85 Prozent der Unternehmen halten Deutschland für zu abhängig von US-Cloud-Anbietern, 80 Prozent wünschen sich Hyperscaler aus Europa. 37 Prozent wären bereit, einen Cloud-Dienst mit ausschließlich deutscher Datenverarbeitung zu nutzen, auch mit weniger Funktionen oder höheren Kosten. Wie viel ist Souveränität wert, wenn die Rechnung kommt?
85 Prozent der Unternehmen halten Deutschland für zu abhängig von US-Cloud-Anbietern, 80 Prozent wünschen sich Hyperscaler aus Deutschland oder Europa, 37 Prozent wären bereit, einen Cloud-Dienst zu nutzen, der Daten ausschließlich in Deutschland und vor ausländischem Zugriff geschützt verarbeitet, auch wenn das mit Nachteilen wie weniger Funktionen oder höheren Kosten verbunden wäre, und 64 Prozent der Unternehmen, die Cloud-Computing nutzen, fühlen sich durch die Politik der US-Regierung gezwungen, ihre Cloud-Strategie zu überdenken; für den Bericht wurden 603 Unternehmen ab 20 Beschäftigten in Deutschland repräsentativ befragt.. Diese Zahlen markieren einen Wendepunkt in der europäischen Digitalpolitik. Die EU hat mit dem Cloud and AI Development Act (CADA) einen Regulierungsvorschlag vorgelegt, der die Abhängigkeit verringern soll. Die Frage lautet: Soll Europa regulieren, um Souveränität zu erzwingen, oder soll es auf den Markt und den Aufbau eigener Anbieter setzen? Während die USA auf die Dominanz ihrer Hyperscaler setzen und China auf staatlich kontrollierte Cloud-Infrastruktur, versucht die EU mit CADA einen dritten Weg: einen regulierten Markt, der Abhängigkeiten reduziert, ohne Autarkie zu verordnen. Dieser Weg ist umstritten, weil er tief in die Kostenstrukturen von Unternehmen und öffentlichen Haushalten eingreift und die Frage aufwirft, wie viel Souveränität wert ist.
Am 3. Juni 2026 verabschiedete die EU-Kommission den Gesetzesvorschlag für den Cloud and AI Development Act (CADA) als Kernstück ihres European Technological Sovereignty Package; er etabliert ein vierstufiges „Union Assurance“-Framework: Level 1 Datenresidenz, Level 2 Lieferketten-Unabhängigkeit von Drittstaaten, Level 3 EU-ansässiges Eigentum und Kontrolle, Level 4 vollständige Lieferkettentransparenz ohne jegliche Drittstaaten-Einmischung; Level 4 ist die Basis-Anforderung für Verteidigungs-Workloads. CADA ist als unmittelbar geltende Verordnung vorgeschlagen und gestaltet den Markt indirekt, statt Anbieter aus Drittstaaten auszuschließen; es stützt sich auf ein auf Mitgliedstaatenebene bereits erprobtes Modell, namentlich das französische SecNumCloud-Regime. Damit ist der Rahmen gesetzt: Die EU will nicht verbieten, sondern Anforderungen staffeln, die je nach Sensibilität der Daten und Anwendungen gelten.
Position A: Regulieren ist notwendig, weil der Markt versagt hat
Die Befürworter der Regulierung verweisen auf die Diskrepanz zwischen Nutzung und Präferenz. Während 71 Prozent der Unternehmen derzeit US-amerikanische Cloud-Angebote nutzen, würden dies im Idealfall nur 8 Prozent bevorzugen; umgekehrt werden deutsche Anbieter von 53 Prozent genutzt, aber von 91 Prozent präferiert; 43 Prozent sehen aktuell keine gleichwertigen europäischen Alternativen zu den großen US-Hyperscalern auf dem Markt. Der Markt hat also keine wettbewerbsfähigen europäischen Angebote hervorgebracht, obwohl die Nachfrage offenbar vorhanden ist. Regulierung soll diesen Markt korrigieren, indem sie Anreize für europäische Anbieter schafft und Mindeststandards setzt.
Allerdings gibt es auch innerhalb der Befürworter Kritik an der konkreten Ausgestaltung. Level 1 und 2 lassen Drittstaatenkontrolle weiterhin zu, solange Schutzmaßnahmen vorhanden sind; US-Hyperscaler, die europäische Rechenzentren betreiben, erfüllen Level 1 ohne strukturelle Änderungen; der europäische Cloud-Anbieterverband CISPE und zivilgesellschaftliche Organisationen warnen daher vor „Sovereignty Washing“; Microsoft hat 2025 vor dem französischen Senat eingeräumt, keine vollständige Datensouveränität für europäische Kunden garantieren zu können.
Zudem ist die Förderung europäischer Anbieter im Entwurf schwach ausgestaltet. Artikel 32 CADA stuft den europäischen Mehrwert innovativer Cloud- und KI-Lösungen ausdrücklich nur als ergänzendes und nicht ausschlaggebendes Kriterium ein; Erwägungsgrund 67 nennt lediglich 15 von 120 Punkten als mögliche Obergrenze; der Entwurf nennt zwar das Ziel, mindestens 25 Prozent der Cloud- und KI-Aufträge an innovative KMU zu vergeben, doch ein Ziel ohne verbindliche Umsetzungsfristen, Mindestvorgaben und Konsequenzen bleibt politisch unverbindlich. Die Regulierung könnte also zu schwach sein, um den Aufbau europäischer Alternativen tatsächlich zu beschleunigen.
Schließlich erweitert CADA die sicherheitspolitische Logik auf kritische Infrastrukturen. Art. 31 CADA erlaubt privaten Einrichtungen aus Annex-I-Sektoren der NIS2-Richtlinie freiwillige Folgenabschätzungen zu geeigneten Assurance Levels; CADA verweist für beschaffungsrelevante öffentliche Tätigkeiten mit Public-Order-Relevanz auf die Sektoren nach Annex I und II der NIS2-Richtlinie; damit ergänzt CADA KRITIS-nahe Risikologiken um die Frage, welches Souveränitätsniveau ein Cloud-Dienst für sensible oder kritische Nutzungen erreichen sollte. Die Diskrepanz zwischen 18 und 115 Mrd. Euro ist der Kern des Streits. Mitchell Rutledge, Policy Manager bei CCIA Europe, sagt: „Taxpayers and businesses will foot the bill, yet the official assessment missed 70 percent of CADA’s true impact.“. Die 115 Mrd. Euro kumulierte wirtschaftliche Belastung im Medium-Szenario übersteigen das gesamte Horizon-Europe-Budget von 93,5 Mrd. Euro für 2021 bis 2027.. Das ist eine enorme Summe, die für Forschung und Innovation fehlen würde.
Die Studie nennt drei kritische blinde Flecken der Kommissions-Folgenabschätzung: das Fehlen von 33,3 Mrd. Euro direkter Belastung öffentlicher Haushalte, das Ignorieren der Kosten für Software-Re-Architektur und Code-Neuschreibung (69 Prozent der realen Wirkung) sowie die Nichtberücksichtigung von Spillover-Kosten der Privatwirtschaft von bis zu 80 Mrd. Euro. Etwa 70 Prozent der mittleren Schätzung würden private Unternehmen treffen, aber nur wenn Artikel 31 angewandt wird, um die Souveränitätsregeln über die Regierungsnutzung hinaus auf private Cloud-Workloads auszudehnen; die Modellierung geht von 25 Prozent der privaten Workloads aus, ein Umfang, der über das von Brüssel Vorgeschlagene hinausgeht. Das ist ein wichtiger Einwand: Die hohen Kosten entstehen nur bei einer Ausweitung, die die Kommission so nicht vorschlägt. Aber selbst das enge Szenario von 35,6 Mrd. Euro ist erheblich.
Der Digitalverband Bitkom begrüßt CADA grundsätzlich, warnt aber vor Überregulierung: Zu breit angelegte Souveränitätsanforderungen könnten den öffentlichen Sektor teurer machen, den Wettbewerb einschränken und Investitionen aus Europa abziehen. Souveränität sei „eine informierte, unabhängige Wahl, keine Autarkie“. Der Bundesverband Öffentlicher Banken Deutschlands (VÖB) fordert, Förderbanken nicht in den Anwendungsbereich von CADA einzubeziehen: Auch wenn sie öffentliche Aufgaben unterstützen und volkswirtschaftlich bedeutsam sind, seien sie „nicht mit originären Staatsfunktionen wie innerer Sicherheit, Verteidigung oder Justiz gleichzusetzen“; eine pauschale Einordnung wäre „weder sachgerecht noch verhältnismäßig“. Diese Einwände zeigen: Selbst innerhalb der Wirtschaft gibt es Widerstand gegen zu breite Anwendung, weil die Kosten auf alle umgelegt würden.
Abwägung: Wo tragen die Belege, wo sind sie dünn?
Die Belege für die Abhängigkeit und den Wunsch nach Souveränität sind robust. Für den Bericht wurden 603 Unternehmen ab 20 Beschäftigten in Deutschland repräsentativ befragt.. Die Diskrepanz zwischen Nutzung und Präferenz ist ein starkes Indiz für Marktversagen. Die Belege für die Kosten sind ebenfalls detailliert, aber sie stammen von einer Lobbygruppe, die die Interessen der US-Hyperscaler vertritt, und basieren auf Modellrechnungen mit Annahmen, die über den Kommissionsvorschlag hinausgehen. Die Kommission selbst rechnet mit deutlich niedrigeren Kosten, und die Studie selbst räumt ein, dass die hohen Zahlen nur bei einer Ausweitung auf private Workloads entstehen, die nicht im Vorschlag steht. Der Kern des Dissenses liegt in der Frage, wie weit die Regulierung gehen soll: Soll sie nur den öffentlichen Sektor betreffen oder auch private Unternehmen? Soll sie echte Autarkie erzwingen oder nur Wahlfreiheit schaffen? Die Datenlage ist asymmetrisch: Für die Notwendigkeit von Souveränität gibt es klare Umfragewerte, für die Kosten gibt es Modellrechnungen mit großer Spannweite. Die Position „selber bauen“ als Alternative zur Regulierung ist dünn belegt: Es gibt keine konkreten Zahlen zu Investitionen in europäische Cloud-Anbieter, die ohne Regulierung auskämen. Die 43 Prozent der Unternehmen, die keine gleichwertigen europäischen Alternativen sehen, deuten darauf hin, dass der Markt allein nicht geliefert hat. Die Regulierung könnte also notwendig sein, um den Aufbau zu fördern, aber die Ausgestaltung ist umstritten.
Schluss
Die strategische Position Europas im globalen Wettbewerb hängt davon ab, ob es gelingt, einen dritten Weg zwischen US-Dominanz und chinesischer Kontrolle zu finden, der sowohl Sicherheit als auch Innovation ermöglicht. Die Beleglage zeigt, dass die Abhängigkeit real ist und Handlungsbedarf besteht. Die Kosten der Regulierung sind jedoch erheblich, und die Modellrechnungen der Gegner übertreiben möglicherweise, weil sie von einer Ausweitung ausgehen, die nicht im Vorschlag steht. Die EU steht vor der Wahl, ob sie mit CADA einen Rahmen setzt, der Souveränität schrittweise erhöht, ohne den Markt zu strangulieren, oder ob sie auf Anreize und Wettbewerb setzt. Die offenen Fragen: Wie verbindlich müssen die Souveränitätsanforderungen sein, um Wirkung zu entfalten, ohne Investitionen abzuschrecken? Wie kann die EU den Aufbau europäischer Cloud-Anbieter fördern, ohne in Protektionismus zu verfallen? Und wie viel sind Unternehmen und Steuerzahler bereit, für digitale Souveränität zu zahlen? Die Antworten darauf werden bestimmen, ob Europa im Wettlauf um die digitale Infrastruktur aufholt oder weiter zurückfällt.