Souveräne Cloud ist ein Versprechen über Technik. Ob es auch eines über Gesetze ist, steht in keiner Pressemitteilung.

Was tatsächlich zugesagt wird

Es lohnt sich, die Ankündigungen genau zu lesen, statt sie zu bewerten. Die Pressemitteilung von AWS vom 15. Januar 2026 ist dafür ein gutes Beispiel, weil sie ungewöhnlich konkret ist.

Zugesagt wird eine eigene Konzernstruktur in Europa, mit einer neuen Muttergesellschaft und drei in Deutschland gegründeten GmbHs. Zugesagt wird ein Betrieb ausschließlich durch Menschen mit Wohnsitz in der EU. Zugesagt wird, dass es keine kritischen Abhängigkeiten von Infrastruktur außerhalb der EU gibt. Zugesagt wird, dass berechtigte Mitarbeitende mit Wohnsitz in der EU in Ausnahmefällen unabhängig auf eine Kopie des Quellcodes zugreifen können. Und es fällt der Satz, dass keine betriebliche Kontrolle außerhalb der EU-Grenzen besteht.

Die erste Region liegt in Brandenburg. Die angekündigte Investition in Deutschland beträgt mehr als 7,8 Milliarden Euro. Weitere Standorte in Belgien, den Niederlanden und Portugal sind angekündigt.

Das ist bemerkenswert. Es ist deutlich mehr als die seit Jahren übliche Zusage, dass die Daten in Europa liegen. Der Ort der Daten sagt nur, wo Festplatten stehen. Diese Zusagen sagen, wer das System betreibt, wer darauf zugreifen kann und wo die Gesellschaft sitzt, die dafür haftet. Wer digitale Souveränität als technische Frage versteht, bekommt hier eine ernstzunehmende Antwort.

Was in der Ankündigung nicht steht

Der US CLOUD Act kommt in der Pressemitteilung nicht vor. Weder bestätigend noch verneinend. Er kommt schlicht nicht vor. Der CLOUD Act ist ein US-Gesetz, das US-Behörden unter bestimmten Bedingungen Zugriff auf Daten erlaubt, die US-Unternehmen speichern, auch wenn die Daten außerhalb der USA liegen.

Das ist wichtig richtig einzuordnen. Es ist kein Beleg dafür, dass das Gesetz auf diese Struktur anwendbar wäre. Es ist genauso wenig ein Beleg dafür, dass es das nicht wäre. Es ist der Befund, dass die Frage in der Ankündigung nicht beantwortet wird. Für eine Kaufentscheidung lässt sich daraus nichts ableiten, was du in ein Dokument schreiben könntest.

Diese Zurückhaltung ist nachvollziehbar. Ob eine deutsche GmbH mit einer US-Konzernmutter Anordnungen nach US-Recht unterliegt, ist eine Rechtsfrage mit vielen beweglichen Teilen: Konzernstruktur, tatsächliche Verfügungsgewalt, Art der Anordnung, kollidierende Rechtsordnungen. Kein Anbieter kann diese Frage in einer Pressemitteilung abschließend beantworten, weil sie am Ende Gerichte beantworten. Ein Anbieter, der hier eine harte Zusage gäbe, wäre weniger glaubwürdig, nicht mehr.

Der Fehler liegt also nicht bei den Anbietern. Er liegt dort, wo eine technische Zusage im Einkauf als Antwort auf eine Rechtsfrage verbucht wird, weil beide Fragen im selben Wort stecken.

Warum das Wort souverän so viel Arbeit leistet

Souveränität ist in der Cloud-Diskussion zu einem Sammelbegriff geworden. Darunter liegen mindestens vier verschiedene Eigenschaften. Sie sind unabhängig voneinander, werden im Einkauf aber regelmäßig als ein Paket behandelt.

Ort der Daten. Wo liegen die Daten physisch? Am einfachsten zuzusagen, am einfachsten zu prüfen, am wenigsten aussagekräftig.

Betriebliche Kontrolle. Wer kann im laufenden Betrieb auf das System zugreifen, mit welchen Rechten, von wo aus? Deutlich stärker, prüfbar über Zugriffsprotokolle und Personalprozesse. Genau hier setzen die neuen Angebote an.

Rechtliche Belangbarkeit. Welcher Rechtsordnung untersteht der Betreiber und welchen Anordnungen kann er ausgesetzt sein? Nicht durch Technik lösbar und nicht durch Zusagen beweisbar.

Technische Ersetzbarkeit. Wie lange dauert es, was kostet es und was geht verloren, wenn du diesen Anbieter verlassen musst? Vollständig in deiner Hand und unabhängig davon, wo die Server stehen.

Die neuen Angebote bedienen die ersten beiden Punkte sehr direkt und stark. Den dritten bedienen sie nicht und sie behaupten es auch nicht. Den vierten bedienen sie überhaupt nicht. In einer Hinsicht machen sie ihn sogar schwerer: Eine Umgebung mit eigener Nutzerverwaltung, eigener Abrechnung und eigenen Netzdiensten ist von der Bauart her stärker in sich geschlossen als eine Standardregion.

Der Punkt, der in der Debatte untergeht

Wenn du dich für ein Souveränitätsangebot entscheidest, um von einem Anbieter unabhängiger zu werden, lohnt ein Blick auf die Richtung der Bewegung.

Du wechselst nicht von einem Anbieter zu einem anderen. Du wechselst innerhalb desselben Anbieters in eine Umgebung, die stärker abgegrenzt ist als die, in der du warst. Der Ort deiner Daten verbessert sich. Deine betriebliche Kontrolle verbessert sich. Deine Fähigkeit, wieder zu gehen, verändert sich in eine Richtung, die in keiner Ankündigung steht, weil sie niemand zusagt und niemand bestreitet.

Genau diese Größe misst unser Report zur Wechsel- und Ausstiegsfähigkeit in der EU-Cloud. Er stellt Recht, Transferkosten, technische Übertragbarkeit und Wiederherstellbarkeit in ein gemeinsames Modell, für fünf große Anbieter, mit offenen Rohdaten. Der Report bewertet bewusst nicht, was ein Anbieter über Souveränität sagt. Er bewertet, was in dessen Anleitung zum Ausstieg steht. Das sind zwei verschiedene Dinge und nur das zweite hilft dir am Tag des Wechsels.

Der Data Act hat seit dem 12. September 2025 einen Teil dieser Frage aus dem Verhandlungsraum in den Rechtsraum verschoben. Das ändert die Ausgangslage für Wechselgespräche spürbar. Es ändert nichts daran, dass ein Umzug, der technisch nicht vorbereitet ist, auch mit einem Anspruch im Rücken lange dauert.

Was du konkret prüfen kannst

Die nützliche Reaktion auf diese Angebote ist weder Begeisterung noch Ablehnung, sondern eine saubere Trennung der Fragen im eigenen Haus.

1. Kläre, welche der vier Eigenschaften du tatsächlich brauchst. Schreibe sie einzeln auf. In den meisten Anforderungen steckt genau eine, die wirklich zwingend ist. Die anderen drei wurden mitgeschrieben.
2. Verlange für die betriebliche Kontrolle Nachweise, nicht Zusagen. Zugriffsprotokolle, Anforderungen an das Personal, Prozessbeschreibungen. Das ist prüfbar und genau der Bereich, in dem die neuen Angebote stark sind.
3. Lass die Rechtsfrage von einem Anwalt beantworten. Für deinen konkreten Fall, mit deinem konkreten Datenbestand. Nicht von einer Pressemitteilung und nicht von einem Architekturdiagramm.
4. Miss die Ersetzbarkeit unabhängig davon. Wie viele Tage bis zur Wiederherstellung in einer anderen Umgebung, wie viel Datenvolumen, welche Funktionen ohne Entsprechung? Diese Zahlen kennt kein Anbieter. Sie sind deine.

Punkt vier ist der einzige, der vollständig in deiner Hand liegt. Er ist der einzige, der auch dann noch trägt, wenn sich Rechtslage oder Anbieterstrategie ändern. Er ist auch der einzige, der Arbeit macht. Deshalb wird er im Einkauf so oft durch eine Zusage ersetzt.

Der eigentliche Maßstab

Souveränität lässt sich nicht kaufen, weil sie keine Produkteigenschaft ist. Kaufen lassen sich der Ort der Daten und die betriebliche Kontrolle. Davon liefern die neuen Angebote spürbar mehr als das, was es vorher gab. Das ist ein echter Fortschritt und sollte auch so benannt werden.

Was sich nicht kaufen lässt, ist die Fähigkeit, einen Anbieter zu verlassen. Die entsteht nur dadurch, dass du Systeme so baust, dass sie woanders laufen können. Und dass du das gelegentlich ausprobierst, statt es anzunehmen. Dafür braucht es keine europäische Region, sondern übertragbare Datenformate, beschriebene Schnittstellen und einen Wiederherstellungstest, der schon einmal wirklich gelaufen ist.

Wie sich Anwendungen so bauen lassen, dass ein Anbieterwechsel eine Aufgabe bleibt und kein Projekt wird, beschreibt unsere Seite zur individuellen Entwicklung. Die kurze Fassung: Der Ort der Server ist die am einfachsten zu ändernde Eigenschaft eines Systems. Alles andere ist die Arbeit.