Blog · Grundlagen ·
Was ist digitale Souveränität?
Digitale Souveränität ist die Fähigkeit, in der digitalen Welt selbstständig, selbstbestimmt und sicher zu handeln: zu wissen, wer die eigenen Systeme und Daten kontrolliert, und wechseln zu können, ohne gefangen zu sein. Der Begriff ist kein Rechtsbegriff, aber ein Maßstab. Und er entscheidet sich an einer Stelle, die in den meisten Definitionen fehlt: dort, wo TLS endet.
Die Definition
Die Definition, mit der die deutsche Verwaltung arbeitet, stammt vom Kompetenzzentrum Öffentliche IT am Fraunhofer FOKUS aus dem Jahr 2017: Digitale Souveränität ist „die Summe aller Fähigkeiten und Möglichkeiten von Individuen und Institutionen, ihre Rolle(n) in der digitalen Welt selbstständig, selbstbestimmt und sicher ausüben zu können“. Der IT-Planungsrat hat ihn 2021 in seine Strategie für die Verwaltung übernommen, die Bundesregierung 2022 in einer Antwort an den Bundestag auf Staaten und Staatengemeinschaften übertragen, und das BSI gibt ihn 2026 in seinem Kriterienkatalog C3A auf Englisch wieder. Drei Wörter tragen ihn: selbstständig, selbstbestimmt, sicher.
Die Wirtschaft definiert ähnlich und grenzt ab. Für den Bitkom ist digitale Souveränität seit 2015 „die Fähigkeit zu Selbstbestimmung im digitalen Raum“, abgegrenzt nach beiden Seiten: gegen Fremdbestimmung und gegen Autarkie. Die EU-Mitgliedstaaten haben sich im November 2025 auf dasselbe Verständnis verständigt: die Fähigkeit, autonom zu handeln und die eigenen Lösungen frei zu wählen, ausdrücklich ohne Abschottung oder Protektionismus. Der deutsch-französische Beitrag vom Juni 2026 ergänzt die Kontrolle: Technologien unabhängig entwickeln, bereitstellen, nutzen, anpassen und kontrollieren können.
Zwei Dinge ist der Begriff nicht. Er ist kein Rechtsbegriff: Die DSGVO kennt weder „digitale Souveränität“ noch „souveräne Cloud“, wie die Datenschutzkonferenz 2023 festhält. Und er ist kein Zustand, den man erreicht, sondern eine Richtung; das Kompetenzzentrum selbst nennt ihn 2020 eine strategische Autonomie, die durch den bewussten Umgang mit Abhängigkeiten hergestellt wird.
Drei Begriffe, drei Fragen
Digitale Souveränität, Datensouveränität und Datenhoheit werden oft vermischt. Sie beantworten drei verschiedene Fragen.
Digitale Souveränität fragt nach der Handlungsfähigkeit insgesamt: Kann ich meine Systeme betreiben, verstehen, anpassen und wechseln? Die Bundesregierung zählt dazu technologische Souveränität bei kritischen Komponenten, Datensouveränität, Cybersicherheit und digitale Infrastrukturen.
Datensouveränität ist eine Facette davon und fragt nach der Kontrolle über Daten: wer sie speichert, überträgt und verwendet und wer darauf zugreifen darf; so beschrieb die Datenethikkommission 2019 die digitale Souveränität von Staaten und Organisationen. Das Kompetenzzentrum Öffentliche IT nennt sie das gezielte, informierte Bereitstellen eigener Daten und setzt hinzu: Datensouveränität ersetzt keinen Datenschutz, und Datenschutz keine Privatsphäre. Im Cloud-Rahmen der EU-Kommission ist „Data Sovereignty“ eine eigene Stufe.
Datenhoheit hat keine amtliche Definition; der Begriff wird beschreibend verwendet, etwa von der Datenschutzkonferenz als „Datenhoheit und Kontrollierbarkeit“ einer souveränen Cloud. Seine Wurzel ist älter als jede Cloud: Das Bundesverfassungsgericht leitete 1983 im Volkszählungsurteil das Recht auf informationelle Selbstbestimmung her, „die Befugnis des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen“, und zog zugleich die Grenze: Eine absolute Herrschaft über „seine“ Daten hat niemand.
Souveränität endet am TLS-Terminator
Alle Definitionen handeln von Fähigkeiten. In der Praxis entscheidet sich Souveränität an einem Ort: am TLS-Endpunkt. Dort wird verschlüsselter Verkehr lesbar, und wer ihn terminiert, sieht Anmeldungen, Formulare und Cookies im Klartext. Verschlüsselung auf dem Weg schützt vor allen außer dem, der den Schlüssel hat.
Deshalb zählt der Betreiber, nicht die Region. Der CLOUD Act verpflichtet Anbieter unter US-Recht zur Herausgabe von Daten in ihrer Verfügungsgewalt, gleich wo sie liegen. Wie weit das reicht, hat im Juni 2025 ein Vertreter von Microsoft France unter Eid vor dem französischen Senat beantwortet: Garantieren, dass Daten französischer Bürger nie ohne Zustimmung Frankreichs an die US-Regierung gehen, könne er nicht. Das BSI beschreibt in seinem Lagebericht 2025, wie Microsoft 2025 das E-Mail-Konto des Chefanklägers des Internationalen Strafgerichtshofs sperrte, bevor eine Weisung vorlag. Und die EU-Kommission schreibt in ihrem Gesetzentwurf vom Juni 2026, das Datenschutzabkommen mit den USA regle zwar Datentransfers, räume die Bedenken wegen der Abhängigkeit von Drittstaatsanbietern aber nicht aus.
Die Konsequenz für die Architektur: Souverän ist, wer den Punkt kontrolliert, an dem Daten lesbar werden, und wer die Schlüssel dafür hält. Eine EU-Region bei einem Anbieter unter fremdem Recht verschiebt den Ort der Verarbeitung, nicht das Recht, das auf sie zugreift.
Die Stufen der Rahmenwerke
| Rahmen | Stand | Stufen oder Kriterien |
|---|---|---|
| EU-Kommission: Cloud Sovereignty Framework | Beschaffungsrahmen vom Oktober 2025; Grundlage der Vergabe über 180 Millionen Euro im April 2026. | Fünf Stufen von SEAL-0 „keine Souveränität“ bis SEAL-4 „volle digitale Souveränität“; acht Ziele, darunter die Exposition gegenüber Gesetzen mit grenzüberschreitender Reichweite wie dem US CLOUD Act. |
| EU-Kommission: Cloud and AI Development Act | Gesetzesvorschlag vom 3. Juni 2026, im September 2026 an die Ausschüsse des Parlaments überwiesen. | Vier Vertrauensstufen: Anbieter in der EU; auch Unterauftragnehmer und Personal in der EU; keine Kontrolle durch einen Drittstaat; zusätzlich hohe Zertifizierung und Kontrolle über die Software. |
| BSI: C3A | Freiwilliger Kriterienkatalog vom 27. April 2026, setzt C5 voraus. | Übernimmt Struktur und Ziele des EU-Rahmens; Kriterien wie Sitz und Kontrolle in der EU und eine jährliche Prüfung, welche Gesetze von außen auf den Dienst wirken. |
| Datenschutzkonferenz: Kriterien für souveräne Clouds | Positionspapier vom 11. Mai 2023, 2025 bekräftigt. | Fünf Gruppen: Nachvollziehbarkeit durch Transparenz, Datenhoheit und Kontrollierbarkeit, Offenheit, Vorhersehbarkeit und Verlässlichkeit, regelmäßige Prüfung der Kriterien. Rein vertragliche Maßnahmen genügen in der Regel nicht. |
| ENISA: EU-Zertifizierung für Cloud-Dienste (EUCS) | Nicht verabschiedet. | Die geplanten Souveränitätsstufen blieben Entwurf; das Europäische Parlament stellte im Januar 2026 fest, dass die Gespräche kein Ergebnis brachten. |
Was Europa tut, in Zahlen
Der Markt ist eindeutig. Europäische Cloud-Anbieter halten nach einer Mitteilung von Synergy Research vom Juli 2025 seit 2022 rund 15 Prozent des europäischen Marktes, 2017 waren es 29 Prozent; die drei größten US-Anbieter halten 70 Prozent. 86 Prozent der deutschen Unternehmen nutzen laut Bitkom Cloud-Dienste, und 85 Prozent sagen, Deutschland sei zu abhängig von US-Cloud-Anbietern.
Die Antworten kommen aus drei Richtungen. Die Gesetzgebung: Der Data Act gilt seit dem 12. September 2025 und schafft Wechselgebühren zum 12. Januar 2027 ganz ab; Anbieter müssen die Rechtsordnung ihrer Infrastruktur offenlegen und dürfen nicht personenbezogene Daten an Drittstaatsbehörden grundsätzlich nur auf Grundlage eines internationalen Abkommens herausgeben, ohne Abkommen nur unter engen Bedingungen (Artikel 32 Absatz 3). Die Beschaffung: Die EU-Kommission vergab im April 2026 einen Rahmen über 180 Millionen Euro nur an Anbieter, die mindestens die Stufe Datensouveränität erreichen, an vier europäische Anbieter und Konsortien. Die Verwaltung: Schleswig-Holstein arbeitet außerhalb der Steuerverwaltung auf fast 80 Prozent der Arbeitsplätze mit LibreOffice, hat über 40.000 Postfächer auf Open Source umgestellt und spart nach eigener Angabe jährlich mehr als 15 Millionen Euro an Lizenzkosten; das niederländische Parlament forderte im März 2025 Risikoanalysen und Ausstiegsstrategien für alle Cloud-Dienste, die die Regierung von US-Konzernen bezieht; das dänische Digitalministerium erprobt seit Juni 2025 freie Bürosoftware, und die dänische Regierung hat im Haushaltsentwurf 2026 insgesamt 80 Millionen Kronen für digitale Souveränität und einen nationalen Aktionsplan vorgesehen.
Was das für Agenturen heißt
Eine Agentur entscheidet mit jedem Kundenprojekt über dessen Souveränität, oft ohne es zu merken: beim Hosting, beim DNS, beim CDN, beim Formulardienst. Sieben Fragen vor der Anbieterwahl:
- Wer ist Vertragspartner, und wem gehört er? Der Sitz der Muttergesellschaft bestimmt das Recht, das zugreift.
- Wo endet TLS, und wer hält die privaten Schlüssel?
- Welchem Recht unterliegt die Infrastruktur? Seit dem Data Act muss ein Cloud-Anbieter das auf seiner Website nennen.
- Welche Unterauftragnehmer sehen die Daten, und wo sitzen sie?
- Wie reagiert der Anbieter auf Behördenanfragen, und informiert er den Kunden? Der BSI-Katalog C5 fragt genau das ab.
- Wie kommt das Projekt wieder heraus: Export, DNS in eigener Hand, Zertifikate ohne Bindung?
- Welche Abhängigkeiten bleiben auch beim europäischen Anbieter, etwa bei Zertifizierungsstelle und Backups?
Wer diese Fragen in der Projektdokumentation beantwortet, hat die Lieferkettenbewertung nach NIS2 und die Datenschutz-Folgenabschätzung zur Hälfte geschrieben.
Was eine souveräne Cloud ist
„Souveräne Cloud“ ist ein Werbewort geworden, und die Aufsicht sagt das offen: Die Datenschutzkonferenz hält fest, dass eine Cloud diesen Namen nur verdient, wenn sie dem Verantwortlichen erlaubt, seine Pflichten effektiv, nachprüfbar und dauerhaft zu erfüllen, und dass rein vertragliche Zusagen dafür in der Regel nicht reichen, auch wenn die Verarbeitung im EWR stattfindet. Das Europäische Parlament hat die Kommission im Januar 2026 aufgefordert, den Begriff im Cloud-Gesetz zu definieren; der Entwurf antwortet mit Stufen statt mit einer Definition. Der praktische Rat: nicht nach dem Etikett fragen, sondern nach der Stufe, den Kriterien und der Muttergesellschaft.
Was obhut beiträgt
obhut ist ein deutsches Unternehmen in Berlin und unterliegt deutschem Recht. Der Edge steht in Deutschland, die privaten TLS-Schlüssel entstehen versiegelt und öffnen sich erst am Edge, und Autoritatives DNS mit DNSSEC, Zertifikate und der TLS-Proxy stehen bereit. Zwei Abhängigkeiten nennen wir, statt sie zu verschweigen: Backups liegen noch bei Cloudflare R2, ihr Umzug zu einem EU-Anbieter ist Voraussetzung für die Beta. Zertifikate stellt Let's Encrypt aus, eine gemeinnützige US-Organisation, die bei der Ausstellung nur die Hostnamen sieht und weder Anfragen noch Inhalte. Souveränität ist auch für uns eine Richtung, keine Behauptung.
Häufige Fragen
Was ist digitale Souveränität, kurz gesagt?
Die Fähigkeit, in der digitalen Welt selbstständig, selbstbestimmt und sicher zu handeln: eigene Systeme betreiben und verstehen, Anbieter wechseln können und wissen, wer auf die Daten zugreifen kann. So definiert es das Kompetenzzentrum Öffentliche IT, und in dieser Fassung verwenden es IT-Planungsrat, Bundesregierung und BSI.
Was ist der Unterschied zwischen digitaler Souveränität, Datensouveränität und Datenhoheit?
Digitale Souveränität meint die Handlungsfähigkeit insgesamt, Datensouveränität die Kontrolle über Speicherung, Nutzung und Zugriff auf Daten. Datenhoheit ist ein beschreibender Begriff ohne amtliche Definition, der meist dasselbe meint wie Datensouveränität.
Ist eine EU-Region eines US-Anbieters digital souverän?
Nein, nicht für sich genommen. Die Region bestimmt den Ort der Verarbeitung, nicht das Recht, dem der Betreiber unterliegt. Der CLOUD Act verpflichtet Anbieter unter US-Recht unabhängig vom Standort der Daten.
Was ist eine souveräne Cloud?
Kein Rechtsbegriff. Nach der Datenschutzkonferenz verdient eine Cloud den Namen nur, wenn der Verantwortliche seine Pflichten effektiv, nachprüfbar und dauerhaft erfüllen kann. Die EU-Rahmenwerke ersetzen das Etikett durch Stufen, etwa SEAL-0 bis SEAL-4.
Bedeutet digitale Souveränität Autarkie?
Nein. Bitkom, Bundesregierung und die EU-Mitgliedstaaten grenzen den Begriff ausdrücklich gegen Abschottung ab. Es geht darum, Abhängigkeiten zu kennen, zu steuern und wechseln zu können.
