Digitale Souveränität

Ihre Daten liegen in Frankfurt. Die US-Regierung kann trotzdem darauf zugreifen.

Stellen Sie sich vor: Ihr Unternehmen hat sorgfältig einen Cloud-Anbieter gewählt, der Daten ausschließlich in Frankfurt speichert. DSGVO-konform, ISO-27001-zertifiziert, Rechenzentrum auf deutschem Boden. Alles richtig gemacht — zumindest auf dem Papier. Dann kommt ein National Security Letter aus Washington. Der US CLOUD Act von 2018 verpflichtet US-Unternehmen, Daten herauszugeben — unabhängig davon, wo sie physisch gespeichert sind. Ihr Frankfurter Rechenzentrum? Irrelevant, solange der Betreiber ein US-Unternehmen ist. AWS, Azure, Google Cloud — sie alle unterliegen diesem Gesetz.

Das ist keine theoretische Sorge. Das EU-US Data Privacy Framework von 2023 bietet zwar eine rechtliche Basis für transatlantische Datentransfers, aber es ist politisch fragil — der Vorgänger Privacy Shield wurde 2020 vom EuGH gekippt (Schrems II). Microsoft hat im Februar 2025 Phase 3 der EU Data Boundary abgeschlossen und verspricht, europäische Daten in Europa zu halten. Doch das Kleingedruckte verrät: Ausnahmen gelten für bestimmte Operationen wie Sicherheitsanalysen und Support-Zugriffe. Und der fundamentale Widerspruch bleibt bestehen — die DSGVO sagt, Daten bleiben in der EU; der CLOUD Act sagt, die USA können darauf zugreifen. Diesen Konflikt hat kein Framework der Welt aufgelöst.

Für DACH-Unternehmen ist das kein abstraktes Regulierungsthema. Es ist ein konkretes Geschäftsrisiko. Wer sensible Kunden-, Gesundheits- oder Finanzdaten verarbeitet, braucht Klarheit über die Jurisdiktion — nicht Hoffnung auf diplomatische Stabilität. Digitale Souveränität beginnt mit der Frage: Wer hat im Ernstfall Zugriff auf meine Daten? Und die Antwort ist unbequemer, als die meisten Anbieter zugeben.

72% Abhängigkeit: Europas Cloud-Realität in Zahlen

Die Dimension der europäischen Abhängigkeit ist ernüchternd. AWS, Microsoft Azure und Google Cloud kontrollieren zusammen rund 72% des europäischen Cloud-Markts. Europäische Anbieter — OVHcloud, Hetzner, IONOS, T-Systems und andere — halten zusammen rund 15% (stabil seit 2022, aber gefallen von 29% im Jahr 2017, Synergy Research Group). Europas Cloud-Ausgaben überstiegen 2025 die Marke von $100 Milliarden. Das Geld fließt — aber es fließt überwiegend nach Seattle, Redmond und Mountain View.

McKinsey und das World Economic Forum haben einen Befund veröffentlicht, der die Lage zusammenfasst: Nur 4 der 50 größten Technologieunternehmen weltweit sind europäisch. Vier von fünfzig. Europa ist bei Consumer-Internet abgehängt, bei Cloud-Infrastruktur abhängig und bei Halbleitern auf Taiwan und Südkorea angewiesen. Das ist keine Schwäche in einem Teilbereich — das ist ein systemisches Defizit. Europäische Investitionen in souveräne Cloud-Infrastruktur wachsen 2026 um 83% — von $6,9 Mrd. auf $12,6 Mrd. (Gartner). Weltweit erreichen souveräne Cloud-Ausgaben $80 Mrd. in 2026.

Die Abhängigkeit hat konkrete Konsequenzen. Preiserhöhungen bei AWS oder Azure treffen europäische Unternehmen ohne Alternative. Geopolitische Spannungen zwischen den USA und der EU könnten Datenzugriffe einschränken — oder erzwingen. Regulatorische Änderungen in Washington haben direkten Einfluss auf Frankfurter Serverräume. Wer 72% seiner digitalen Infrastruktur in den Händen von drei US-Konzernen hat, hat kein Vendor-Management-Problem. Er hat ein Souveränitätsproblem.

Gaia-X und die europäischen Datenräume: Was funktioniert — und was nicht

Gaia-X war 2019 als europäische Antwort auf die Cloud-Dominanz gestartet — ein ambitioniertes Projekt für eine souveräne, föderierte Dateninfrastruktur. Die Realität 2026: Über 180 Datenräume sind in Entwicklung, aber nur eine Handvoll ist tatsächlich operativ. Der erste Multi-Provider-Katalog umfasst 600 Services von 15 Anbietern über vier Souveränitätsstufen — ein Fortschritt, aber weit entfernt von der ursprünglichen Vision eines europäischen Cloud-Ökosystems.

Die schärfste Kritik an Gaia-X: Die Einbindung von Microsoft, Google und AWS hat den ursprünglichen Zweck verwässert. Ein Souveränitätsprojekt, an dem die Unternehmen mitarbeiten, von denen man unabhängig werden will — das ist ein konzeptioneller Widerspruch, den auch die beste Governance nicht auflöst.

Doch es gibt Lichtblicke. Catena-X im Automotive-Bereich ist mit über 1.000 Mitgliedern operativ und liefert echte Ergebnisse für den Austausch von Lieferkettendaten — vom OEM bis zum Tier-3-Zulieferer. Manufacturing-X ist mit EUR 140 Mio. Förderung in fortgeschrittener Entwicklung, ebenso Health-X und der Mobility Data Space. Die EU hat mit InvestAI EUR 200 Mrd. für KI-Infrastruktur mobilisiert — darunter EUR 20 Mrd. für fünf KI-Gigafabriken. Das Muster: Wo konkrete Branchenanforderungen die Architektur treiben, funktionieren Datenräume. Wo politische Vision auf technische Komplexität trifft, entsteht Bürokratie.

Europäische Champions: Von KI über Cloud bis Robotik

Die Erzählung, Europa könne nur regulieren und nicht bauen, ist falsch. Eine neue Generation europäischer Tech-Champions beweist das Gegenteil — nicht nur bei KI, sondern quer durch den Stack.

Aleph Alpha aus Heidelberg hat einen bemerkenswerten Strategiewechsel vollzogen: Weg vom eigenen Large Language Model, hin zur souveränen KI-Plattform PhariaAI. Mit $642,8 Millionen Funding und einem modellagnostischen Ansatz bietet Aleph Alpha Unternehmen und Behörden eine Plattform, auf der verschiedene KI-Modelle unter voller Datenkontrolle laufen — gehostet auf STACKIT, der Cloud der Schwarz-Gruppe (Lidl/Kaufland) — mit einem Gesamtinvestment von EUR 11 Mrd. in STACKIT. Das ist europäische Infrastruktur von der Hardware bis zur Anwendung.

Mistral aus Paris hat sich als ernstzunehmende Alternative zu OpenAI und Anthropic etabliert. Bewertung: EUR 11,7 Milliarden bei EUR 300 Millionen jährlichem Umsatz (ARR). Mistral Large 3 (675 Milliarden Parameter) ist unter Apache 2.0 lizenziert — vollständig offen. Frankreich und Deutschland haben Rahmenverträge für den Einsatz in der öffentlichen Verwaltung geschlossen. DeepL aus Köln übertrifft mit über 10 Millionen monatlichen Nutzern Google Translate in vielen Sprachpaaren und hat eine Partnerschaft mit NVIDIAs DGX SuperPOD für Trainingsinfrastruktur.

Jenseits von KI zeigt sich europäische Stärke auch in anderen Bereichen: SAP integriert mit Joule KI in seine gesamte Produktsuite und bleibt der dominante Enterprise-Software-Anbieter. Neura Robotics aus Metzingen hat EUR 1 Milliarde bei einer EUR 4 Milliarden Bewertung eingeworben und baut humanoide Roboter mit Bosch als Technologiepartner. OVHcloud (erstmals EUR 1,08 Mrd. Jahresumsatz in 2025) und Hetzner bieten performante, DSGVO-konforme Cloud-Alternativen zu den US-Hyperscalern — ohne CLOUD-Act-Risiko.

Open Source als Souveränitätsstrategie

Open Source ist das wirksamste Instrument digitaler Souveränität — und Europa beginnt, das systematisch zu nutzen. Die Linux Foundation Europe wurde gegründet, um europäische Open-Source-Entwicklung zu koordinieren. Die Open Source Business Alliance (OSB Alliance) in Deutschland setzt sich für den Einsatz offener Software in Unternehmen und Verwaltung ein. Die deutsche öffentliche Verwaltung verfolgt zunehmend eine Open-Source-First-Strategie.

Der EU Cyber Resilience Act hätte Open Source beinahe in eine regulatorische Falle getrieben — durch Sicherheitsanforderungen, die für kommerzielle Software konzipiert waren, aber auch auf Open-Source-Projekte angewandt worden wären. Nach massivem Widerstand der Community sind nicht-kommerzielle Projekte nun ausgenommen. Die Lektion: Regulierung muss Open Source fördern, nicht gefährden.

Die strategische Logik ist klar: Wer Open-Source-Software einsetzt, eliminiert Vendor Lock-in, behält die volle Kontrolle über den Code und kann Sicherheitsaudits selbst durchführen. Lokale KI-Modelle wie Mistral (Apache 2.0) oder Llama laufen auf eigener Infrastruktur — ohne dass Daten an US-Anbieter fließen. Nextcloud ersetzt Microsoft 365 für Kollaboration, Element/Matrix ersetzt Slack und Teams für Kommunikation. Das sind keine Kompromisslösungen — das sind ausgereifte Alternativen, die volle Kontrolle bei vergleichbarer Funktionalität bieten.

Der CLOUD Act und die Lösung: Architektur statt Hoffnung

Der CLOUD Act von 2018 ist kein Randthema — er ist das zentrale Spannungsfeld europäischer Datensouveränität. Das Gesetz ermächtigt US-Behörden, von US-Unternehmen die Herausgabe von Daten zu verlangen, die auf Servern überall auf der Welt gespeichert sind. Die DSGVO verbietet genau das. Dieser Widerspruch ist nicht aufgelöst — er wird nur diplomatisch überbrückt.

Das EU-US Data Privacy Framework von 2023 bietet eine politische Lösung, keine technische. Es basiert auf einem Executive Order von Präsident Biden, der ohne Zustimmung des Kongresses widerrufen werden kann. Der EuGH hat bereits zwei Vorgänger-Abkommen (Safe Harbor, Privacy Shield) für ungültig erklärt. Die BSI C5-Attestierung wird zunehmend Voraussetzung für öffentliche Aufträge und kritische Infrastrukturen — aber nur wenige US-Hyperscaler haben sie erhalten, und auch dann mit Auflagen.

Die Lösung liegt nicht in der Politik, sondern in der Architektur. Hybride Ansätze sind der pragmatische Weg: Unkritische Workloads auf US-Hyperscalern (die bei Skalierung und Services führen), sensible Daten auf europäischer Infrastruktur (Hetzner, OVHcloud, STACKIT, Deutsche Telekom/T-Systems), hochkritische Systeme on-premise oder in der Bundescloud. Datenklassifizierung wird zur Pflichtübung: Nicht alles muss souverän sein — aber Sie müssen wissen, was es muss.

Unser Ansatz bei Radical Innovators

Digitale Souveränität ist keine politische Parole — es ist ein architektonisches Problem. Und architektonische Probleme löst man mit Expertise, nicht mit Ideologie. Bei Radical Innovators helfen wir DACH-Unternehmen, eine souveräne digitale Architektur zu entwerfen, die weder naiv auf „alles europäisch" setzt noch kritiklos US-Hyperscaler akzeptiert.

Unsere Arbeit beginnt mit einer Souveränitäts-Analyse: Wo liegen Ihre Daten? Welchen Jurisdiktionen unterliegen Ihre Anbieter? Wo ist Vendor Lock-in ein Risiko? Darauf aufbauend entwickeln wir hybride Architekturen, die Skalierbarkeit, Kosten und Datensouveränität in Balance bringen. Wir evaluieren europäische Alternativen, planen Migrationen und implementieren Open-Source-Stacks — pragmatisch, nicht dogmatisch. Ob Hetzner statt AWS, Nextcloud statt SharePoint oder Mistral statt GPT-4: Wir finden die Lösung, die zu Ihrem Geschäft passt.

Digitale Souveränität ist keine Compliance-Übung — sie ist eine strategische Notwendigkeit. Wer heute seine gesamte digitale Infrastruktur in die Hände von drei US-Konzernen legt, trifft keine Technologie-Entscheidung. Er trifft eine geopolitische Wette. Und die Quoten stehen nicht so gut, wie die Sales-Decks versprechen.

— Martin Kocijaz, CEO Radical Innovators