Wo die souveräne Cloud Sinn macht – und wo nicht

Es sind vor allem drei Begriffe, die die Cloud-Diskussion in deutschen Unternehmen derzeit dominieren: Sovereign Cloud, Private Cloud und Hyperscaler. Alle drei Optionen klingen nach Kontrolle, versprechen Sicherheit – und bilden jeweils ein grundlegend anderes Konzept ab.

Die daraus resultierende Entscheidungsunsicherheit war auch auf der und mit unvollständigen Informationen – meist einem Mix aus Marketingversprechen und technischen Halbwahrheiten.

Im Ergebnis stehen häufig überteuerte Architekturen, die regulatorisch trotzdem angreifbar bleiben – oder günstige Lösungen, die im Ernstfall nicht halten, was sie versprechen. Wer heute eine Cloud-Strategie ), Microsoft ) bieten:

• nahezu unbegrenzte Rechenkapazität,





• ein breites Serviceangebot und





• eine ausgereifte Infrastruktur, sowie





• (dank Skaleneffekten) vergleichsweise niedrige Preisen.

Der entscheidende Nachteil: Die Infrastruktur unterliegt US-amerikanischem Recht. Der , ) sind spezielle Angebote, bei denen europäische Tochtergesellschaften die Infrastruktur betreiben, Customer Managed Keys eingesetzt werden und vertragliche Zusicherungen gegeben werden. Das ist technisch ausgereift, aber teurer — und die rechtliche Robustheit ist noch nicht vollständig gerichtlich erprobt.

Die Sovereign-Cloud-Lösungen europäischer Anbieter (etwa Ionos, Hetzner, OVHcloud, Deutsche Telekom oder SAP) unterliegen vollständig EU-Recht. Das sorgt für einen klaren rechtlichen Rahmen, ohne „CLOUD-Act-Problematik“. Dafür müssen sich Kunden in der Regel aber mit einem schmaleren Serviceangebot begnügen.

Die nachfolgende Tabelle zeigt die einzelnen Cloud-Modelle im direkten Vergleich:

Kriterium	Hyperscaler (Standard)	Sovereign Cloud (Hyperscaler)	Sovereign Cloud (EU-Anbieter)	Private Cloud
Datenspeicherort	EU möglich	EU, vertraglich	EU, rechtlich gesichert	eigene Kontrolle
CLOUD-Act-Risiko	vorhanden	reduziert	kein direktes US-Risiko	keines bei Eigenbetrieb
NIS2/KRITIS-Eignung	eingeschränkt	gut	gut	gut
Serviceangebot	sehr breit	breit, eingeschränkt	mittel	variiert
KI/ML-Dienste	vollumfänglich	teilweise eingeschränkt	eingeschränkt	selbst zu betreiben
Relative Kosten	günstig	15% bis 30% teurer	vergleichbar	hoch (Invest und Betrieb)
Skalierbarkeit	sehr hoch	hoch	mittel	eingeschränkt
Anbieter-Abhängigkeit	hoch	hoch	mittel	gering
Exit-Komplexität	hoch	sehr hoch	mittel	niedriger

Ein Entscheidungsbeispiel aus der Praxis

Ein mittelständischer Maschinenbauer mit 800 Mitarbeitern und Kunden in der Automobilindustrie steht vor einer typischen Entscheidung: Die bestehende IT-Infrastruktur soll modernisiert sowie KI-gestützte Predictive-Maintenance-Prozesse eingeführt werden. Als Zulieferer fällt das Unternehmen zudem in den Anwendungsbereich von zu migrieren – ohne sich vorher anzusehen, welche Workloads das tatsächlich benötigen. Für Entwicklungsumgebungen, interne Tools und nicht-regulierte Daten bedeutet die Sovereign Cloud vor allem eines: Aufpreis ohne Mehrwert.

3. Identity Governance vernachlässigen

Eine technisch perfekte Sovereign-Cloud-Infrastruktur nützt wenig, wenn die Zugriffssteuerung unzureichend ist. Wer auf welche Systeme zugreifen darf, entscheidet über das tatsächliche Security-Niveau – insbesondere, wenn es um KI-Agenten und automatisierte Prozesse geht. Ein ist 2026 die kritische Lücke in den meisten Cloud-Sicherheitsarchitekturen.

4. Exit-Strategie nicht mitdenken

Wer heute in eine Sovereign Cloud der Hyperscaler migriert, muss wissen: Der Ausstieg ist komplexer und teurer als beim Standard-Angebot. Drei Kostenfallen werden dabei regelmäßig unterschätzt:

• Wechselkosten, die der in Multi-Cloud-Architekturen.





• Vertragliche Mindestlaufzeiten und Volumenzusagen, die Sovereign-Angebote häufig voraussetzen und die der Data Act ausdrücklich unberührt lässt.





• Die Abhängigkeit von proprietären Diensten, die sich nicht “mitnehmen” lassen, sondern beim neuen Anbieter nachgebaut werden müssen. An dieser Stelle hilft auch der Data Act nichts.

Exit-Kosten gehören deshalb von Tag eins in die Gesamtkostenrechnung – und eine dokumentierte Exit-Strategie sollte Teil jeder Cloud-Entscheidung sein.

5. Compliance mit Sicherheit verwechseln

NIS2-Konformität und ISO 27001 sagen nichts darüber aus, ob ein Unternehmen im Ernstfall handlungsfähig ist. oder anderen Regulierungen? Falls ja, ist eine Standard-Hyperscaler-Lösung nur mit zusätzlichen Kontrollen, dokumentierter Risikoabwägung und belastbarer Exit-Strategie vertretbar.

Sensitivität der Daten klassifizieren: Personenbezogene Daten mit Schrems-II-Relevanz oder Betriebsdaten kritischer Infrastrukturen sind sensible Informationen. Generell gilt: Je höher die Sensitivität der Daten, desto stärker sprechen die Argumente für Sovereign oder Private Cloud.

Serviceabhängigkeiten prüfen: Wenn Sie Cloud-Services benötigen, die nur bei Hyperscalern verfügbar sind, etwa KI/ML-Plattformen oder spezialisierte Datenbanken, sind die Sovereign Clouds der Hyperscaler oft der bessere Kompromiss.

Interne Ressourcen realistisch einschätzen: Private Cloud klingt nach Kontrolle — ist aber aufwendig. Um das zu bewältigen, benötigen Sie die richtigen Menschen und Expertise, um dieses Modell professionell zu betreiben.

Kosten-Nutzen-Verhältnis berechnen: Die Sovereign Cloud kostet nach der Einschätzung von Marktexperten typischerweise 15 bis 30 Prozent mehr als ein Standard-Hyperscaler-Angebot. Rechnen Sie durch, welches Modell für Ihren Workload-Mix wirtschaftlich am sinnvollsten ist.

Wann welches Cloud-Modell sinnvoll ist, entnehmen Sie folgender Tabelle:

Situation	Empfohlenes Modell	Begründung
KRITIS-Betreiber unter NIS2	Sovereign Cloud	Nachweispflichten zu Risikomanagement und Lieferkette, persönliche Haftung der Geschäftsleitung
Finanzdienstleister unter DORA	Sovereign Cloud (Hyperscaler)	breites Serviceangebot und regulatorische Compliance
Hochrisiko-KI unter EU AI Act	Sovereign Cloud	Pflichten ab August 2026; Daten-Governance-Nachweise leichter zu führen
KI/ML-Entwicklung, anonymisierte Daten	Hyperscaler (Standard)	vollständiges Serviceangebot, kein Regulierungsdruck
Interne Tools, Dev/Test	Hyperscaler (Standard)	kein regulatorischer Bedarf, Kosten optimieren
Hochsensible Daten, Behörden	EU-Anbieter / Private Cloud	maximale rechtliche Klarheit, keine Restrisiken
Konstante Workloads, eigene Expertise	Private Cloud	langfristig wirtschaftlicher bei vorhersehbarem Bedarf

(fm)

Dieser Beitrag wurde im Rahmen des deutschsprachigen Experten-Netzwerks von Foundry veröffentlicht. Lust mitzumachen? Jetzt bewerben!