91 Prozent der deutschen Unternehmen würden am liebsten mit einem deutschen Cloud-Anbieter arbeiten. 71 Prozent nutzen trotzdem einen amerikanischen. Diese Zahlen stammen aus dem Bitkom Cloud Report 2026, und die Lücke zwischen ihnen ist das eigentliche Thema. Sie beschreibt einen Zustand, in den kaum jemand bewusst hineingegangen ist: Der günstigste Anbieter, das bekannteste Office-Paket, die Standardlösung, die der IT-Dienstleister damals empfohlen hat. Jede einzelne Entscheidung war vernünftig. Das Ergebnis ist eine Abhängigkeit, die vielen erst auffällt, wenn sie unbequem wird.
Unbequem wird sie gerade an mehreren Stellen gleichzeitig: Innerhalb eines Jahres sind drei neue Regelwerke in Kraft getreten, und das Vertrauen in US-Anbieter ist messbar gesunken. Digitale Souveränität ist damit von einem Thema für Ministerien und Konzerne zu einer Frage geworden, die auch ein Betrieb mit 40 Mitarbeitern beantworten sollte – am besten, bevor der nächste Vertrag zur Verlängerung ansteht.
Was digitale Souveränität wirklich meint – und was nicht
Digitale Souveränität bedeutet nicht, alles selbst zu bauen und keine amerikanische Software mehr anzufassen. Diese Vorstellung führt in die Irre, weil sie ein Ziel setzt, das kein Mittelständler erreichen kann und kein Mittelständler braucht. Souveränität ist die Fähigkeit, selbst zu entscheiden: Wer hat Zugriff auf Ihre Daten? Können Sie den Anbieter wechseln, wenn er den Preis verdoppelt oder den Dienst einstellt? Läuft Ihr Geschäft weiter, wenn eine politische Entscheidung jenseits des Atlantiks Ihnen den Zugang abschneidet?
Der Kern ist die Kontrolle über die eigenen Daten, oft auch Datenhoheit genannt: das Recht und die technische Möglichkeit, zu bestimmen, was mit den Informationen Ihres Unternehmens geschieht. Wer diese Kontrolle behält, ist souverän – unabhängig davon, ob im Serverschrank Open-Source-Software oder ein Produkt aus Redmond läuft.
Wichtig ist, Souveränität als Spektrum zu verstehen, nicht als Schalter. Zwischen der vollständigen Abhängigkeit von einem einzigen US-Konzern und dem komplett eigenbetriebenen Rechenzentrum liegen viele Stufen. Die meisten mittelständischen Unternehmen bewegen sich sinnvollerweise irgendwo in der Mitte und verschieben sich dort, wo das Risiko am größten ist, Schritt für Schritt in Richtung Kontrolle.
Warum die Abhängigkeit jetzt zum Risiko wird
Lange war die Konzentration auf wenige Anbieter ein abstraktes Argument. Inzwischen ist sie messbar. Amazon Web Services, Microsoft und Google halten zusammen rund 70 Prozent des europäischen Cloud-Marktes, während der Anteil europäischer Anbieter laut Synergy Research von 29 Prozent im Jahr 2017 auf 15 Prozent gefallen ist – und dort verharrt, obwohl die europäischen Umsätze absolut gewachsen sind. Der Gesamtmarkt wuchs einfach schneller, als die europäische Konkurrenz mithalten konnte.
Diese Konzentration ist kein Problem, solange nichts passiert. Sie wird zum Problem, sobald man sich die rechtliche Konstruktion ansieht. Der US CLOUD Act von 2018 verpflichtet amerikanische Anbieter, Daten auf Anordnung von US-Behörden herauszugeben – und zwar unabhängig davon, wo auf der Welt diese Daten liegen. Der Europäische Datenschutzausschuss hat bereits 2019 festgestellt, dass dieser Zugriff mit der DSGVO kollidiert. Gelöst ist der Konflikt bis heute nicht.
EU-Rechenzentren allein schaffen keine Souveränität. Entscheidend ist, wessen Recht für den Anbieter gilt – nicht, in welchem Land der Server steht.
Dazu kommt die politische Großwetterlage. Das Rechtsgerüst für den Datentransfer in die USA, das EU-US Data Privacy Framework, wurde im September 2025 vom Gericht der EU zwar bestätigt (Rechtssache Latombe, T-553/23), das Urteil ist aber angefochten, und es ist bereits das dritte Abkommen dieser Art, nachdem der Europäische Gerichtshof die beiden Vorgänger gekippt hat. Verlässlichkeit sieht anders aus. Kein Wunder, dass laut Bitkom inzwischen 85 Prozent der Unternehmen Deutschland für zu abhängig von US-Anbietern halten und 64 Prozent angeben, ihre Cloud-Strategie wegen der politischen Lage zu überdenken. Das ist längst ein Eintrag auf der Risikoliste.
Der Regulierungsdruck steigt – vier Gesetze geben den Takt vor
Die DSGVO bildet weiterhin das Fundament. Sie verlangt, dass personenbezogene Daten nur dann in Drittländer fließen, wenn dort ein angemessenes Schutzniveau herrscht – und ihr Artikel 48 stellt klar, dass ausländische Behördenanordnungen in der EU nur über ein Rechtshilfeabkommen gelten. Genau hier reibt sie sich am CLOUD Act.
NIS2 ist der akuteste Punkt. Das deutsche Umsetzungsgesetz ist laut Bundesregierung am 6. Dezember 2025 in Kraft getreten und betrifft rund 29.500 Unternehmen. Wichtig für den Mittelstand: Die Schwellen sind niedriger, als viele denken. Als „wichtige Einrichtung“ gilt bereits, wer in einem der betroffenen Sektoren 50 Mitarbeiter oder 10 Millionen Euro Umsatz erreicht. Fällt Ihr Betrieb darunter, müssen Sie ein Risikomanagement nachweisen, Sicherheitsvorfälle binnen 24 Stunden melden – und die Geschäftsführung haftet persönlich für die Umsetzung. Bei Verstößen drohen Bußgelder von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes.
Der Cyber Resilience Act nimmt die Produktseite in den Blick. Wer Geräte oder Software mit digitalen Elementen in der EU verkauft, muss künftig Sicherheit über den gesamten Lebenszyklus garantieren. Die Meldepflichten für aktiv ausgenutzte Schwachstellen greifen ab dem 11. September 2026, die vollständigen technischen Anforderungen ab Dezember 2027. Für produzierende Mittelständler, deren Maschinen längst vernetzt sind, ist das relevanter, als der Name vermuten lässt.
Der EU Data Act schließlich spielt der Souveränität direkt in die Hände. Er gilt seit dem 12. September 2025 und verpflichtet Cloud-Anbieter, den Wechsel zu einem Konkurrenten zu erleichtern, Daten portabel zu machen und Wechselgebühren schrittweise abzuschaffen (Europäische Kommission). Das Gesetz greift den Lock-in-Effekt an, der 59 Prozent der Unternehmen bislang vom Anbieterwechsel abhält. Ein Werkzeug, das viele noch gar nicht auf dem Schirm haben.
Ergänzend sorgen die seit dem 2. August 2026 geltenden Transparenzpflichten der KI-Verordnung dafür, dass auch der Einsatz künstlicher Intelligenz dokumentiert und gekennzeichnet werden muss. Wie sich DSGVO und AI Act gemeinsam bewältigen lassen, ohne in manueller Zettelwirtschaft zu enden, steht in unserem Beitrag Warum manuelle Datenschutz-Prozesse am AI Act scheitern.
Open Source oder proprietär – die Frage hinter der Frage
Sobald es um Souveränität geht, fällt schnell das Stichwort Open Source. Zu Recht, aber aus einem oft missverstandenen Grund. Der Wert quelloffener Software liegt nicht in erster Linie darin, dass sie kostenlos ist – im Betrieb ist sie das selten. Ihr Wert liegt in der Kontrolle: Der Quellcode ist einsehbar und prüfbar, niemand kann Ihnen die Lizenz entziehen, und offene Standards erleichtern den Umzug zu einem anderen Anbieter. Sie sind nicht auf das Wohlwollen eines einzigen Herstellers angewiesen.
Der Mittelstand hat das erkannt. Laut dem Open Source Monitor 2025 des Bitkom setzen 73 Prozent der Unternehmen in Deutschland Open-Source-Software ein, und ebenfalls 73 Prozent halten sie für geeignet, die digitale Souveränität zu stärken. Der öffentliche Sektor macht es vor: Schleswig-Holstein stellt rund 30.000 Arbeitsplätze der Landesverwaltung von Microsoft auf LibreOffice und offene Alternativen um und hat Ende 2025 bereits knapp 80 Prozent der Rechner umgestellt, bei einer genannten Einsparung von über 15 Millionen Euro Lizenzkosten (Landesregierung Schleswig-Holstein).
Ehrlich bleibt trotzdem: Open Source ist kein Automatismus für Souveränität und schon gar nicht für niedrige Kosten. Eine schlecht betriebene Open-Source-Lösung auf einem US-Server bringt niemanden weiter, und eine Migration bindet Zeit und Nerven. Die Entscheidung ist eine Abwägung im Einzelfall. Welche Werkzeuge sich in der Praxis produktiv einsetzen lassen und wie ein souveräner Stack konkret aussieht, haben wir im Beitrag Datensouveränität ist Chefsache an einem realen Beispiel durchgespielt.
Vier Hebel, an denen Sie ansetzen können
Souveränität scheitert selten am Willen und meist an der Frage, wo man anfängt. Die vier Ebenen sind vom einfachsten zum anspruchsvollsten Schritt geordnet.
Hosting und Standort. Das ist der unspektakulärste und zugleich wirksamste Hebel. Wo liegt Ihre Website, wo Ihre E-Mails, wo Ihre Backups? Ein deutscher Hoster mit Rechenzentrum in der EU und einem echten Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO ist für die meisten Betriebe der erste sinnvolle Schritt, technisch überschaubar und ohne großen Aufwand. Wichtig ist, dass der Vertrag die Unterauftragsverarbeiter benennt und die Backups verschlüsselt an einem bekannten Ort liegen. Wie sich das für ein WordPress-System richtig aufsetzen lässt, zeigt unsere Seite zu DSGVO-konformem Webdesign mit echter Kontrolle.
Software und offene Standards. Auf der nächsten Ebene geht es um die Anwendungen selbst. Nicht jede muss ausgetauscht werden – aber bei jeder Neuanschaffung lohnt die Frage: Kann ich meine Daten jederzeit vollständig exportieren? Gibt es offene Schnittstellen? Ein CRM-System etwa lässt sich als quelloffene Lösung auf eigener Infrastruktur betreiben, mit voller Kontrolle über Daten und Kosten statt einer monatlichen Abhängigkeit pro Nutzer.
Identität und E-Mail. Hier sitzt die härteste Abhängigkeit, weil E-Mail und Kollaboration tief in den Arbeitsalltag verwoben sind – der Wechsel von einem etablierten Office-Paket ist der aufwendigste der vier Schritte. Die öffentliche Verwaltung baut mit openDesk gerade eine quelloffene Alternative auf, die auf Bausteinen wie Nextcloud und Open-Xchange beruht. Für den Mittelstand ist der komplette Umstieg oft ein Mehrjahresprojekt. Realistisch ist, hier zunächst die Weichen zu stellen und bei der nächsten Vertragsverlängerung ernsthaft zu vergleichen, statt reflexhaft zu verlängern.
KI-Souveränität. Die neueste Ebene, und die am schnellsten wachsende. Wer Kundendaten oder internes Wissen in ein US-amerikanisches KI-Modell eingibt, gibt Kontrolle ab – dieselbe Frage wie bei der Cloud, nur mit sensibleren Inhalten. Die Alternative sind Modelle, die in der EU oder auf eigener Hardware laufen. Ein Sprachmodell, das Ihr Firmenwissen auf dem eigenen Server durchsuchbar macht, ohne dass ein Byte das Haus verlässt, ist heute machbar; wir haben ein solches RAG-System für lokales, DSGVO-konformes Firmenwissen beschrieben.
Was Souveränität kostet – und wo ihre Grenzen liegen
Es wäre unredlich, den Aufwand zu verschweigen. Mehr Kontrolle bedeutet in der Regel mehr Arbeit, zumindest am Anfang. Wer selbst betreibt, braucht Menschen, die das können – und die sind knapp. In Deutschland fehlen laut Bitkom rund 109.000 IT-Fachkräfte, eine offene Stelle bleibt im Schnitt sieben Monate unbesetzt. Für einen Betrieb ohne eigene IT-Abteilung heißt das: Souveränität gibt es nicht zum Nulltarif, sondern gegen internes Know-how oder einen verlässlichen Partner.
Auch die Reife der Alternativen ist ein ehrliches Argument. Die Präsidentin des Bundesamts für Sicherheit in der Informationstechnik hat den US-Anbietern öffentlich einen Vorsprung von zehn Jahren attestiert und vor der Illusion gewarnt, man könne kurzfristig alles selbst aufbauen (netzpolitik.org). Aus der Open-Source-Wirtschaft kam prompt Widerspruch: Souveränität sei sehr wohl möglich, die Vorsprungsthese ein Stück weit Marketing. Beide haben einen Punkt. Manche europäischen Angebote sind ausgereift, andere haben spürbare Funktionslücken. Wer wechselt, sollte das nüchtern prüfen, nicht aus Prinzip entscheiden.
Selbst die Hyperscaler haben auf die Debatte reagiert und bieten inzwischen „souveräne“ Cloud-Varianten an – AWS etwa startete Anfang 2026 seine European Sovereign Cloud mit einer Region in Brandenburg. Das kann ein pragmatischer Mittelweg sein. Man sollte nur wissen, dass der Mutterkonzern amerikanisch bleibt und die grundsätzliche Frage nach dem CLOUD Act damit nicht endgültig vom Tisch ist. Und es gibt Projekte, die zeigen, dass Migrationen scheitern können, wenn man Aufwand und Wandel unterschätzt – die Stadt München kehrte 2017 nach Jahren von ihrem Linux-Projekt zu Microsoft zurück. Souveränität ist eben auch ein Change-Thema, kein reines Technikthema.
Die Konsequenz aus all dem heißt priorisieren. Fangen Sie dort an, wo das Verhältnis stimmt: hohes Risiko bei überschaubarem Wechselaufwand. Das ist fast immer das Hosting, oft die E-Mail-Weichenstellung, zunehmend der Umgang mit KI – und selten das große, alles umstürzende Projekt.
Der nächste Schritt ist kleiner, als Sie denken
Digitale Souveränität lässt sich nicht in einem Rutsch herstellen und auch nicht einmalig abhaken.
Souveränität ist kein Zustand, den man erreicht, sondern eine Reihe von Entscheidungen, die man bei jedem Vertrag neu trifft.
Der sinnvolle erste Schritt ist deshalb eine Bestandsaufnahme: Welche Ihrer wichtigsten Systeme liegen bei wem, unter welchem Recht, mit welcher Ausstiegsmöglichkeit? Wer diese Liste einmal ehrlich erstellt, sieht meist sofort, wo die größte Abhängigkeit sitzt – und wo der erste Vertrag zur Verlängerung ansteht. Wer wissen will, wo die eigene Website heute steht, kann mit einem technischen Schnellcheck anfangen; alles Weitere ergibt sich aus der Bestandsaufnahme. Der Aufwand, damit zu beginnen, ist kleiner als der, es weiter aufzuschieben.
