Zwei verschiedene Versprechen werden als ein Wort verkauft
Souveräne Cloud wird verwendet, um mindestens zwei voneinander unabhängige Garantien zu beschreiben, und diese Zweideutigkeit erledigt einen großen Teil der Verkaufsarbeit im Namen des Anbieters: wo Ihre Daten physisch liegen, und welches Land die Gerichte stellt, die einen Anbieter zur Herausgabe zwingen können. Das sind nicht dieselbe Frage, und ein Produkt kann die erste Frage gut beantworten, während es die zweite völlig offenlässt.
Datenresidenz ist eine Tatsache des Standorts. Rechtszuständigkeit ist eine Frage danach, welche Regierung mit ihren Gerichten und Behörden Macht über das Unternehmen hat, das die Server betreibt, unabhängig davon, wo diese Server stehen. Eine Cloud-Region, die physisch in Frankfurt oder Paris liegt, beantwortet die Zuständigkeitsfrage für sich genommen überhaupt nicht.
Was der CLOUD Act tatsächlich sagt
Der US CLOUD Act von 2018 hat die Zuständigkeitsfrage für jeden Anbieter geklärt, der in den USA seinen Sitz hat oder dort in ausreichendem Umfang Geschäfte macht. Sein operativer Wortlaut, kodifiziert unter 18 U.S.C. 2713, verpflichtet einen erfassten Anbieter, einer rechtlichen Aufforderung zur Sicherung, Speicherung oder Offenlegung von Daten nachzukommen, 'unabhängig davon, ob sich diese Kommunikation, dieser Datensatz oder diese Information innerhalb oder außerhalb der Vereinigten Staaten befindet.'
Microsofts eigene Beschreibung seiner EU Data Boundary-Zusagen behandelt Datenresidenz und Verarbeitungsstandort im Detail, geht aber an keiner Stelle dieser Beschreibung auf die Exposition durch den CLOUD Act ein. Die Lücke zeigte sich direkt unter Eid: Im Juni 2025 sagte Anton Carniaux, Rechtsdirektor von Microsoft Frankreich, vor einem Ausschuss des französischen Senats, der die Souveränität der öffentlichen Beschaffung untersuchte, er könne nicht garantieren, dass in der EU gehostete Kundendaten niemals US-Behörden erreichen würden, und fügte lediglich hinzu, dass dies bislang nicht geschehen sei.
Nur manche Souveränitätsprogramme berühren die eigentliche Zuständigkeitsfrage
Drei europäische Zertifizierungsnamen werden nahezu synonym verwendet, und nur einer von ihnen schränkt tatsächlich ein, wer rechtlich zur Herausgabe Ihrer Daten gezwungen werden kann.
Frankreichs SecNumCloud, betrieben von der Cybersicherheitsbehörde ANSSI, verlangt, dass Nicht-EU-Aktionäre eine Minderheitsbeteiligung am Betreiberunternehmen halten, und nennt seinen Zweck ausdrücklich: den Betreiber vor einer Anordnung eines Staates außerhalb der EU zu schützen, sodass das Unternehmen ausschließlich EU-Recht unterliegt. Deutschlands C5-Katalog, betrieben vom BSI, ist ein völlig anderes Schema: eine Bestätigung von Sicherheitskontrollen, wobei das BSI ausdrücklich erklärt, dass es nicht einmal die Prüfer kontrolliert, die C5-Berichte ausstellen, und es gibt in seinen Kriterien keine Eigentums- oder Zuständigkeitsanforderung. Das EU-weite Schema, das über beiden stehen soll, EUCS, bleibt Stand August 2026 formal nicht verabschiedet. Nationale Zertifizierungsstellen, darunter die niederländische NCCA, bestätigen, dass darunter keine Zertifikate ausgestellt werden.
| Schema | Zuständigkeitsgarantie | Status, August 2026 |
|---|---|---|
| SecNumCloud (Frankreich, ANSSI) | Ja, Nicht-EU-Aktionäre begrenzt, Nicht-EU-Rechtsanordnungen blockiert | Aktiv, vergibt Qualifizierungen |
| C5 (Deutschland, BSI) | Nein, nur Bestätigung von Sicherheitskontrollen | Aktiv, stellt Berichte aus |
| EUCS (EU-weit) | Umstritten, würde vom endgültigen Sicherheitsniveau abhängen | Noch nicht verabschiedet |
Was das für Sie bedeutet
Eine Compliance-Antwort, die lautet 'wir nutzen eine souveräne Cloud', ist keine vollständige Antwort, solange Sie nicht wissen, welche der beiden Garantien Sie damit tatsächlich erwerben.
Fragen Sie den Anbieter direkt, ob das Betreiberunternehmen rechtlich immun gegenüber Nicht-EU-Zuständigkeit ist, das SecNumCloud-Modell, oder lediglich auf Sicherheitskontrollen geprüft wird, bei Datenspeicherung in der Region, das C5-Modell, dem die meisten 'EU-Region'-Angebote globaler Anbieter ähneln. Wenn Ihre eigentliche Anforderung darin besteht, Daten außer Reichweite einer ausländischen Regierung zu halten, statt lediglich einen Datenresidenz-Punkt auf einer Checkliste zu erfüllen, erfüllt nur eine zuständigkeitsimmune Struktur diese Anforderung.
Akzeptieren Sie die Formulierung 'EU Data Boundary' nicht allein als Nachweis für Zuständigkeitsimmunität. Stellen Sie dem eigenen Rechtsberater des Anbieters dieselbe Frage, die der französische Senat Microsofts Rechtsdirektor stellte, und erwarten Sie dieselbe ehrliche Antwort, sofern sich die Struktur nicht geändert hat.
Weiterlesen: Europa baute die Cloud des digitalen Euro ohne die USA | Frankreich verlagert seine Gesundheitsdatenbank weg von Azure
