Sovereign cloud solutions

Du sitzt im Zug, öffnest die nächste Kundenmail und diktierst eine Antwort in dein Notebook. Gleichzeitig prüft eure IT, ob sensible Daten in eine Public Cloud dürfen. Die Frage lautet längst nicht mehr nur, wo ein Dienst betrieben wird. Entscheidend ist, wer Daten, Schlüssel, Betrieb und Ausstieg kontrolliert.

Für Gründer, Freelancer und Manager bedeutet das: Cloud-Souveränität betrifft nicht nur ERP-Systeme, Behörden oder kritische Infrastruktur. Sie reicht bis zu Spracheingaben, Kundendokumenten und jedem Tool, das du täglich nutzt.

Inhaltsverzeichnis

• Warum Sovereign Cloud Solutions für EU-Unternehmen zum Thema werden
• Was Sovereign Cloud eigentlich bedeutet und wo der Unterschied zu klassischer Cloud liegt
  • Das Souveränitätsmodell in vier Stufen
• Datenresidenz, Rechtsraum und Betrieb als drei Säulen echter Souveränität
  • Datenresidenz
  • Rechtsraum
  • Betrieb
• Lokale Private Cloud, EU-Cloud und Hyperscaler-Modelle im direkten Vergleich
• Einen Anbieter Schritt für Schritt auswählen
  • Schritt eins, Anforderungen festhalten
  • Schritt zwei, Longlist filtern
  • Schritt drei, Ausschreibung präzisieren
  • Schritt vier und fünf, testen und verhandeln
• Bewertungskriterien auf einen Blick als Entscheidungsraster
  • So nutzt du das Raster
• Welche Souveränitätsstufe zu welchem Use Case passt
  • Was DORA, DSGVO und KRITIS praktisch verändern
• Souveränität im Alltag und was sie für deinen Arbeitsfluss bedeutet

Warum Sovereign Cloud Solutions für EU-Unternehmen zum Thema werden

Ein Maschinenbauunternehmen im deutschsprachigen Mittelstand möchte sein ERP modernisieren. Darin liegen Konstruktionsdaten, Lieferanteninformationen und interne Finanzdaten. Die Geschäftsführung erwartet Tempo, die Datenschutzbeauftragte belastbare Antworten, und die IT muss zwischen lokalem Rechenzentrum, EU-Cloud und souveränem Hyperscaler-Modell entscheiden.

Die Auslöser sind meist betrieblicher Natur:

• Cloud-Migration: Ein bestehendes Rechenzentrum soll abgelöst werden.
• Anbieterprüfung: Einkauf und Compliance verlangen Nachweise zu Datenstandort, Zugriffen und Subunternehmern.
• Aufsichtsanfrage: Eine Behörde möchte wissen, wer im Notfall auf Systeme und Daten zugreifen kann.
• Vertragsprüfung: Ein wichtiger Kunde fordert europäische Betriebs- und Datenschutzgarantien.

Damit wird die Architektur zur Geschäftsentscheidung. Sie bestimmt, ob ein Unternehmen auditfähig bleibt, Verträge mit regulierten Kunden abschließen kann und bei einem Anbieterwechsel handlungsfähig bleibt. Für DORA, DSGVO und KRITIS reicht deshalb je nach Workload ein anderes Souveränitätsniveau. Entscheidend sind Datenklasse, Kontrollrechte, Betriebsmodell und ein getesteter Ausstieg.

Die Nachfrage ist bereits sichtbar. In einer COMPUTERWOCHE/CIO-Erhebung zur souveränen Cloud nutzten 26 % der befragten Unternehmen souveräne Cloud aktiv. Weitere 36 % hatten den Einsatz fest eingeplant, 22 % befanden sich in der Evaluierung. Bei Unternehmen mit mehr als 1.000 Beschäftigten lag die aktive Nutzung bei 33 %, bei Betrieben mit weniger als 500 Mitarbeitenden bei 18 %.

Praktische Regel: Eine souveräne Cloud ist keine politische Imageentscheidung. Sie muss zu Datenklassen, Betriebsprozessen, Verträgen und Notfallplänen passen.

Der deutsche Markt bewegt sich von einzelnen Pilotprojekten zu einem stärker normierten Beschaffungsrahmen. Das BSI veröffentlichte am 27. April 2026 den Kriterienkatalog C3A, Criteria enabling Cloud Computing Autonomy, und aktualisierte parallel mit C5:2026 die Sicherheitsgrundlage für Cloud-Computing. Damit verschiebt sich die Diskussion von allgemeinen Souveränitätsversprechen zu prüfbaren Anforderungen.

Weitere Einordnungen zu Cloud, Datenschutz und Arbeitsabläufen findest du im fluesta Blog zu Cloud und Datenschutz.

Was Sovereign Cloud eigentlich bedeutet und wo der Unterschied zu klassischer Cloud liegt

Eine klassische Public Cloud ähnelt einer Mietwohnung. Du nutzt eine standardisierte Infrastruktur, akzeptierst einen vorgegebenen Vertrag und teilst bestimmte Gebäudestrukturen mit anderen Mietern. Der Vermieter kümmert sich um Betrieb und Wartung, aber du kontrollierst nicht jede Tür, jeden Generalschlüssel und jede Änderung am Gebäude.

Eine Sovereign Cloud gleicht eher einem Eigenheim. Du hast eine eigene Haustür, definierte Schlüssel und mehr Einfluss darauf, wer Zugang erhält. Das heißt nicht automatisch, dass du jeden Server selbst besitzt. Es bedeutet, dass Datenhoheit, Betriebskontrolle und Rechtsraum nachvollziehbar geregelt sind.

Das Souveränitätsmodell in vier Stufen

Reines Hosting ist die niedrigste Stufe. Ein Dienstleister betreibt deine Systeme, während Standort, Personalzugriff und Rechtslage nur begrenzt in deiner Hand liegen.

Darauf folgen regionale Cloud-Dienste europäischer Anbieter. Daten können innerhalb der EU verarbeitet werden, und der Anbieter unterliegt europäischem Recht. Trotzdem bleiben Fragen zu Unterauftragnehmern, Schlüsselverwaltung, Fernzugriffen und Exit offen.

Hyperscaler-Sovereign-Angebote bilden eine weitere Stufe. Sie verbinden globale Plattformfunktionen mit europäischen Daten- und Betriebsgrenzen. Das kann für viele Workloads sinnvoll sein, insbesondere wenn bestehende Anwendungen bereits stark an diese Plattformen gebunden sind. Die Verbindung zu einer außereuropäischen Muttergesellschaft bleibt jedoch ein Prüfpunkt.

Echte Souveränität verlangt schließlich eine belastbare Kontrolle über Daten, Schlüssel, Personal, technische Abhängigkeiten und den laufenden Betrieb. Sie ist kein Schalter im Produktmenü, sondern ein Bündel aus Architektur, Vertrag und Organisation.

Bei jeder Auswahl solltest du deshalb dieselben Fragen stellen:

• Datenabruf: Wer kann auf Daten zugreifen, wenn eine Behörde eine Anfrage stellt?
• Schlüssel: Wer erzeugt, verwaltet und widerruft die Verschlüsselungsschlüssel?
• Betrieb: Wer administriert die Systeme und aus welchem Rechtsraum heraus?
• Abhängigkeit: Kannst du Workloads, Daten und Konfigurationen kontrolliert exportieren?
• Krise: Funktioniert der Dienst auch bei politischen, technischen oder vertraglichen Spannungen?

Ein europäischer Standort allein beantwortet keine dieser Fragen vollständig.

Datenresidenz, Rechtsraum und Betrieb als drei Säulen echter Souveränität

Stell dir vor, ein mittelständisches Unternehmen muss für DORA, DSGVO oder KRITIS nachweisen, wer Daten sehen, Systeme administrieren und einen Ausfall beherrschen kann. Eine Serveradresse in der EU reicht dafür nicht. Souveränität wird prüfbar, wenn du sie in Datenresidenz, Rechtsraum und Betrieb zerlegst.

Datenresidenz

Zuerst geht es um den physischen Datenfluss. Wo liegen Primärdaten, Backups und Protokolle? Sind die Rechenzentrumsstandorte vertraglich festgelegt? Bleiben Redundanzen innerhalb der EU, oder darf ein Wiederanlauf in einer anderen Region erfolgen?

Eine EU-Data-Boundary beschreibt deshalb mehr als den Standort eines Rechenzentrums. Prüfe Speicherorte, Replikation, Supportdaten, Telemetrie und Notfallwiederherstellung. Für DORA und KRITIS zählt besonders, ob diese Grenzen im Betrieb tatsächlich durchgesetzt und dokumentiert werden.

Rechtsraum

Ein Anbieter kann in Europa hosten und dennoch gesellschaftsrechtlich oder organisatorisch ausserhalb Europas eingebunden sein. Zur Prüfung gehören die Betreibergesellschaft, Eigentümerstruktur, anwendbare Gesetze und der Prozess für Behördenanfragen.

Der BSI-Kriterienkatalog C3A berücksichtigt neben Daten- und Betriebssouveränität auch Lieferketten- und Technologiesouveränität. C3A setzt dabei die Erfüllung der C5-Kriterien voraus. Die BSI-Kriterien für C3A und C5 zeigen damit: Ein Standortversprechen allein bildet keine vollständige Souveränität ab.

Betrieb

Betriebssouveränität betrifft Menschen, Berechtigungen und Abläufe. Wer besitzt privilegierte Konten? Wie wird Fernzugriff freigegeben und protokolliert? Liegen die Schlüssel beim Anbieter oder bei dir? Kannst du einen Dienst bei einer Störung kontrolliert trennen und später wiederherstellen?

Auch alltägliche Anwendungen gehören in die Prüfung. Diktier-Software verarbeitet laut Einordnung zu Diktat und DSGVO sowohl den gesprochenen Inhalt als auch die Stimme als personenbezogene Daten. Die fluesta Datenschutzerklärung hilft bei der Einordnung praktischer Datenverarbeitung.

Die drei Säulen wirken zusammen. Ein EU-Serverstandort ohne kontrollierte Schlüssel bleibt ebenso unvollständig wie ein EU-Anbieter mit unklarer Lieferkette. Entscheidend ist die Souveränitätsstufe, die dein konkreter Use Case für DORA, DSGVO oder KRITIS tatsächlich verlangt.

Lokale Private Cloud, EU-Cloud und Hyperscaler-Modelle im direkten Vergleich

Keine Betriebsform erfüllt automatisch jede Anforderung. Die richtige Wahl hängt davon ab, wie viel Kontrolle du brauchst, welche Workloads betroffen sind und ob dein Team den Betrieb selbst leisten kann.

Eine lokale Private Cloud bietet die stärkste direkte Kontrolle. Das Unternehmen bestimmt Standort, Netzwerk, Hardware, Administratoren und Schlüsselverwaltung. Dafür trägt es auch Investitionen, Wartung, Kapazitätsplanung, Notfallvorsorge und Personalverantwortung. Bereitstellung und Skalierung dauern meist länger als bei einem vollständig gemanagten Dienst.

Eine EU-Cloud eines europäischen Anbieters wie OVHcloud, Hetzner oder IONOS verlagert den technischen Betrieb nach aussen, kann aber einen klaren europäischen Rechts- und Datenrahmen bieten. Die Skalierbarkeit liegt zwischen eigener Infrastruktur und globalem Hyperscaler. Entscheidend bleiben Vertragsdetails, Subunternehmer und die konkrete Zertifizierung des Dienstes.

Hyperscaler-Sovereign-Modelle wie die AWS European Sovereign Cloud, Google Sovereign Cloud oder Microsoft DeluCloud zielen auf europäische Betriebs- und Datenanforderungen bei gleichzeitigem Zugriff auf grosse Plattformökosysteme. Für bestehende Cloud-Architekturen kann das die Migration vereinfachen. Die Konzernstruktur und technische Abhängigkeit müssen trotzdem in die Risikobewertung.

Für DORA und KRITIS sind Ausfallfähigkeit, Nachweisbarkeit und Kontrolle besonders wichtig. Für klassische DSGVO-Anforderungen kann eine EU-Cloud ausreichen, wenn Verarbeitung, Zugriff und Unterauftragnehmer sauber dokumentiert sind. Technische Hinweise zu Workflows und Systemeinsatz kannst du in der fluesta Dokumentation nachlesen.

Einen Anbieter Schritt für Schritt auswählen

Ein Anbieter sollte nicht gewinnen, weil seine Startseite souverän klingt. Er sollte gewinnen, weil eure Anforderungen, Tests und Vertragsklauseln ein konsistentes Bild ergeben.

Schritt eins, Anforderungen festhalten

Beginne mit einer Datenklassifizierung. Markiere personenbezogene Daten, Geschäftsgeheimnisse, kritische Betriebsdaten und öffentlich zugängliche Inhalte. Ergänze betroffene Länder, benötigte Verfügbarkeiten, Wiederanlaufziele und interne Rollen.

Formuliere danach ein Muss-Profil. Dazu gehören Datenstandort, Rechtsraum, Verschlüsselung, Supportzugriff, Subunternehmer, Audit-Rechte und Exit-Fähigkeit.

Schritt zwei, Longlist filtern

Prüfe den Sitz der Betreibergesellschaft und die tatsächliche Verantwortung für den Dienst. Frage nach einem BSI-C5-Testat, C3A-Eignung oder einer nachvollziehbaren GAIA-X-Konformität, sofern das für euren Use Case relevant ist.

Ein Zertifikat ersetzt keine Prüfung. Es zeigt, dass bestimmte Kontrollen betrachtet wurden. Du musst trotzdem klären, ob der konkrete Service und nicht nur der gesamte Konzern davon abgedeckt ist.

Schritt drei, Ausschreibung präzisieren

Eine gute Ausschreibung verhindert Marketingantworten. Frage konkret:

• Datenresidenz: Welche Daten, Backups und Metadaten verlassen die definierte Region?
• Schlüsselhoheit: Können Kundenschlüssel extern verwaltet und unabhängig widerrufen werden?
• Lieferkette: Welche Subunternehmer administrieren Infrastruktur oder Support?
• Notfallbetrieb: Wie wird ein Ausfall behandelt, und wer entscheidet über eine Ausweichregion?
• Exit: In welchem Format erhältst du Daten, Konfigurationen und Protokolle zurück?

Schritt vier und fünf, testen und verhandeln

Ein Proof of Concept sollte reale Workloads abbilden. Teste Migration, Zugriffskontrollen, Support, Wiederherstellung und Export. Erst danach folgt die Vertragsprüfung durch Datenschutz- und IT-Rechtsexperten, mit besonderem Blick auf Auftragsverarbeitung, Drittlandübermittlungen, Haftung und Änderungsrechte.

Bewertungskriterien auf einen Blick als Entscheidungsraster

Ein Bewertungsraster macht unterschiedliche Anbieter vergleichbar. Du kannst jedes Kriterium auf einer Skala von 1 bis 5 bewerten und mit einer Gewichtung multiplizieren. Die Skala ist kein externer Standard, sondern ein internes Arbeitswerkzeug.

Für einen KRITIS-nahen Workload sollte Datenhoheit stärker zählen als ein günstiger Einstiegspreis. Für einen kleinen Dienstleister mit öffentlichen Inhalten kann die Gewichtung anders ausfallen.

So nutzt du das Raster

Bewerte nicht nur Präsentationen. Jede Punktzahl sollte auf einem Nachweis beruhen, etwa einem Vertrag, einem Auditbericht, einer Architekturzeichnung oder einem Testergebnis.

Ergänze unter jedem Kriterium konkrete Unterfragen:

• Subunternehmer: Werden alle relevanten Parteien offengelegt und Änderungen angekündigt?
• Schlüsselverwaltung: Kann dein Unternehmen Schlüssel selbst kontrollieren oder einen externen Dienst nutzen?
• Audit-Rechte: Erhältst du ausreichende Prüf- und Nachweisrechte?
• Exit-Strategie: Gibt es getestete Exportwege ohne proprietäre Blockade?
• Lieferkette: Sind kritische Hardware-, Software- und Supportabhängigkeiten dokumentiert?

Die Gesamtpunktzahl hilft bei der Vorauswahl. Sie ersetzt aber keine rote Linie. Wenn ein Anbieter den geforderten Rechtsraum oder die notwendige Trennungsfähigkeit nicht erfüllt, darf eine gute Kostenbewertung diese Lücke nicht ausgleichen.

Welche Souveränitätsstufe zu welchem Use Case passt

Die passende Stufe ergibt sich aus dem Schaden, der bei einem unkontrollierten Zugriff, Ausfall oder Anbieterwechsel entstehen würde.

Ein Maschinenbau-Zulieferer mit sensiblen Konstruktionsdaten braucht andere Kontrollen als ein Beratungshaus, dessen wichtigste Inhalte öffentlich verfügbar sind. DORA-, DSGVO- und KRITIS-nahe Anforderungen überschneiden sich, verlangen aber nicht automatisch dieselbe Architektur.

Was DORA, DSGVO und KRITIS praktisch verändern

Für DORA zählt nicht nur der Speicherort. Finanzunternehmen müssen Abhängigkeiten, Resilienz, Vorfälle, Tests und Dienstleistersteuerung in ihre Betriebsmodelle einbauen. Ein Dienst kann technisch in Europa laufen und trotzdem unpassend sein, wenn Wiederherstellung und Vertragskontrolle unklar bleiben.

Die DSGVO verlangt eine rechtmäßige, kontrollierte Verarbeitung personenbezogener Daten. Eine EU-Cloud kann diese Anforderungen unterstützen, aber Datenschutz entsteht nicht automatisch durch eine EU-Adresse.

KRITIS-nahe Umgebungen benötigen besonders belastbare Sicherheits- und Kontinuitätsnachweise. Hier sind C5, kontrollierter privilegierter Zugriff, Lieferkettentransparenz und getestete Ausfallprozesse wichtige Entscheidungspunkte. Die Frage ist nicht, ob ein Modell absolut souverän klingt, sondern ob es den konkreten Schutzbedarf nachweisbar erfüllt.

Souveränität im Alltag und was sie für deinen Arbeitsfluss bedeutet

Souveränität zeigt sich nicht erst im grossen Rechenzentrum. Sie zeigt sich bei jeder Anwendung, die Sprache, Dateien, Kundendaten oder interne Entscheidungen verarbeitet.

Beantworte für euren Arbeitsalltag vier Fragen:

• Kritische Daten: Welche Inhalte dürfen auf keinen Fall ausserhalb der EU verarbeitet werden?
• Rechtsraum: Welche Gesellschaft und welche Gesetze stehen hinter dem Dienst?
• Betrieb: Wer kann Support leisten, Systeme administrieren oder Schlüssel verwenden?
• Krise: Was passiert bei einem Ausfall, einer Behördenanfrage oder einem Anbieterwechsel?

Deutschland nutzt Cloud-Dienste bereits breit. Laut Destatis zur Cloud-Nutzung in Unternehmen verwendeten 2025 54 % der Unternehmen mit mindestens 10 Beschäftigten kostenpflichtige Cloud-Services. Bei Grossunternehmen lag der Anteil bei 86 %, bei mittleren Unternehmen bei 65 % und bei kleinen Unternehmen bei 51 %.

Das macht die Betriebsfrage wichtig. Souveränität muss in E-Mail, Datenspeicherung, Office, Support und Diktat funktionieren, nicht nur in einer isolierten Spezialumgebung.

Für vielschreibende Professionals kann fluesta dabei ein konkretes Beispiel für alltagstauglich bei voller Privatsphäre sein. Die Speech-to-Text-Desktop-App für Mac und Windows funktioniert systemweit in jedem Programm, verarbeitet Sprache EU-gehostet und setzt auf Zero Data Retention, Sprache wird verarbeitet und sofort gelöscht. Der Pro-Plan kostet 14 Euro pro Monat, aktuell gibt es in der Betaphase einen Rabatt von 50 %. Mehr zur Einordnung von Tippgeschwindigkeit und Sprachinput findest du im deutschen Tippgeschwindigkeitstest.

Souveränität beginnt mit der richtigen Frage, nicht mit der grössten Lösung. Prüfe jeden Dienst danach, welche Kontrolle er im normalen Arbeitsfluss tatsächlich ermöglicht.

---

fluesta bietet dir systemweites Diktieren auf Mac und Windows, EU-gehostete Verarbeitung und Zero Data Retention für vertrauliche Arbeitsinhalte. Besuche fluesta, wenn du Texte schneller erstellen und dabei die Kontrolle über deine Spracheingaben behalten möchtest.