Analyse · Digitale Sicherheit

Digitale Souveränität: Warum Deutschlands oberste Cyber-Behörde auf amerikanischen Servern läuft

Stand: Juni 2026 · Lesezeit ca. 7 Min · Faktenbasierte Einordnung, keine Rechtsberatung

Deutschland predigt digitale Souveränität – und vertraut die sensibelsten Registrierungsdaten seiner Cybersicherheitsbehörde ausgerechnet einem Konzern aus Seattle an. Diese Analyse erklärt, wie es dazu kam, was wirklich auf dem Spiel steht und welche Schlüsse Unternehmen und Privatpersonen daraus ziehen sollten.

Das Paradox im Herzen der deutschen Cybersicherheit

Am 6. Januar 2026 schaltete das Bundesamt für Sicherheit in der Informationstechnik (BSI) sein neues zentrales Melde- und Informationsportal frei. Im Rahmen der EU-Richtlinie NIS-2 mussten sich rund 29.500 Unternehmen dort verpflichtend registrieren – die Frist lief am 6. März 2026 ab. Wer kritische Infrastruktur betreibt, wer Cyberangriffe binnen 24 Stunden melden muss, dokumentiert die Sicherheit Deutschlands ab sofort über dieses Portal.

Die Ironie: Das Portal selbst läuft auf Amazon Web Services (AWS) – und ist sogar einer der ersten Kunden der neuen europäischen AWS-Cloud. Deutschlands oberste Cybersicherheitsbehörde vertraut ihre Registrierungsdaten damit einem Unternehmen an, das dem US-amerikanischen Cloud Act unterliegt: einem Gesetz, das US-Behörden unter bestimmten Umständen Zugriff auf Daten gewähren kann – unabhängig davon, wo auf der Welt diese Daten physisch liegen.

Willkommen in der Souveränitätsdebatte Deutschlands. Sie ist so widersprüchlich und politisch aufgeladen wie kaum ein anderes Thema der digitalen Sicherheit.

Was digitale Souveränität eigentlich bedeutet

Der Begriff klingt abstrakt, ist es aber nicht. Im Kern beantwortet digitale Souveränität eine einzige Frage: Wer kontrolliert die Infrastruktur, auf der ein Staat, eine Gesellschaft und eine Wirtschaft laufen?

Strom, Wasser, Straßen liegen traditionell in heimischer Hand. Daten, Cloud-Systeme und digitale Identitäten sind das heute anders. Drei US-Konzerne dominieren den globalen Cloud-Markt: Amazon (AWS), Microsoft (Azure) und Google (GCP). Zusammen halten sie rund zwei Drittel des weltweiten Marktes. Deutschland – die viertgrößte Volkswirtschaft der Welt – hat keinen eigenen wettbewerbsfähigen Hyperscaler. Europa insgesamt auch nicht. Das ist nicht nur eine technologische Lücke, sondern ein geopolitisches Risiko.

Der BSI-AWS-Deal: Pragmatismus oder Kapitulation?

Am 15. Januar 2026 startete AWS in Potsdam offiziell seine „European Sovereign Cloud" (ESC), mit Rechenzentren in Brandenburg und ausdrücklicher Begleitung durch das BSI. BSI-Präsidentin Claudia Plattner erklärte die Doppelstrategie der Behörde: erstens den europäischen Markt stärken, zweitens außereuropäische Produkte so anpassen und einbetten, dass eine sichere und selbstbestimmte Nutzung möglich wird.

Das klingt vernünftig – und ist es auch, solange man die Prämisse akzeptiert, dass Europa keine eigene Alternative aufbauen kann oder will. AWS plant bis 2040 Investitionen von 7,8 Milliarden Euro. Die Infrastruktur soll physisch und logisch von der globalen AWS-Instanz getrennt sein, ausschließlich von EU-Personal betrieben werden, und ein technischer „Kill-Switch" von außen soll ausgeschlossen sein. Der Betrieb läuft über eigene Gesellschaften nach deutschem Recht.

Dass es nicht nur um US-Anbieter geht, zeigte dieselbe Woche: Das BSI unterzeichnete parallel eine Kooperation mit dem deutschen Anbieter Ionos. Für die European Sovereign Cloud bleibt dennoch die entscheidende Frage unbeantwortet: Was passiert, wenn ein US-Gericht Datenzugriff verlangt – und Amazon sich rechtlich dazu verpflichtet sieht? Kritiker sprechen bereits von „Sovereign Washing". Die ehrliche Antwort kennt heute niemand mit Sicherheit.

ChatControl: der nächste Schauplatz – und ein bewegliches Ziel

Parallel zur Cloud-Debatte tobt auf EU-Ebene ein zweiter Kampf um digitale Souveränität: die geplante Verordnung gegen sexuellen Kindesmissbrauch (CSAR), bekannt als „Chatkontrolle". Wichtig zur Einordnung, weil sich hier viel bewegt hat:

• Verpflichtendes Scannen ist vorerst vom Tisch. In seiner Position vom November 2025 strich der EU-Rat die umstrittenste Komponente – die verpflichtende Durchsuchung privater Nachrichten. Geblieben ist ein Modell auf freiwilliger Basis.
• Selbst die freiwillige Übergangsregel ist ausgelaufen. Das EU-Parlament lehnte Anfang April 2026 eine Verlängerung ab; die befristete Erlaubnis endete am 3. April 2026.
• Der neue Schauplatz heißt Altersverifikation. Im Gespräch ist nun eine verpflichtende Altersprüfung und eine Art „digitale Volljährigkeit" – Kritiker warnen, dass dadurch faktisch alle Nutzer identifiziert werden müssten.

Das technische Grundproblem bleibt aber unverändert: Verschlüsselung funktioniert nicht halbherzig. Wer eine Hintertür für den Staat einbaut, baut eine Hintertür für jeden ein – inklusive ausländischer Geheimdienste und Krimineller. Sichere Kommunikation oder Massenüberwachung: technisch geht nur eines von beidem. Deutschland hat hier eine der wenigen konsequent ablehnenden Rollen gespielt. Wer verstehen will, warum Verschlüsselung und die eigene Schlüsselhoheit so zentral sind, findet die Grundbegriffe in unserem Sicherheits-Glossar.

Die tiefere Frage: Warum hat Europa keinen eigenen Hyperscaler?

Gaia-X war der ambitionierte europäische Antwortversuch. 2019 von Deutschland und Frankreich initiiert, sollte das Projekt eine eigene Cloud-Infrastruktur schaffen. Heute ist Gaia-X vor allem eines: ein Governance-Rahmen mit vielen Mitgliedern und wenig Substanz.

Die Gründe sind strukturell. Kapital für Tech-Infrastruktur fließt in den USA ungleich schneller, der amerikanische Heimatmarkt ist größer und homogener. Das Ergebnis: Wenn Deutschland digitale Souveränität will, muss es entweder massiv in eigene Infrastruktur investieren – oder pragmatische Deals mit US-Konzernen schließen und hoffen, dass die vertraglichen Schutzwälle halten. Wer die Gegenbewegung verfolgen will – etwa private, DSGVO-konforme KI statt US-Cloud-Diensten –, findet Werkzeuge in unserem großen KI-Tool-Vergleich.

Was das für Unternehmen und Bürger bedeutet

Für die rund 29.500 NIS-2-betroffenen Unternehmen ist das keine abstrakte Debatte, sondern eine offene Entscheidung:

1. Welche Cloud ist für kritische Daten akzeptabel?

Die Antwort ist juristisch und politisch – nicht nur technisch. Datenresidenz in der EU ist notwendig, aber nicht hinreichend, solange der Mutterkonzern in den USA sitzt.

2. Wie dokumentiert man Sicherheit, ohne neue Abhängigkeiten zu schaffen?

Das BSI-Portal akzeptiert Nachweise – die zugrunde liegende Architektur sollte aber nicht selbst zum Souveränitätsrisiko werden.

3. Was, wenn sich die geopolitische Lage verschärft?

Wenn ein US-Präsident Europa eher als Gegner denn als Partner behandelt, verschiebt sich die Risikobewertung jeder US-Abhängigkeit. Diese Antworten entstehen nicht im BSI-Portal, sondern in den Strategieabteilungen der Unternehmen.

Physische Sicherheit trifft digitale Souveränität

Es gibt eine Parallele, die selten gezogen wird. In der physischen Sicherheitstechnik – Alarmanlagen, Zugangskontrollen, Überwachung – ist die Frage, wer die Infrastruktur kontrolliert, selbstverständlich zentral. Kein seriöses Unternehmen würde seine Alarmzentrale bei einem Anbieter hosten, dem es nicht vertraut.

Warum gilt dasselbe Prinzip digital so selten? Die Antwort: Bequemlichkeit, Kosten, fehlende Alternativen, mangelndes Bewusstsein. Das Grundprinzip ist aber identisch. Sicherheit – physisch oder digital – endet dort, wo Kontrolle endet. Wer seine Serverräume mit einer deutschen Alarmanlage sichert, aber seine Daten auf US-Servern speichert, hat nur die halbe Aufgabe gelöst. Dasselbe gilt im Kleinen: Wer Vermögenswerte selbst verwahrt, statt sie einer Plattform anzuvertrauen, behält die Kontrolle – wie beim sicheren Aufbewahren der eigenen Schlüssel.

Fazit: Pragmatismus mit offenen Augen

Die Kooperation von BSI und AWS ist nicht prinzipiell falsch. Sie ist der Versuch, mit vorhandenen Mitteln das Machbare zu tun. Europa hat keine AWS – und wird auf absehbare Zeit keine haben. Aber Pragmatismus darf nicht zur Bequemlichkeit werden. Die European Sovereign Cloud ist kein Freifahrtschein, sondern ein Experiment, dessen Ergebnis noch aussteht.

Was Deutschland braucht, ist keine Illusion von Souveränität – sondern ehrliche Klarheit darüber, wo Abhängigkeiten bestehen, welche Risiken damit verbunden sind und welche Investitionen echte Unabhängigkeit kosten würde. Das BSI-Portal auf AWS ist nicht die Antwort. Es ist die Frage.

Häufige Fragen zur digitalen Souveränität

Transparenz: Bebilderung dieses Beitrags KI-generiert. Redaktionell geprüft. Dieser Artikel ist eine journalistische Einordnung und ersetzt keine Rechtsberatung.