSuite Group GmbH
Yorizon GmbH & Co. KG

Warum Verschlüsselung digitale Souveränität nicht sichert

AWS bewirbt Bring Your Own Key (BYOK) und End-to-End-Encryption. Doch wenn der Provider die Schlüssel „in possession, custody, or control" hat – und das ist bei den meisten AWS-Diensten der Fall –,muss er lesbare Daten liefern. Echte kundengesteuerte Verschlüsselung, bei der AWS keinen Zugriff auf den Schlüssel hat, ist nur bei einer Handvoll Dienste möglich und schränkt die Funktionalität massiv ein.

Ari Albertini, CEO der Ftapi Software GmbH, einem Lösungsanbieter für verschlüsselten Datenaustausch in Behörden und Unternehmen, nennt die Angebote der US-Hyperscaler explizit„Scheinsouveränität“und warnt: Auch die BSI-Kooperation mit Google Cloud sei einIrrweg, da der CLOUD Act Zugriffe trotz europäischer Rechenzentren ermögliche.„Solange die administrative Kontrolle über die Cloud-Infrastruktur im Ausland liegt, ist die Souveränität nur geliehen. Wahre Unabhängigkeit entsteht erst, wenn Prozesse technisch gegen Zugriffe von außen immun sind“, so der CEO. Er fordert eine Orientierung am BSI C5:2025-Standard und den konsequenten Einsatz von Zero-Knowledge-Architekturen, bei denen der Anbieter technisch keinen Zugang zu Kundendaten hat.

Digitale Souveränität ist so dringlich wie Energiewende

Peter Ganten, CEO der Univention GmbH und Vorstand der Open Source Business Alliance, vergleicht die Dringlichkeit digitaler Souveränität mit der Energiewende und nennt souveräne US-Clouds eine Scheinlösung. „Closed-Source-Software ist nicht überprüfbar und bleibt unter US-Kontrolle“, so Ganten. Cristian Mudure, CEO von Stackfield, einer Kollaborationsplattform mit Fokus auf Datenschutz und DSGVO-Konformität, bezeichnet AWS ESC direkt als „Souveränitäts-Washing“: Der Cloud Act mache alle lokalen Maßnahmen zunichte.

MdB Anke Domscheit-Berg, ehem. Die Linke, legt den Finger ein eine ganz spezielle Wunde: „Das digitale Souveränitätsdefizit des Bundes ist enorm. Bei den Betriebsausgaben für Cloud beträgt der Anteil proprietärer Software 99,9 Prozent.“ Domscheit-Berg hat über eine Kleine Anfrage im Bundestag aufgedeckt, dass der Bund seine Cloud-Ausgaben von 2021 bis 2024 auf 286 Millionen Euro verdoppelt hat – bei gleichzeitig nur zwei Prozent Open-Source-Anteil. Sie kritisiert die Delos-Cloud als „Microsoft Azure im Delos-Mantel“und hat über 100 Lobbytreffen zwischen SAP/Microsoft und der Bundesregierung dokumentiert. Von 32 genutzten Hyperscaler-Cloud-Diensten des Bundes verfüge nur ein einziger über eine Ende-zu-Ende-Verschlüsselung.

Checkliste: Echte versus scheinbare digitale Souveränität

Kriterium Digitale SouveränitätSovereignty Washing
EigentümerstrukturEU-kontrolliertes Unternehmen ohne US-NexusUS-Muttergesellschaft (Amazon, Microsoft, Google)
GerichtsbarkeitAusschließlich EU-RechtUS Cloud Act, FISA 702, National Security Letters
SchlüsselhoheitZero-Knowledge: Anbieter hat keinen ZugangProvider kann zur Herausgabe lesbarer Daten gezwungen werden
QuellcodeOpen Source, auditierbarProprietär, Closed Source
KriteriumDigitale SouveränitätSovereignty Washing
Datenzugriff durch Drittstaatentechnisch und juristisch ausgeschlossenStrukturell möglich und gesetzlich erzwingbar
AbhängigkeitMulti-Vendor, portabel, offene StandardsLock-in durch proprietäre APIs und Dienste
Kill-Switch-Risiko Kein Abschaltrisiko durch geopolitische KonflikteAbschltung der Dienste wegen US-Sanktionen
   

Es gibt eine Reihe von möglichen Alternativen, um digitale Souveräntität zu gewährleisten:

  • Europäische Anbieter ohne US-Nexus: beispielsweise Stackit (Schwarz Digits), OVHcloud, Ionos, Open Telekom Cloud und Hetzner. 
  • Open-Source-Stacks: beispielsweise OpenStack, Nextcloud, Sovereign Cloud Stack (SCS), Univention Corporate Server. 
  • Zero-Knowledge-Verschlüsselung: Schlüssel, die dem Anbieter technisch unzugänglich sind, wie Ftapi oder Boxcryptor-Nachfolger.
  • BSI C5:2025 als Mindeststandard für sämtliche Cloud-Beschaffungen der öffentlichen Hand.
  • EU Data Act (seit September 2025) konsequent anwenden: Das Gesetz verpflichtet Anbieter, unrechtmäßige Nicht-EU-Zugriffe zu blockieren.
  • Gaia-X und IPCEI-CIS weiterentwickeln: Trotz aller Kritik die einzigen europäischen Initiativen zur Umsetzung einer souveränen Infrastruktur.

Sovereignty Washing – Greenwashing der Digitalpolitik

Digitale Souveränität ist für Unternehmen in der EU schwer zu erreichen.(Bild: Generiert mit Claude Opus)
Digitale Souveränität ist für Unternehmen in der EU schwer zu erreichen.
(Bild: Generiert mit Claude Opus)

Sovereignty Washing kann als das Greenwashing der Digitalpolitik verstanden werden, allerdings mit potenziell weitreichenderen Konsequenzen. Die souveränen Cloud-Angebote von AWS, Microsoft und Google bieten zweifellos bessere Datenschutzmaßnahmen als Standard-Regionen. Aber sie bieten keine Souveränität im eigentlichen Sinne. Solange die Muttergesellschaft in den USA sitzt, bleiben Cloud Act, FISA 702 und National Security Letters das Damoklesschwert über allen europäischen Daten.

Wie Ari Albertini von Ftapi es auf den Punkt bringt: „Solange die administrative Kontrolle im Ausland liegt, ist die Souveränität nur geliehen.“ Digitale Souveränität ist damit keine Frage des Serverstandorts – sie ist eine Frage der Eigentümerstruktur, der Gerichtsbarkeit und des Quellcodes. Wer EU-Farben über US-Jurisdiktion malt, betreibt Sovereignty Washing. Und wer diese Illusion kauft, gefährdet nicht nur seine Compliance, sondern die digitale Handlungsfähigkeit Europas.

FAQ: Sovereignty Washing

  • Was bedeutet „Sovereignty Washing"?
    Sovereignty Washing beschreibt die Marketing-Praxis, bei der US-Cloud-Anbieter ihre europäischen Angebote als „souverän“ oder „digital unabhängig“ vermarkten, obwohl sie aufgrund ihrer US-Muttergesellschaft weiterhin US-Gesetzen wie dem Cloud Act und FISA 702 unterliegen. Ähnlich wie beim Greenwashing entsteht der Eindruck von Schutz, der strukturell nicht gegeben ist. Die Maßnahmen – EU-Rechenzentren, lokales Personal, deutsche Tochtergesellschaften – sind real, aber sie können die extraterritoriale Reichweite des US-Rechts nicht aufheben.     

  • Warum reicht es nicht aus, dass AWS seine Server in Deutschland betreibt?
    Der US Cloud Act verpflichtet US-kontrollierte Unternehmen zur Herausgabe von Daten unabhängig vom Speicherort. Die Jurisdiktion folgt der Unternehmenskontrolle, nicht dem Serverstandort. Da die AWS European Sovereign Cloud über eine Tochtergesellschaft von Amazon.com Inc. (USA) betrieben wird, kann ein US-Gericht per Warrant die Herausgabe von Daten aus Frankfurt erzwingen. Ein Gutachten der Universität Köln vom März 2025 bestätigt diese Einschätzung unmissverständlich.

  • Was unterscheidet den US Cloud Act von FISA Section 702? Der Cloud Act ermöglicht US-Strafverfolgungsbehörden per Warrant den Zugriff auf Daten bei US-kontrollierten Providern weltweit – mit richterlicher Genehmigung im Einzelfall. FISA Section 702 geht weiter: Es erlaubt US-Geheimdiensten die massenhafte Überwachung von Nicht-US-Personen ohne Einzelfallgenehmigung und ohne Benachrichtigung. Im April 2024 wurde FISA 702 verlängert und auf weitere Diensteanbieter ausgeweitet. Beide Gesetze zusammen machen jeden US-kontrollierten Cloud-Anbieter zu einem potenziellen Zugriffspunkt für US-Behörden.

  • Schützt Verschlüsselung meine Daten in einer US-Cloud?
    Nur unter sehr engen Bedingungen. Standard-Verschlüsselung (Server-Side Encryption) und selbst Bring Your Own Key (BYOK) schützen nicht, wenn der Provider den Schlüssel „in possession, custody, or control" hat – was bei den meisten AWS- und Azure-Diensten der Fall ist. Nur eine echte Zero-Knowledge-Architektur, bei der der Anbieter technisch keinen Zugang zum Schlüssel hat, bietet Schutz. Diese ist jedoch nur bei wenigen Diensten verfügbar und schränkt die  Funktionalität erheblich ein, wie keine serverseitige Suche und kein KI-Processing.

  • Ist die Delos-Cloud von SAP/Microsoft eine souveräne Alternative?Kritiker sagen nein. Die Delos-Cloud basiert auf Microsoft Azure als technologischem Unterbau. Anke Domscheit-Berg nennt sie „Microsoft Azure im Delos-Mantel". Peter Ganten (OSBA) bemängelt, dass proprietäre Closed-Source-Software prinzipiell nicht auf versteckte Zugriffsmechanismen überprüfbar sei. Zudem besteht das grundsätzliche Cloud-Act-Risiko fort, da Microsoft als US-Unternehmen an der technologischen Basis beteiligt bleibt. Die Bundesregierung hat trotz über 100 Lobbytreffen mit SAP und Microsoft keine überzeugende Antwort auf diese Einwände geliefert.

  • Was empfiehlt das BSI – und warum ist das widersprüchlich?
    Das BSI hat einerseits den C5-Kriterienkatalog (Cloud Computing Compliance Criteria Catalogue) entwickelt, der als Goldstandard für Cloud-Sicherheit in Deutschland gilt. Andererseits ist es 2024 eine Kooperation mit Google Cloud eingegangem- Kritiker wie Ari Albertini von Ftapi nennen dies einen Irrweg und "Türöffner für ausländische Tech-Giganten". Das BSI kennt die Cloud-Act-Risiken, kooperiert aber mit einem Unternehmen, das genau diesen Risiken unterliegt.

  • Welche echten europäischen Alternativen gibt es bereits?
    Der Markt europäischer Cloud-Anbieter ist klein, aber existent: Stackit (Schwarz-Gruppe), Ionos (United Internet), OVHcloud (Frankreich), Open Telekom Cloud (Deutsche Telekom), Hetzner und Scaleway bieten IaaS/PaaS ohne US-Nexus. Im Softwarebereich existieren Open-Source-Alternativen wie Nextcloud (Filesharing), OpenDesk (Bürokommunikation), Univention Corporate Server (IAM), und Sovereign Cloud Stack (SCS) als standardisierter Open-Source-Cloud-Stack. Die Funktionalität reicht für viele Anwendungsfälle aus, auch wenn einige Dienste wie KI-Plattformen noch Lücken aufweisen.

Heiner Sieger digitale SouveränitätHeiner Sieger
ist Chefredakteur der Fachpublikationen Digital Business Magazin und e-commerce magazin.

Bildquelle: Heiner Sieger

Jetzt Newsletter abonnieren

Verpassen Sie nicht unsere besten Inhalte

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte