Souveränität in Stufen: Wie sich Unabhängigkeit messen lässt 

Von der Haltung zur Messgröße 

Das Framework bewertet Cloud-Dienste gegen acht sogenannte Sovereignty Objectives und fasst das Ergebnis in einer fünfstufigen Skala zusammen: SEAL, kurz für Sovereignty Effectiveness Assurance Level, von 0 bis 4. 

Entscheidend ist weniger die Skala selbst als ihre Anwendung. In der Ausschreibung mussten Bieter mindestens SEAL-2 erreichen, die Stufe der Datensouveränität. Wer das nicht nachweisen konnte, war aus dem Verfahren heraus. 

Am oberen Ende steht SEAL-4. Diese Stufe verlangt eine europäische Lieferkette von den Chips bis zur Software. Sie ist damit weniger ein realistisches Ziel für einzelne Anbieter als eine Beschreibung dessen, was Europa derzeit nicht hat. 

Die veröffentlichten Ergebnisse zeigen, wo der Markt tatsächlich steht. Post Telecom erreichte gemeinsam mit CleverCloud und OVHcloud SEAL-3, ebenso STACKIT und Scaleway. Proximus mit S3NS erreichte SEAL-2. Die Spitze der Skala blieb leer. 

Der Sprung von SEAL-2 auf SEAL-3 ist dabei der entscheidende. SEAL-2 verlangt kundenseitig kontrollierte Verschlüsselung, Auditrechte und vertraglich zugesicherte Datenhaltung in der EU. Die Muttergesellschaft des Anbieters darf auf dieser Stufe weiterhin außerhalb Europas sitzen. SEAL-3 lässt das nicht mehr zu: europäisch kontrollierter Anbieter, europäische Rechtsordnung, europäische Betreiber, zertifiziert durch eine anerkannte EU-Stelle. Zugriff von außerhalb muss über ein europäisches Gericht laufen. 

Was die Messung sichtbar macht 

Ein zweites Messverfahren entstand unabhängig davon auf kommunaler Ebene. Das IT-Referat der Landeshauptstadt München hat gemeinsam mit der Technischen Universität München einen Score für Digitale Souveränität entwickelt. Angewendet wurde er im September und Oktober 2025. Aus 2.780 städtischen Anwendungsservices wählte die Stadt 194 besonders geschäftskritische aus und ordnete sie über einen Fragebogen mit quantitativem Bewertungsverfahren in fünf Kategorien ein. 

Der methodische Kern beider Verfahren ist derselbe. Souveränität wird nicht als Eigenschaft behandelt, die ein Dienst hat oder nicht hat, sondern als Grad, der sich aus mehreren Dimensionen zusammensetzt: Herstellerabhängigkeit, Wechselmöglichkeit, Datenhoheit, geltendes Recht. 

Erst diese Zerlegung macht die Frage bearbeitbar. Ein Bestand mit 2.780 Diensten lässt sich nicht als Ganzes bewerten, einzelne kritische Dienste schon. Darin liegt der praktische Wert. Aus der Frage, ob ein Unternehmen souverän ist, wird die Frage, welcher Dienst es an welcher Stelle nicht ist und wie schwer das wiegt. Die erste Frage lässt sich nur mit einem Gefühl beantworten, die zweite mit einer Liste. 

Wo Sicherheit in die Bewertung einfließt 

Souveränität wird in diesem Rahmen nicht getrennt von IT-Sicherheit gedacht. Eines der acht Objectives betrifft ausdrücklich Security und Compliance und fragt nach Zertifizierungen sowie nach der Erfüllung von DSGVO, NIS2 und DORA. Cyber Security wird damit zu einem Vergabekriterium und nicht mehr nur zu einer Betriebsaufgabe. Damit wandert die Informationssicherheit von der technischen Ebene auf die Bewertungsebene: Sie ist nicht mehr nur eine Frage der Konfiguration, sondern ein Kriterium, das über die Vergabe mitentscheidet. 

Praktisch trennt das zwei Dinge, die in Ausschreibungen oft vermischt werden. Datensicherheit beschreibt, wie gut ein Dienst gegen Verlust und unbefugten Zugriff geschützt ist. Datenhoheit beschreibt, wer im Streitfall über den Zugriff entscheidet. Ein Anbieter kann die erste Frage vorbildlich beantworten und bei der zweiten durchfallen, wenn seine Muttergesellschaft einer fremden Rechtsordnung untersteht. Für sensible Daten aus Finanzwesen, Gesundheit oder öffentlicher Verwaltung ist genau diese Unterscheidung der Kern der Sache. 

Für die eigene Cloud Security heißt das, beide Nachweise getrennt einzufordern: die Zertifizierung für den Schutz und die Eigentümer- und Rechtslage für die Kontrolle. 

Wo die Messung an ihre Grenzen kommt 

Zwei Einschränkungen gehören dazu, sonst entsteht ein falscher Eindruck von Präzision. 

Die erste betrifft die Gewichtung. Wie stark eine einzelne Dimension in das Gesamtergebnis einfließt, ist eine politische Entscheidung und keine technische. Am stärksten wiegt die Lieferketten-Souveränität mit 20 Prozent, am schwächsten die ökologische Nachhaltigkeit mit 5 Prozent. Die hohe Gewichtung der Lieferkette benachteiligt nahezu alle Anbieter gleichermaßen, weil Hardware und große Teile der Software ohnehin nicht aus Europa kommen. Sie sagt damit mehr über den Standort Europa aus als über den einzelnen Dienst. 

Die zweite betrifft den Abstand zwischen Messung und Beschaffung. Eine Kommune kann einen Souveränitäts-Score entwickeln und im selben Zeitraum einen Großauftrag an einen Anbieter vergeben, dessen Bewertung dem eigenen Ziel widerspricht. Ein Messverfahren erzeugt Transparenz, es erzeugt keine Konsequenz. Wirksam wird ein Score erst, wenn er in Vergabekriterien und Vertragsklauseln landet, und das ist eine organisatorische Aufgabe, keine methodische. 

Der Kontext macht deutlich, warum das nicht akademisch ist. Der Marktanteil europäischer Anbieter am europäischen Cloud-Markt ist nach Zahlen der Kommission von rund 29 Prozent im Jahr 2017 auf etwa 15 Prozent im Jahr 2022 gefallen. Die Messung beschreibt also einen Markt, der sich in die Gegenrichtung entwickelt hat. 

Was daraus für die eigene Landschaft folgt 

Der Cloud and AI Development Act, den die Kommission am 3. Juni 2026 vorgeschlagen hat, greift das Framework auf und arbeitet mit vier Union-Assurance-Levels. Für die öffentliche Verwaltung dürfte daraus ein verbindlicher Beschaffungsstandard werden. Unternehmen, die an öffentliche Auftraggeber liefern oder deren Kunden das tun, bekommen die Frage damit weitergereicht, unabhängig davon, ob sie selbst ausschreiben. 

Vier Fragen reichen für eine erste Einordnung des eigenen Bestands. Sie entsprechen den Dimensionen, die beide Verfahren bewerten: 

• Eigentum: Wer besitzt den Anbieter, und wer entscheidet dort über strategische Fragen? 

• Recht: Welche Rechtsordnung gilt im Streitfall, und welche Offenlegungspflichten bestehen dort? 

• Wechsel: Wie lange dauert ein Wechsel realistisch, und was kostet er über die Gebühren hinaus? 

• Schnittstellen: Welche Schnittstellen und Datenformate sind offen genug, dass ein Wechsel technisch überhaupt möglich ist? 

Angewendet auf die drei oder vier wichtigsten Workloads ergibt das in wenigen Stunden ein belastbares Bild. Angewendet auf den gesamten Bestand ergibt es ein Projekt, deshalb hat München mit 194 von 2.780 Diensten begonnen und nicht mit allen. 

Anbieter lassen sich an derselben Logik prüfen. Yorizon betreibt seine Infrastruktur in deutschen Rechenzentren, legt die Eigentümerstruktur offen und setzt auf offene Technologien statt proprietärer Systeme. Das sind Kriterien, die in beiden Verfahren bewertet werden. Ob es für einen bestimmten Workload ausreicht, hängt von dessen Anforderungen ab und nicht von der Selbstbeschreibung eines Anbieters. 

Fazit 

Souveränität ist messbar geworden, und das verschiebt die Debatte. Wer bisher Marketingversprechen gegeneinander abwägen musste, kann jetzt Stufen vergleichen. Dazu gehört die Erkenntnis, dass die Spitze der Skala in einer Ausschreibung über 180 Millionen Euro von keinem Bieter erreicht wurde. Das ist kein Grund zur Beruhigung, aber ein Anfang. Was gemessen wird, lässt sich steuern. 

Quellen 

• Europäische Kommission: Cloud Sovereignty Framework 

  https://commission.europa.eu/document/download/09579818-64a6-4dd5-9577-446ab6219113_en 

• Europäische Kommission: Commission advances cloud sovereignty through strategic procurement, 17.04.2026 

  https://commission.europa.eu/news-and-media/news/commission-advances-cloud-sovereignty-through-strategic-procurement-2026-04-17_en 

• SEAL Framework Explained: EU Cloud Sovereignty Levels 0 bis 4 

  https://www.eucloudpatterns.eu/seal-framework/ 

• Europäische Kommission: Vorschlag für den Cloud and AI Development Act (CADA) 

  https://digital-strategy.ec.europa.eu/en/library/proposal-cloud-and-ai-development-act-cada 

• Landeshauptstadt München: Eigener Score macht IT-Souveränität messbar 

  https://ru.muenchen.de/2026/21/Eigener-Score-macht-IT-Souveraenitaet-messbar-122625 

• Cloud Sovereignty Framework: Digitale Souveränität in der Vergabe 

  https://blog.cosinex.de/2026/04/13/cloud-sovereignty-framework-eu-beschaffung/