Kurz die Antwort vorweg, weil sie der Kern dieses Beitrags ist: Eine EU-Region macht dich nicht souverän, solange der Betreiber ein US-Konzern bleibt — dann entscheidet im Zweifel nicht der Serverstandort, sondern der CLOUD Act, wer an deine Daten kommt.
„Unsere Daten liegen in Frankfurt.” Diesen Satz höre ich ständig, meistens als Beruhigung. Und meistens stimmt er sogar. Er beruhigt nur das Falsche.
Der Server steht in Hessen. Der Konzern, dem er gehört, sitzt in Seattle oder Redmond. Und wenn eine US-Behörde anklopft, gewinnt nicht das Bundesland, in dem die Festplatte steckt, sondern der CLOUD Act. Standort ist nicht gleich Kontrolle — und genau um diese Unterscheidung geht es bei digitaler Souveränität.
Drei Dinge, die gern verwechselt werden
Wo deine Daten liegen, ist die einfachste Frage. Wer sie betreibt und nach welchem Recht, sind die wichtigen. Eine „EU-Region” beantwortet nur die erste.
AWS, Azure und Google Cloud haben alle Rechenzentren in Deutschland. Großartig fürs Marketing-Häkchen, nett für die Latenz. An der entscheidenden Stelle ändert es wenig: Der Betreiber bleibt ein US-Unternehmen, und damit bleibt der mögliche Zugriff bestehen — Standort hin oder her.
Zur Einordnung, was den Unterschied tatsächlich ausmacht:
| EU-Region eines US-Anbieters | EU-Anbieter | |
|---|---|---|
| Betreiber | US-Konzern | EU-Unternehmen |
| Rechtsraum | auch US-Recht (CLOUD Act) | EU-Recht |
| Wer kann zur Herausgabe gezwungen werden | der US-Mutterkonzern | niemand außerhalb der EU |
Die Fragen, die wirklich zählen
Wenn dir ein Anbieter „EU-Hosting” verkauft, frag drei Dinge:
- Wem gehört das Unternehmen, das den Dienst tatsächlich betreibt?
- Welcher Rechtsordnung unterliegt dieses Unternehmen?
- Kann irgendjemand außerhalb der EU zur Herausgabe gezwungen werden?
Bei einem deutschen Anbieter mit eigener Infrastruktur — oder bei Diensten, die du selbst betreibst oder betreiben lässt — sind die Antworten kurz. Bei einer „EU-Region” eines Hyperscalers werden sie kompliziert — und genau die Komplexität ist das Problem. Und wer schon tief in der US-Cloud steckt: Wann sich der Weg zurück lohnt, ist keine Glaubensfrage, sondern eine Rechenaufgabe.
Versteh mich nicht falsch: Für den Newsletter-Versand oder die Urlaubsfotos vom Betriebsausflug ist das egal. Aber Verträge, Personaldaten, Patientenakten? Da ist „liegt ja in Frankfurt” keine Antwort, sondern eine Hoffnung.
Souverän ist nicht, wo der Server steht. Souverän ist, wer im Ernstfall den Stecker zieht — und ob das jemand auf der anderen Seite des Atlantiks für dich entscheiden kann.
Du willst wissen, wie souverän dein Setup wirklich ist — nicht laut Broschüre, sondern in echt? Frag mich.