Ein abgeschaltetes Kabel macht noch keine digitale Souveränität

Am 24. Oktober will AWS seine European Sovereign Cloud in Brandenburg für mehrere Stunden vom globalen AWS-Netzwerk trennen. Laut AWS soll der Test zeigen, dass die Cloud innerhalb der EU unabhängig betrieben werden kann. Siehe AWS Security Blog

Das ist ein relevanter technischer Nachweis. Er verdient eine sachliche Einordnung.

Denn digitale Souveränität hat mehr als eine technische Seite. Eine Cloud kann ohne Verbindung zu einem globalen Netzwerk weiterlaufen und trotzdem Teil eines Unternehmens bleiben, das seinen Sitz und seine rechtliche Heimat in den USA hat. Der Test zeigt, was bei einer unterbrochenen Verbindung geschieht. Er verändert nicht die Eigentumsverhältnisse und beantwortet auch nicht die Frage, welchem Recht der Anbieter unterliegt.

Genau deshalb sollte man bei Souveränitätsversprechen genauer hinschauen. Wo stehen die Server? Wer betreibt sie? Wer kontrolliert Software und Infrastruktur? Und wer kann im Ernstfall Entscheidungen treffen, die den Betrieb oder den Zugang zu Daten beeinflussen?

Der CLOUD Act ist dabei ein wichtiger Teil der Debatte. Er knüpft an die US-Gerichtsbarkeit über Unternehmen an – nicht allein an den Standort eines Rechenzentrums. Ein Netzwerktest beantwortet also nicht automatisch die Frage nach möglichen rechtlichen Zugriffen. Das heißt nicht, dass der AWS-Test wertlos wäre. Er kann zeigen, dass bestimmte technische Abhängigkeiten beherrschbar sind. Nur sollte man daraus keine umfassende Souveränität ableiten.

Auch der ZenDiS-Kriterienkatalog macht deutlich, dass digitale Souveränität mehr umfasst als den Serverstandort. Er nennt unter anderem die bewusste Steuerung von Abhängigkeiten und die Fähigkeit, wesentliche digitale Komponenten wieder verlassen zu können. Er warnt zugleich davor, dass sich der Begriff Souveränität auf ein Marketingversprechen verengt, wenn Rechtsstandort und Zugriffsmöglichkeiten außen vor bleiben. zendis.de

Daher eine einfache Frage: Warum muss man eine Cloud erst testweise von ihrer globalen Infrastruktur trennen, um ihre europäische Unabhängigkeit zu demonstrieren?

Europäische Lösungen wie xworks.365, Stackfield oder meetergo müssen diesen transatlantischen Nachweis nicht erst erbringen. Sie werden von einem europäischen Unternehmen entwickelt, gestaltet und betrieben. Mit dem Anspruch, europäische Anforderungen von Anfang an mitzudenken. Die Daten bleiben in Europa. Und der Anbieter unterliegt nicht dem CLOUD Act.

Ich will damit bewusst nicht behaupten, dass jede europäische Lösung automatisch souverän wäre. Auch europäische Anbieter müssen transparent zeigen, wie sie ihre Dienste betreiben, Abhängigkeiten begrenzen und einen Wechsel ermöglichen. Aber die Ausgangslage zählt: Wer europäische digitale Souveränität sucht, kann auf Lösungen setzen, deren europäische Verankerung nicht erst durch einen besonderen Netzwerktest plausibel werden soll.

AWS kann mit seinem Test einen technischen Punkt belegen. Für die digitale Souveränität Europas bleibt die entscheidende Frage größer:

Wer hat Kontrolle über unsere digitale Infrastruktur – und wer trägt die rechtliche Verantwortung dafür?