Hammer

← Journal

Digitale Souveränität oder regulatorische Illusion?

13.10.2026 · Florian Hammer · 5 Minuten Lesezeit

Drei Wochen im Juni

Am 12. Juni 2026 hat Anthropic den Zugang zu seinem KI-Modell Claude Fable 5 ausgesetzt, um Exportkontrollen der US-Regierung einzuhalten. Erst am 1. Juli war es wieder verfügbar. Der Fall zeigt, was für jede digitale Infrastruktur unter US-Recht gilt: Entscheidungen in Washington können direkt bei europäischen Nutzern ankommen.

Für meine Seminararbeit an der DBU Berlin habe ich mir diese Frage für die Cloud gestellt. Konkret: Wie gut schützt die neue AWS European Sovereign Cloud europäische Daten, verglichen mit einer klassischen US-Cloud?

Worum es geht

Fast jedes Unternehmen nutzt heute Cloud-Dienste von Amazon, Microsoft oder Google. Das Problem: Der US CLOUD Act von 2018 erlaubt US-Behörden den Zugriff auf Daten, die US-Unternehmen kontrollieren, egal, wo die Server stehen. Die Datenschutz-Grundverordnung (DSGVO) lässt solche Weitergaben an Behörden außerhalb der EU nach Art. 48 aber nur auf Basis eines Rechtshilfeabkommens zu, und das fehlt zwischen EU und USA. Aus ähnlichen Gründen hat der Europäische Gerichtshof schon zwei Datenabkommen mit den USA gekippt, 2015 und 2020 (Schrems I und Schrems II).

Amazon hat darauf im Januar 2026 mit der European Sovereign Cloud (ESC) reagiert, einer eigenen Cloud nur für Europa, betrieben von deutschen Gesellschaften.

Was ich geprüft habe

Als Vergleich dient eine typische US-Cloud: ein US-Unternehmen mit Rechenzentren in der EU, aber ohne eigenständige europäische Gesellschaft, mit weltweit verteiltem Personal und global vernetzter Infrastruktur. Beide habe ich anhand von vier Kriterien verglichen, die sich aus der DSGVO und der Rechtsprechung des EuGH ableiten:

  • Datenresidenz: Bleiben die Daten, auch Metadaten, in Europa?
  • Operative Kontrolle: Wer hat faktisch Zugang zu den Systemen?
  • Rechtliche Unterwerfung: Welchem Recht unterliegt der Anbieter?
  • Technische Isolierung: Ist die Cloud vom Rest der Welt getrennt?

Das Ergebnis

Die ESC ist weder reine Illusion noch echte Souveränität. Sie ist der bisher weitreichendste Versuch eines US-Anbieters, europäischen Datenschutz ernst zu nehmen.

Bei der Datenresidenz überzeugt die ESC. Inhalte, Metadaten, Rollen und Berechtigungen bleiben in der EU, inklusive eines eigenen Rechte- und Abrechnungssystems. Bei einer typischen US-Cloud können gerade Metadaten weltweit verteilt sein.

Auch die technische Isolierung ist gelungen. Die ESC ist physisch und logisch vom globalen AWS-Netz getrennt, und Daten fließen nicht über US-Netze. Die Cybersicherheitsbehörden Frankreichs und Deutschlands, ANSSI und BSI, sehen darin einen wirksamen Schutz.

Bei der operativen Kontrolle ist die ESC auf gutem Weg. Das BSI fordert ausschließlich EU-Personal und technische Sperren gegen Datenabfluss und eine Abschaltung von außen. Das wird gerade umgesetzt, ist aber noch nicht abgeschlossen.

Offen bleibt die wichtigste Frage, die rechtliche Unterwerfung. AWS hat für die ESC eigene Gesellschaften nach deutschem Recht gegründet. Deren alleinige Mutter ist aber weiterhin der US-Konzern Amazon Web Services, und genau an diese Kontrolle knüpft der CLOUD Act an, nicht am Serverstandort. Das bestätigt auch ein Rechtsgutachten der Universität zu Köln für das deutsche Innenministerium.

Was das in der Praxis heißt

Für Organisationen mit normalem bis erhöhtem Schutzbedarf ist die ESC heute die beste verfügbare Lösung eines großen Cloud-Anbieters, vor allem in Kombination mit eigenen Schlüsseln (Bring Your Own Key) und einer sorgfältigen Risikoprüfung, dem Transfer Impact Assessment. Beides beschreibt der Europäische Datenschutzausschuss in seinen Empfehlungen. Wer besonders sensible Daten nach Art. 9 DSGVO verarbeitet, etwa Gesundheitsdaten, sollte die laufende Prüfung durch das BSI abwarten.

Und: Rechtlicher Schutz ist nicht dasselbe wie Schutz vor Angreifern. Die ESC macht behördliche Zugriffe deutlich schwerer. Offen bleiben aber Angriffe über die Lieferkette, etwa manipulierte Software-Updates, und Risiken durch Insider, solange das Team noch gemischt ist.

Zwei Punkte sollte man außerdem mitdenken. Ein EU-weites Gütesiegel für Cloud-Sicherheit, das geplante EUCS, gibt es nach jahrelangem Streit noch immer nicht. Und das BSI, das die ESC begleitet, ist eine deutsche Bundesbehörde, die dem Innenministerium untersteht, keine europäische Institution.

Transparenz

Diese Arbeit ist mit dem KI-Modell Claude Opus 4.7 von Anthropic entstanden. Nicht durch das Modell, sondern mit ihm: Ich habe es für Recherche, Sprache und kritische Gegenfragen genutzt. Thema, Methode und Argumentation sind meine eigene Arbeit. Ich lege das offen, weil ich Transparenz für selbstverständlich halte, so wie man auch Suchmaschinen oder Datenbanken nennt.

FAQ

Ist die AWS European Sovereign Cloud DSGVO-konform?

Weitgehend, aber nicht vollständig. Die Lücke liegt beim US-Mutterkonzern.

Was ist der CLOUD Act?

Ein US-Gesetz von 2018. Es verpflichtet US-Unternehmen, Daten an US-Behörden herauszugeben, auch wenn diese im Ausland gespeichert sind.

Was kann ich als Unternehmen tun?

Daten mit eigenen Schlüsseln verschlüsseln (Bring Your Own Key) und vor dem Umstieg eine Risikoprüfung machen, das sogenannte Transfer Impact Assessment.

Warum nicht gleich ein europäischer Anbieter?

Eine gute Frage für eine Folgearbeit. Ich habe die ESC bewusst mit einer US-Cloud verglichen, nicht mit Anbietern wie Hetzner oder OVHcloud.

Zum Nachlesen

Dieselbe Frage habe ich mir auch fürs Bezahlen gestellt, am Beispiel der europäischen App Wero. Mehr dazu im Beitrag „Wero: Europas Bezahl-App und die Grenzen der Souveränität“.

Florian Hammer, Seminararbeit im akademischen Lehrgang Cyber Resilience an der DBU Berlin, Modul Datenschutz und Datensicherheit, Juni 2026.

Quellen

Fragen dazu? Schreib uns.

Weiterlesen

Alle Beiträge