Warum EU-Datensouveränität 2026 zählt

Als der CLOUD Act 2018 verabschiedet wurde, behandelten die meisten europäischen CTOs ihn als juristische Abstraktion - etwas, worum sich das Compliance-Team kümmern sollte, irgendwo zwischen Cookie-Bannern und Drucker-Beschaffung. Acht Jahre später, mit dem Schrems-II-Urteil, NIS2 in nationales Recht umgesetzt in der gesamten EU, DORA in Kraft für den Finanzsektor und den nahenden Egress-Gebühren-Regelungen des Data Act, ist es ein Thema für die Vorstandsebene. Nicht weil Anwälte eine Debatte gewonnen haben, sondern weil das Risiko aufgehört hat, theoretisch zu sein.

Lassen Sie uns Begriffe klären, denn „souveräne Cloud“ wurde vom Marketing zu Brei verarbeitet. Echte Souveränität bedeutet drei getrennte Dinge: Datenresidenz in europäischen Rechtsräumen, operative Kontrolle durch Unternehmen mit Hauptsitz in der EU, und rechtlicher Schutz vor extraterritorialen Vorladungen. Die Marketing-Abteilungen der US-Hyperscaler werden Ihnen erzählen, dass ihre europäischen Regionen den ersten Punkt abhaken. Sie haben recht. Die anderen beiden sind schwieriger - und genau die beiden zählen, wenn etwas schiefgeht.

So sieht das in der Praxis aus: Ein Krankenhaus in München betreibt PACS-Bildgebung auf AWS Frankfurt. Die Daten verlassen Deutschland nie. Verschlüsselung at rest, EU-Support-Personal, das komplette Compliance-Paket. Aber das betreibende Unternehmen ist eine US-Delaware-Gesellschaft und unterliegt US-Recht. Eine US-Gerichtsanordnung kann die Offenlegung erzwingen, unabhängig davon, wo die Bytes physisch liegen. Die Anwälte des Krankenhauses wissen das. Zunehmend weiß es auch der Vorstand des Krankenhauses. Genau diese Lücke schließen NIS2 und der Data Act - langsam, unvollkommen, aber in eine klare Richtung.

Der regulatorische Zeitstrahl erzählt die Geschichte. Schrems II (2020) erklärte den Privacy Shield für ungültig und stellte jeden Datentransfer von der EU in die USA auf rechtlich wackligen Boden. NIS2 (nationale Umsetzungen ab 2024-2025) machte Supply-Chain-Verantwortlichkeit zu einer Vorstandspflicht mit persönlicher Haftung - Sie sind jetzt nicht nur für Ihre eigene Sicherheit verantwortlich, sondern auch für die Ihrer Lieferanten. DORA (Januar 2025) tat dasselbe für den Finanzsektor - mit Biss. Der Data Act (mit Egress-Gebühren-Regelungen ab 2027) greift Lock-in direkt an: Die Exit-Kosten, die „wir migrieren später“ zur Fantasie machten, werden wegreguliert.

Nichts davon bedeutet „hört auf, AWS zu nutzen“. Das ist die Strohmann-Version des Souveränitätsarguments, und sie scheitert am Kontakt mit der Realität - die Hyperscaler sind exzellent in dem, was sie tun, und die meisten europäischen Unternehmen werden Workloads noch Jahre bei ihnen laufen lassen. Die ernsthafte Version geht um Optionalität: genau zu wissen, welche Ihrer Workloads umziehen könnten, wohin sie umziehen könnten und was es kosten würde - bevor ein Regulator, das Beschaffungsteam eines Kunden oder eine geopolitische Überraschung die Frage nach fremdem Zeitplan erzwingt.

Genau hier wird die europäische Provider-Landschaft interessant, denn sie ist inzwischen wirklich gut und weitgehend unbekannt. Hetzner bietet ein Preis-Leistungs-Verhältnis, das US-Cloud-Rechnungen wie einen Scherz aussehen lässt. OVHcloud betreibt einen der größten Footprints in Europa mit eigenen Glasfasern und Rechenzentren. Scaleway liefert einen modernen, entwicklerfreundlichen Stack aus Frankreich. UpCloud liefert zuverlässiges Compute aus Finnland. Keiner von ihnen ist ein Eins-zu-eins-Ersatz für AWS über alle Services hinweg - aber für die Compute-, Storage- und Netzwerk-Ebenen, wo der Großteil der Infrastrukturausgaben tatsächlich liegt, sind sie glaubwürdig, oft günstiger und unterliegen ausschließlich EU-Recht.

Das ehrliche Hindernis ist nicht die Fähigkeit. Es ist der Betrieb. Jeder Provider bedeutet eine weitere Konsole, eine weitere API, einen weiteren Abrechnungsexport, einen weiteren Satz an Sicherheits-Eigenheiten zum Lernen. Ein 30-köpfiges Unternehmen kann kein Platform-Team pro Cloud stellen - also konsolidieren sie auf einen Hyperscaler, und Souveränität wird still und leise zu etwas, das man „nächstes Jahr“ noch mal angeht - jedes Jahr wieder.

Das ist das eigentliche Problem, das Sencai lösen soll. Eine Multi-Cloud-Strategie - einschließlich einer Souveränitätsstrategie - ist nur real, wenn ein kleines Team sie betreiben kann, ohne darin unterzugehen. Eine Control Plane über Hyperscaler und EU-native Provider hinweg, ein Ort, um jede Ressource und jeden Euro zu sehen, ein Audit-Trail, der standhält, wenn NIS2-Nachweise angefordert werden: Das macht aus „wir sollten uns europäische Provider ansehen“ einen Migrationsplan statt einer Folie.

Hier also die praktische Checkliste, die wir jedem EU-CTO für 2026 mitgeben würden. Eins: Kartieren Sie, welche Ihrer Workloads rechtsraum-sensibel sind - personenbezogene Daten, Gesundheit, Finanzen, staatsnahe Bereiche - und welche Commodity-Compute sind, die überall laufen könnte. Zwei: Fragen Sie Ihre Provider, wer jeden Service rechtlich betreibt, nicht wo die Server stehen; die Antworten werden Sie überraschen. Drei: Beziffern Sie einen Exit für Ihre drei wichtigsten Workloads, denn der Data Act macht diese Zahl bald verhandelbar. Vier: Betreiben Sie dieses Jahr einen echten Workload bei einem EU-Provider - nicht als Statement, sondern als Option, die Sie tatsächlich ausgeübt haben, mit Monitoring, Backups und allem, was Sie anderswo auch verlangen würden.

Sencais Position ist einfach: Wir liefern eine Control Plane, die über Hyperscaler und EU-native Provider (Hetzner, OVHcloud, Scaleway, UpCloud) hinweg funktioniert, und Sie entscheiden, wo jeder Workload läuft. Die Control Plane selbst läuft in der EU, betrieben von einem EU-Unternehmen, ohne US-Abhängigkeiten im kritischen Pfad. Genau so sieht Souveränität als Standard aus: kein Abzeichen auf einer Folie, sondern die Freiheit, jeden Workload genau dort zu platzieren, wohin er gehört - und das zu beweisen.