FRAGEN ZUR Souveränität beantwortet

Digitale Souveränität heißt, dass Sie jederzeit selbst entscheiden können: welche Plattform Sie nutzen, wo Ihre Daten liegen, wer darauf zugreifen darf und was das kostet.

Es geht um Wahlfreiheit und Kontrolle, nicht um Abschottung. Für Unternehmen lässt sich das an vier Ebenen festmachen:

• Infrastruktur und Betrieb: Wer betreibt die Rechenzentren, und welchem Recht unterliegt er?
• Technologie und Stack: Läuft Ihre Software auf portablen Standards?
• Daten: Wer hält die Schlüssel?
• Governance: Verträge, Zuständigkeiten, Exit-Strategie.

Mehr dazu lesen Sie in unserem Grundlagenartikel digitale Souveränität einfach erklärt.

Die drei Begriffe bauen aufeinander auf:

• Datenresidenz: Ihre Daten liegen an einem bestimmten Ort, zum Beispiel in Frankfurt. Das ist eine reine Standortfrage.
• Datensouveränität oder Datenhoheit: Sie bestimmen, wer auf Ihre Daten zugreift und nach welchem Recht. Das hängt auch davon ab, wem der Anbieter gehört und wer die Schlüssel verwaltet.
• Digitale Souveränität: der weiteste Begriff. Er umfasst zusätzlich Technologie, Betrieb und Ihre Fähigkeit, den Anbieter zu wechseln.

Datenresidenz allein macht Sie also noch nicht souverän. Die Abgrenzung im Detail finden Sie in Digitale Souveränität vs. Datensouveränität.

Das hängt von mehreren Faktoren ab. Je mehr davon zutreffen, desto souveräner ist die Cloud:

• Der Anbieter hat seinen Sitz in der EU und unterliegt keinem außereuropäischen Zugriffsrecht.
• Betrieb und Support liegen bei Personal in der EU.
• Sie verwalten die Schlüssel selbst, per Bring Your Own Key (BYOK) oder Hold Your Own Key (HYOK).
• Die Dienste basieren auf offenen Standards wie Kubernetes, PostgreSQL oder S3-kompatiblem Speicher. Dadurch bleiben Sie wechselfähig.
• Nachweise wie ein BSI-C5-Testat belegen die Sicherheit.

Nein. Der Mittelstand ist oft sogar stärker betroffen.

Er hat weniger Verhandlungsmacht gegenüber großen Anbietern und spürt Preis- oder Lizenzänderungen direkt. Dazu kommt die Regulierung: NIS2 erfasst in den betroffenen Sektoren bereits Unternehmen ab etwa 50 Beschäftigten. Außerdem sind viele Mittelständler Zulieferer von Konzernen, die Souveränitätsanforderungen an ihre Lieferkette weitergeben.

Der Aufwand wächst mit Ihrer Umgebung. Ein Unternehmen mit einem Backend und wenigen Datenbanken braucht einen anderen Plan als ein Konzern. Wie Sie das Thema passend dimensionieren, beschreibt unser Artikel digitale Souveränität im Mittelstand.

Nein. Sinnvoll ist eine Einstufung pro Workload.

Viele Systeme können gut bei AWS, Azure oder Google Cloud bleiben. Genauer hinsehen sollten Sie bei sensiblen Daten, regulierten Prozessen und geschäftskritischen Anwendungen.

Der CEO von Gaia-X schätzt, dass nur rund 10 Prozent der Workloads wirklich einen rein europäischen Anbieter brauchen. Wichtig ist, dass Sie wissen, welche das bei Ihnen sind. Für die übrigen sollten Sie eine realistische Ausweichoption haben.

Es geht um den Grad. Vollständige Unabhängigkeit bis hinunter zu Chips, Hardware und Basissoftware erreicht in Europa heute kaum ein Unternehmen.

Realistisch ist ein bewusst gewählter Grad pro Workload. Für Kundendaten oder regulierte Prozesse gelten andere Maßstäbe als für eine Testumgebung. Entscheidend ist, dass Sie jede wichtige Abhängigkeit kennen, bewerten und im Ernstfall auflösen können.

Genau das ist auch der Kern einer guten Exit-Strategie. Wo Sie heute stehen, prüfen Sie mit unserem Selbsttest zur digitalen Souveränität.

Ja, er kann auch dann gelten. Mit dem CLOUD Act von 2018 können US-Behörden von US-Anbietern Daten verlangen, die in deren „Besitz, Gewahrsam oder Kontrolle“ sind. Wo die Daten liegen, spielt dabei keine Rolle.

Das schließt EU-Tochtergesellschaften von US-Konzernen ein. Microsoft Frankreich hat im Juni 2025 vor dem französischen Senat erklärt, nicht garantieren zu können, dass Daten nie herausgegeben werden.

Fairerweise gehört dazu: Die Hyperscaler betonen, dass sie Anfragen anfechten und ein Zugriff nicht automatisch erfolgt. Anbieter in europäischem Eigentum liegen außerhalb der direkten Reichweite des Gesetzes.

Es gibt ein Spannungsfeld. Verlangt eine US-Behörde per CLOUD Act Daten, kann Ihr Anbieter zwischen zwei Rechtsordnungen geraten. US-Recht verlangt die Herausgabe, die DSGVO stellt strenge Anforderungen an jede Übermittlung personenbezogener Daten.

Vertraglich lässt sich dieser Konflikt nicht vollständig ausschließen. Als Verantwortlicher bleiben Sie nach der DSGVO rechenschaftspflichtig. Deshalb gehört das Zugriffsrisiko in Ihre Bewertung des Transferrisikos.

Praktisch heißt das: Sie stufen Ihre Daten nach Sensibilität ein und legen die sensibelsten bei Anbietern ab, die nicht unter US-Recht fallen. Den Einzelfall bewertet Ihre Rechtsberatung.

Heute schon. Als langfristige Garantie taugt es eher nicht. Das Data Privacy Framework (DPF) ist derzeit eine gültige Grundlage für Datenübermittlungen in die USA. Das Gericht der EU hat es im September 2025 im Verfahren Latombe bestätigt.

Gegen das Urteil läuft ein Rechtsmittel beim Europäischen Gerichtshof (C-703/25 P, Stand: September 2026). Die beiden Vorgänger, Safe Harbor und Privacy Shield, wurden 2015 und 2020 gekippt. Auch das US-Überwachungsrecht rund um FISA Section 702 ist weiter in Bewegung.

Wer geschäftskritische Daten allein auf das DPF stützt, baut auf eine Grundlage, die sich ändern kann.

Nein. Die DSGVO erlaubt Übermittlungen in Drittländer, wenn eine Rechtsgrundlage besteht. Das kann ein Angemessenheitsbeschluss wie das Data Privacy Framework sein oder Standardvertragsklauseln.

Als Verantwortlicher müssen Sie aber nachweisen können, dass die Daten angemessen geschützt sind. Bei Übermittlungen gehört dazu eine Bewertung des Transferrisikos. Datenresidenz in der EU ist also keine Pflicht. Sie macht die Nachweisführung aber deutlich einfacher.

Beide verschärfen das Risikomanagement, aber unterschiedlich stark:

• NIS2 verlangt Risikomanagement einschließlich der Sicherheit Ihrer Lieferkette, also auch Ihrer Cloud-Anbieter. Eine Exit-Strategie für die Cloud schreibt NIS2 nicht ausdrücklich vor.
• DORA gilt seit dem 17. Januar 2025 für Finanzunternehmen. Sie fordert ein Management der Risiken durch externe Dienstleister für Informations- und Kommunikationstechnik (IKT). Dazu gehören eine Bewertung des Konzentrationsrisikos und dokumentierte, getestete Exit-Strategien. Die europäischen Aufsichtsbehörden haben 19 kritische IKT-Drittdienstleister benannt, darunter AWS, Google Cloud und Microsoft.

Für Finanzunternehmen ist eine getestete Exit-Strategie also Pflicht, für alle anderen gute Praxis.

Einiges. Der Data Act gilt seit dem 12. September 2025. In der Übergangsphase dürfen Anbieter für einen Wechsel nur ihre Selbstkosten berechnen. Das gilt auch für Egress-Gebühren, also die Kosten für den Datenabfluss.

Ab dem 12. Januar 2027 sind Wechselentgelte und wechselbezogene Egress-Gebühren für Infrastruktur-, Plattform- und Softwaredienste (IaaS, PaaS, SaaS) verboten. Zwei Einschränkungen gibt es. Bestehende Verträge passen sich nicht automatisch an.

Und im Rahmen des Digital Omnibus wird darüber verhandelt, bestimmte ältere Verträge auszunehmen und Entgelte für die vorzeitige Kündigung befristeter Verträge zu erlauben (Stand: September 2026).

Er hängt indirekt damit zusammen. Die EU-KI-Verordnung (AI Act) schreibt nicht vor, dass Daten in der EU bleiben.

Sie verlangt aber Dokumentation, Protokollierung und Transparenz. Das fällt leichter, wenn Sie Modell, Infrastruktur und Datenflüsse selbst kontrollieren. Der Zeitplan (Stand: September 2026):

• Seit dem 2. August 2025 gelten Pflichten für KI-Modelle mit allgemeinem Verwendungszweck.
• Seit dem 2. August 2026 gelten die Transparenzpflichten nach Artikel 50.
• Nach dem im Mai 2026 vereinbarten KI-Omnibus greifen die Hochrisiko-Pflichten nach Anhang III ab dem 2. Dezember 2027. Für Produkte nach Anhang I gelten sie ab dem 2. August 2028.

Details finden Sie in unserem Artikel zur EU-KI-Verordnung.

C5 ist der Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik (BSI) für sichere Cloud-Dienste. Unabhängige Prüfer testieren, ob ein Anbieter die Kriterien erfüllt.

Typ 1 bewertet das Design der Kontrollen, Typ 2 ihre Wirksamkeit über einen Zeitraum. C5 ist kein Gesetz. In der Praxis verlangt die öffentliche Verwaltung das Testat aber.

Im Gesundheitswesen schreibt § 393 SGB V C5 für die Cloud-Verarbeitung von Gesundheitsdaten vor. Auch Finanzbranche und KRITIS-Betreiber erwarten es häufig.

Das Testat betrifft in der Regel Ihren Cloud-Anbieter. Sie prüfen, ob er es für die genutzten Dienste vorlegen kann. Welche europäischen Anbieter C5-testiert sind, zeigt unser Überblick zu europäischen Cloud-Anbietern.

C3A steht für „Criteria enabling Cloud Computing Autonomy“. Das BSI hat den Katalog am 27. April 2026 veröffentlicht.

C5 bewertet die Informationssicherheit eines Cloud-Dienstes. C3A ergänzt das um Kriterien für Souveränität und Autonomie und baut dabei auf C5 auf.

Der Katalog besteht aus Kernkriterien und ergänzenden Kriterien, die Sie je nach Risikokontext auswählen. Damit haben Sie einen Maßstab des BSI, um Souveränitätsversprechen von Anbietern nachvollziehbar zu vergleichen.

Das hängt von Sektor und Größe ab. Als grobe Faustregel gilt: Sie sind in einem der erfassten Sektoren tätig und haben mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Jahresumsatz.

• Deutschland: Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) gilt seit dem 6. Dezember 2025 und ändert das BSI-Gesetz. Es bringt eine Registrierungspflicht beim BSI, ein dreistufiges Meldeverfahren für Vorfälle sowie Haftungs- und Schulungspflichten für die Geschäftsleitung.
• Österreich: Das NISG 2026 gilt ab dem 1. Oktober 2026 und betrifft rund 4.000 Einrichtungen. Zuständig ist das neue Bundesamt für Cybersicherheit, die Registrierung ist bis Ende 2026 vorgesehen. Die Bußgelder reichen bis zu 10 Millionen Euro oder 2 Prozent des Umsatzes für wesentliche und bis zu 7 Millionen Euro oder 1,4 Prozent für wichtige Einrichtungen.

Im Zweifel klärt Ihre Rechtsberatung die Einstufung.

• TISAX (Trusted Information Security Assessment Exchange) ist der Prüfstandard der Automobilindustrie, getragen von VDA und ENX. Er wird relevant, sobald Sie mit deutschen Autoherstellern zusammenarbeiten. Hat Ihr Cloud-Anbieter selbst ein TISAX-Label, erleichtert das Ihr eigenes Assessment.
• KRITIS betrifft Betreiber kritischer Infrastrukturen. Grundlage sind die BSI-Kritisverordnung und, für die physische Widerstandsfähigkeit, das KRITIS-Dachgesetz. Hier gelten strengere Anforderungen an Verfügbarkeit und Sicherheit.

In beiden Fällen sollten Sie Anbieter wählen, die passende Nachweise mitbringen, und die Architektur von Anfang an danach ausrichten.

Teilweise.

Die AWS European Sovereign Cloud ist seit dem 15. Januar 2026 in Brandenburg verfügbar. AWS investiert dafür 7,8 Milliarden Euro. Betreiber ist die AWS European Sovereign Cloud GmbH mit Personal und Führung in der EU.

Das stärkt die operative Souveränität deutlich. Rechtlich bleibt die Frage offen. Die Gesellschaft gehört letztlich einem US-Konzern, deshalb geht die Debatte um den CLOUD Act weiter. Zum Start gab es rund 90 Dienste, in den Standardregionen sind es mehr als 200.

Für viele Workloads ist das eine gute Lösung. Wo die rechtliche Souveränität entscheidet, lohnt der Vergleich mit Anbietern in europäischem Eigentum. Wie ein Umzug von AWS abläuft, zeigt unsere Seite zur AWS-Migration.

Beide Hyperscaler haben ihre Angebote deutlich ausgebaut:

• Microsoft hat die EU Data Boundary abgeschlossen. Daten werden also in der EU gespeichert und verarbeitet. Dazu kommen Sovereign Public Cloud und Sovereign Private Cloud (Azure Local). Außerdem gibt es Data Guardian, bei dem EU-Personal Fernzugriffe freigibt, sowie die Zusage, Behördenanordnungen vor Gericht anzufechten. Delos Cloud, eine SAP-Tochter, betreibt Microsoft-Technologie in Deutschland für die öffentliche Verwaltung.
• Google bietet mit T-Systems eine Sovereign Cloud und eine vom Internet getrennte Google Distributed Cloud an. Zusammen mit Thales entsteht zudem ein Angebot für Deutschland, betrieben von einer deutschen Gesellschaft im Eigentum von Thales (angekündigt im Mai 2026). Die allgemeine Verfügbarkeit ist für Ende 2026 geplant (Stand: September 2026).

Diese Angebote verbessern Betrieb und Datenresidenz. Wie weit sie rechtlich reichen, hängt vom jeweiligen Modell ab.

Mehrere, je nach Anwendungsfall. Mit diesen Anbietern arbeiten wir regelmäßig:

• STACKIT (Schwarz Gruppe): Rechenzentren in Deutschland und Österreich, C5-Typ-2-testierte Produkte, TISAX. Unsere häufigste Empfehlung für Cloud-native Backends.
• T Cloud Public (ehemals Open Telekom Cloud): stark bei regulierten Branchen und in der öffentlichen Verwaltung.
• IONOS: C5-testiert, für preisbewusste Mittelständler, mit eigenen KI-Angeboten.
• plusserver: Sovereign Cloud Stack auf OpenStack-Basis, geeignet für KRITIS.
• Exoscale (A1 Group): Standorte in Deutschland, Österreich und der Schweiz.
• gridscale (Köln, Teil von OVHcloud): minutengenaue Abrechnung.

Für spezielle Einsätze kommen Hetzner, noris und Mittwald dazu. Einen ausführlichen Vergleich finden Sie in unserem Artikel zu europäischen Cloud-Anbietern.

Ja, für die meisten Workloads. Anbieter wie STACKIT, IONOS und T Cloud Public betreiben produktive Systeme für Unternehmen, regulierte Branchen und die öffentliche Verwaltung.

STACKIT und IONOS belegen ihre Sicherheit mit BSI-C5-Testaten. Unterschiede zeigen sich eher im Umfang der verwalteten Plattformdienste als bei Rechenleistung, Speicher oder Kubernetes.

Prüfen Sie für kritische Systeme dieselben Punkte wie bei einem Hyperscaler: Service Level Agreements (SLAs), Standorte, Support-Zeiten, Nachweise und Notfallkonzepte.

Vor allem die Breite bei verwalteten Plattformdiensten. Bei Rechenleistung, Speicher, Kubernetes und Datenbanken wie PostgreSQL sind europäische Anbieter gut aufgestellt. Lücken gibt es bei spezialisierten Diensten, zum Beispiel:

• serverlose Funktionen wie Lambda oder Azure Functions
• große Analyseplattformen wie BigQuery
• proprietäre Datenbanken wie DynamoDB oder Cosmos DB
• KI-Plattformen wie Vertex AI oder Azure OpenAI

Für diese Fälle gibt es offene Alternativen, etwa ClickHouse als Ersatz für BigQuery. Sie bedeuten aber mehr Umbau. Laut Bitkom Cloud Report 2026 sehen 43 Prozent der Unternehmen für ihren Bedarf keine gleichwertige EU-Alternative. Das nehmen wir ernst und planen solche Workloads einzeln.

Das ist ein Bewertungsrahmen der Europäischen Kommission, mit dem sich Souveränität vergleichbar machen lässt.

Er unterscheidet die SEAL-Stufen 0 bis 4 über acht Ziele: strategisch, rechtlich, Daten und KI, operativ, Lieferkette, Technologie und Offenheit, Sicherheit und Compliance sowie Umwelt. Bei der ersten Ausschreibung, vergeben im April 2026, ging es um bis zu 180 Millionen Euro über sechs Jahre.

SEAL-2 war Mindestanforderung. Den Zuschlag erhielten Konsortien unter anderem mit STACKIT, Scaleway, Post Telecom und Proximus, die meisten erreichten SEAL-3. SEAL-4 setzt eine europäische Lieferkette bis zur Hardware voraus und ist heute praktisch nicht erreichbar.

Ja, vor allem bei Datenräumen. Gaia-X ist selbst kein Cloud-Anbieter.

Die Initiative konzentriert sich heute auf Datenräume, einen Vertrauensrahmen und Labels in drei Stufen. Für Stufe 3 braucht ein Anbieter seinen Hauptsitz in der EU. Ende 2025 erschien das Framework-Release „Danube“.

Relevant wird Gaia-X für Sie vor allem, wenn Sie an einem Datenraum teilnehmen, etwa an Catena-X in der Automobilindustrie. Für die Wahl Ihres Cloud-Anbieters zählen meist C5-Testat, Eigentümerstruktur und offene Standards mehr.

Ja. Die öffentliche Verwaltung zeigt, dass ein Umstieg auch in großem Maßstab möglich ist. openDesk vom Zentrum für Digitale Souveränität (ZenDiS) ist eine Arbeitsplatz-Suite aus Open-Source-Komponenten.

Auch der Internationale Strafgerichtshof stellt auf openDesk um. Schleswig-Holstein hat mehr als 40.000 Postfächer von Exchange und Outlook auf Open-Xchange und Thunderbird umgezogen und führt LibreOffice ein.

Wer Microsoft-Technologie behalten will, findet mit Delos Cloud einen in Deutschland betriebenen Weg, bisher für die öffentliche Verwaltung. Für viele Unternehmen passt eine Kombination: Microsoft 365 für den Büroalltag und souveräne Werkzeuge für besonders sensible Inhalte.

Einen Überblick gibt unser Artikel zu Microsoft-365-Alternativen in Europa.

Nicht unbedingt. Für klassische Infrastruktur, Speicher und Kubernetes sind europäische Anbieter oft günstiger als die On-Demand-Preise der Hyperscaler.

Teurer kann es werden, wenn Sie verwaltete Plattformdienste, KI oder Analytics nachbauen müssen, weil es kein direktes Pendant gibt. Die souveränen Angebote der Hyperscaler haben in der Regel einen Preisaufschlag.

Pauschale Prozentzahlen helfen deshalb wenig. Belastbar ist nur der Vergleich für Ihre konkrete Umgebung, inklusive Egress-Gebühren und Umzugsaufwand. Diesen Vergleich liefert die Kostenanalyse in unserer Cloud-Analyse, einschließlich deutscher und europäischer Anbieter.

Kurzfristig meist nichts. Mittelfristig wachsen drei Risiken:

• Kosten: Preis- und Lizenzänderungen treffen Sie ohne Ausweichoption. Laufende Egress-Gebühren bleiben ein versteckter Kostenblock.
• Regulierung: NIS2, DORA und Ihre Kunden verlangen zunehmend Nachweise zu Lieferkette und Abhängigkeiten.
• Verhandlungsmacht: Je tiefer proprietäre Dienste in Ihren Systemen stecken, desto aufwendiger wird jeder spätere Umzug und desto schwächer ist Ihre Verhandlungsposition.

Der Markt bewegt sich bereits. Gartner erwartet für Europa 2026 Ausgaben von 12,6 Milliarden US-Dollar für souveräne Cloud-Infrastruktur, ein Plus von 83 Prozent. Welche Kosten sich über Jahre ansammeln, zeigt unser Artikel zu versteckten Kosten proprietärer Software.

Oft ja. Ein Enterprise Agreement oder Rahmenvertrag bestimmt vor allem den Zeitplan.

Wir richten den Umzug an Ihren Vertragslaufzeiten aus: Die Workloads ziehen in Wellen um, jeweils passend zu Verlängerungs- oder Kündigungsterminen. Sie müssen den Anbieter auch nicht ganz verlassen.

Häufig bleibt ein Teil beim Hyperscaler, und nur sensible oder besonders teure Workloads ziehen um. Ihre Rabatte gehen in den Kostenvergleich ein, damit Sie mit den Konditionen rechnen, die Sie heute zahlen.

Mit drei Bausteinen, die Ihre Geschäftsführung in einer Sitzung bewerten kann:

• Ausgangslage: Welche Systeme laufen wo, wie tief stecken proprietäre Dienste darin, und was kostet der Betrieb heute, inklusive Egress und Lizenzen?
• Optionen: Bleiben, teilweise oder vollständig umziehen, jeweils mit Kosten, Aufwand und Zeitplan.
• Risiken: Regulatorische Anforderungen wie NIS2 oder DORA, die Abhängigkeit von einzelnen Anbietern und die Kosten eines erzwungenen Wechsels.

Die Zahlen müssen aus Ihrer eigenen Umgebung stammen. Als Kontext hilft: Laut Bitkom Cloud Report 2026 halten 85 Prozent der Unternehmen Deutschland für zu abhängig von US-Cloud-Anbietern. Die Cloud-Analyse liefert Ihnen diese Grundlage als Entscheidungsvorlage für die Geschäftsführung.

Ja, wenn Sie sie passend dimensionieren.

Für den Mittelstand bringt Souveränität handfeste Vorteile: planbarere Kosten, weniger Abhängigkeit von Preis- und Lizenzentscheidungen einzelner Anbieter und eine stärkere Position bei Kunden, die Nachweise zu ihrer Lieferkette verlangen.

Laut Bitkom Cloud Report 2026 würden 91 Prozent der Unternehmen deutsche Anbieter bevorzugen. Einen Preisaufschlag von 10 bis 20 Prozent würden aber nur 12 Prozent akzeptieren.

Souveränität muss sich also rechnen. Deshalb starten Sie am besten mit einem klar begrenzten Schritt und nicht mit einem Großprojekt.

Nein. Nicht alles muss umziehen, und nicht alles sollte. Wir ordnen jeden Workload einer von drei Kategorien zu:

• Direkt umziehbar: zum Beispiel Container auf Kubernetes, PostgreSQL-Datenbanken oder S3-Objektspeicher.
• Mit Anpassungen umziehbar: Konfiguration, Automatisierung oder einzelne Dienste müssen ersetzt werden.
• Tief eingebettet: zum Beispiel Anwendungen auf DynamoDB, Cosmos DB oder Firebase.

Danach entscheiden Sie für jeden Workload, ob er jetzt umzieht, später umzieht oder bleibt. Oft entsteht ein hybrides Modell: Sensible Daten und Kernsysteme laufen in einer europäischen Cloud, der Rest bleibt beim Hyperscaler.

Das sind die Workloads, die tief in proprietäre Dienste eingebaut sind:

• DynamoDB und Cosmos DB: Das Datenmodell muss neu entworfen werden.
• Cognito oder Entra ID: Wir bauen parallel eine Identitätsplattform auf offenen Standards auf.
• Lambda, Azure Functions, Cloud Functions: eng an die jeweilige Plattform gekoppelt und entsprechend aufwendig.
• BigQuery und Bigtable: meist ClickHouse auf STACKIT, T Cloud Public oder plusserver, oft als eigenes Projekt.
• Firebase und Firestore: Neuaufbau auf offenen Technologien.
• Vertex AI und Azure OpenAI: Die Modelle bleiben oder wechseln, die Plattform drumherum bauen wir neu.

Am schnellsten geht der Umzug von S3- oder Blob-Speicher auf S3-kompatiblen europäischen Speicher. Mehr zu Diensten wie BigQuery und Firebase auf unserer Seite zur Google-Cloud-Migration.

Das hängt von der Größe Ihrer Umgebung und davon ab, wie tief proprietäre Dienste darin stecken. Typische Größenordnungen:

• ein einzelnes Backend: 3 bis 6 Monate
• größere Umgebungen: 6 bis 12 Monate oder länger
• Umgebungen mit einer Datenplattform im Kern, etwa BigQuery: 6 bis 14 Monate

Davor steht die Cloud-Analyse. Sie dauert 2 bis 6 Wochen, je nach Komplexität Ihrer Umgebung. Danach nennen wir Ihnen für jede Welle einen Festpreisrahmen. So können Sie Budget und Zeitplan belastbar planen. Den Ablauf in Wellen beschreibt unsere Seite zur Cloud-Migration.

In der Regel nicht. Wir ziehen in Wellen um und setzen auf Parallel-Betrieb statt auf eine Umstellung über Nacht.

Alte und neue Umgebung laufen eine Zeit lang nebeneinander. Umgeschaltet wird erst, wenn die neue Umgebung stabil läuft. Für jede Welle gibt es einen Rückfallplan, damit Sie im Zweifel auf die bisherige Umgebung zurückkehren können.

So vermeiden Sie einen Big-Bang-Wechsel mit Ausfallzeit.

Eine Exit-Strategie, auch Ausstiegsstrategie genannt, beschreibt, wie Sie einen Anbieter geordnet verlassen. Sie legt fest, welche Systeme und Daten betroffen sind, wohin sie wechseln, wie lange das dauert, was es kostet und wer verantwortlich ist.

Für Finanzunternehmen verlangt DORA eine dokumentierte und getestete Exit-Strategie. Für alle anderen ist sie eine Absicherung gegen Preiserhöhungen, Ausfälle oder geopolitische Risiken.

Testen heißt: Sie spielen den Wechsel für ausgewählte Systeme praktisch durch, etwa mit einem Datenexport und einer Wiederherstellung bei einem zweiten Anbieter. Dabei prüfen Sie, ob Zeit und Aufwand zum Plan passen.

Indem Sie Portabilität bei jeder Architekturentscheidung mitdenken. Praktisch heißt das:

• Setzen Sie auf offene, portable Technologien wie Kubernetes, PostgreSQL, S3-kompatiblen Speicher und Terraform.
• Nutzen Sie proprietäre Dienste bewusst und dokumentieren Sie, wie Sie sie ersetzen würden.
• Behalten Sie Identität und Schlüssel unter Ihrer Kontrolle, mit offenen Anmeldestandards und eigenem Schlüsselmanagement.
• Binden Sie KI-Modelle über eine Schnittstelle ein, damit Sie sie austauschen können.
• Prüfen Sie Verträge auf Datenexport, Kündigungsfristen und Wechselkosten.

Proprietäre Dienste sind damit nicht tabu. Setzen Sie sie aber bewusst und dokumentiert ein. Mehr dazu in unserem Artikel Vendor-Lock-in vermeiden.

Ja. Sie können Sprachmodelle im eigenen Rechenzentrum oder in einer europäischen Cloud betreiben, zum Beispiel über den AI Model Hub von IONOS, STACKIT AI oder die Industrial AI Cloud der Telekom in München.

Typische Einstiege sind ein interner KI-Assistent und eine Wissenssuche über Ihre Dokumente, die Quellen angibt und bestehende Berechtigungen respektiert. Auch KI-Funktionen in Ihren Produkten sind möglich. Dabei gelten vier Grundsätze. Sie wählen, wo die KI läuft.

Sie wählen das Modell und können es austauschen. Ihre Daten trainieren keine fremden Modelle. Berechtigungen und Protokollierung sind von Anfang an eingebaut. Wie wir das umsetzen, zeigt unsere Seite zur souveränen KI.

Für viele Unternehmensanwendungen ja. Bei internen Assistenten, Wissenssuche, Zusammenfassungen oder der Auswertung von Dokumenten liefern europäische Modelle wie die von Mistral und offene Modelle wie Llama oder Qwen gute Ergebnisse.

Bei sehr anspruchsvollen Aufgaben kann ein großes kommerzielles Modell vorn liegen. Deshalb bauen wir die Plattform so, dass Sie das Modell austauschen können.

Ob ein Modell reicht, klären wir mit Ihren realen Daten. Zuerst kommt ein Check von Anwendungsfällen und Daten (2 bis 3 Wochen), danach ein Pilot (4 bis 8 Wochen).

Der Markt bewegt sich schnell: Aleph Alpha soll mit Cohere zusammengehen (angekündigt im April 2026, Stand: September 2026). Mehr in unserem Artikel zu digitaler Souveränität und KI.

Weitgehend, wenn Sie es selbst betreiben. Bei offenen Modellen wie Llama von Meta oder Qwen von Alibaba laufen die Modellgewichte auf Ihrer eigenen Infrastruktur. Ihre Daten fließen dabei nicht an den Hersteller. Drei Punkte sollten Sie trotzdem prüfen:

• Lizenz: Manche Lizenzen schränken Nutzung oder Weitergabe ein.
• Herkunft: Wie wurde das Modell trainiert, und passt das zu Ihren Anforderungen?
• Support: Von wem hängen Sie bei Updates und Sicherheitskorrekturen ab?

In einer austauschbaren Architektur bleibt das Modell eine Komponente, die Sie wechseln können, sobald sich Ihre Bewertung ändert.

Nein. Das zeigt vor allem, dass der Bedarf da ist. Wichtig ist jetzt, dass Sie Regeln und eine sichere Alternative schaffen, bevor sensible Daten in öffentliche Tools wandern.

Ein pragmatischer Weg ist eine Kombination: Copilot für allgemeine Büroaufgaben und ein souveränes KI-Werkzeug für sensibles Unternehmenswissen wie Verträge, Kundendaten oder Entwicklungsunterlagen.

So nehmen Sie niemandem ein vertrautes Werkzeug weg und behalten die Kontrolle über kritische Daten. Wie Sie das DSGVO-konform aufsetzen, lesen Sie in KI DSGVO-konform einführen.

Mit Transparenz und Dokumentation von Anfang an. Beide Seiten wollen wissen, welche Daten verarbeitet werden, wo das geschieht, wer Zugriff hat und ob sich Leistung oder Verhalten von Beschäftigten auswerten lässt.

Mit einer souveränen Lösung beantworten Sie diese Fragen leichter, weil Sie Standort, Modell, Berechtigungen und Protokollierung selbst festlegen. Wir liefern Ihnen die Unterlagen für die Datenschutz-Folgenabschätzung (DSFA) und eine Dokumentation für Betriebsrat und Datenschutzbeauftragte.

Außerdem sind wir für KI-Data-Governance zertifiziert. Beziehen Sie beide Seiten früh ein, am besten schon beim Check der Anwendungsfälle.

Mit einem kostenfreien 30-minütigen Erstgespräch mit Miki, unserem Senior Consultant für digitale Souveränität. Darin klären Sie, wo Sie stehen und ob eine Cloud-Analyse sinnvoll ist.

Die Analyse dauert 2 bis 6 Wochen, je nach Komplexität Ihrer Umgebung. Den Festpreis nennen wir Ihnen verbindlich nach dem ersten Gespräch. Sie erhalten:

• eine Architektur-Karte mit Abhängigkeiten
• eine Kostenanalyse mit Vergleich zu deutschen und europäischen Anbietern
• eine rund zehnseitige Entscheidungsvorlage für die Geschäftsführung
• einen technischen Anhang für Ihr Team

Die Ergebnisse gehören Ihnen, es gibt keine Folgepflicht. Starten können wir in der Regel 2 bis 3 Wochen nach Unterzeichnung. Alle Details finden Sie auf der Seite zur Cloud-Analyse.

Ja, als Baustein. Die Cloud-Analyse dokumentiert Ihre Architektur, Ihre Abhängigkeiten, Ihre Kosten und Ihre Optionen für einen Umzug. Zu genau diesen Themen verlangen Prüfer unter DORA oder NIS2 Nachweise, etwa beim Management von IKT-Drittparteienrisiken oder bei der Sicherheit der Lieferkette.

Eine Zertifizierung oder ein formales Audit ersetzt sie aber nicht. Für Finanzunternehmen kann sie die Grundlage einer dokumentierten Exit-Strategie sein, die Sie anschließend testen. Haben Sie konkrete Prüfanforderungen, sprechen Sie Miki im Erstgespräch direkt darauf an. Er berät zu DORA und zu Prüfanforderungen.

In der EU. Wir haben Standorte in Düsseldorf und Zagreb, mehr als 90 Expertinnen und Experten und 14 Jahre Erfahrung.

Unsere Verträge unterliegen kroatischem Recht, also EU-Recht. Auf Wunsch arbeiten wir auch unter der Rechtsordnung an Ihrem Standort. Wir sind nach ISO 27001 zertifiziert und Mitglied im Bundesverband mittelständische Wirtschaft (BVMW).