Ein Rechenzentrum in Frankfurt, ein europäisches Cloud-Label auf der Rechnung, und trotzdem entscheidet am Ende ein US-Unternehmen darüber, wer Zugriff auf die eigenen Daten bekommt: Genau dieses Szenario beschäftigt derzeit europäische Unternehmen, Militärs und Verwaltungen gleichermaßen.
Der Grund dafür liegt in einer Unterscheidung, die viele Unternehmen bislang nicht auf dem Schirm hatten: Datenresidenz ist nicht dasselbe wie Datensouveränität. Wie akut das Thema gerade ist, zeigt auch der Fall Trump v. Slaughter, den wir in unserem Beitrag „FTC verliert Unabhängigkeit: EU-US-Datentransfer ohne Rechtsgrundlage?“ eingeordnet haben.
Der Server in Frankfurt reicht nicht
Der US CLOUD Act von 2018 und Section 702 des Foreign Intelligence Surveillance Act (FISA) verpflichten US-Unternehmen, Daten auf Anfrage amerikanischer Behörden herauszugeben – unabhängig davon, in welchem Land sie gespeichert sind. Entscheidend ist also nicht der Standort des Rechenzentrums, sondern wem der Cloud-Anbieter gehört. Ob der Server in Frankfurt, Dublin oder München steht, spielt dabei keine Rolle. Ebenso wenig schützt ein „European Sovereign Cloud“-Label vor einem möglichen Zugriff. Zudem dürfen Anbieter ihre Kunden über entsprechende Anfragen gesetzlich nicht informieren. Hier liegt der entscheidende Unterschied:
- Datenresidenz beschreibt, wo Daten gespeichert werden.
- Datensouveränität beschreibt, wer letztlich über den Zugriff entscheidet.
Ein Rechenzentrum in Deutschland schafft deshalb Datenresidenz und nicht zwingend Datensouveränität.
Selbst Anbieter wie Micrsoft räumen das inzwischen offen ein. Bereits im Sommer 2025 sagte Anton Carniaux, Director of Public and Legal Affairs bei Microsoft France, unter Eid vor dem französischen Senat aus. Auf die Frage, ob er garantieren könne, dass Daten französischer Bürger niemals ohne französische Zustimmung an US-Behörden weitergegeben würden, antwortete er: „Nein, das kann ich nicht garantieren.“ (englisch-sprachige Quelle: theregister.com)
Europa zieht Konsequenzen
Dass ein US-Anbieter zunehmend zum Sicherheitsrisiko werden kann, zeigt ein Fall aus den Niederlanden. Das Recherchemedium Vrij Nederland berichtete im Mai 2026, Microsoft habe E-Mails, Sitzungsprotokolle und Kalendereinladungen von Beamten zweier niederländischer Aufsichtsbehörden, der Wettbewerbsbehörde ACM und der Datenschutzbehörde AP, an einen Ausschuss des US-Repräsentantenhauses übermittelt. Die Namen der Beamten waren dabei nicht geschwärzt. Die Betroffenen arbeiteten an der Umsetzung des Digital Services Act. Zwei niederländische Staatssekretäre äußerten sich öffentlich besorgt. (Quelle: winfuture.de)
Vor diesem Hintergrund überdenken zahlreiche europäische Unternehmen und Behörden derzeit ihre Cloud-Strategie.
Zu den bekanntesten Beispielen gehören:
- Airbus verlagert 70 seiner kritischsten Anwendungen, darunter ERP-, CRM- und Fertigungssysteme, von AWS zum französischen Anbieter Scaleway. Langfristig sollen bis zu 900 Anwendungen folgen. Digitalchefin Catherine Jestin begründet das mit dem Bedürfnis nach Kontrolle über die eigenen Daten und Systeme. Ein kompletter Rückzug von AWS ist es allerdings nicht: Weniger kritische Systeme bleiben bei US-Anbietern. (Quelle: golem.de)
- Das Schweizer Kommando Cyber steigt bis Oktober 2026 vollständig von Microsoft 365 auf die Open-Source-Plattform OpenDesk um und investiert zusätzlich rund 10 Millionen Schweizer Franken in europäische Open-Source-Projekte. (Quelle: golem.de)
- Frankreichs Digitalbehörde DINUM wechselt ihre Arbeitsplätze von Windows auf Linux. Alle anderen Ministerien müssen bis Herbst 2026 eigene Pläne vorlegen, wie sie ihre Abhängigkeit von außereuropäischer Technologie verringern. (englisch-sprachige Quelle: theregister.com)
- Dänemarks Digitalministerium stellt seine Mitarbeitenden komplett von Microsoft auf Linux und LibreOffice um, auch als Reaktion auf die wiederholten Gebietsansprüche der USA gegenüber Grönland. (englisch-sprachige Quelle: Interoperable Europe)
- Mecklenburg-Vorpommern baut aktuell eine eigene Open-Source-Plattform für über 50.000 Beschäftigte im öffentlichen Dienst auf. (Quelle: cio.de)
- Schleswig-Holstein hat seine Umstellung auf LibreOffice bereits zu 80 Prozent abgeschlossen und spart dadurch 2026 mehr als 15 Millionen Euro an Lizenzkosten. (Quelle: heise online)
Handlungsempfehlung für den Mittelstand
Müssen Unternehmen deshalb sofort sämtliche US-Software ersetzen? Nein. Die Beispiele zeigen vielmehr, dass eine differenzierte Strategie sinnvoller ist als ein radikaler Schnitt.
Der erste Schritt ist deshalb eine ehrliche Bestandsaufnahme:
- Welche Daten liegen heute bei US-Anbietern? Dazu zählen nicht nur offensichtliche Fälle wie Microsoft 365, Google Workspace oder AWS, sondern auch externe Anwendungen, die im Hintergrund über US-Anbieter laufen, etwa CRM-Systeme oder Backup-Lösungen.
- Welche davon wären im Ernstfall besonders kritisch? Personalakten, Kundendaten, Konstruktionspläne oder Geschäftsgeheimnisse verdienen eine andere Einstufung als etwa interne Terminplanung.
- Welche technischen oder vertraglichen Alternativen gibt es für diese Daten? Europäische Cloud oder doch On-Premises-Lösungen für besonders sensible Bereiche?
Nicht jede Anwendung muss sofort umziehen. Gerade mittelständische Unternehmen sollten jedoch frühzeitig bewerten, welche Daten wirklich unter eigener Kontrolle bleiben müssen – bevor regulatorische oder politische Entwicklungen sie dazu zwingen.
Dasselbe gilt übrigens auch für viele KI-Angebote. Zahlreiche Anbieter werben damit, ihre Dienste vollständig in der EU zu betreiben – häufig auf Azure oder AWS. Die Daten verlassen Europa zwar nicht. Die Kontrolle über den Cloud-Anbieter bleibt jedoch beim US-Konzern.
Der Serverstandort beantwortet deshalb nur eine Frage: Wo liegen meine Daten? Für die langfristige Handlungsfähigkeit ist eine andere entscheidend: Wer kontrolliert den Zugriff darauf?