06.08.26

Vorweg: Der C3A ist ein Gewinn.

Das BSI hat mit den „Criteria enabling Cloud Computing Autonomy” etwas geschafft, worauf dieser Markt lange gewartet hat. Souveränität ist seit dem 27. April 2026 keine Behauptung mehr, sondern ein prüfbares Anforderungsprofil. Wer den Katalog liest, merkt schnell: Hier haben Praktiker gearbeitet. Sechs Dimensionen, Basiskriterien, Zusatzkriterien, risikobasierte Auswahl. So macht man aus einem politischen Schlagwort ein Werkzeug.

Und doch bleibe ich an zwei Stellen hängen.

Die erste: Der Katalog kennt zwei Lokalisierungsniveaus, EU und Deutschland. Cloud-Kunden können je nach Kritikalität fordern, dass Rechenzentren in Deutschland stehen und Betriebspersonal seinen Wohnsitz in Deutschland hat. Nicht in Europa. In Deutschland. Die zweite betrifft das Betriebspersonal selbst, dazu später mehr.

Ich verstehe, woher das kommt. Es gibt Anwendungsfälle, in denen der Staat besondere Schutzbedarfe hat: Verschlusssachen, Verteidigung, hoheitliche Kernaufgaben. Dass solche Fälle besondere Anforderungen rechtfertigen, ist unbestritten.

Nur: Dafür braucht es kein eigenes Niveau im Katalog. Wer einen solchen Schutzbedarf hat, kann ihn als zusätzliches Kriterium in die jeweilige Ausschreibung aufnehmen. Genau dafür ist das Vergaberecht da.
Das BSI sieht das übrigens selbst so: Der Katalog weist ausdrücklich darauf hin, dass Beschränkungen auf Deutschland begründet werden sollten und vergaberechtlich zulässig sein müssen, etwa aus Gründen der öffentlichen Sicherheit. Die begründete Ausnahme steht also schon im Katalog.

Und seien wir ehrlich: Diese Fälle sollten einen kleinen Prozentsatz aller Anwendungsfälle ausmachen. Und genau dann stellt sich die Frage, warum ein eigenes Deutschland-Niveau so prominent im Katalog verankert sein muss. Wenn die halbe Verwaltung ihre Workloads als hoheitliche Kernaufgabe einstuft, haben wir ein ganz anderes Problem.

Dazu kommt eine Asymmetrie, die mich wirklich beschäftigt. Amerikanische Anbieter waren in vielen dieser Fälle bislang zumindest teilweise akzeptiert. Microsoft ist in der deutschen Verwaltung bis heute breit im Einsatz, und für besonders sensible Szenarien entsteht mit Delos sogar eine eigene Betreiberkonstruktion, damit es so bleiben kann. Diesen Aufwand treiben wir für außereuropäische Technologie.

Warum bringen wir europäischen Unternehmen nicht mindestens das gleiche Vertrauen entgegen? Ein Anbieter aus Helsinki, Wien oder Mailand unterliegt derselben DSGVO, derselben NIS2, demselben europäischen Rechtsraum wie einer aus Stuttgart. Wenn das für Souveränität nicht reichen soll, sagt das weniger über diese Anbieter als über unser Vertrauen in Europa.

Meine Frage ist deshalb: Was passiert, wenn das Deutschland-Niveau zum Standard wird statt zur begründeten Ausnahme?

Die Regulatorik ist europäisch. Die Souveränität soll national sein?

Schauen wir auf das, was unsere Branche tatsächlich reguliert:

Die DSGVO ist europäisch.
NIS2 ist europäisch.
DORA ist europäisch.
eIDAS 2.0 und die EUDI-Wallet sind europäisch.

Selbst der C3A orientiert sich in Struktur und Zielsetzung ausdrücklich am europäischen Cloud Sovereignty Framework. Die gesamte Rechtsarchitektur, in der wir arbeiten, ist auf einen gemeinsamen Markt gebaut.

Wenn wir Souveränität aber national buchstabieren, ziehen wir in genau diesen Markt neue Grenzen ein. Frankreich hat mit SecNumCloud längst einen eigenen nationalen Weg. Kommt das Deutschland-Niveau als Beschaffungsstandard dazu, und ziehen andere Mitgliedstaaten nach, dann steht ein europäischer Anbieter bald vor einem Flickenteppich: ein Nachweis pro Land, ein Betriebsmodell pro Land, ein Personalkonzept pro Land.

Wer kann sich das leisten? Nicht das europäische Scale-up. Sondern der Konzern mit der großen Compliance-Abteilung. Die Ironie ist bitter: Ein Instrument, das Abhängigkeiten von außereuropäischen Anbietern verringern soll, könnte am Ende genau die Fragmentierung verstärken, die seit Jahrzehnten dazu beiträgt, Europas Digitalwirtschaft klein zu halten.

Der amerikanische Anbieter hat einen Heimatmarkt mit fast 350 Millionen Menschen. Der europäische hat 27 Heimatmärkte, wenn wir nicht aufpassen.

Souveränität braucht Skalierung

Digitale Souveränität entsteht nicht durch Abschottung, sondern durch Alternativen.

Europa wird nur dann unabhängiger, wenn europäische Anbieter groß genug werden, um echte Alternativen zu sein. Groß wird man auf einem Markt von 450 Millionen Menschen, nicht auf einem von 84 Millionen. Jede nationale Sonderanforderung, die nicht sicherheitspolitisch zwingend ist, arbeitet gegen dieses Ziel.

Deshalb mein Vorschlag zur Lesart des C3A, falls das BSI hier nicht nachbessert:
Das EU-Niveau ist der Standard. Das Deutschland-Niveau ist die begründete Ausnahme für staatliche Schutzbedarfe, nicht die Default-Einstellung für jede Ausschreibung, die sich souverän anfühlen will.

Wer als Einkäufer das Deutschland-Niveau fordert, sollte die Frage beantworten können, welches konkrete Risiko damit adressiert wird, das ein EU-Niveau nicht abdeckt. In den meisten Fällen wird die ehrliche Antwort lauten: keines.

Und an die Adresse der Standardsetzer, in Bonn wie in Brüssel: Die Harmonisierung der nationalen Kataloge unter dem europäischen Rahmen sollte kein Fernziel sein, sondern der nächste Schritt. Ein Kriterium, ein Audit, 27 Märkte. Das wäre Souveränität, die Europa stärkt.

Ein Pass ist kein Sicherheitskonzept

Damit zur zweiten Stelle, an der ich hängen bleibe.

Der C3A verlangt für die Betriebssouveränität, dass alle Personen mit Zugriff auf die Betriebsinfrastruktur EU-Staatsbürger mit Hauptwohnsitz in der EU sind.
Auf dem Deutschland-Niveau verschärft sich das noch: EU-Staatsbürgerschaft plus Hauptwohnsitz in Deutschland. Hier greifen meine beiden Kritikpunkte ineinander.

Der Wohnsitz leuchtet mir ein: Wer in der EU lebt, ist für europäisches Recht erreichbar. Aber die Staatsbürgerschaft? Die Ingenieurin, die seit fünfzehn Jahren in Berlin lebt, hier Steuern zahlt und ihre Kinder zur Schule schickt, darf keine souveräne Cloud betreiben, weil sie den falschen Pass hat. Ihr Nachbar mit EU-Pass und ohne jede Sicherheitsüberprüfung darf es.
Auf dem Deutschland-Niveau wird es noch absurder: Die portugiesische Ingenieurin in Freiburg dürfte, ihr Kollege mit demselben Pass, der zehn Kilometer weiter im Elsass wohnt und täglich pendelt, nicht.

Vertrauen entsteht durch Überprüfung, nicht durch Geburtsurkunde. Sicherheitsüberprüfungen, Vier-Augen-Prinzipien, protokollierte Zugriffe: Das sind die Instrumente, die Insider-Risiken wirklich adressieren.

Ein Passkriterium adressiert vor allem eines: den Fachkräftemangel, und zwar in die falsche Richtung. Europas Cloud-Anbieter konkurrieren global um Talente. Wer den Talentpool per Kriterienkatalog verkleinert, macht europäische Anbieter nicht souveräner, sondern langsamer.

Wo wir stehen

Wir haben cidaas als europäische Plattform gebaut: ein deutsches Unternehmen, unter deutschem Recht, betrieben in Europa.

Wir erfüllen deutsche Anforderungen, und wir tun das gerne. Aber unser Maßstab ist der europäische Markt, weil nur er groß genug ist, um digitale Souveränität wirtschaftlich zu tragen.

Souveränität endet nicht an der Landesgrenze. Richtig verstanden beginnt sie dort.

Weiterführende Inhalte

Mehr zur digitalen Souveränität erfahren: Digitale Souveränität – wir lieben das Wort, aber was meinen wir eigentlich?