Cloud Souveränität:

Digitale Datenzwillinge als ehrliche Antwort

Cloud Souveränität ist nichts, was sich herbeireden lässt. Die Realität holt jede Ankündigung schnell wieder ein. Der hartnäckigste Mythos in der Souveränitätsdebatte ist das, was ich die Postleitzahlen-Illusion nenne: der Glaube, dass der physische Standort eines Rechenzentrums die rechtliche Jurisdiktion über die darin gespeicherten Daten bestimmt.

Der US CLOUD Act von 2018 gibt US-Behörden die rechtliche Befugnis, jedes in den USA ansässige Unternehmen zur Herausgabe von Daten in seinem Besitz oder unter seiner Kontrolle zu zwingen, unabhängig davon, wo diese Daten physisch gespeichert sind. Frankfurt, Amsterdam, Stockholm: Die Postleitzahl ist irrelevant, wenn der Anbieter in den USA eingetragen ist.

Die EU hat reagiert. Der EU Data Act, seit September 2025 vollständig anwendbar, verpflichtet Cloud-Anbieter in der EU, technische, rechtliche und organisatorische Maßnahmen gegen unbefugten Zugriff durch Nicht-EU-Regierungen zu implementieren. Die EU-E-Evidence-Verordnung wird ab August 2026 in allen Mitgliedstaaten gelten. Aber der strukturelle Konflikt bleibt ungelöst: US-Recht erzwingt Offenlegung, EU-Recht verbietet sie, und der Anbieter sitzt zwischen den Jurisdiktionen ohne sauberen Rechtsweg. Für IT-Leiter ist die praktische Konsequenz einfach: Datenresidenz ist eine Compliance-Checkbox. Sie ist keine Souveränitätsstrategie.

Derzeit werden vor allem vier Ansätze diskutiert: Datenresidenz, Souveräne Cloud-Partnerschaften, eine rein europäische Infrastruktur und digitale Datenzwillinge. Von allen vier sind digitale Datenzwillinge die einzige wirkliche und ehrliche Lösung.

Drei Stufen, keine Einheitslösung

Eine Datenzwilling-Strategie erfordert nicht, alles zu spiegeln. Der Schlüssel ist eine risikobasierte Klassifizierung in drei Stufen.

• Stufe eins: Souveräner Kern. Daten und Prozesse, die eine Organisation unter allen Umständen kontrollieren muss. Geschäftsgeheimnisse, regulierte personenbezogene Daten mit branchenspezifischen Anforderungen (Gesundheitswesen, Finanzen, kritische Infrastruktur), Betriebsprozesse mit null Toleranz für externe Abhängigkeit. Diese Stufe lebt in einer vollständig souveränen Umgebung. Sie ist die kleinste Stufe nach Volumen und die höchste nach strategischem Wert.
• Stufe zwei: Synchronisierter Zwilling.  Geschäftskritische Daten, die normalerweise auf Hyperscaler-Infrastruktur laufen, aber zugänglich und portabel bleiben müssen. Der Zwilling hält eine kontinuierlich synchronisierte Kopie in der souveränen Umgebung vor, mit getesteten Failover-Verfahren und definierter Wiederherstellungszeit. ERP-Daten, Kundendatenbanken, Lieferketteninformationen, geistiges Eigentum. Das ist der Kern des digitalen Datenzwillings.
• Stufe drei: Cloud-nativ. Alles, was kein Souveränitätsrisiko trägt, muss cloud-nativ umgesetzt werden, dazu gehören Entwicklungsumgebungen, öffentlich zugängliche Inhalte, Analysen auf anonymisierten Daten, Kollaborationstools. Diese laufen auf der Plattform, die die beste Performance und Wirtschaftlichkeit bietet. Kein Zwilling nötig.

Für die meisten Organisationen sieht die Verteilung ungefähr so aus: 80 bis 90 Prozent Cloud-nativ, ein substantieller Kern als synchronisierter Zwilling und ein kleiner, aber kritischer souveräner Kern. Die genaue Aufteilung hängt von Branche, Regulierung und Risikobereitschaft ab. Die Klassifizierung ist nicht statisch. Die Architektur muss diese Dynamik abbilden können.

Der regulatorische Moment

Das regulatorische Umfeld hat sich erheblich beschleunigt. DORA ist für Finanzdienstleister in Kraft. NIS2 expandiert über kritische Infrastruktursektoren. Die Europäische Kommission plant das Cloud- und KI-Entwicklungsgesetz für 2026, das voraussichtlich erstmals Sovereign Cloud im EU-Recht formal definieren wird. Bitkom hat im Mai 2026 seine Kriterien für Cloud-Souveränität in Europa veröffentlicht und plädiert für einen risikobasierten, anwendungsfallspezifischen Ansatz. Die EU hat das 75-Millionen-Euro-Projekt EURO-3C für föderierte Edge-Cloud-Infrastruktur gestartet. AWS und Microsoft Azure stehen unter Untersuchung der Europäischen Kommission für eine mögliche Gatekeeper-Einstufung unter dem Digital Markets Act.

Die Richtung ist unverkennbar: Souveränität bewegt sich von freiwilliger Best Practice zu regulatorischer Erwartung. Gleichzeitig wächst der Innovationsabstand zwischen Hyperscalern und europäischen Alternativen weiter, besonders bei KI. US-Hyperscaler investieren kollektiv hunderte Milliarden jährlich in Cloud- und KI-Infrastruktur. Von Unternehmen zu verlangen, zwischen Innovation und Souveränität zu wählen, heißt, ihnen einen unnötigen Nachteil zuzumuten.

Der digitale Datenzwilling löst diese Spannung auf. Er ist die einzige Architektur, die es erlaubt, beide Fragen gleichzeitig ehrlich zu beantworten.

• Nutzen Unternehmen die beste verfügbare Cloud-Innovation: Ja.
• Kann das Unternehmen operationale Kontinuität und Datenkontrolle aufrechterhalten, wenn diese Innovation unzugänglich wird: Ebenfalls ja.

Fazit

Führungskräfte müssen sich über den Umsetzungspfad klar werden. Daten und Workloads sollten über die drei Stufen klassifiziert werden. Diese Aufgabe ist weder eine strategische Übung noch eine technische. Tatsächlich erfordert sie eine Vorstandsbeteiligung bei der Risikobewertung und eine realistische Einschätzung, welche Daten in einem Störungsszenario tatsächlich entscheidend sind. Denn am Ende steht die Wahrheit, dass die Verantwortlichen den meisten Unternehmen schlichtweg überschätzen, was souverän sein muss. Auf der anderen Seite unterschätzen sie jedoch auch, was portabel sein muss.

Deshalb gilt für Unternehmen, dass sie den digitalen Zwilling bauen müssen. Sie wählen die souveräne Zielumgebung, etablieren die Synchronisationsmuster und definieren die Failover-Verfahren. Die Technologie existiert, die Herausforderung ist jedoch organisatorisch. Es geht darum, dass Unternehmen die Klassifizierung richtig hinbekommen, den Zwilling neben der primären Umgebung finanzieren und ihn als lebendes System pflegen statt als verstaubten Notfallplan. Im nächsten Schritt müssen sie den Failover testen und zwar regelmäßig. Sie müssen unter realistischen Bedingungen überprüfen. Eine Souveränitätsstrategie, die nie getestet wurde, ist eine PowerPoint-Folie, aber keine Strategie.

Unternehmen müssen sich von der Vorstellung verabschieden, dass die perfekte europäische Alternative kommt. Sie kommt nicht, jedenfalls nicht in Hyperscaler-Dimension, nicht in diesem Jahrzehnt. Die strukturellen Realitäten haben sich nicht verändert. Europäische Anbieter halten 15 Prozent ihres Heimatmarktes. Die Investitionslücke wird in Hunderten von Milliarden gemessen. Die Talentpipeline speist die Hyperscaler. Das entwertet europäische Anbieter nicht für spezifische Workloads, aber es eliminiert sie als vollständige Ersatzstrategie.

Die Frage für IT-Leiter ist daher nicht, ob digitale Souveränität relevant ist. Die geopolitische, regulatorische und kommerzielle Evidenz ist überwältigend. Die Frage ist, wie schnell die Organisation den digitalen Datenzwillingsansatz implementieren kann, der zu ihrem spezifischen Risikoprofil, ihren regulatorischen Verpflichtungen und ihren Innovationsambitionen passt. Souveränität ist kein Zielzustand. Sie ist eine fortlaufende Fähigkeit. Und der digitale Datenzwilling ist der Weg, sie aufzubauen, ohne die Cloud-Vorteile aufzugeben, von denen Ihr Geschäft abhängt.