Digitale Souveränität: EU verbietet US-Cloud für sensible Daten

EU-Kommission verbietet US-Cloud-Dienste für sensible Daten. Deutsche Anbieter wie T-Systems positionieren sich im öffentlichen Sektor.

Kernstück ist ein Verbot von US-Cloud-Diensten für sensible Daten aus Gesundheitswesen, Finanzsektor und Justiz. Betroffen sind Anbieter wie Amazon Web Services, Microsoft Azure und Google Cloud, die rund 80 Prozent des europäischen Cloud-Marktes kontrollieren.

Anzeige

Angesichts der strengen EU-Vorgaben zur digitalen Souveränität und der massiven Bußgelder bei Verstößen müssen Unternehmen ihre Dokumentationspflichten jetzt lückenlos erfüllen. Diese kostenlose Excel-Vorlage hilft Ihnen, Ihr Verarbeitungsverzeichnis gemäß Art. 30 DSGVO rechtssicher und mit minimalem Zeitaufwand zu erstellen. Gratis Muster-Verarbeitungsverzeichnis jetzt herunterladen

Der Schritt ist eine direkte Reaktion auf den US-Cloud-Act, der amerikanischen Behörden den Zugriff auf Kundendaten unabhängig vom Speicherort erlaubt. Hinzu kommen jüngste Sicherheitslücken in internationalen Datenabkommen. Die neue Verordnung führt acht konkrete Souveränitätsziele, fünf Assurance-Level und einen „Souveränitäts-Score" zur Bewertung von Infrastrukturanbietern ein.

Neue Fristen für KI-Regulierung und BSI-Standards

Der Zeitplan für die Umsetzung des AI Acts steht jetzt fest. Bis zum 2. Dezember 2026 müssen Transparenzlösungen für KI-generierte Inhalte und ein Verbot von „Nudifier"-Anwendungen umgesetzt sein. Hochrisiko-KI-Systeme in eigenständiger Form müssen bis Dezember 2027 konform sein, während in Produkte integrierte Hochrisiko-KI bis August 2028 Zeit hat.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat bereits im Frühjahr seine aktualisierten C5:2026-Kriterien veröffentlicht. Der Katalog umfasst 168 Anforderungen in 17 Themenbereichen – darunter Container-Management, Post-Quanten-Kryptografie und Confidential Computing. Die neuen Standards werden ab dem 1. Juni 2027 verbindlich.

Anzeige

Die im Artikel genannten Fristen der EU-KI-Verordnung stellen IT-Abteilungen und die Geschäftsführung vor komplexe neue Compliance-Herausforderungen. Dieser kompakte Umsetzungsleitfaden bietet Ihnen einen klaren Überblick über alle Risikoklassen, Pflichten und Übergangsfristen des AI Acts. Kostenloses E-Book zum EU AI Act sichern

Der Handlungsdruck ist enorm: Die Behörden meldeten im ersten Quartal 2026 einen Anstieg der Banking-Trojaner-Fälle um 196 Prozent auf 1,24 Millionen Fälle. Die finanziellen Risiken sind ebenfalls beträchtlich – bis März 2026 summierten sich die GDPR-Bußgelder auf 6,11 Milliarden Euro in knapp 2.900 Verfahren.

Deutsche Anbieter positionieren sich im öffentlichen Sektor

Die Telekom-Tochter T-Systems hat einen wichtigen Erfolg erzielt: Seit gestern ist die T Cloud Public in das GovTech-Rahmenabkommen für Cloud- und KI-Dienste aufgenommen. Das ermöglicht Behörden den Bezug von Infrastruktur, die Daten ausschließlich in deutschen Rechenzentren verarbeitet und die Standards BSI C5 sowie ISO 27001 erfüllt. Ein Vorzeigeprojekt ist die Migration der Moodle-Plattform für 1,5 Millionen Schüler in Baden-Württemberg.

Parallel dazu haben BSI Software und T-Systems im ersten Quartal 2026 eine Kooperation gestartet. Ziel ist eine rein europäische SaaS-Plattform für Kundenbeziehungsmanagement, die Banken, Versicherungen und Energieversorgern die Risiken des US-Cloud-Acts erspart.

Auch internationale Player reagieren: Fujitsu und das KI-Forschungsunternehmen Anthropic gaben heute eine Partnerschaft bekannt. Der Claude-KI-Modell wird in Fujitsus sichere Infrastruktur für regulierte Sektoren integriert. Anthropic wurde im Februar bei einer Series-G-Finanzierungsrunde mit 380 Milliarden Euro bewertet und erzielt laut einem April-Bericht annualisierte Einnahmen von 30 Milliarden Euro.

Die Abhängigkeitsfalle und der Ruf nach ethischer KI

Eine gestern veröffentlichte Allianz-Studie zeichnet ein alarmierendes Bild: Obwohl der KI-bezogene Handel bis 2025 auf geschätzte 3,8 Billionen US-Dollar anwuchs, sind europäische Unternehmen massiv von Importen abhängig. 57 Prozent der IT-Ausrüstung stammen aus fünf asiatischen Ländern, asiatische Anbieter halten 65 Prozent am Exportmarkt für KI-Technologien.

Die ethische Debatte gewinnt an Fahrt. Nach der Veröffentlichung der päpstlichen Enzyklika „Magnifica Humanitas" durch Papst Leo XIV. am Montag sprach sich Digitalminister Karsten Wildberger (CDU) gestern für „ethische KI aus Europa" aus. „Eine souveräne und wertebasierte KI-Infrastruktur ist Voraussetzung für demokratische Selbstbestimmung", so Wildberger.

Der Digitalverband Bitkom legte gestern ein Positionspapier vor, das für einen risikobasierten Ansatz und die Harmonisierung der Souveränitätsanforderungen in der EU plädiert. Ziel sei es, Marktfragmentierung zu vermeiden und die Wettbewerbsfähigkeit europäischer Unternehmen zu sichern.

Sicherheitslücken und die neue Bedrohungslage

Die Dringlichkeit der Maßnahmen zeigt sich in aktuellen Studien: 63 Prozent der Organisationen können derzeit keine Zweckbindung für autonome KI-Agenten durchsetzen, 60 Prozent fehlt die technische Möglichkeit, fehlleitende Agenten zu stoppen. Nur 43 Prozent haben eine zentrale KI-Governance-Ebene implementiert.

Die Bedrohung durch spezialisierte KI-Modelle wie „Mythos", die autonom Software-Sicherheitslücken identifizieren und verketten können, verkürzt die Reaktionszeit für IT-Sicherheitsteams drastisch. Unter den Rahmenwerken NIS2 und DORA gelten 24-Stunden-Meldefristen für schwerwiegende Vorfälle. Die Folgen sind gravierend: 90 Prozent der Angriffe nutzen kompromittierte Identitäten, und Unternehmen benötigen im Schnitt 24 Tage, um den Vollbetrieb nach einer größeren Störung wiederherzustellen.

Ausblick: Der Weg zur digitalen Souveränität

Bis zur verbindlichen Einführung der BSI-C5:2026-Standards im Juni 2027 steht der europäische Technologiesektor vor einer Phase rasanter Konsolidierung und technischer Aufrüstung. Großprojekte wie der 1,25 Milliarden Euro monatliche Rechenzentrumsdeal mit SpaceX bis Mai 2029 zeigen: Der Weg zur Unabhängigkeit führt über komplexe Verträge mit globalen Playern.

Der Erfolg des Tech-Souveränitätspakets wird sich an der Akzeptanz europäischer Alternativen wie Hetzner oder Mistral AI bei kleinen und mittleren Unternehmen messen lassen. Zwar nutzen 79 Prozent der italienischen KMU KI, aber weniger als 40 Prozent haben formelle Nutzungsrichtlinien. Die ersten „KI-Reallabore", die bis August 2027 eingerichtet werden sollen, werden zeigen, ob Europa den Spagat zwischen ethischer KI und wirtschaftlichem Wachstum schafft.