Digitale Souveränität beschaffen: Wie aus einem Wunsch ein prüfbares Kriterium wird

Bei 98 Prozent der Unternehmen spielt das Herkunftsland des Cloud-Anbieters eine Rolle für die Auswahl. 91 Prozent würden einen deutschen Anbieter bevorzugen. Unter Vertrag haben 53 Prozent einen deutschen — und 71 Prozent einen amerikanischen.

Diese Lücke zwischen Wunsch und Vertrag entsteht nicht im Rechenzentrum. Sie entsteht im Einkauf, in der Leistungsbeschreibung. Und genau dort lässt sie sich schließen.

Das Problembewusstsein ist da, und es wächst. 85 Prozent der Unternehmen halten Deutschland für zu abhängig von US-Cloud-Anbietern — im Vorjahr waren es 78 Prozent. 64 Prozent sagen, die aktuelle US-Politik zwinge sie, ihre Cloud-Strategie zu überdenken; auch dieser Wert ist gestiegen, von 50 Prozent.

Daraus folgt aber keine Handlung, solange Souveränität ein Bekenntnis bleibt. Ein Anbieter, der „souveräne Cloud" auf die Website schreibt, hat damit noch nichts zugesagt. Prüfbar wird es erst, wenn es in der Ausschreibung steht: als Anforderung, die man belegen muss, und als Nachweis, den man abfordern kann.

Der Bitkom empfiehlt genau das — Souveränität in Strategie, Architektur, Beschaffung und Governance zu verankern statt sie als Haltung zu formulieren. Die Beschaffung ist dabei der Hebel mit der kürzesten Wirkung: Wer Cloud einkauft, setzt die Bedingungen selbst und muss auf niemanden warten.

Die folgenden sieben Punkte decken ab, was Souveränität praktisch ausmacht. Jedes Kriterium ist so formuliert, dass du es in eine Leistungsbeschreibung übernehmen kannst: eine Prüffrage an den Anbieter, dazu der Nachweis, den du erwarten darfst.

Der Maßstab ist Verhältnismäßigkeit, nicht Abschottung. Souveränität heißt Wahlfreiheit — die Möglichkeit, einen Anbieter zu wechseln, nicht die Pflicht, einen bestimmten zu nehmen.

Eine Zahl aus dem Bitkom-Bericht verdient besondere Aufmerksamkeit, weil sie einen Widerspruch sichtbar macht: 59 Prozent der Unternehmen nennen Lock-in als größte Barriere beim Anbieterwechsel. Aber nur 37 Prozent machen die einfache Wechselmöglichkeit zum Must-have, wenn sie einen Anbieter auswählen.

Das Problem wird also erkannt — und bei der Entscheidung, die es verhindern könnte, nicht berücksichtigt. Dazu passt, dass nur 8 Prozent einen zweiten Cloud-Anbieter als Absicherung haben, während 28 Prozent in den vergangenen zwölf Monaten gravierende Störungen durch Cloud-Ausfälle hatten.

Daraus folgt eine konkrete Anforderung: Der Exit gehört in den Vertrag, nicht in den Krisenfall. Dazu gehören Fristen, Formate, Mitwirkungspflichten des Anbieters — und idealerweise eine Testmigration, die einmal tatsächlich durchgeführt wurde. Ein Exit-Plan, den niemand je erprobt hat, ist eine Absichtserklärung.

64 Prozent der Unternehmen hatten 2025 steigende Cloud-Betriebskosten, 54 Prozent erwarten für 2026 weitere Steigerungen. Der Listenpreis beim Vertragsschluss sagt über diese Entwicklung wenig aus.

Was zählt, ist die Rechnung über die Laufzeit: Betrieb, Datentransfer, Preisanpassungsklauseln, und die Kosten eines möglichen Wechsels. Wer diese Posten in die Bewertung nimmt, sieht Souveränität anders — nicht als Aufpreis, sondern als Reduktion eines Risikos, das sonst ungedeckt bleibt.

Dass dieser Gedanke ankommt, zeigt eine weitere Zahl: 37 Prozent sind bereit, für eine souveräne deutsche Cloud Nachteile in Kauf zu nehmen.

22 Prozent der Unternehmen bieten eigene Produkte ganz oder teilweise als Cloud-Service an, weitere 23 Prozent planen es. Für Softwarehäuser verschiebt das die Frage: Sie kaufen Infrastruktur nicht nur für sich ein, sondern müssen sie gegenüber ihren eigenen Kunden belegen können.

Diese Kunden sitzen zunehmend in regulierten Branchen — Verwaltung, Gesundheitswesen, Versicherung. Dort stehen die sieben Kriterien oben nicht zur Diskussion, sondern in der Ausschreibung. Wer sie für seine Betriebsebene nicht nachweisen kann, scheidet aus, bevor es um das Produkt geht.

NIS2 verschärft das zusätzlich, weil die Richtlinie Anforderungen an die Lieferkette stellt. Was dein Infrastrukturbetreiber zusagt, wird damit Teil dessen, was du selbst zusagen musst. Wie weit diese Pflichten reichen, haben wir im Beitrag zum NIS2-Lieferantenfragebogen beschrieben.

Wir haben den Katalog oben nicht aufgestellt, um ihn selbst nicht zu bestehen. Deshalb die Angaben, die bei uns in eine Leistungsbeschreibung gehören würden:

• Datenstandort und Betrieb: vier Rechenzentren an drei Standorten in Deutschland — Hannover, Wolfsburg und Frankfurt am Main. Der Hauptstandort DE01 Hannover betreibt zwei Rechenzentren mit drei Verfügbarkeitszonen.
• Rechtsraum und Eigentümer: kyberio GmbH mit Sitz in Hannover, inhabergeführt, am Markt seit 1997. Keine ausländische Muttergesellschaft, kein Zugriff nach dem US CLOUD Act.
• Zertifizierte Sicherheit: ISO 27001 auf Basis BSI IT-Grundschutz, Zertifikat BSI-IGZ-0777-2026, Geltungsbereich Rechenzentren und Cloud Services. Dazu PCI-DSS v4.0 für Physical Security und Colocation Services am Standort Hannover.
• Offene Standards: unsere Cloud-Plattformen laufen auf OpenStack und Proxmox VE, mit offenen APIs und ohne Lizenzkosten für die Plattform.
• Betrieb und Support: aus Deutschland, mit eigenem Team. Überwachung und Störungsannahme rund um die Uhr.

Was in deinem Fall konkret zugesagt wird — Reaktionszeiten, Eskalationsstufen, Exit-Fristen —, steht im Vertrag. Zeiten, die wir nicht zugesagt haben, nennen wir hier nicht.

Und ein Blick nach vorn, der die Dringlichkeit erklärt: 42 Prozent der Unternehmen halten KI-Dienste aus der Cloud heute für interessant, auf Sicht von fünf Jahren sind es 69 Prozent. Mit KI-Workloads wandern Trainingsdaten und Modelle in die Cloud — also genau die Bestände, bei denen Standort, Rechtsraum und Zugriffsschutz am schwersten wiegen. Wer die sieben Kriterien heute in seine Beschaffung schreibt, muss sie später nicht unter Zeitdruck nachverhandeln.

• Bitkom Cloud Report 2026. Befragung von 603 Unternehmen ab 20 Beschäftigten, CATI, KW 14–20/2026, Fehlertoleranz ± 3 Prozent. Alle Prozentangaben in diesem Beitrag stammen aus diesem Bericht.
• Bitkom e. V.