Digitale Souveränität in Europa

Wenn Europa über digitale Souveränität spricht, klingt es manchmal nach Misstrauensvotum gegen Silicon Valley. Kein AWS, kein Azure, kein OpenAI – stattdessen: europäische Clouds, europäische Modelle, europäische Rechenzentren. Der Impuls ist verständlich, besonders ein Jahr nach Trumps Rückkehr ins Weiße Haus. Aber er führt in die falsche Richtung. Denn digitale Souveränität bedeutet nicht Abschottung – sie bedeutet Handlungsfähigkeit. Und das ist ein feiner, aber entscheidender Unterschied.

Was bedeutet digitale Souveränität überhaupt?

Der Begriff klingt griffig, ist aber erstaunlich unscharf. In der politischen Debatte meint digitale Souveränität oft alles und nichts zugleich: mal die Kontrolle über Daten, mal technologische Unabhängigkeit, mal schlicht die Forderung, mehr europäische Software zu nutzen. Politiker verschiedener Couleur nutzen ihn, weil er sich kaum widerlegen lässt – wer ist schon gegen Souveränität?

Eine präzisere Definition lautet: Digitale Souveränität ist die Fähigkeit von Staaten, Unternehmen und Individuen, selbstbestimmt über Technologien, Daten und digitale Partnerschaften zu entscheiden – und diese Entscheidungen im Bedarfsfall auch durchzusetzen. So formulierte es zuletzt auch der SZ Digitalgipfel 2026: Souveränität zeigt sich nicht im Alltag, sondern im Ernstfall. Sie zeigt sich im Moment des Wechsels.

Wichtig ist dabei die Abgrenzung zu verwandten Konzepten. Datenschutz – also etwa die DSGVO – regelt, wer welche personenbezogenen Daten verarbeiten darf. Digitale Souveränität geht weiter: Sie fragt, ob eine Organisation oder ein Staat überhaupt die Kontrolle über kritische digitale Infrastruktur behält, wenn es drauf ankommt. Es geht weniger um Compliance als um strategische Handlungsfähigkeit.

Das Bundesministerium für Digitales und Staatsmodernisierung bringt es auf den Punkt: "Es geht nicht um Abschottung, sondern um eigene Stärke." Wer digital souverän ist, muss nicht auf amerikanische oder chinesische Hyperscaler verzichten – er muss nur die Wahl haben, es zu tun. Und genau diese Wahl fehlt derzeit in vielen Bereichen. Ein System, das nicht gewechselt werden kann, weil die Migrationskosten prohibitiv hoch oder die Kompetenzen nicht vorhanden sind, ist kein souveränes System – egal wo die Server stehen.

Abhängig von wem? Die reale Bedrohungslage

Die Abhängigkeit Europas von nicht-europäischen Tech-Anbietern ist keine politische Erzählung, sondern messbare Realität. Mehr als 80 Prozent des europäischen Cloud-Markts werden von drei amerikanischen Unternehmen kontrolliert: Amazon Web Services, Microsoft Azure und Google Cloud. Hinzu kommen KI-Modelle, Betriebssysteme und Entwicklertools – allesamt überwiegend aus den USA. Die KI-Frontier-Modelle – GPT-5, Claude 4, Gemini 2 – kommen ausnahmslos aus amerikanischen Labors. Das Gewicht der europäischen KI-Wertschöpfung liegt trotz hoher Nutzungsrate weit hinter der amerikanischen.

Das wäre an sich noch kein Problem, wenn nicht der US CLOUD Act existieren würde. Dieses Gesetz aus dem Jahr 2018 verpflichtet amerikanische Unternehmen, Daten ihrer Kunden auf Anfrage an US-Ermittlungsbehörden herauszugeben – unabhängig davon, wo die Daten physisch gespeichert sind. Ein europäisches Rechenzentrum von AWS bleibt damit rechtlich unter amerikanischem Zugriff. Das CLOUD Act ist keine Trump-Laune, sondern ein reguläres Gesetz, das auch unter Biden galt und weiterhin gilt. Datenschützer und die Open Source Business Alliance hatten bereits 2018 gewarnt, dass dieser Konflikt mit der DSGVO grundsätzlicher Natur ist – ein Dilemma, das europäische Unternehmen bis heute nicht aufgelöst haben.

Die Konsequenz: Europäische Unternehmen, die personenbezogene Daten auf US-Plattformen speichern, bewegen sich potenziell in einem permanenten Graubereich zwischen DSGVO-Compliance und CLOUD-Act-Verpflichtung. Im Alltag schmerzt das selten – aber die Möglichkeit des Zugriffs bleibt bestehen. Hinzu kommt die geopolitische Dimension: Die Detecon-Analyse nach dem Weltwirtschaftsforum Davos 2026 zeigt, dass die Souveränitätsdiskussion längst den gesamten digitalen Stack erfasst – von Rechenkapazitäten über Modelltraining bis hin zu Governance und Zugriffsrechten. WEF und Bain schätzen, dass die weltweiten KI-Infrastrukturinvestitionen bis 2030 jährlich über 400 Milliarden US-Dollar erreichen werden. Wer dabei nicht mitspielt, verliert nicht nur Marktanteile, sondern strategischen Einfluss auf die Gestaltung von KI-Standards und -Governance weltweit.

Warum Abschottung scheitert

Die Reaktion auf diese Bedrohungslage ist oft reflexartig: Raus aus amerikanischen Clouds, rein in europäische Lösungen, kein Daten-Export mehr. Das ist nicht so konsequent, wie es aussieht, und zwar aus mehreren Gründen gleichzeitig.

Erstens ist vollständige technologische Autarkie schlicht unrealistisch. In keinem Segment – Cloud, Chips, KI-Modelle, Betriebssysteme – gibt es europäische Anbieter, die amerikanische oder asiatische Lösungen vollständig ersetzen könnten. Das Bundeskanzleramt Österreich räumt das offen ein: "In den verschiedenen Bereichen der Digitalisierung gibt es vielfach kaum europäische Anbieter." Wer trotzdem auf vollständige Abschottung besteht, riskiert massive Produktivitätsverluste und technologischen Rückstand. Peter de Lorenzi von adesso SE bringt es pragmatisch auf den Punkt: "Manche Diskussionen wirken so, als müssten wir morgen alle Workloads von Hyperscalern auf europäische Clouds umziehen. Wenn ein 'Killswitch'-Szenario tatsächlich eintreten würde, hätten wir ganz andere Probleme – etwa ob grundlegende Infrastruktur wie Strom oder Wasser noch funktioniert."

Zweitens produziert Abschottung neue Abhängigkeiten. Wenn Unternehmen gezwungen werden, auf suboptimale europäische Lösungen umzusteigen, binden sie sich an neue – oft weniger wettbewerbsfähige – Monopole. Souveränität entsteht nicht durch den Tausch eines Anbieters gegen einen anderen, sondern durch echte Wahlfreiheit. Nationale Champions mit Pflichtnutzung sind das Gegenteil von Souveränität.

Drittens ist da das Open-Source-Paradox. Die EU spricht laut von freier Software und Technologieoffenheit – stellt aber laut der FSFE (Free Software Foundation Europe) seit 2025 die Finanzierung unabhängiger Open-Source-Projekte faktisch ein. Wer Open Source wirklich als Souveränitätsstrategie verfolgen will, muss dort investieren – nicht nur Lippen bekennen. Die Kritik der Netzpolitik ist berechtigt: Digitale Souveränität ohne substanzielle Open-Source-Förderung ist ein Konzept ohne Fundament. Linux, Nextcloud, OpenDocument – all das läuft auf freiwilligen Beiträgen und mäßig finanzierten Stiftungen. Das ist kein tragfähiges Fundament für kritische Infrastruktur.

Viertens: Der Fokus auf Datenspeicherort trügt. Der CLOUD Act macht deutlich, dass es nicht reicht, ein Rechenzentrum nach Deutschland zu verlegen, wenn der Betreiber eine US-Firma ist. Souveränität hängt an der Rechtsperson, nicht am Serverstandort. Ein "Made in Germany"-Label an einem Azure-Rechenzentrum ändert an den amerikanischen Zugriffsmöglichkeiten nichts.

Was Europa stattdessen braucht

Der richtige Rahmen ist nicht Autarkie, sondern strategische Resilienz – die Fähigkeit, kritische Systeme im Ernstfall umzuschalten oder weiterzubetreiben, ohne dauerhaft auf geopolitisch sichere Alternativen verzichten zu müssen.

Konkret bedeutet das mehrere Dinge:

Offene Standards und portierbare Architekturen. Unternehmen und Behörden sollten von Anfang an auf Systeme setzen, die Anbieter-Lock-in vermeiden. Offene APIs, standardisierte Schnittstellen, containerisierte Workloads – das schafft die technische Grundlage für echte Wechselfähigkeit. Wie datensicherheit.de treffend formuliert: "Ein System ist nur dann souverän, wenn keine dauerhafte Abhängigkeit besteht."

Gezielte Förderung europäischer Cloud-Alternativen. GAIA-X als politisches Projekt ist hinter seinen Versprechen geblieben, aber Anbieter wie Hetzner, OVHcloud oder IONOS existieren und skalieren. Staatliche Beschaffung kann diese Anbieter stärken – wenn der Staat als Großabnehmer gezielt europäische Lösungen bevorzugt, wie Deloitte Legal nach dem EU-Gipfel 2025 empfohlen hat.

Investitionen in europäische KI-Infrastruktur. Deutschland hat Anfang 2026 seine erste KI-Fabrik eröffnet – ein Zeichen, dass Europa die Compute-Lücke ernst nimmt. Aber es braucht mehr: koordinierte europäische Rechenkapazitäten, Zugang zu Trainingsdaten und die Förderung offener Modelle wie Mistral oder der Aleph Alpha-Nachfolger.

Regulatorische Klarheit statt Flickenteppich. Der EU AI Act, die DSGVO, der Data Act und der CLOUD Act bilden zusammen ein unübersichtliches Regulierungsgeflecht. Für Unternehmen im DACH-Raum ist es oft unklar, welche Pflichten konkret gelten – besonders bei hybriden Cloud-Architekturen. Klare, praxistaugliche Leitlinien würden mehr bewirken als weitere Verbote.

Multi-Cloud und Redundanz als Standard. Organisationen, die kritische Workloads ausschließlich bei einem US-Hyperscaler betreiben, tragen ein unnötiges Abhängigkeitsrisiko. Multi-Cloud-Strategien mit mindestens einem europäischen Anbieter sind kein Luxus, sondern gutes Risikomanagement – vergleichbar mit dem Prinzip der Lieferkettendiversifikation nach der Pandemie.

Fazit

Digitale Souveränität ist kein technisches Problem, das sich durch den richtigen Rechenzentrumsstandort löst. Es ist ein strategisches Problem, das politischen Willen, Investitionen und ein nüchternes Verständnis von Abhängigkeiten erfordert. Europa hat in vielen digitalen Bereichen tatsächlich zu wenig eigene Stärke aufgebaut – aber die Antwort darauf ist nicht, die Tür zuzuschlagen. Die Antwort ist, gezielt Handlungsfähigkeit zurückzugewinnen: durch offene Standards, echte Alternativen und langfristige Investitionen in europäische Technologie. Wer heute souverän handeln will, fängt damit an, morgen wechseln zu können.