Wo die souveräne Cloud Sinn macht – und wo nicht

Das falsche Cloud-Modell zu wählen, kann Millionen kosten. Unsere Expertin weiß, wie Sie teure Fehlentscheidungen vermeiden. Miljan Zivkovic | shutterstock.com



Es sind vor allem drei Begriffe, die die Cloud-Diskussion in deutschen Unternehmen derzeit dominieren: Sovereign Cloud, Private Cloud und Hyperscaler. Alle drei Optionen klingen nach Kontrolle, versprechen Sicherheit – und bilden jeweils ein grundlegend anderes Konzept ab.



Die daraus resultierende Entscheidungsunsicherheit war auch auf der “European Identity and Cloud Conference 2026“ in Berlin eines der meistdiskutierten Themen unter Praktikern. Das Problem: Viele Unternehmen treffen diese Entscheidung unter regulatorischem Druck und mit unvollständigen Informationen – meist einem Mix aus Marketingversprechen und technischen Halbwahrheiten.



Im Ergebnis stehen häufig überteuerte Architekturen, die regulatorisch trotzdem angreifbar bleiben – oder günstige Lösungen, die im Ernstfall nicht halten, was sie versprechen. Wer heute eine Cloud-Strategie entwickelt oder eine bestehende überprüft, muss verstehen, was hinter den einzelnen Cloud-Modellen steckt, wo die Unterschiede liegen und wann welches Modell sinnvoll ist. Dafür liefert dieser Artikel die Grundlage.



Sovereign Cloud, Private Cloud und Hyperscaler im Vergleich



Zunächst ein Blick auf die einzelnen Cloud-Modelle und ihre jeweiligen Vor- und Nachteile.



Hyperscaler Cloud



Die großen US-amerikanischen Cloud-Plattformen Amazon Web Services (AWS), Microsoft Azure und Google Cloud Platform (GCP) bieten:




nahezu unbegrenzte Rechenkapazität,



ein breites Serviceangebot und



eine ausgereifte Infrastruktur, sowie



(dank Skaleneffekten) vergleichsweise niedrige Preisen.




Der entscheidende Nachteil: Die Infrastruktur unterliegt US-amerikanischem Recht. Der CLOUD Act von 2018 gibt US-Behörden das Recht, auf Daten zuzugreifen, die von amerikanischen Unternehmen gespeichert werden – unabhängig davon, ob die Server in Frankfurt, Dublin oder anderswo stehen.



Private Cloud



Eine Private Cloud ist eine Cloud-Infrastruktur, die ausschließlich für eine Organisation betrieben wird – entweder im eigenen Rechenzentrum (On-Premises) oder bei einem Dienstleister, der die Infrastruktur dediziert bereitstellt. Der Hauptvorteil besteht dabei in der vollständigen Kontrolle über Hardware, Software und Daten.



Die wesentlichen Nachteile sind hingegen – insbesondere im Fall einer On-Premises-Lösung – hohe Investitions- und Betriebskosten, geringere Flexibilität und die Notwendigkeit, eigene Expertise aufzubauen.



Sovereign Cloud



Die Sovereign Cloud ist in erster Linie ein rechtliches und organisatorisches Konzept – kein technisches. Es gibt zwei grundlegend verschiedene Ansätze:




Die Sovereign-Cloud-Angebote der Hyperscaler (AWS European Sovereign Cloud, Microsoft Cloud for Sovereignty, Google Sovereign Cloud) sind spezielle Angebote, bei denen europäische Tochtergesellschaften die Infrastruktur betreiben, Customer Managed Keys eingesetzt werden und vertragliche Zusicherungen gegeben werden. Das ist technisch ausgereift, aber teurer — und die rechtliche Robustheit ist noch nicht vollständig gerichtlich erprobt.



Die Sovereign-Cloud-Lösungen europäischer Anbieter (etwa Ionos, Hetzner, OVHcloud, Deutsche Telekom oder SAP) unterliegen vollständig EU-Recht. Das sorgt für einen klaren rechtlichen Rahmen, ohne „CLOUD-Act-Problematik“. Dafür müssen sich Kunden in der Regel aber mit einem schmaleren Serviceangebot begnügen.




Die nachfolgende Tabelle zeigt die einzelnen Cloud-Modelle im direkten Vergleich:



KriteriumHyperscaler (Standard)Sovereign Cloud (Hyperscaler)Sovereign Cloud (EU-Anbieter)Private CloudDatenspeicherortEU möglichEU, vertraglichEU, rechtlich gesicherteigene KontrolleCLOUD-Act-Risikovorhandenreduziertkein direktes US-Risikokeines bei EigenbetriebNIS2/KRITIS-EignungeingeschränktgutgutgutServiceangebotsehr breitbreit, eingeschränktmittelvariiertKI/ML-Dienstevollumfänglichteilweise eingeschränkteingeschränktselbst zu betreibenRelative Kostengünstig15% bis 30% teurervergleichbarhoch (Invest und Betrieb)Skalierbarkeitsehr hochhochmitteleingeschränktAnbieter-AbhängigkeithochhochmittelgeringExit-Komplexitäthochsehr hochmittelniedriger



Ein Entscheidungsbeispiel aus der Praxis



Ein mittelständischer Maschinenbauer mit 800 Mitarbeitern und Kunden in der Automobilindustrie steht vor einer typischen Entscheidung: Die bestehende IT-Infrastruktur soll modernisiert sowie KI-gestützte Predictive-Maintenance-Prozesse eingeführt werden. Als Zulieferer fällt das Unternehmen zudem in den Anwendungsbereich von NIS2. Hier sollte im Ergebnis nicht eine „Alles oder nichts“-Lösung stehen, sondern eine differenzierte Multi-Cloud-Strategie, die regulatorische Anforderungen erfüllt und gleichzeitig wirtschaftlich sinnvoll ist:




Die Produktionsdaten und Anlagendaten – Sensordaten, Steuerungsprotokolle, OT-Verbindungen – sind NIS2-relevant und hochsensibel. Hier ist Sovereign Cloud oder Private Cloud angezeigt.



Die KI-Entwicklungsumgebung für die Predictive-Maintenance-Plattform arbeitet mit anonymisierten Trainingsdaten. Hier wäre das Standard-Hyperscaler-Modell die wirtschaftlichste Wahl, weil das ein umfängliches KI/ML-Serviceangebot bietet und keine regulatorischen Verpflichtungen mit sich bringt.



Die internen Collaboration-Tools haben keine besondere Schutzstufe, daher reicht hierfür ebenfalls eine Standard-Hyperscaler– oder auch eine SaaS-Lösung aus.




Die häufigsten Fehler bei der Cloud-Wahl



Unabhängig von Branche und Unternehmensgröße beobachte ich in der Praxis von Beratungsprojekten die folgenden fünf Fehler immer wieder, wenn es um die Wahl des richtigen Cloud-Modells geht.



1. Datenspeicherort mit Datenkontrolle gleichsetzen



Ein Rechenzentrum in Frankfurt bedeutet nicht, dass Sie die volle Kontrolle über Ihre Daten haben. Die entscheidende Frage ist nicht, wo der Server steht – sondern wer die Schlüssel verwaltet, die Metadaten einsehen kann und wer bei einem Rechtsstreit welche Rechte hat.



2. Sovereign Cloud als Pauschalstrategie betrachten



Die teuerste und häufigste Fehlentscheidung ist, alle Workloads in eine Sovereign-Cloud-Umgebung zu migrieren – ohne sich vorher anzusehen, welche Workloads das tatsächlich benötigen. Für Entwicklungsumgebungen, interne Tools und nicht-regulierte Daten bedeutet die Sovereign Cloud vor allem eines: Aufpreis ohne Mehrwert.



3. Identity Governance vernachlässigen



Eine technisch perfekte Sovereign-Cloud-Infrastruktur nützt wenig, wenn die Zugriffssteuerung unzureichend ist. Wer auf welche Systeme zugreifen darf, entscheidet über das tatsächliche Security-Niveau – insbesondere, wenn es um KI-Agenten und automatisierte Prozesse geht. Ein KI-Agent mit Schreibzugriff auf Produktionssysteme, der auf Sovereign-Cloud-Infrastruktur läuft, aber mit unzureichender Identity Governance operiert, ist eine Schwachstelle – egal, wo der Server steht. Identity Governance ist 2026 die kritische Lücke in den meisten Cloud-Sicherheitsarchitekturen.



4. Exit-Strategie nicht mitdenken



Wer heute in eine Sovereign Cloud der Hyperscaler migriert, muss wissen: Der Ausstieg ist komplexer und teurer als beim Standard-Angebot. Drei Kostenfallen werden dabei regelmäßig unterschätzt:




Wechselkosten, die der EU Data Act zwar seit September 2025 deckelt und ab Januar 2027 ganz abschafft. Dabei werden allerdings nur die Kosten für den Anbieterwechsel selbst erfasst, nicht die laufenden Egress-Kosten in Multi-Cloud-Architekturen.



Vertragliche Mindestlaufzeiten und Volumenzusagen, die Sovereign-Angebote häufig voraussetzen und die der Data Act ausdrücklich unberührt lässt.



Die Abhängigkeit von proprietären Diensten, die sich nicht “mitnehmen” lassen, sondern beim neuen Anbieter nachgebaut werden müssen. An dieser Stelle hilft auch der Data Act nichts.




Exit-Kosten gehören deshalb von Tag eins in die Gesamtkostenrechnung – und eine dokumentierte Exit-Strategie sollte Teil jeder Cloud-Entscheidung sein.



5. Compliance mit Sicherheit verwechseln



NIS2-Konformität und ISO 27001 sagen nichts darüber aus, ob ein Unternehmen im Ernstfall handlungsfähig ist. Compliance bescheinigt, dass Prozesse dokumentiert sind. Sicherheit entsteht durch technische Kontrollen und klare Verantwortlichkeiten.



In 5 Schritten zum richtigen Cloud-Modell



Cloud-Souveränität ist – das zeigt mir jedes Projekt aufs Neue – eine Workload-Entscheidung, keine Glaubensfrage. Wer pauschal migriert, zahlt für Souveränität, wo keine nötig ist und übersieht häufig Lücken, wo sie zählt. Eine belastbare Strategie entsteht vor allem daraus, danach zu fragen, welche Regulierung greift, wie sensibel die Daten sind und wer Schlüssel und Identitäten kontrolliert. Alles andere ist Marketing.



Die folgenden fünf Schritte können Sie dabei unterstützen, das richtige Cloud-Modell für Ihre Bedürfnisse zu wählen.




Regulatorische Pflichten prüfen: Unterliegen Ihre Cloud-Workloads DORA, NIS2, dem EU AI Act oder anderen Regulierungen? Falls ja, ist eine Standard-Hyperscaler-Lösung nur mit zusätzlichen Kontrollen, dokumentierter Risikoabwägung und belastbarer Exit-Strategie vertretbar.



Sensitivität der Daten klassifizieren: Personenbezogene Daten mit Schrems-II-Relevanz oder Betriebsdaten kritischer Infrastrukturen sind sensible Informationen. Generell gilt: Je höher die Sensitivität der Daten, desto stärker sprechen die Argumente für Sovereign oder Private Cloud.



Serviceabhängigkeiten prüfen: Wenn Sie Cloud-Services benötigen, die nur bei Hyperscalern verfügbar sind, etwa KI/ML-Plattformen oder spezialisierte Datenbanken, sind die Sovereign Clouds der Hyperscaler oft der bessere Kompromiss.



Interne Ressourcen realistisch einschätzen: Private Cloud klingt nach Kontrolle — ist aber aufwendig. Um das zu bewältigen, benötigen Sie die richtigen Menschen und Expertise, um dieses Modell professionell zu betreiben.



Kosten-Nutzen-Verhältnis berechnen: Die Sovereign Cloud kostet nach der Einschätzung von Marktexperten typischerweise 15 bis 30 Prozent mehr als ein Standard-Hyperscaler-Angebot. Rechnen Sie durch, welches Modell für Ihren Workload-Mix wirtschaftlich am sinnvollsten ist.




Wann welches Cloud-Modell sinnvoll ist, entnehmen Sie folgender Tabelle:



SituationEmpfohlenes ModellBegründungKRITIS-Betreiber unter NIS2Sovereign CloudNachweispflichten zu Risikomanagement und Lieferkette, persönliche Haftung der GeschäftsleitungFinanzdienstleister unter DORASovereign Cloud (Hyperscaler)breites Serviceangebot und regulatorische ComplianceHochrisiko-KI unter EU AI ActSovereign CloudPflichten ab August 2026; Daten-Governance-Nachweise leichter zu führenKI/ML-Entwicklung, anonymisierte DatenHyperscaler (Standard)vollständiges Serviceangebot, kein RegulierungsdruckInterne Tools, Dev/TestHyperscaler (Standard)kein regulatorischer Bedarf, Kosten optimierenHochsensible Daten, BehördenEU-Anbieter / Private Cloudmaximale rechtliche Klarheit, keine RestrisikenKonstante Workloads, eigene ExpertisePrivate Cloudlangfristig wirtschaftlicher bei vorhersehbarem Bedarf



(fm)



Dieser Beitrag wurde im Rahmen des deutschsprachigen Experten-Netzwerks von Foundry veröffentlicht. Lust mitzumachen? Jetzt bewerben!