Sie bewerten Cloud-Angebote oder prüfen den Wechsel weg von einem Hyperscaler? Der Cloud-Exit-Check von WZ-IT bewertet Kosten, Abhängigkeiten je Dienst, Zielarchitektur und Migrationspfad für AWS, Azure und Google Cloud. Die Umsetzung läuft über die Migration. Cloud-Exit-Check ansehen · Erstgespräch buchen (unverbindlich und kostenlos)
Ein Cloud-Angebot kann „souverän“ heißen, ohne dass ein Prüfrahmen erfüllt ist. „Sovereignty Washing“ steht für diese Lücke zwischen Werbeaussage und Nachweis. Dieser Beitrag liefert eine Prüfliste mit 13 Punkten für Ausschreibungen und Anbietergespräche. Jeder Punkt enthält eine Frage an den Anbieter, ein Nachweisdokument, ein Warnzeichen und, soweit vorhanden, den Bezug zu einer Primärquelle: den Kriterien des BSI (C3A), dem EU Cloud Sovereignty Framework oder einer Rechtsnorm. Fragen, Nachweisarten und Warnzeichen sind eigene Ableitungen aus diesen Quellen.
Der Beitrag bewertet keine Anbieter, Anbieternamen erscheinen nur dort, wo ein Anbieter selbst etwas dokumentiert hat. Den CLOUD Act im Detail erklären Server und Daten in europäische Clouds umziehen und Rocket.Chat und die AWS European Sovereign Cloud. Quellen abgerufen am 10. November 2026, der Stand der jeweiligen Quelle steht im Text. Dies ist keine Rechtsberatung.
Inhaltsverzeichnis
- Kurz beantwortet
- Was ist Sovereignty Washing, und was ist es nicht?
- Welche Prüfrahmen gibt es: BSI C3A, EU-Framework und C5?
- Welcher Rechtsrahmen steht dahinter?
- Was verlangen öffentliche Auftraggeber in der Praxis?
- Die Prüfliste: 13 Prüfpunkte mit Frage, Nachweis und Warnzeichen
- Wie bewertet man die Antworten?
- Welche oft gehörten Annahmen halten der Prüfung nicht stand?
- Stand und Methodik
- Unser Vorgehen bei WZ-IT
- Weiterführende Guides
- Quellen
Kurz beantwortet
Die Zuordnung ist eine Einschätzung auf Basis der unten belegten Prüfrahmen, keine Herstellerangabe.
| Situation | Naheliegende Prüfung (Einschätzung) | Grundlage |
|---|---|---|
| Das Angebot heißt „souverän“, nennt aber keine Gesellschafter | Prüfpunkte 1 bis 4 zuerst: Eigentum, Recht, Drittstaatenzugriff, Behördenanfragen | C3A SOV-1, SOV-2 |
| Zugesagt wird nur der Datenstandort in der EU | Prüfpunkte 5 bis 8: Personal, Schlüssel, Metadaten, Lieferkette | C3A SOV-3, SOV-4, SOV-5 |
| Ein Zertifikat (C5, ISO 27001) wird als Beleg vorgelegt | Prüfpunkt 10: Geltungsbereich lesen und Souveränität getrennt prüfen | BSI C5-FAQ |
| „Verschlüsselung mit eigenem Schlüssel“ wird zugesagt | Prüfpunkt 6: Wo wird der Schlüssel genutzt, wer kann entschlüsseln? | C3A SOV-3-02, SOV-3-05 |
| Öffentliche Ausschreibung | Mindeststufe je Ziel und Nachweisart festlegen, die niedrigste Stufe zählt | EU-Framework |
| Wechselbarkeit ist entscheidend | Prüfpunkte 11 bis 13: Exit, Prüfrechte, Vertragsstabilität (Prüfpunkte 12 und 13 stützen sich auf C3A, Mindeststandard und eigene Ableitungen) | Data Act Art. 25, 29, 31 |
Was ist Sovereignty Washing, und was ist es nicht?
Uns ist keine gesetzliche Definition von Sovereignty Washing bekannt. Die Gesellschaft für Informatik (GI) zieht die Parallele zum Greenwashing und beschreibt, dass es für dieses Verhalten bislang keinen eigenständigen Tatbestand gebe (GI-Arbeitskreis Digitale Souveränität). Das heißt nicht, dass unzutreffende Werbung folgenlos wäre: Sie kann nach geltendem Recht etwa als Irreführung angreifbar sein (§ 5 UWG, § 5a UWG, keine Rechtsberatung). Gemeint ist ein Angebot, das als souverän, europäisch oder unabhängig beworben wird, ohne dass Eigentum, Kontrolle, Betrieb oder anwendbares Recht dazu passen. Die Quellen verwenden den Begriff mit unterschiedlicher Interessenlage:
| Quelle | Aussage | Einordnung |
|---|---|---|
| CISPE laut heise, 19.03.2026 | US-Konzerne werben mit EU-Rechenzentren und Cybersicherheitszertifikaten und unterliegen weiterhin dem US CLOUD Act | Sekundärquelle (heise-Bericht über eine CISPE-Äußerung, die Formulierung steht nicht im CISPE-Brief); Verband europäischer Cloud-Anbieter, Interessenvertretung |
| CISPE-Brief, 17.03.2026 | Souveränität sei über Kontrolle zu definieren, „not simply by having EU presence or meeting cybersecurity standards“ | Originalbrief, Forderung zum Cloud and AI Development Act, 25 Unterzeichner laut CISPE; Verbandsposition |
| heise, 17.06.2026 | Drei Ebenen: Datenstandort, operative Autonomie, rechtliche Souveränität; das Label „souverän“ adressiere die ersten beiden | Meinungsbeitrag im heise-Blog |
| GI-Diskussionsbeitrag, 08.04.2025 | Konzerne versehen Produkte mit dem Attribut „souverän“, obwohl Abhängigkeiten bestehen bleiben („Schein-Lösungen“); eine ausdrückliche Definition enthält der Beitrag nicht | Beitrag der Sprecher dreier GI-Arbeitskreise, als Diskussionsbeitrag gekennzeichnet, wertend |
| GI-Arbeitskreis Digitale Souveränität | Souveränitätswashing sei die digitale Entsprechung des Greenwashings, es gebe dafür bislang keinen eigenständigen Tatbestand; Forderung nach Strafbarkeit | Politische Forderung, wertend; keine formale Definition |
Ein Angebot kann einzelne Kriterien erfüllen und andere offenlassen. Die Prüfliste trennt deshalb Behauptung und Nachweis, nicht gute und schlechte Anbieter.
Woraus besteht eine Konstruktion, die man prüfen muss?
Als Beispiel dient die Darstellung von AWS zur European Sovereign Cloud. Die Tabelle gibt an, was AWS selbst schreibt und was offen bleibt oder durch Nachweise zu prüfen ist. Sie ist keine Bewertung.
| Baustein | Angabe laut AWS (Stand 14.01.2026 bzw. FAQ) | Offen oder durch Nachweise zu prüfen |
|---|---|---|
| Betreiber | Eigene Gesellschaften nach deutschem Recht; die „AWS European Sovereign Cloud GmbH“ ist Muttergesellschaft von drei Gesellschaften für Betriebspersonal, Infrastruktur und Vertrauensdienste (AWS-FAQ) | Gesellschafter oberhalb der GmbH |
| Vertragspartner | Für EU-assoziierte Konten Amazon Web Services EMEA SARL, Luxemburg (AWS-FAQ) | Anwendbares Recht der Vertragsbedingungen: in der FAQ nicht angegeben, Vertragsdokumente (Addendum) nicht geprüft |
| Personal | Betrieb „exclusively by EU residents located in the EU“, laut AWS einschließlich täglichem Betrieb, technischem Support und Kundenservice; Übergang zu EU-Bürgern in der EU, Beirat nur aus EU-Bürgern mit zwei unabhängigen Dritten (AWS News Blog) | Umsetzung, etwa Berechtigungskonzept und Zugriffspfade, ist durch Nachweise zu prüfen |
Die offenen Punkte entsprechen den Prüfpunkten 1, 2 und 5 unten. Weitere Anbieterprogramme haben wir nicht geprüft.
Welche Prüfrahmen gibt es: BSI C3A, EU-Framework und C5?
Drei Rahmen sind für Ausschreibungen relevant. Sie beantworten unterschiedliche Fragen.
| BSI C3A | EU Cloud Sovereignty Framework | BSI C5 | |
|---|---|---|---|
| Herausgeber | BSI | Europäische Kommission, GD DIGIT | BSI |
| Stand | v1.0 vom 27.04.2026, englische Fassung (die einzige, die die BSI-Seite am 10.11.2026 aufführt) | Version 1.2.1, Oktober 2025, Umsetzungshinweise (undatiert, PDF-Metadaten Juni 2026) | C5:2026 seit Ende März 2026 final |
| Gegenstand | Selbstbestimmte Nutzbarkeit eines Cloud-Dienstes | Souveränität von Cloud-Anbietern in der Beschaffung | Informationssicherheit eines Cloud-Dienstes |
| Verbindlichkeit | Nicht verbindlich, ohne regulative Wirkung | Bewertungsinstrument der Kommission für ihre Ausschreibung | Über den Mindeststandard für Bundeseinrichtungen und vertraglich |
| Nachweis | Der Anbieter weist die Einhaltung durch ein Audit nach, Leitfaden angekündigt | Fragen an Bieter, Belege, Bewertung durch den Auftraggeber | Testat eines unabhängigen Prüfers (in der Regel Wirtschaftsprüfer) |
Wie ist C3A aufgebaut?
C3A übernimmt Struktur und Ziele des EU-Frameworks, lässt aber SOV-7 (Security & Compliance, durch C5:2026, IT-Grundschutz und HV Benchmark Compact abgedeckt) und SOV-8 (Umwelt, nicht im Zuständigkeitsbereich des BSI) bewusst aus. Portabilität bildet C3A nicht ab, weil der Abschnitt „Portabilität und Interoperabilität (PI)“ des C5:2026 sie regelt (BSI). Nach unserer Zählung der Gliederung enthält der Katalog 30 Kriteriengruppen:
| Kategorie in C3A | Kriteriengruppen (Auszug des Katalogs) | Anzahl |
|---|---|---|
| SOV-1 Strategic Sovereignty | Jurisdiction, Registered Office, CSP Effective Control, CSP Control Change | 4 |
| SOV-2 Legal & Jurisdictional Sovereignty | Extraterritorial Exposure, Audit Rights, State of Defense Takeover | 3 |
| SOV-3 Data Sovereignty | Data Residence, External Key Management, External Identity Provider, Logging and Monitoring, Client-Side Encryption | 5 |
| SOV-4 Operational Sovereignty | Operating Personnel, Remote Work, SOC, Data Exchange Monitoring, Disconnect, Reconnect und weitere | 10 |
| SOV-5 Supply Chain Sovereignty | Software, Hardware und externe Dienste, Export Restriction, Capacity Management | 5 |
| SOV-6 Technology Sovereignty | Source Code Availability, Continuous Service Delivery, Software Development | 3 |
Kriterien sind je nach Anwendungsfall wählbar: Viele gibt es in einer EU-Variante und einer Variante für Deutschland (C1 und C2). Beschränkungen auf Deutschland sollen laut C3A begründet und vergaberechtlich zulässig sein (SOV-1-01-SI).
Wie funktionieren SOV-Ziele, SEAL und Score im EU-Framework?
Das Framework stammt aus der Ausschreibung der Kommission im Rahmen des Cloud III Dynamic Purchasing System. Die Umsetzungshinweise beschreiben die Mechanik:
| Element | Inhalt |
|---|---|
| Ziele | SOV-1 Strategic, SOV-2 Legal & Jurisdictional, SOV-3 Data & AI, SOV-4 Operational, SOV-5 Supply Chain, SOV-6 Technology, SOV-7 Security & Compliance, SOV-8 Environmental Sustainability |
| SEAL-Stufen | SEAL-0 No Sovereignty, SEAL-1 Jurisdictional, SEAL-2 Data, SEAL-3 Technological (in Version 1.2.1: „Digital Resilience“), SEAL-4 Full Digital Sovereignty |
| Mindeststufe | Der Auftraggeber legt je Ziel ein Mindest-SEAL fest, in der ersten Ausschreibung SEAL-2; Angebote darunter werden abgelehnt |
| Gesamt-SEAL | Die niedrigste Stufe über alle Ziele |
| Score | Gewichtet nach Version 1.2.1: SOV-1 15 %, SOV-2 10 %, SOV-3 10 %, SOV-4 15 %, SOV-5 20 %, SOV-6 15 %, SOV-7 10 %, SOV-8 5 %; Punkte je Antwort können Auftraggeber anpassen |
Welcher Rechtsrahmen steht dahinter?
Die Prüfliste folgt den Prüfrahmen, nicht dem Recht. Das Recht erklärt aber, warum einzelne Fragen gestellt werden. Die Tabelle fasst belegte Normen zusammen und ist keine Rechtsberatung.
| Norm | Inhalt | Stand der jeweiligen Quelle |
|---|---|---|
| CLOUD Act, 18 U.S.C. § 2713 | Regelt die räumliche Reichweite der Pflichten zur Sicherung und Herausgabe aus diesem Gesetzeskapitel: Daten im „possession, custody, or control“ des Anbieters, „regardless of whether“ sie innerhalb oder außerhalb der USA liegen. Für Inhaltsdaten setzt das Gesetz im Regelfall ein Verfahren nach § 2703 voraus, etwa einen Durchsuchungsbefehl (warrant) eines zuständigen Gerichts oder andere dort genannte Verfahren. Zu unterscheiden sind Sicherungsanfragen (§ 2703(f)) und weitere Offenlegungspflichten, etwa nach § 2709 für bestimmte Bestands- und Verbindungsdaten auf schriftliche Anforderung des FBI; Details nicht geprüft | In Kraft seit 23.03.2018 |
| 18 U.S.C. § 2703(h) | Besonderer Antrag wegen Konflikts mit ausländischem Recht. Voraussetzungen unter anderem: Abkommen mit einer „qualifying foreign government“, Kunde keine US-Person und nicht in den USA ansässig, Frist 14 Tage. Andere Einwendungen bleiben unberührt | Das US-Justizministerium führt Abkommen mit dem Vereinigten Königreich und Australien auf, für die EU nur Mitteilungen zu Verhandlungen (zuletzt 03.03.2023). Ein Abkommen mit der EU oder Deutschland haben wir nicht gefunden. Stand der DOJ-Seite: Oktober 2023, spätere Abkommen nicht geprüft |
| FISA Section 702 | Programmatische Überwachung von Nicht-US-Personen außerhalb der USA | Stand der Quelle (CRS, 22.06.2026): am 12.06.2026 automatisch aufgehoben, bestehende Anordnungen gelten bis zu ihrem Ablauf, laut Abgeordneten wurde im März 2026 für ein Jahr genehmigt. Danach nicht abschließend geprüft, eine Wiedereinsetzung haben wir nicht gefunden |
| EU-US Data Privacy Framework | Angemessenheitsbeschluss der Kommission vom 10.07.2023 | Klage T-553/23 abgewiesen am 03.09.2025, Rechtsmittel C-703/25 P eingelegt am 31.10.2025; das Register führt die Sache am 10.11.2026 als „Case in progress“, ohne Termin, Schlussanträge oder Urteil; der Beschluss vom 04.06.2026 lässt Microsoft als Streithelferin zu |
| DSGVO Art. 28, 44, 46, 48 | Übermittlungen in Drittländer nur nach Kapitel V; Entscheidungen von Drittstaatsbehörden sind nur anerkennungsfähig, wenn sie auf einem internationalen Abkommen beruhen, unbeschadet anderer Übermittlungsgründe nach Kapitel V (Art. 48); weitere Auftragsverarbeiter nur mit Genehmigung des Verantwortlichen (Art. 28) | Geltendes Recht |
| Data Act Art. 28 und 32 | Anbieter veröffentlichen die Jurisdiktion ihrer Infrastruktur (Art. 28 Abs. 1 lit. a) und eine allgemeine Beschreibung ihrer Maßnahmen gegen internationalen behördlichen Zugriff auf in der Union gehaltene nicht personenbezogene Daten, wenn dieser zu einem Konflikt mit Unionsrecht oder dem Recht eines Mitgliedstaats führen würde (lit. b); sie treffen angemessene Maßnahmen gegen einen solchen Zugriff (Art. 32) | Gilt seit 12.09.2025 (Art. 50) |
| Data Act Art. 25 und 29 | Kündigungsfrist für die Einleitung höchstens zwei Monate; Übergangszeitraum grundsätzlich höchstens 30 Kalendertage, bei technischer Unmöglichkeit nach begründeter Mitteilung binnen 14 Arbeitstagen bis zu sieben Monate (Abs. 4), einmalige Verlängerung durch den Kunden möglich (Abs. 5); Datenabruf mindestens 30 Tage; Wechselentgelte ab 12.01.2027 verboten (Art. 29), vorbehaltlich Art. 31: Art. 29 gilt nicht für maßgeschneiderte Dienste, die nicht im größeren Maßstab über den Dienstleistungskatalog angeboten werden, und Kapitel VI gilt nicht für Dienste, die als Nichtproduktionsversion zu Test- und Bewertungszwecken für einen begrenzten Zeitraum bereitgestellt werden | Details im Beitrag Data Act und Wechselentgelte |
| Cloud and AI Development Act | Vorschlag COM(2026) 502 vom 03.06.2026 mit vier Union-Assurance-Leveln, Stufe 1 per Selbstbewertung, Stufen 2 bis 4 per Prüfung durch Dritte | Stand des Dokuments 03.06.2026: Vorschlag, nicht in Kraft; ein späterer Verfahrensstand ist nicht geprüft |
| EUCS | Europäisches Zertifizierungsschema für Cloud-Dienste, laut BSI geplant | Stand der Souveränitätsanforderungen nicht abschließend geprüft, Sekundärquellen widersprechen sich |
Was verlangen öffentliche Auftraggeber in der Praxis?
Die Praxis kombiniert Sicherheits- und Souveränitätsanforderungen. Belegt sind folgende Punkte:
| Rahmen | Anforderung | Quelle |
|---|---|---|
| Mindeststandard des BSI zur Nutzung externer Cloud-Dienste (Version 2.1) | Die Einrichtung legt in ihrer Sicherheitsrichtlinie mindestens die Basiskriterien des C5 als Anforderung an den Anbieter fest (NCD.2.1.02 b); Vereinbarungen SOLLTEN ausschließlich nach deutschem Recht und deutschem Gerichtsstand geschlossen werden (NCD.2.2.03); Unterauftragnehmer müssen die Vorgaben ebenfalls erfüllen, Prüfrechte erstrecken sich auf sie (NCD.2.2.02); sämtliche Standorte der Datenverarbeitung einschließlich Datensicherungen sind vertraglich festzulegen (NCD.2.2.04); Datenrückgabe mit Fristen und Format ist vertraglich zu regeln (NCD.2.2.07) | BSI |
| C5-Testat im Mindeststandard | Ein Testat ist laut BSI nicht hinreichend, um den Mindeststandard zu erfüllen | BSI-FAQ |
| EVB-IT Cloud | Vertragsmuster mit Einkaufsbedingungen und Kriterienkatalog für Cloud-Leistungen; der IT-Planungsrat empfiehlt seinen Mitgliedern die Anwendung (Beschluss 2022/01 vom 11.02.2022). Die aktuelle Fassung beim CIO Bund haben wir nicht geprüft | IT-Planungsrat |
| Deutschland-Stack, Kriterium „Digitale Souveränität“ | „Mindestens ist eine Wechselfähigkeit zwischen Betreibern und Anbietern notwendig“; Empfehlung („sollte“), vorrangig im europäischen Binnenmarkt einzukaufen | Deutschland-Stack |
Eine allgemeine gesetzliche Bindung von Unternehmen folgt aus diesen Rahmen nicht: C3A ist nicht verbindlich, der Mindeststandard richtet sich an Einrichtungen des Bundes, das EU-Framework gilt für die Ausschreibung, in der es verwendet wird. Unternehmen können die Rahmen als Vorlage nutzen oder vertraglich einbeziehen; gesetzliche Pflichten bleiben unberührt.
Die Prüfliste: 13 Prüfpunkte mit Frage, Nachweis und Warnzeichen
Die Prüfpunkte folgen den C3A-Kategorien und ergänzen Rechts- und Vertragsfragen. Die Spalte „Bezug zur Quelle“ nennt die Primärquelle des jeweiligen Themas. Fragen, verlangte Nachweisarten und Warnzeichen sind eigene Ableitungen und keine Anforderungen der Quellen, sofern nicht ausdrücklich ein Kriterium genannt ist. Wo wir keine Entsprechung in C3A oder EU-Framework gefunden haben, steht das dort. Warnzeichen sind Hinweise auf offene Fragen, kein Beleg für einen Mangel.
Eigentum, Recht und Zugriff von außen (Prüfpunkte 1 bis 4)
| Nr. | Frage an den Anbieter | Nachweis | Warnzeichen | Bezug zur Quelle |
|---|---|---|---|---|
| 1 | Wer hält die Anteile am Anbieter, und wer kann Strategie, Finanzen oder Betrieb bestimmen, bis zur obersten Gesellschaft? | Gesellschafterstruktur bis zur obersten Ebene, Handelsregisterauszug, vertragliche Zusicherung der Kontrollverhältnisse | Die Angaben enden bei der EU-Tochter; Kontrolle ist nur auf Nachfrage „transparent“ | C3A SOV-1-02, SOV-1-03; EU-Framework SOV-1 |
| 2 | Welchem Recht und welchem Gerichtsstand unterliegt der Vertrag, und welche Gesellschaft ist Vertragspartner? | Vertrag und AGB; zusätzlich die Angabe zur Jurisdiktion der Infrastruktur auf der Anbieter-Website (Art. 28 Data Act, betrifft die Infrastruktur, nicht das Vertragsrecht) | Vertragspartner oder Gerichtsstand außerhalb der EU; vorgeschaltete Schlichtungsverfahren | C3A SOV-1-01; Mindeststandard NCD.2.2.03 (Empfehlung für Bundeseinrichtungen); ergänzend Data Act Art. 28 Abs. 1 lit. a (Jurisdiktion der Infrastruktur) |
| 3 | Welche Rechtsordnungen außerhalb der EU können Zugriff auf Daten oder Dienst erzwingen, und wie bewertet der Anbieter das Risiko? | Schriftliche, jährlich aktualisierte Rechtsrisikobewertung; Transparenzbericht zu Behördenanfragen | Pauschalaussage („der CLOUD Act betrifft uns nicht“) ohne Begründung; Verweis nur auf den Standort | C3A SOV-2-01; EU-Framework SOV-2; 18 U.S.C. § 2713 |
| 4 | Wie geht der Anbieter mit Anordnungen von Drittstaatsbehörden um: Prüfung, Benachrichtigung des Kunden, Rechtsmittel? | Vertragsklausel zu Benachrichtigung, Anfechtung und Minimierung; Beschreibung der Maßnahmen nach Art. 28 Abs. 1 lit. b Data Act (betrifft nicht personenbezogene Daten in der Union) | Zusage „wir wehren uns“ ohne Klausel; Benachrichtigung nur „soweit zulässig“ ohne Verfahren (gesetzliche Geheimhaltungspflichten können eine Einschränkung erfordern, entscheidend ist das Verfahren) | DSGVO Art. 48; Data Act Art. 32; 18 U.S.C. § 2703(h); im C3A-Katalog (v1.0) haben wir dazu kein Kriterium gefunden |
Betrieb, Schlüssel, Daten und Lieferkette (Prüfpunkte 5 bis 8)
| Nr. | Frage an den Anbieter | Nachweis | Warnzeichen | Bezug zur Quelle |
|---|---|---|---|---|
| 5 | Wer hat logischen oder physischen Zugriff auf die Infrastruktur und den Kundensupport: Staatsangehörigkeit, Wohnsitz, Standort der Zugriffspfade, Support im Schichtbetrieb über Zeitzonen? | Betriebs- und Berechtigungskonzept, Zugriffsprotokolle, Angabe des SOC-Standorts | EU-Personal nur „vor Ort“; Fernzugriff aus Drittstaaten ohne technische Sperre; Support wechselt weltweit | C3A SOV-4-01, SOV-4-02, SOV-4-04; EU-Framework SOV-4 |
| 6 | Wo werden Schlüssel erzeugt und genutzt, wer kann eine Entschlüsselung auslösen, und was bewirkt ein Schlüsselentzug? | Architekturbeschreibung (externes Schlüsselmanagement, clientseitige Verschlüsselung), Testprotokoll zum Schlüsselentzug | „BYOK“ ohne Angabe, wo der Schlüssel genutzt wird; Schlüsselmaterial in Anbieter-HSMs | C3A SOV-3-02, SOV-3-05; EU-Framework SOV-3; AWS KMS als Beispiel |
| 7 | Wo liegen und werden verarbeitet: Kundendaten, abgeleitete Daten (Protokolle, Telemetrie), Kontodaten und Anbieterdaten? Welche Daten gehen an Dritte oder Konzerngesellschaften? | Datenflussdiagramm, Liste der Datenarten je Standort, Dokumentation des Datenaustauschs mit Dritten | Zusage nur für Kundendaten; Telemetrie und Supportdaten weltweit; Konzerngesellschaften nicht als Dritte behandelt (C3A behandelt sie als Dritte) | C3A SOV-3-01, SOV-4-07, SOV-4-08; Mindeststandard NCD.2.2.04; EU-Framework SOV-3 |
| 8 | Welche Software-Komponenten, Hardware-Lieferanten, externen Dienste und Unterauftragnehmer sind beteiligt, jeweils mit Land und Gesellschaft? | Unterauftragnehmerliste mit Land und Konzernzugehörigkeit; Software-Stückliste (SBOM) nach BSI TR-03183-2 oder gleichwertig (so C3A); Prüfrechte auch bei Unterauftragnehmern | Liste nennt nur Firmennamen; Hersteller der Plattformsoftware fehlt; Unterauftragnehmer ohne Prüfrecht | C3A SOV-5-01 bis SOV-5-03; DSGVO Art. 28; Mindeststandard NCD.2.2.02; EU-Framework SOV-5 |
Abhängigkeit und Nachweise (Prüfpunkte 9 und 10)
| Nr. | Frage an den Anbieter | Nachweis | Warnzeichen | Bezug zur Quelle |
|---|---|---|---|---|
| 9 | Was geschieht, wenn ein Softwarelieferant, ein Lizenzserver oder ein Drittstaat Lieferung, Updates oder Verbindung einstellt? | Notfallkonzept, Protokoll des jährlichen Trennungstests, Nachweis einer Quellcode-Kopie in der EU, Lizenzmodell | Lizenzprüfung oder Heartbeat gegen Server außerhalb der EU; Trennung nie getestet; ein Hersteller ohne Rückfall | C3A SOV-4-09, SOV-5-04, SOV-6-01, SOV-6-02; EU-Framework SOV-6 |
| 10 | Welche Zertifikate und Testate bestehen, für welche Dienste, Regionen und Zeiträume, mit welchem Prüfer? | C5-Bericht (Typ 2, laut Mindeststandard eine mögliche Form des Nachweises) mit Geltungsbereich, Prüfzeitraum und Abweichungen; ISO-27001-Zertifikat mit Geltungsbereich | „C5-zertifiziert“ ohne Dienst und Region; Zertifikat als Souveränitätsbeleg vorgelegt | BSI C5 (Testat für die geprüften Dienste in den festgelegten Regionen); C3A setzt C5 voraus; ISO/IEC 27001 betrifft das Managementsystem für Informationssicherheit |
Exit, Prüfrechte und Vertrag (Prüfpunkte 11 bis 13)
| Nr. | Frage an den Anbieter | Nachweis | Warnzeichen | Bezug zur Quelle |
|---|---|---|---|---|
| 11 | Wie, in welchem Format und zu welchen Bedingungen erhält der Kunde Daten und Konfiguration zurück, und welche Fristen gelten? | Exit-Plan, Exportformate (offen, dokumentiert), Vertragsklauseln zu Kündigung, Übergangszeit und Datenabruf | Proprietäre Formate; Fristen, die über Art. 25 hinausgehen, ohne dass technische Unmöglichkeit (Abs. 4) oder eine Verlängerung durch den Kunden (Abs. 5) vorliegt; Wechselentgelte ab dem 12.01.2027 (Ausnahmen in Art. 31, Details im Beitrag Data Act und Wechselentgelte) | Data Act Art. 25 Abs. 2, Art. 29; C5:2026 Abschnitt PI; Mindeststandard NCD.2.2.07; EU-Framework SOV-4, SOV-6 |
| 12 | Welche Prüfrechte hat der Kunde, welche hat eine zuständige Behörde, und wer prüft Unterauftragnehmer? | Auditklausel im Vertrag, Prüfberichte, dokumentiertes Verfahren für Behördenaudits | Prüfrecht nur über Berichte Dritter (eigene Heuristik, der Mindeststandard erlaubt in begründeten Fällen den Verzicht auf eigene Prüfrechte); kein dokumentiertes Verfahren für Behördenaudits; Prüfgebühren, die das Recht faktisch verwehren (C3A nennt das für das Behördenaudit) | Behördenaudit: C3A SOV-2-02; Kundenprüfrechte: Mindeststandard NCD.2.2.01 j (Empfehlung für Bundeseinrichtungen) und NCD.2.2.02; EU-Framework SOV-7 (von C3A nicht übernommen) |
| 13 | Wie werden Änderungen bei Eigentümern, Preisen, Leistungsumfang und Bedingungen angekündigt, und welche Sonderkündigungsrechte bestehen? | Klausel zum Kontrollwechsel (C3A: Ankündigung 90 Tage vorab bei Änderungen, die die C3A-Kontrollen des Dienstes beeinträchtigen oder berühren könnten, einschließlich wesentlicher Änderungen bei Eigentum, Beteiligungen oder Governance), Preisanpassungsklausel, Sonderkündigungsrecht | Einseitige Änderungsrechte ohne Frist und ohne Sonderkündigung | C3A SOV-1-04 (nur Kontrollwechsel); Preis- und Vertragsstabilität ist eine eigene Ergänzung ohne Primärquelle |
Wie bewertet man die Antworten?
Die Matrix unten ist eine eigene Arbeitshilfe von WZ-IT. Sie ist keine Herstellerangabe, keine Norm und kein Bestandteil von C3A oder EU-Framework. Sie überträgt nur ein Prinzip des EU-Frameworks: Die niedrigste Stufe über alle Ziele bestimmt das Gesamtergebnis.
| Stufe | Bedeutung | Beispiel |
|---|---|---|
| A: belegt | Antwort liegt schriftlich vor, der Nachweis ist ein Dokument, eine Vertragsklausel oder ein Testat mit Geltungsbereich, geprüft von Dritten oder vertraglich bindend | Registerauszug, vertraglich zugesicherte Unterauftragnehmerliste mit Land, Auditklausel |
| B: beantwortet, Nachweis fehlt | Antwort mündlich oder als Werbeaussage, ein Nachweis wurde nicht vorgelegt | „Wir betreiben nur mit EU-Personal“ ohne Berechtigungskonzept |
| C: offen | Frage unbeantwortet oder Antwort widerspricht dem Nachweis | Gesellschafter oberhalb der Tochter nicht genannt |
Vorgehen in drei Schritten:
- Muss oder Kann festlegen. Der Auftraggeber legt je Prüfpunkt fest, ob er Muss oder Kann ist, abhängig vom Schutzbedarf der Daten. C3A bietet dafür Auswahloptionen, etwa EU oder Deutschland für Standort und Personal.
- Nachweisart festlegen. Für Muss-Punkte nur Stufe A zulassen. Die Kommission beschreibt Selbstauskünfte als aufwendig zu prüfen, daher gehört die Nachweisart in die Leistungsbeschreibung.
- Antworten einstufen, die niedrigste Stufe zählt. Jeder Prüfpunkt erhält A, B oder C mit Fundstelle des Nachweises. Ein Muss-Punkt mit B oder C führt zu Nachbesserung oder Ausschluss, ein Kann-Punkt zu einem Abschlag.
„Nachweis fehlt“ bedeutet nicht, dass der Anbieter die Anforderung verfehlt. Es bedeutet, dass der Auftraggeber sie nicht bestätigen kann. Ob eine Wertung nach diesem Schema in einem konkreten Vergabeverfahren zulässig ist, ist vergaberechtlich zu prüfen.
Welche oft gehörten Annahmen halten der Prüfung nicht stand?
Die Tabelle prüft oft gehörte Annahmen, eine Häufigkeit haben wir nicht erhoben.
| Annahme | Befund | Quelle |
|---|---|---|
| Ein Rechenzentrum in der EU macht einen Dienst souverän | Der Standort ist ein Prüfpunkt (C3A SOV-3-01). Eigentum, Recht, Betrieb und Lieferkette sind getrennt zu prüfen. Die Reichweite der Herausgabepflichten nach dem CLOUD Act knüpft an Besitz oder Kontrolle des Anbieters an, nicht an den Speicherort. Herausgabepflichten bestehen nur im Rahmen gesetzlich geregelter Verfahren (§ 2703, § 2709; Details nicht geprüft) | C3A, 18 U.S.C. § 2713 |
| Die EU-Tochter eines US-Konzerns unterliegt dem CLOUD Act nicht | Nicht pauschal belegbar. Maßgeblich ist laut Wortlaut der Anbieter und sein „possession, custody, or control“. Ob eine konkrete Gesellschaft darunter fällt, ist Einzelfall (Einschätzung); AWS schreibt in seiner FAQ, der CLOUD Act gelte für jeden Anbieter mit Geschäftstätigkeit oder rechtlicher Präsenz in den USA. Verlangen Sie eine schriftliche Begründung und holen Sie Rechtsberatung ein | 18 U.S.C. § 2713, AWS-FAQ |
| C5 bescheinigt Souveränität | C5 betrifft die Informationssicherheit, das Testat gilt für die geprüften Dienste in den festgelegten Regionen, der Anbieter beauftragt den Prüfer. Autonomie behandelt C3A, das C5 voraussetzt | BSI C5, BSI C3A |
| BYOK löst das Problem | BYOK heißt bei AWS KMS: Der Dienst nutzt eine Kopie des importierten Schlüsselmaterials. Die Operation mit einem Schlüssel beim Kunden bietet dort ein externer Schlüsselspeicher (HYOK), wobei AWS KMS zuerst selbst verschlüsselt und der externe Schlüssel eine zweite Schicht ergänzt. Die Nutzdaten verschlüsselt weiter der Dienst mit Datenschlüsseln. Clientseitige Verschlüsselung ist ein weiterer Weg (C3A SOV-3-05). Verschlüsselung ist keine vollständige Lösung für Metadaten, Betrieb und Verfügbarkeit (Einschätzung) | AWS KMS, C3A SOV-3-02, SOV-3-05 |
| Open Source bedeutet souverän | Offene Lizenzen sind ein Faktor (SOV-6), nicht der ganze Rahmen. Lizenzen können sich ändern, etwa bei HashiCorp 2023 und Redis 2024 und 2025 (Details in der FAQ) | HashiCorp, Redis |
| C3A oder das EU-Framework sind verbindliche Gütesiegel | C3A ist laut BSI nicht verbindlich, ein Audit-Leitfaden ist angekündigt. Das EU-Framework war das Instrument einer Ausschreibung, der Cloud and AI Development Act war am 03.06.2026 ein Vorschlag (späterer Stand nicht geprüft) | BSI, COM(2026) 502 |
Stand und Methodik
Abruf: 10. November 2026. Grundlage sind C3A-Dokument und BSI-Seiten, Kommissionsdokumente, Mindeststandard, Gesetzestexte (EUR-Lex, govinfo.gov), ein CRS-Bericht und AWS-Dokumentation, jeweils am 10.11.2026 abgerufen und im Text verlinkt. Interessengeleitete Quellen (CISPE, GI-Arbeitskreise), eigene Einschätzungen und die Bewertungsmatrix sind gekennzeichnet.
Nicht gefunden oder nicht geprüft:
- Deutsche Fassung der C3A und Audit-Leitfaden: auf den BSI-Seiten nicht gefunden.
- FISA Section 702 nach dem 22.06.2026 und der Verfahrensstand des Cloud and AI Development Act nach dem 03.06.2026: nicht abschließend geprüft.
- Aktuelle Fassung der EVB-IT Cloud, EUCS-Souveränitätsanforderungen, Souveränitätsprogramme anderer Anbieter als AWS: nicht geprüft.
- Kommissionsmeldungen zum Framework waren beim Abruf nicht erreichbar, die Umsetzungshinweise nennen kein Datum, die PDF-Metadaten nennen Juni 2026.
- Eine formale Definition des Begriffs durch die GI: nicht gefunden, die GI-Beiträge beschreiben ihn nur.
Spätere Änderungen sind nicht eingearbeitet.
Unser Vorgehen bei WZ-IT
Wer bereits bei AWS, Azure oder Google Cloud betreibt und einen Wechsel prüft, beginnt mit dem Cloud-Exit-Check. Er bewertet Kosten, Abhängigkeiten je Dienst, Zielarchitektur in europäischen Rechenzentren oder auf eigener Hardware und den Migrationspfad. Ergebnis sind eine Entscheidungsvorlage und ein Festpreisangebot für die Migration. Anforderungen an Datenstandort und Verfügbarkeit gehören zu den Eingaben des Checks. Vertrags- oder Rechtsberatung zu Cloud-Verträgen gehört nicht zum Check. Die Prüfliste in diesem Beitrag ist ein Hilfsmittel für Auftraggeber, kein Bestandteil des Angebots.
Nach der Entscheidung migriert WZ-IT die Umgebung auf deutsche, europäische oder kundeneigene Zielumgebungen und betreibt sie auf Wunsch weiter, auf Servern im eigenen Konto des Kunden beim Anbieter oder auf der Hardware des Kunden. Der Managed-Server-Betrieb umfasst Monitoring, Updates, Backups und die vereinbarte Reaktion für die migrierten Systeme.
Sie wägen den Wechsel weg von einem Hyperscaler ab? Wir besprechen Ihre Dienste, Anforderungen an den Datenstandort und den Migrationsweg mit Ihnen. Cloud-Exit-Check ansehen · Migration ansehen · Erstgespräch buchen (unverbindlich und kostenlos)
Weiterführende Guides
- Cloud-Exit für den Mittelstand: Kosten, Abhängigkeiten, Zielarchitektur und Ablauf
- Data Act und Wechselentgelte: Was ab 12. Januar 2027 kostenlos wird
- Server und Daten in europäische Clouds umziehen
- Rocket.Chat und AWS European Sovereign Cloud
- AWS verlassen: Europäische Cloud-Anbieter vergleichen
- Cloud-Migration und Cloud-Exit im Überblick
Quellen
- BSI: C3A - Criteria enabling Cloud Computing Autonomy (PDF, v1.0, 27.04.2026)
- BSI: C3A-Seite
- BSI: Pressemitteilung zu C3A, 27.04.2026
- BSI: Kriterienkatalog C5
- BSI: C5-FAQ
- BSI: C5:2026, Kriterienkatalog (PDF)
- BSI: C5:2026
- BSI: Mindeststandard zur Nutzung externer Cloud-Dienste, Version 2.1
- BSI: FAQ zum Mindeststandard
- Europäische Kommission: Cloud Sovereignty Framework, Implementation guidance
- Europäische Kommission: Cloud Sovereignty Framework, Version 1.2.1
- EUR-Lex: Vorschlag Cloud and AI Development Act, COM(2026) 502
- EUR-Lex: Data Act, Verordnung (EU) 2023/2854
- EUR-Lex: DSGVO, Verordnung (EU) 2016/679
- US Code (govinfo.gov): 18 U.S.C. § 2713
- US Code (govinfo.gov): 18 U.S.C. § 2703
- US Code (govinfo.gov): 18 U.S.C. § 2709
- Gesetze im Internet: § 5 UWG
- Gesetze im Internet: § 5a UWG
- US-Justizministerium: CLOUD Act Resources
- Congressional Research Service: The Impact of FISA Section 702's Repeal, 22.06.2026
- Gericht der EU: Pressemitteilung 106/25 zu T-553/23 (Latombe)
- Amtsblatt: Rechtsmittel C-703/25 P
- IT-Planungsrat: Beschluss 2022/01 zur EVB-IT Cloud
- Deutschland-Stack: Kriterien und Reifegrad
- heise: 25 europäische CEOs warnen EU vor Souveränitäts-Washing
- CISPE: Offener Brief zum Cloud and AI Development Act
- heise: The sovereign cloud that isn't
- Gesellschaft für Informatik: Schein-Lösungen stoppen, Diskussionsbeitrag, 08.04.2025
- GI-Arbeitskreis Digitale Souveränität: Warum Souveränitätswashing strafbar sein muss
- AWS News Blog: Opening the AWS European Sovereign Cloud
- AWS: FAQ zur European Sovereign Cloud
- AWS KMS: Importing key material
- AWS KMS: External key stores
- HashiCorp: Adopts Business Source License
- Redis: Redis Adopts Dual Source-Available Licensing, 20.03.2024
- Redis: Redis is now available under the AGPLv3
