Souveräne Cloud: Wer darf auf Lieferketten-Daten zugreifen?
Bei Lieferketten-Daten zählt nicht, wo sie liegen, sondern wer sie herausverlangen kann. Residenz, CLOUD Act und das EU-Souveränitäts-Framework 2026.
Bei Lieferketten-Daten ist die entscheidende Frage nicht, wo sie gespeichert sind. Sie lautet, wer sie rechtlich herausverlangen kann. Diese Unterscheidung zwischen Datenresidenz und Datensouveränität trennt Architekturen, die halten, von solchen, die bei regulatorischem Druck plötzlich offenliegen.
Das Wichtigste in Kürze
- Residenz allein schützt nicht vor dem CLOUD Act. Viele europäische Unternehmen haben ihre Daten in EU-Rechenzentren untergebracht. Bei US-Konzernen bleibt der gesetzliche Zugriff durch US-Behörden dennoch möglich.
- US-Souveränangebote schließen die zentrale Lücke nicht. Sie verbessern Residenz, Betriebspersonal und Teile der Telemetrie. An der Eigentümerstruktur ändert sich nichts, der CLOUD Act greift weiter.
- Das EU-Framework 2026 bewertet echte Souveränität. Die EU-Kommission prüft Anbieter anhand von acht Zielen, die Lieferketten-Dimension ist ausdrücklich enthalten. Der CLOUD Act steht namentlich als Risiko drin.
Verwandt:CADA: Wann Cloud-Souveränität zur Beschaffungspflicht wird / Eine Region fällt, die halbe Lieferkette steht
Warum Lieferketten-Daten ein Sonderfall sind
Lieferanten-Stammdaten, Einkaufskonditionen, Herkunfts- und Zolldaten sowie die neuen Sorgfaltspflicht-Daten bilden zusammen ein klares Bild der Wettbewerbsposition. Sie zeigen, mit wem ein Unternehmen zusammenarbeitet, zu welchen Konditionen und in welchen Ländern die Risiken liegen. Das Lieferkettengesetz und die EU-Sorgfaltspflichtenrichtlinie verlangen zusätzlich detaillierte Prüfungen entlang der gesamten Kette.
Diese Informationen sind hochsensibel. Zugleich entstehen und liegen sie über viele Jurisdiktionen verteilt. Ein einziger Cloud-Anbieter verwaltet damit oft Daten, die unterschiedlichen nationalen Gesetzen unterliegen. Wer diese Daten kontrolliert, kennt die Struktur und die Abhängigkeiten eines Unternehmens bis ins Detail. Genau deshalb ist die Frage nach dem rechtlichen Zugriff hier schärfer als bei den meisten anderen Workloads.
Residenz ist gelöst, Souveränität nicht
Viele Unternehmen haben die physische Datenresidenz in Europa erreicht. Die Daten liegen in EU-Rechenzentren. Die Souveränität bleibt trotzdem ungelöst. Nach dem US CLOUD Act können US-Behörden jeden US-basierten Anbieter zwingen, Daten herauszugeben, über die er Besitz, Gewahrsam oder Kontrolle hat. Der Speicherort spielt dabei weltweit keine Rolle. Solange die oberste Muttergesellschaft ein US-Konzern ist, besteht der gesetzliche Zugriff.
Wie wenig das theoretisch ist, zeigte der Juni 2025. Die französische Microsoft-Tochter bestätigte unter Eid vor dem französischen Senat, dass sie Datensouveränität gegenüber US-Behörden nicht garantieren kann. Das gilt selbst für Daten, die in Frankreich unter einem als souverän vermarkteten Angebot liegen. Die als souverän beworbenen Angebote der US-Hyperscaler senken Risiken bei Residenz, beim Standort des Betriebspersonals und bei Teilen der Telemetrie. An der Eigentümerstruktur ändern sie nichts. Die CLOUD-Act-Lücke bleibt.
Was sich 2026 bewegt
Am 1. Juni 2026 veröffentlichte die EU-Kommission ein formales Bewertungsraster für Cloud-Souveränität. Das Framework bewertet Anbieter über acht Souveränitäts-Ziele. Eine Lieferketten-Dimension ist ausdrücklich enthalten. Der CLOUD Act ist darin als Rechtsrisiko namentlich aufgeführt. US-eigene Anbieter werden dadurch unabhängig von der Zahl ihrer EU-Rechenzentren nach unten gedeckelt.
Das bleibt kein Papier. Im April 2026 vergab die EU-Kommission einen Auftrag über 180 Millionen Euro für eine souveräne Cloud-Lösung für die EU-Institutionen. Der Auftrag ging an vier europäische Anbieter statt an die US-Hyperscaler. Die europäische Souveränitäts-Initiative Gaia-X erreichte 2025 über 400 zertifizierte Dienstanbieter. Die Kommission definiert Souveränität also nicht nur, sie unterlegt sie mit Geld und mit einem Ökosystem.
Was Teams jetzt tun sollten
Der erste Schritt ist unspektakulär und wird trotzdem oft übersprungen: die Lieferketten-Daten nach Sensibilität klassifizieren. Nicht jeder Lieferantendatensatz ist gleich kritisch. Die wirklich wettbewerbssensiblen Daten und die Sorgfaltspflicht-Daten verdienen die höchste Aufmerksamkeit, der Rest darf pragmatischer behandelt werden.
Zweitens muss Portabilität gesichert sein. Verträge und Architektur sollten einen Anbieterwechsel ohne prohibitive Kosten und ohne Datenverlust erlauben. Drittens gehören konkrete Souveränitäts-Anforderungen in die Beschaffung: Nachweise zur Eigentümerstruktur, zur anwendbaren Rechtsordnung und zu den geltenden Zugriffsrechten. Das Marketing-Label „souverän“ ersetzt diese Prüfung nicht.
Ehrlich bleibt: Offen ist, wie streng das EU-Framework in der Praxis angewendet wird und wie schnell europäische Anbieter für alle kritischen Lieferketten-Workloads skalieren. Unternehmen mit globalen Ketten müssen zudem klären, wie sie unterschiedliche nationale Souveränitätsanforderungen konsistent erfüllen. Ein einheitlicher Standard dafür fehlt bis heute.
- Die Unterscheidung zwischen Datenresidenz und Datensouveränität ist angekommen
- Das EU-Framework vom 1. Juni 2026 liefert ein konkretes Raster mit Lieferketten-Dimension
- Der 180-Millionen-Euro-Auftrag an europäische Anbieter setzt ein klares Marktsignal
- Die CLOUD-Act-Risiken für US-Konzerne bestehen fort, auch bei „souveränen“ Angeboten
- Die praktische Durchsetzung des Frameworks in Beschaffung und Audits steht aus
- Globale Ketten mit Daten in vielen Jurisdiktionen brauchen weiter Einzelfallprüfung
Häufige Fragen
Was ist eine souveräne Cloud?
Eine souveräne Cloud stellt sicher, dass die rechtliche Hoheit über die Daten bei der nutzenden Organisation oder der zuständigen europäischen Rechtsordnung bleibt. Sie geht über die reine Datenresidenz hinaus. Entscheidend ist, dass weder ausländische Behörden noch der Anbieter selbst aufgrund ausländischer Gesetze Zugriff erzwingen können. Die Kontrolle bleibt auch dann erhalten, wenn sich politische oder rechtliche Bedingungen ändern.
Welche Lieferketten-Daten sind besonders sensibel?
Lieferanten-Stammdaten, Einkaufskonditionen, Herkunfts- und Zolldaten sowie die Sorgfaltspflicht-Daten nach Lieferkettengesetz und EU-Sorgfaltspflichtenrichtlinie. Diese Daten offenbaren Lieferbeziehungen, Konditionen und Risikobewertungen und damit zentrale Teile der Wettbewerbsposition.
Warum reichen EU-Rechenzentren allein nicht aus?
Der CLOUD Act erlaubt US-Behörden den Zugriff auf Daten von US-Konzernen unabhängig vom Speicherort. Die französische Microsoft-Tochter hat 2025 vor dem Senat bestätigt, dass auch lokal gespeicherte Daten unter souverän vermarkteten Angeboten nicht gegen diesen Zugriff geschützt sind.
Was ändert das EU Cloud Sovereignty Framework konkret?
Es bewertet Anbieter systematisch anhand von acht Zielen. Die Lieferketten-Dimension und der CLOUD Act als Risiko sind darin ausdrücklich berücksichtigt. US-Anbieter erhalten dadurch eine klare Obergrenze, unabhängig von der Zahl ihrer europäischen Rechenzentren.
Wie gehen Unternehmen bei der Auswahl vor?
Sie klassifizieren die Daten, sichern Portabilität und schreiben konkrete Anforderungen zur Eigentümerstruktur und Rechtsordnung in die Beschaffung. Das Label „souverän“ ersetzt diese Prüfung nicht.
Lesetipps der Redaktion
cloudmagazinKRITIS in die Cloud: Was die Migration absichertcloudmagazinC5-Testate zwingen Mittelständler zum Cloud-ReversecloudmagazinKI-Souveränität beginnt bei der InfrastrukturMehr aus dem MBF Media Netzwerk
MyBusinessFutureInvestitionsstau: Wie KI verborgene Budgets freilegtDigital ChiefsDie IT entscheidet, ob der Spin-off sich auszahltSecurityTodayDer AI Act ist in Wahrheit ein Security-GesetzBildquelle: KI-generiert (Juli 2026)
