Souveräne Cloud ist eine Aussage über Architektur. Ob sie auch eine über Rechtslage ist, steht in keiner Pressemitteilung.

Was tatsächlich zugesagt wird

Es lohnt sich, die Ankündigungen genau zu lesen statt sie zu bewerten. Die Pressemitteilung von AWS vom 15. Januar 2026 ist dafür ein gutes Beispiel, weil sie ungewöhnlich konkret ist.

Zugesagt wird eine eigene Governance-Struktur in Europa, mit einer neuen Muttergesellschaft und drei in Deutschland gegründeten Tochtergesellschaften in der Rechtsform der GmbH. Zugesagt wird ein Betrieb ausschließlich durch in der EU ansässige Personen. Zugesagt wird, dass es keine kritischen Abhängigkeiten von Infrastruktur außerhalb der EU gibt. Zugesagt wird, dass autorisierte, in der EU ansässige Mitarbeitende in Ausnahmefällen unabhängigen Zugriff auf eine Replik des Quellcodes haben. Und es fällt der Satz, dass keine operative Kontrolle außerhalb der EU-Grenzen besteht.

Die erste Region liegt in Brandenburg, die angekündigte Investition beträgt mehr als 7,8 Milliarden Euro in Deutschland, weitere Regionen sind angekündigt.

Das ist bemerkenswert. Es ist deutlich mehr als eine Datenresidenz-Zusage, wie sie seit Jahren üblich ist. Datenresidenz sagt, wo Bytes liegen. Diese Zusagen sagen, wer das System betreibt, wer darauf zugreifen kann und wo die Gesellschaft sitzt, die dafür haftet. Wer digitale Souveränität als Architekturfrage versteht, bekommt hier eine ernstzunehmende Antwort.

Was in der Ankündigung nicht steht

Der US CLOUD Act kommt in der Pressemitteilung nicht vor. Weder bestätigend noch verneinend, er kommt schlicht nicht vor.

Das ist wichtig richtig einzuordnen. Es ist kein Beleg dafür, dass das Gesetz auf diese Struktur anwendbar wäre. Es ist genauso wenig ein Beleg dafür, dass es das nicht wäre. Es ist der Befund, dass die Frage in der Kommunikation nicht beantwortet wird, und dass sich daraus für eine Beschaffungsentscheidung nichts ableiten lässt, was man in ein Dokument schreiben könnte.

Diese Zurückhaltung ist übrigens nachvollziehbar. Ob eine in Deutschland gegründete Tochtergesellschaft mit einer US-Konzernmutter Anordnungen nach US-Recht unterliegt, ist eine Rechtsfrage mit vielen beweglichen Teilen: Konzernstruktur, tatsächliche Verfügungsgewalt, Art der Anordnung, kollidierende Rechtsordnungen. Kein Anbieter kann diese Frage in einer Pressemitteilung abschließend beantworten, weil sie nicht der Anbieter beantwortet, sondern Gerichte. Ein Anbieter, der hier eine harte Zusage gäbe, wäre unseriöser, nicht seriöser.

Der Fehler liegt also nicht bei den Anbietern. Er liegt dort, wo eine Architekturzusage in einer Beschaffung als Antwort auf eine Rechtsfrage verbucht wird, weil beide Fragen im selben Wort stecken.

Warum das Wort “souverän” so viel Arbeit leistet

Souveränität ist in der Cloud-Diskussion zu einem Sammelbegriff geworden, unter dem mindestens vier verschiedene Eigenschaften liegen. Sie sind unabhängig voneinander, werden aber im Einkauf regelmäßig als ein Paket behandelt.

Datenresidenz. Wo liegen die Daten physisch? Am einfachsten zuzusagen, am einfachsten zu prüfen, am wenigsten aussagekräftig.

Betriebliche Kontrolle. Wer kann im laufenden Betrieb auf das System zugreifen, mit welchen Rechten, von wo aus? Deutlich stärker, prüfbar über Zugriffsprotokolle und Personalprozesse, und genau hier setzen die neuen Angebote an.

Rechtliche Belangbarkeit. Welcher Rechtsordnung untersteht der Betreiber und welchen Anordnungen kann er ausgesetzt sein? Nicht durch Architektur lösbar und nicht durch Zusagen beweisbar.

Technische Ersetzbarkeit. Wie lange dauert es, wie viel kostet es und was geht verloren, wenn du diesen Anbieter verlassen musst? Vollständig in deiner Hand und unabhängig davon, wo die Server stehen.

Die neuen Angebote adressieren die ersten beiden Punkte sehr direkt und stark. Den dritten adressieren sie nicht, und sie behaupten es auch nicht. Den vierten adressieren sie überhaupt nicht, und in einer Hinsicht verschlechtern sie ihn sogar: Eine Umgebung mit eigener Identitätsverwaltung, eigener Abrechnung, eigenem DNS und eigener Zertifizierungsstelle ist per Konstruktion stärker in sich geschlossen als eine Standardregion.

Der Punkt, der in der Debatte untergeht

Wenn du dich für ein Souveränitätsangebot entscheidest, um von einem Anbieter unabhängiger zu werden, lohnt ein Blick auf die Richtung der Bewegung.

Du wechselst nicht von einem Anbieter zu einem anderen. Du wechselst innerhalb desselben Anbieters in eine Umgebung, die stärker abgegrenzt ist als die, in der du warst. Deine Datenresidenz verbessert sich, deine betriebliche Kontrolle verbessert sich, und deine Austrittsfähigkeit verändert sich in eine Richtung, die in keiner Ankündigung steht, weil sie niemand zusagt und niemand bestreitet.

Genau diese Größe misst unser Report zur Wechsel- und Exit-Fähigkeit in der EU-Cloud. Er stellt Recht, Transferkosten, technische Portabilität und Wiederherstellbarkeit in ein gemeinsames Modell, für fünf Anbieter, mit offenen Rohdaten. Die zentrale Beobachtung daraus lässt sich in einem Satz sagen: Die dokumentierte Exit-Fähigkeit korreliert kaum mit dem, was ein Anbieter über Souveränität kommuniziert.

Der Data Act hat seit dem 12. September 2025 einen Teil dieser Frage aus dem Verhandlungsraum in den Rechtsraum verschoben. Das ändert die Ausgangslage für Wechselgespräche spürbar. Es ändert nichts daran, dass eine Migration, die technisch nicht vorbereitet ist, auch mit einem Anspruch im Rücken lange dauert.

Was daraus praktisch folgt

Die nützliche Reaktion auf diese Angebote ist weder Begeisterung noch Ablehnung, sondern eine saubere Trennung der Fragen im eigenen Haus.

1. Kläre, welche der vier Eigenschaften du tatsächlich brauchst, und schreibe sie einzeln auf. In den meisten Anforderungen steckt genau eine davon, die wirklich zwingend ist, und drei, die mitgeschrieben wurden.
2. Verlange für die betriebliche Kontrolle Nachweise, nicht Zusagen. Zugriffsprotokolle, Personalanforderungen, Prozessbeschreibungen. Das ist prüfbar und genau der Bereich, in dem die neuen Angebote stark sind.
3. Lass die Rechtsfrage von Juristen beantworten, für deinen konkreten Fall, mit deinem konkreten Datenbestand. Nicht von einer Pressemitteilung und nicht von einem Architekturdiagramm.
4. Miss die Ersetzbarkeit unabhängig davon. Wie viele Tage bis zur Wiederherstellung in einer anderen Umgebung, wie viel Datenvolumen, welche Funktionen ohne Entsprechung? Diese Zahlen kennt kein Anbieter, sie sind deine.

Punkt vier ist der einzige, der vollständig in deiner Hand liegt, und er ist der einzige, der auch dann noch trägt, wenn sich Rechtslage oder Anbieterstrategie ändern. Er ist auch der einzige, der Arbeit macht, weshalb er in Beschaffungen so oft durch eine Zusage ersetzt wird.

Der eigentliche Maßstab

Souveränität lässt sich nicht kaufen, weil sie keine Produkteigenschaft ist. Was sich kaufen lässt, sind Datenresidenz und betriebliche Kontrolle, und die neuen Angebote liefern davon spürbar mehr als das, was es vorher gab. Das ist ein echter Fortschritt und sollte auch so benannt werden.

Was sich nicht kaufen lässt, ist die Fähigkeit, einen Anbieter zu verlassen. Die entsteht nur dadurch, dass man Systeme so baut, dass sie woanders laufen können, und dass man das gelegentlich ausprobiert statt es anzunehmen. Dafür braucht es keine europäische Region, sondern portable Formate, dokumentierte Schnittstellen und einen Wiederherstellungstest, der schon einmal wirklich gelaufen ist.

Wie sich Anwendungen so bauen lassen, dass ein Providerwechsel eine Aufgabe bleibt und kein Projekt wird, beschreibt unsere Seite zur individuellen Entwicklung. Die kurze Fassung: Der Ort der Server ist die am einfachsten zu ändernde Eigenschaft eines Systems. Alles andere ist die Arbeit.