Nach 15 Jahren Cloud-Hype rücken Fragen nach Jurisdiktion, Haftung und Exit-Fähigkeit in den Mittelpunkt. Europäische Anbieter sollten keine Hyperscaler kopieren, sondern auf andere Stärken setzen.
Die Cloud hat drei Phasen durchlaufen: die Verheißung mit möglichst vielen Diensten, die Ernüchterung über unverständliche Rechnungen und Abhängigkeiten sowie die aktuelle Reifephase. „Niemand fragt mehr, ob Cloud, sondern: zu welchem Preis und unter welchem Recht?“, sagt Uwe Geier. Rund 90 Prozent der Souveränitätsdebatte drehten sich dabei nicht um den Datenstandort, sondern um die Frage, wer den Stack betreibt und wer haftet.
Reife statt Dienstevielfalt
Hyperscaler betreiben mittlerweile Rechenzentren in Frankfurt mit europäischem Personal, bleiben aber durch die amerikanische Muttergesellschaft dem CLOUD Act unterworfen. Den Wettlauf um 200 Services will Geier nicht aufnehmen: „Die meisten Workloads brauchen vielleicht ein Dutzend Dienste, die vernünftig funktionieren – und nicht Hunderte.“ IONOS fokussiere sich auf Compute, Storage, Netzwerk, Kubernetes und Plattform-Services wie Database as a Service – mit Transparenz und vorhersagbaren Kosten.
Die Sicherheit eines Cloud-Dienstes lässt sich über unabhängige Prüfverfahren wie ISO 27001 oder ein BSI-C5-Testat nachweisen. Für die Souveränität hat das BSI im April 2026 den Kriterienkatalog C3A vorgelegt. Er gliedert sich in sechs Dimensionen und fragt unter anderem, wo und von wem ein Dienst betrieben wird, welche Software- und Hardware-Komponenten zum Einsatz kommen und welchem Rechtsrahmen der Anbieter unterliegt. Damit werde Souveränität messbar und höre auf, ein bloßes Adjektiv zu sein.
Bei künstlicher Intelligenz verschärft sich die Lage: Der Prompt wird zum eigentlichen Dokument. „Bei KI ist der Standort der Telemetrie der Standort der Inhalte“, warnt Geier. Monitoring und Tracing erfolgten oft außerhalb Europas, selbst wenn die Inferenz als souverän deklariert sei. IONOS setze deshalb auf offene Modelle in deutschen Rechenzentren.
Confidential Computing als neue Stufe
Ein neuer Baustein ist Confidential Computing: Der Schlüssel zum Betrieb der virtuellen Maschine liegt im Prozessor, ein externer Attestierungsserver validiert die Unversehrtheit. Bislang musste man dem Anbieter glauben, dass er nicht in die Daten schaut. Mit Confidential Computing, so Geier, wird daraus eine technische Gewissheit, denn der Betreiber kann nicht mehr hineinsehen. Besonders für den Finanzsektor mit seinen DORA-Vorgaben spiele das eine wichtige Rolle.
Exit-Fähigkeit entsteht laut Geier nicht durch Vertragsklauseln, sondern durch Infrastructure as Code und offene Schnittstellen. Als Trends nennt er generative KI, die souveräne Cloud, Confidential Computing, die Multicloud und Edge Computing.
Dieser Podcast ist vom Arbeitgeber des Interviewpartners gesponsert.