Was ist eine souveräne Cloud?
Eine Cloud, bei der Daten, Betrieb und Kontrolle vollständig europäischem Recht unterliegen — ohne Zugriffsmöglichkeit durch Drittstaaten. Sie umfasst Datenresidenz, operative Souveränität und Schlüsselhoheit.
Gilt der US CLOUD Act auch für EU-Rechenzentren?
Ja. Betreibt ein US-Konzern das Rechenzentrum, kann er nach dem CLOUD Act zur Datenherausgabe verpflichtet werden — unabhängig davon, ob die Server in Frankfurt oder Virginia stehen.
Reicht EU-Datenresidenz für Souveränität aus?
Nein. Datenresidenz regelt nur den Speicherort. Souveränität verlangt zusätzlich Schutz vor ausländischem Zugriff, Betrieb durch EU-Personal und Schlüsselhoheit.
Worin unterscheiden sich BSI C5, EUCS und SecNumCloud?
BSI C5 (Deutschland) ist ein Prüfkatalog für Cloud-Sicherheit, SecNumCloud (Frankreich) fordert zusätzlich Immunität gegen nicht-europäische Gesetze, und EUCS ist das geplante EU-weite Zertifizierungsschema.
Was bedeutet BYOK bzw. HYOK?
BYOK (Bring Your Own Key) heißt, du bringst deinen Verschlüsselungsschlüssel selbst ein. HYOK (Hold Your Own Key) geht weiter: der Schlüssel verlässt nie deine Kontrolle, der Anbieter sieht die Daten nie im Klartext.
Ist eine souveräne Cloud teurer?
Nicht zwingend. Europäische Anbieter wie OVHcloud oder Hetzner sind oft günstiger als Hyperscaler, vor allem bei Egress-Gebühren. Für souveräne Zusatzfunktionen kann jedoch ein Aufpreis anfallen.
Welche souveränen EU-Anbieter gibt es?
Unter anderem STACKIT, OVHcloud, IONOS, Scaleway, T Cloud Public (Telekom), SysEleven, Hetzner und Infomaniak — mit unterschiedlichen Souveränitäts-, Portfolio- und Zertifizierungsprofilen.
Bedeutet „nicht souverän“ auch „unsicher“?
Nein. Souveränität und Sicherheit sind zwei verschiedene Dimensionen. Sicherheit entsteht durch Verschlüsselung, Zugriffskontrolle, Zertifizierungen und sauberen Betrieb – das leisten auch Hyperscaler in EU-Regionen auf hohem Niveau. Souveränität beschreibt zusätzlich die rechtlich-operative Unabhängigkeit von Drittstaaten. Ein Anbieter kann also sehr sicher und trotzdem nicht vollständig souverän sein.
Muss wirklich jeder Workload souverän sein?
Nein. Wie viel Souveränität ein Workload braucht, hängt von Datenklassifizierung, Regulierung und Risiko ab. Für öffentliche oder unkritische Daten zählen oft Portfolio-Breite, globale Reichweite, Innovationstempo oder Kosten mehr. Für regulierte, personenbezogene oder besonders schützenswerte Daten rückt Souveränität in den Vordergrund. Sinnvoll ist eine Einstufung je Workload statt einer pauschalen Entscheidung.
Sind Hyperscaler unsicher und EU-Anbieter automatisch besser?
Nein – beide haben ihre Berechtigung. Hyperscaler punkten mit Service-Breite, globaler Skalierung und ausgereifter Sicherheit, unterliegen als US-Konzerne aber fremder Jurisdiktion. Europäische Anbieter punkten mit Souveränität, EU-Jurisdiktion und oft transparenteren Preisen, bei fokussierterem Portfolio. Es geht nicht um gut oder böse, sondern darum, den Anbieter passend zum jeweiligen Workload zu wählen.
