Eine EU-Cloud ist nicht automatisch souverän – 48 Kriterien machen den Unterschied

Ein Cloud-Dienst wird nicht allein dadurch souverän, dass seine Server in der EU stehen. Entscheidend ist, wer den Dienst rechtlich, technisch und operativ kontrolliert, welche externen Abhängigkeiten bestehen und ob Daten sowie Workloads kontrolliert übertragen werden können.

Das Cloud Sovereignty Framework der Europäischen Kommission macht diese Unterschiede messbar. Es verbindet eine nicht kompensierbare Mindestschwelle, das Sovereignty Effectiveness Assurance Level (SEAL), mit einem gewichteten Vergleichswert. Der Überblick der Kommission nennt dafür 48 spezifische Kriterien in acht Kategorien.

Warum der Serverstandort nur eine Teilantwort liefert

Datenresidenz beantwortet, wo Daten gespeichert oder verarbeitet werden. Sie klärt nicht automatisch, welcher Rechtsordnung Anbieter, Muttergesellschaft und Unterauftragnehmer unterliegen, wer Verschlüsselungsschlüssel kontrolliert oder ob nicht europäische Stellen auf Betrieb und Support einwirken können.

Deshalb erfasst das Framework neben Daten und KI auch strategische Entscheidungsrechte, Jurisdiktion, Betrieb, Lieferkette, Technologie, Sicherheit und Nachhaltigkeit. Eine europäische Region kann die Standortanforderung erfüllen, während kritische Software, Updates, Administratorzugriffe oder Supportleistungen weiterhin von Akteuren außerhalb der EU abhängen.

Die Bezeichnung „EU-Cloud“ ist damit nur der Ausgangspunkt einer Prüfung. Für eine belastbare Bewertung müssen Beschaffung und Architektur den angebotenen Dienst einschließlich seiner technischen Schichten, beteiligten Rechtsträger und wesentlichen Zulieferer betrachten.

SEAL ist die Schwelle, der Score der Vergleichswert

SEAL reicht von 0 bis 4. SEAL-0 steht für fehlende Souveränität unter ausschließlicher Kontrolle und Jurisdiktion von Nicht-EU-Akteuren. Bei SEAL-1 gilt EU-Recht formal, ist aber praktisch nur begrenzt durchsetzbar; SEAL-2 erlaubt noch wesentliche Abhängigkeiten und indirekte Kontrolle von außen. SEAL-3 verlangt bedeutenden europäischen Einfluss bei nur marginaler Nicht-EU-Kontrolle, SEAL-4 vollständige EU-Kontrolle ohne kritische Abhängigkeiten außerhalb der EU.

Nach dem Umsetzungsleitfaden der Kommission bestimmt das niedrigste in einem Souveränitätsziel erreichte Niveau das Gesamt-SEAL. Die Vergabestelle setzt zunächst die erforderliche Mindeststufe; der gewichtete Sovereignty Score vergleicht anschließend nur Angebote, die diese Schwelle erreichen. Ein hoher Durchschnitt gleicht eine kritische Schwäche daher nicht aus.

Bei den Zahlen ist eine begriffliche Trennung nötig: Der Überblick nennt 48 Kriterien für den Gesamtscore, während der Leitfaden die im ersten Vergabeverfahren verwendete Bewertung als 43 Fragen beschreibt. Kriterien und konkrete Bewertungsfragen sind somit nicht dasselbe; eine Beschaffungscheckliste sollte beide Zahlen nicht vermischen.

Die acht Zielbereiche als kompakte Beschaffungscheckliste

Die acht Bereiche lassen sich in Prüffragen für ein konkretes Angebot übersetzen. Die Kurzliste ersetzt nicht die detaillierte Bewertungsmatrix, verhindert aber, dass ein Standortversprechen als vollständiger Souveränitätsnachweis behandelt wird.

• Strategische Souveränität: Wo liegen die endgültigen Entscheidungsrechte, und kann der Dienst bei Eigentümerwechsel oder entzogenem Herstellersupport sicher weiterbetrieben werden?
• Recht und Jurisdiktion: Welches Recht gilt für Anbieter, Muttergesellschaft, Vertrag und geistiges Eigentum? Welche ausländischen Behörden könnten Zugriff oder Exportbeschränkungen durchsetzen?
• Daten und KI: Wer kontrolliert kryptografische Zugriffe? Wo erfolgen Speicherung und Verarbeitung, wer greift auf Daten zu, und lässt sich ihre Löschung nachweisen?
• Betrieb: Können europäische Teams den Dienst betreiben, warten und weiterentwickeln, ohne zwingende Unterstützung außerhalb der EU?
• Lieferkette: Sind Herkunft, Jurisdiktion und Abhängigkeiten kritischer Hardware, Software, Firmware, Lieferanten und Unterauftragnehmer transparent und auditierbar?
• Technologie: Sind Schnittstellen und Protokolle dokumentiert und interoperabel? Lassen sich Architektur, Datenflüsse und proprietäre Abhängigkeiten prüfen?
• Sicherheit und Compliance: Unter welcher Jurisdiktion arbeiten Sicherheits- und Reaktionsteams, wer kontrolliert Protokolle und Warnungen, und können europäische Stellen unabhängige Audits durchführen?
• Ökologische Nachhaltigkeit: Sind Energieverbrauch, Emissionen, Wasserbedarf und Hardware-Lebenszyklus messbar, und welche Energie- oder Rohstoffabhängigkeiten gefährden den langfristigen Betrieb?

Die Bewertung muss zum Dienst und zum Workload passen

Eine pauschale Bewertung des Anbieters reicht für eine Architekturentscheidung nicht aus. Regionen, Supportmodelle, Schlüsselverwaltung, technische Schichten und Unterauftragnehmer können sich zwischen Diensten und Konfigurationen unterscheiden. Die Prüfung sollte deshalb einen abgegrenzten Workload und die tatsächlich angebotene Konfiguration zum Gegenstand haben.

1. Schutzbedarf festlegen: Datenarten, regulatorische Pflichten, tolerierbare Unterbrechung und Folgen eines entzogenen Anbieterzugangs dokumentieren.
2. Mindest-SEAL bestimmen: Die unverzichtbare Stufe vor dem Angebotsvergleich festlegen, damit Preis oder Funktionsumfang keine kritische Souveränitätslücke verdecken.
3. Kontrollpfade erfassen: Rechtsträger, Speicherung, Verarbeitung, Schlüssel, Administration, Support, Telemetrie, Updates und relevante technische Abhängigkeiten dem Dienst zuordnen.
4. Nachweise verlangen: Anbieterantworten mit Verträgen, Architekturdokumentation, Auditunterlagen und öffentlichen Angaben belegen lassen. Eine Sicherheitszertifizierung beantwortet nicht automatisch Fragen zu Eigentum, Jurisdiktion oder technischer Autonomie.
5. Schwelle und Score trennen: Zuerst prüfen, ob jeder Zielbereich das Mindest-SEAL erreicht. Erst danach den gewichteten Score für den Vergleich der verbleibenden Angebote verwenden.

Datenpfade und Exit-Fähigkeit zeigen die praktische Kontrolle

Die Kontrolle endet nicht am Rechenzentrum. Eine Analyse zu regional kontrollierbaren Datenwegen betont nachvollziehbare Verkehrswege, resiliente Verbindungen und transparente Lieferketten; sie weist zugleich darauf hin, dass Internetknoten kein ausdrücklich benanntes Einzelkriterium des Frameworks sind. Für die Prüfung relevant bleiben die beteiligten Netze, Fernzugriffe und Betriebsparteien.

Auch Exit-Fähigkeit darf nicht nur als Vertragsklausel erscheinen. Zu prüfen sind exportierbare Datenformate, dokumentierte Schnittstellen, die Übergabe oder Ersetzung von Schlüsseln, Fristen und Kosten sowie die Löschung verbliebener Kopien. Ein Probeexport mit einer repräsentativen Anwendung kann zeigen, ob Daten außerhalb des Dienstes tatsächlich wiederherstellbar und nutzbar sind.

Das Framework ersetzt keine Datenschutz-, Sicherheits- oder Ausfallprüfung. Sein Nutzen liegt in der Trennung der Kontrollfragen: Ein EU-Standort ist ein Merkmal, umfassende Souveränität dagegen das Ergebnis einer Bewertung über alle acht Bereiche.

Lesen Sie auch:

• KI-Agenten sicher ausführen: Die Sandbox allein reicht nicht
• Creator Music ist nicht einfach kostenlos – Umsatzteilung ersetzt die Lizenz
• Claude kostenlos nutzen: Das Fünf-Stunden-Limit ist nicht die einzige Grenze