Der Server steht in Frankfurt. Die Daten liegen in Deutschland. Und trotzdem kann eine US-Behörde Zugriff verlangen.

Das klingt nach einem Widerspruch. Es ist geltendes Recht.

Für IT-Dienstleister, MSP und Systemhäuser wird das gerade zur Kernfrage. Nicht weil ein Gesetz neu wäre, sondern weil deine Kunden anfangen, die richtige Frage zu stellen. Und die Antwort darauf entscheidet mit, wem sie in Zukunft ihre Daten anvertrauen.

Ein Milliarden-Deal legt das Problem offen

Vergangene Woche hat Microsoft angekündigt, Milliarden in die Rechenzentren des französischen KI-Anbieters Mistral zu stecken (Reuters, Juli 2026). Verkauft wird der Deal als Beitrag zur europäischen Souveränität. Europäische Server, europäischer Champion, amerikanisches Geld.

Was den Zeitpunkt brisant macht: Kurz zuvor hatten die USA den Zugriff auf zwei fortschrittliche KI-Modelle für das Ausland vorübergehend ausgesetzt. Über Nacht wurde aus einer abstrakten Debatte ein konkretes Risiko. Wer auf US-Technologie baut, hängt an Entscheidungen, die in Washington fallen, nicht in Berlin oder Brüssel.

Der Fall Mistral ist nur das prominenteste Beispiel für eine Entwicklung, die den ganzen Markt betrifft. Rund 70 Prozent des europäischen Cloud-Marktes liegen in der Hand von US-Anbietern. Behörden, Mittelständler und Konzerne verlagern ihre Systeme in Clouds, deren Betreiber einem anderen Rechtssystem unterstehen.

Systemhäuser sitzen dabei an einer besonderen Stelle. Sie beraten ihre Kunden zur Cloud, sie verkaufen Lizenzen, sie betreiben Infrastruktur. Wenn ein Kunde fragt, ob seine Daten sicher sind, ist das Systemhaus der Erste, der antworten muss. Und die ehrliche Antwort ist komplizierter als ein Punkt auf einer Landkarte.

Souveränität ist kein Ort

Die meisten Diskussionen über Datensouveränität drehen sich um eine Frage: Wo stehen die Server? Frankfurt oder Irland, Paris oder Virginia. Das ist die falsche Frage.

Souveränität ist nicht, wo die Daten liegen. Souveränität ist, wessen Recht auf sie zugreift.

Der US Cloud Act von 2018 verpflichtet amerikanische Unternehmen, Daten an US-Behörden herauszugeben, wenn diese es verlangen. Unabhängig davon, wo die Daten physisch gespeichert sind. Ein Rechenzentrum in Frankfurt ändert daran nichts, solange der Betreiber ein US-Konzern ist.

Wie real das ist, zeigte sich 2025. Ein Microsoft-Manager räumte vor dem französischen Senat unter Eid ein, dass der Konzern nicht garantieren kann, europäische Kundendaten aus dem Zugriff amerikanischer Behörden herauszuhalten (The Register, 2025). Keine Vermutung, keine Kritiker-These. Eine Aussage unter Eid.

Ein Beispiel aus dem Alltag deiner Kunden. Ein Maschinenbauer legt seine Konstruktionsdaten in eine US-Cloud, weil das Angebot günstig und bequem ist. Die Server stehen in Deutschland, alles fühlt sich sicher an. Solange niemand nachfragt, passiert nichts. Kommt es aber zu einer behördlichen Anordnung in den USA, greift der Cloud Act. Der Standort in Deutschland hilft dann nicht mehr.

Abbildung 1: Serverstandort und Rechtszugriff im Vergleich. Der Standort liegt in Europa, der rechtliche Zugriff folgt dem Sitz des Betreibers.

Warum „souveräne Cloud" oft nur ein Etikett ist

Die Hyperscaler haben auf die Sorge reagiert. Fast jeder große Anbieter hat inzwischen ein „souveränes" Cloud-Angebot: betrieben in der EU, mit EU-Personal, mit europäischen Rechenzentren.

Kritiker haben dafür einen Namen gefunden: sovereignty washing. Ein europäisches Etikett auf einer amerikanischen Abhängigkeit (Cybernews, 2026). Das Grundproblem bleibt nämlich bestehen. Solange der Mutterkonzern US-Recht unterliegt, gilt der Cloud Act weiter, auch für die europäische Tochter.

Dazu kommt eine zweite Sorge, die vor allem sicherheitskritische Kunden umtreibt: der Kill Switch. Im Fall von Sanktionen oder politischem Streit könnte ein US-Anbieter gezwungen sein, Dienste einzustellen oder Updates zu stoppen. Wer sein Kerngeschäft komplett auf eine solche Plattform stellt, gibt einen Hebel aus der Hand, den er im Ernstfall nicht zurückbekommt.

Für den Datenschutz entsteht daraus ein echter Konflikt. Die DSGVO verlangt, dass personenbezogene Daten vor unbefugtem Zugriff geschützt sind. Der Cloud Act erlaubt genau diesen Zugriff. Zwei Rechtsordnungen stehen sich direkt gegenüber, und der Kunde sitzt dazwischen.

Der Microsoft-Mistral-Deal führt beide Punkte vor. Mistral öffnet französische Rechenzentren, Microsoft bringt die Modelle in seine Cloud. Selbst der Mistral-Chef hatte kurz zuvor gewarnt, Europa habe nur wenige Jahre, bevor es zum digitalen Vasallen werde. Die Politik reagiert bereits. Die EU baut mit dem Cloud and AI Development Act ein Stufenmodell auf, das echte Kontrolle über den bloßen Serverstandort stellt.

Abbildung 2: Die Schichten einer souveränen Cloud. Standort, Personal und Betrieb sind europäisch, die rechtliche Kontrolle bleibt beim Mutterkonzern.

Die Bewegung hat längst begonnen

Die Debatte ist keine Theorie mehr. Sie wird gerade in konkrete Entscheidungen übersetzt.

Mecklenburg-Vorpommern hat angekündigt, sich von Microsoft zu verabschieden und für mehr als 50.000 Beschäftigte in der Verwaltung auf Open-Source-Lösungen umzustellen. Das erklärte Ziel ist die digitale Unabhängigkeit. Auf EU-Ebene entsteht mit dem Cloud and AI Development Act ein Stufenmodell, das öffentliche Stellen nach dem Grad ihrer Souveränität einordnet, von der reinen Standortfrage bis zur vollständigen europäischen Kontrolle.

Selbst in sicherheitskritischen Bereichen wird die Abhängigkeit zum Thema. Fachleute warnen, dass ein Großteil europäischer Verteidigungssysteme auf US-Cloud-Diensten läuft und im Ernstfall abgeschaltet werden könnte (Euronews, 2026). Was als sperriger Begriff beginnt, wird zur strategischen Frage.

Für dein Systemhaus steckt hier die eigentliche Nachricht. Was im öffentlichen Sektor anfängt, erreicht über Ausschreibungen und Lieferketten bald den Mittelstand. Spätestens mit den NIS-2-Anforderungen an die Lieferkette wird die Frage nach der Datenhoheit vom Nice-to-have zur Bedingung. Wer die Antwort dann schon parat hat, ist im Vorteil.

Was dein Systemhaus jetzt für seine Kunden klären muss

Aus dieser Lage entsteht kein Grund zur Panik, sondern eine Chance zur Positionierung. Der Kunde will keine juristische Vorlesung. Er will jemanden, der die richtigen Fragen stellt, bevor er eine Cloud-Entscheidung trifft.

Drei Fragen entscheiden mehr als der Serverstandort.

Wessen Recht greift im Ernstfall auf die Daten zu? Das klärt, ob eine „souveräne" Variante wirklich souverän ist oder nur so heißt. Ein europäischer Betreiber ohne US-Mutter steht hier anders da als eine getarnte Tochter.

Welche Daten sind überhaupt so sensibel, dass sie diese Frage brauchen? Nicht jedes System gehört auf einen europäischen Anbieter. Die Kronjuwelen aber schon. Konstruktionsdaten, Personaldaten, Kundenverträge gehören in eine andere Kategorie als der Newsletter-Verteiler.

Und was passiert, wenn der Anbieter morgen wegfällt? Ein Kunde, der seine Daten nicht in vertretbarer Zeit woanders hin bekommt, ist nicht souverän, sondern gebunden. Portabilität ist die stille Bedingung jeder echten Unabhängigkeit.

Wer diese Fragen mit seinen Kunden durchgeht, wird vom Lieferanten zum Berater. Genau der, den ein Kunde behält, wenn andere austauschbar werden. Der Weg dahin ist kein fertiges Produkt aus dem Regal. Er ist eine Haltung: erst verstehen, was wirklich schützenswert ist, dann entscheiden, wo es liegt.

FAQ – Häufig gestellte Fragen

Q: Reicht ein Rechenzentrum in der EU für Datensouveränität?
A: Nein. Entscheidend ist nicht der Standort, sondern welches Rechtssystem auf die Daten zugreifen kann. Unterliegt der Betreiber US-Recht, greift der Cloud Act auch bei Servern in der EU.

Q: Was ist der US Cloud Act?
A: Ein US-Gesetz von 2018. Es verpflichtet amerikanische Unternehmen, angeforderte Daten an US-Behörden herauszugeben, unabhängig vom Speicherort.

Q: Was bedeutet „sovereignty washing"?
A: Der Vorwurf, dass ein US-Anbieter ein Cloud-Angebot als „souverän" vermarktet, obwohl weiter US-Recht gilt. Das Etikett ist europäisch, die Abhängigkeit bleibt amerikanisch.

Q: Ist Microsoft oder Azure damit tabu für den Mittelstand?
A: Nein. Für viele Systeme ist eine US-Cloud völlig ausreichend. Kritisch wird es nur bei besonders sensiblen Daten oder wenn ein Ausfall existenzbedrohend wäre. Die Kunst liegt in der Trennung, nicht im Boykott.

Q: Müssen sich auch kleine Systemhäuser damit beschäftigen?
A: Ja. Gerade kleinere Häuser gewinnen Vertrauen, wenn sie die Frage stellen, bevor der Kunde sie stellt. Das kostet nichts und hebt sie von reinen Wiederverkäufern ab.

Nächster Schritt

Deine Kunden fangen an, nach Souveränität zu fragen? Lass uns 30 Minuten darüber reden, wie dein Systemhaus darauf eine klare Antwort gibt. Kostenlos und unverbindlich. → Discovery Call buchen

Quellen

Reuters: Microsoft to fund Mistral's European AI expansion in multibillion-dollar deal (2026)
The Register: Microsoft admits it cannot guarantee French data sovereignty under US law (2025)
Cybernews: Microsoft and Mistral deal promises sovereign AI deployment in Europe (2026)
Euronews: Europe's defence cloud reliance risks US kill switch, think tank warns (2026)
Europäische Kommission: Cloud and AI Development Act (CADA)
BSI: NIS-2 und Lieferkettensicherheit
Foto von Taylor Vick auf Unsplash