Deutsche Cloud oder Hyperscaler? Eine ehrliche Einordnung für kleine und mittlere Unternehmen

Die Wahl der Cloud-Plattform zählt zu den Entscheidungen, die Unternehmen über Jahre prägen. Sie bestimmt, welche Dienste zur Verfügung stehen, wie viel Betriebsaufwand im eigenen Haus entsteht und welche rechtlichen Risiken mit der Verarbeitung von Daten verbunden sind. In unseren Erstgesprächen begegnet uns deshalb regelmäßig dieselbe Frage: Ist ein deutscher Cloud-Anbieter aus Datenschutzgründen die bessere Wahl?

Die Debatte wird häufig emotional geführt. Auf der einen Seite stehen STACKIT, IONOS und die Deutsche Telekom mit dem Versprechen digitaler Souveränität, auf der anderen Seite AWS, Microsoft und Google mit umfassenden Produktportfolios und dem CLOUD Act als regulatorischem Vorbehalt. Dieser Beitrag ordnet beide Seiten anhand nachvollziehbarer Kriterien ein, mit besonderem Blick auf kleine und mittlere Unternehmen, Kanzleien und Finanzdienstleister. Eine klare Empfehlung folgt am Ende.

Zur Transparenz: Wir arbeiten in unseren Projekten mit beiden Welten und bewerten deutsche Anbieter nach denselben Maßstäben wie die großen US-Plattformen.

Marktüberblick

Der europäische Cloud-Markt ist stark konzentriert. Laut Synergy Research entfallen rund 70 Prozent des Marktes auf Amazon, Microsoft und Google, während europäische Anbieter gemeinsam auf etwa 15 Prozent kommen, mit über die Jahre sinkendem Anteil (ITPro, ITdaily). Diese Marktmacht ist mehr als eine Kennzahl. Sie bestimmt, in welchem Umfang ein Anbieter in neue Dienste, Sicherheit und Automatisierung investieren kann.

Für Unternehmen in Deutschland sind auf europäischer Seite vor allem drei Anbieter relevant:

• STACKIT, die Cloud der Schwarz-Gruppe, zu der auch Lidl und Kaufland gehören
• IONOS mit seiner Compute-, Speicher- und KI-Plattform
• T Cloud Public der Deutschen Telekom, bis 2026 unter dem Namen Open Telekom Cloud bekannt

Zugleich reagieren die Hyperscaler auf die Souveränitätsdebatte mit eigenen Angeboten. Die AWS European Sovereign Cloud läuft seit Januar 2026 als eigenständige Partition in Brandenburg, zum Start mit rund 90 statt der mehr als 240 Dienste der regulären EU-Regionen (Computerworld, rocket-monkeys). Microsoft hat die EU Data Boundary abgeschlossen und bündelt seine Angebote unter der Marke Microsoft Sovereign Cloud (KuppingerCole, Serverless Solutions). Google bietet gemeinsam mit T-Systems eine souveräne Variante an, bei der die Schlüssel in deutschen Rechenzentren von T-Systems verbleiben (Google Cloud, happtiq).

Bewertungskriterien

Eine belastbare Entscheidung erfordert mehr als den Blick auf den Serverstandort. Wir bewerten Cloud-Plattformen anhand von sieben Kriterien:

1. Rechtssicherheit: Welche Rechtsordnungen können auf die Daten zugreifen, und wie hoch ist das Restrisiko?
2. Leistungsumfang: Welche verwalteten Dienste stehen zur Verfügung, von Identitätsverwaltung bis zu KI?
3. Betriebsaufwand: Welche Komponenten muss das Unternehmen selbst aufsetzen, absichern und dauerhaft betreiben?
4. KI-Fähigkeit: Wie breit und stabil ist das Angebot an Modellen und KI-Diensten?
5. Nachweise und Compliance: Welche Testate und Zertifizierungen liegen vor, und welche Dienste decken sie ab?
6. Ökosystem und Fachkräfte: Wie gut sind Dokumentation, Partnernetz und Verfügbarkeit erfahrener Fachkräfte?
7. Abhängigkeit und Ausstieg: Wie aufwendig ist ein späterer Anbieterwechsel?

Analyse: die Stärken der deutschen Anbieter

Die deutschen Anbieter überzeugen vor allem bei der Rechtssicherheit. Ohne US-Mutterkonzern unterliegen sie nicht dem CLOUD Act. Für die öffentliche Hand, für Unternehmen mit vertraglicher Verpflichtung zu rein europäischen Anbietern und für einzelne stark regulierte Bereiche ist das ein entscheidendes Argument.

Auch bei Nachweisen und Compliance sind die Anbieter gut aufgestellt. STACKIT und T Cloud Public verfügen über ein BSI-C5-Testat vom Typ 2, IONOS nach öffentlicher Beleglage über ein Testat vom Typ 1 für ausgewählte Dienste (thalamiq, kubernetes-anbieter.de). Welche Dienste im Einzelnen abgedeckt sind, ergibt sich aus dem jeweiligen Testatsbericht, den Unternehmen vor einer Entscheidung anfordern sollten. Hinzu kommen Verträge nach deutschem Recht, deutschsprachiger Support und kurze Abstimmungswege, die gerade kleineren Organisationen die Zusammenarbeit erleichtern.

Bei der KI-Fähigkeit holen die deutschen Anbieter spürbar auf. STACKIT und T Cloud Public stellen GPU-Infrastruktur für den Betrieb eigener Modelle bereit, IONOS betreibt mit dem AI Model Hub eine Plattform für gehostete Sprachmodelle, und die Telekom bietet mit ihren AI Foundation Services einen vergleichsweise breiten Modellkatalog (wz-it). Für den Aufruf etablierter Sprachmodelle per Schnittstelle stehen damit heute tragfähige Optionen zur Verfügung.

Analyse: die Herausforderungen für kleine Unternehmen

Der entscheidende Unterschied liegt beim Leistungsumfang und beim Betriebsaufwand, und er zeigt sich in keiner Preisliste. Hyperscaler stellen Hunderte verwalteter Dienste bereit, darunter Identitätsverwaltung, Warteschlangen, automatisch skalierende Datenbanken, Monitoring, Protokollierung, Geheimnisverwaltung sowie Sprach- und Bilddienste. Diese Dienste lassen sich mit geringem Aufwand einrichten und werden vom Anbieter gepflegt, aktualisiert und überwacht. Die deutschen Anbieter decken die Grundausstattung aus virtuellen Maschinen, Speicher, Kubernetes und Datenbanken solide ab. Darüber hinaus wird das Angebot jedoch schnell schmaler, und fehlende Bausteine muss das Unternehmen selbst bereitstellen und dauerhaft betreiben.

Für Konzerne mit eigener Plattformorganisation ist dieser Mehraufwand beherrschbar. Für Unternehmen mit kleinen IT-Teams entwickelt er sich dagegen häufig zum größten Kostenfaktor. Jede selbst betriebene Komponente erfordert Updates, Überwachung, Datensicherung und eine Bereitschaft für den Störungsfall.

Ein Beispiel aus unserer Projektpraxis verdeutlicht das. Für einen KI-Gesprächstrainer benötigen wir Spracherkennung, Sprachmodell und Sprachausgabe als verwaltete Dienste. Zum Zeitpunkt unserer Marktanalyse bietet keiner der deutschen Anbieter eine verwaltete Sprachausgabe an. Ein Eigenbetrieb mit eigenem Modell, eigener Skalierung und eigener Wartung wäre die Folge gewesen. Die Lösung entsteht deshalb mit einem spezialisierten europäischen KI-Anbieter und nicht auf einer deutschen Cloud-Plattform.

Hinzu kommt die Dynamik im KI-Umfeld. Die Modellkataloge der deutschen Anbieter sind kleiner, und Modelle werden häufiger ersetzt. Bei IONOS sind laut einem Vergleich seit Mai 2025 sieben Modelle abgelöst worden (wz-it). Der Anbieter kündigt Nachfolger transparent an, für Unternehmen bedeutet die Taktung dennoch regelmäßigen Anpassungsaufwand. Auch Ökosystem, Dokumentation und Fachkräftemarkt sind deutlich kleiner. Erfahrung mit AWS oder Azure ist am Markt in weit größerem Umfang verfügbar als Erfahrung mit STACKIT oder IONOS.

Risikobewertung: der CLOUD Act

Der CLOUD Act verpflichtet US-Unternehmen, unter bestimmten Voraussetzungen Daten an US-Behörden herauszugeben, unabhängig vom Speicherort. Das gilt auch für europäische Tochtergesellschaften und damit grundsätzlich auch für die souveränen Angebote der Hyperscaler, solange die Muttergesellschaft in den USA sitzt (bex.co, Trending Topics). Dieses Restrisiko lässt sich nicht vollständig ausschließen, und eine ehrliche Bewertung muss es benennen.

Zur vollständigen Einordnung gehört allerdings auch: Ein automatisches oder unbegrenztes Zugriffsrecht besteht nicht. Herausgabeverlangen laufen über richterliche Verfahren im Rahmen von Strafermittlungen. AWS gibt an, seit 2020 keine außerhalb der USA gespeicherten Kundeninhalte auf entsprechende Anfragen hin herausgegeben zu haben (Computerworld). Für die Mehrzahl kleiner und mittlerer Unternehmen ist das Risiko damit eher theoretischer Natur. Mit folgenden Maßnahmen lässt es sich weiter reduzieren:

• Verarbeitung in der EU durch die Wahl europäischer Regionen und vertragliche Zusagen wie die EU Data Boundary
• Vertrag zur Auftragsverarbeitung einschließlich Prüfung der Standardvertragsklauseln
• Verschlüsselung mit eigenen Schlüsseln, sodass der Anbieter keinen Zugriff auf Klartextdaten erhält
• Datenminimierung, bei der besonders sensible Informationen nicht in die Cloud gelangen
• Verschwiegenheitsvereinbarung nach § 203 StGB für Berufsgeheimnisträger

Branchenperspektive: Kanzleien und Berufsgeheimnisträger

Für Kanzleien, Praxen und Steuerberatungen stellt sich die Frage in verschärfter Form. Hier geht es über den Datenschutz hinaus um das Berufsgeheimnis nach § 203 StGB. Wer externe Dienstleister einbindet, muss diese zur Verschwiegenheit verpflichten, Anwältinnen und Anwälte haben zusätzlich die Anforderungen des § 43e BRAO zu beachten. Ein Hyperscaler ist dabei kein Ausschlusskriterium, sofern Architektur und Verträge stimmen.

PyleHound, unser KI-Workspace für die juristische Arbeit, zeigt einen möglichen Ansatz. Mandantendokumente verbleiben lokal auf dem Rechner der Kanzlei. Lediglich rechenintensive Teilaufgaben werden an Sprachmodelle über Google Vertex AI an EU-Standorten übergeben, abgesichert durch eine Vereinbarung nach § 203 StGB. So verbindet die Lösung die Leistungsfähigkeit eines Hyperscalers mit einer Datenhaltung, die das Berufsgeheimnis respektiert. Die Details beschreibt unsere Fallstudie zu PyleHound.

Branchenperspektive: Banken und Finanzdienstleister

Für Banken und andere Finanzdienstleister gilt seit dem 17. Januar 2025 der Digital Operational Resilience Act, kurz DORA (WKO). Die Verordnung verlangt unter anderem ein systematisches Management der Risiken durch IKT-Dienstleister, die Erfassung aller Verträge in einem Informationsregister und Ausstiegsstrategien für wichtige Dienste. Diese Pflichten gelten unabhängig davon, ob der Dienstleister aus Deutschland oder aus den USA stammt.

In der Souveränitätsdebatte wird ein Aspekt häufig übersehen: Im November 2025 haben die europäischen Aufsichtsbehörden 19 Technologieunternehmen als kritische IKT-Drittdienstleister eingestuft, darunter AWS, Google Cloud und Microsoft (KPMG, PwC Legal). Diese Anbieter unterliegen damit einer direkten europäischen Aufsicht mit eigenen Prüfungen und verbindlichen Empfehlungen. Die Verantwortung des Instituts bleibt davon unberührt, es entsteht jedoch eine zusätzliche Kontrollebene, die bei kleineren Anbietern in dieser Form nicht existiert.

Für Banken entscheidet deshalb weniger die Herkunft des Anbieters als die Frage, ob Verträge, Prüfrechte, Informationsregister und Ausstiegsstrategie den Anforderungen von DORA genügen. Die großen Anbieter stellen hierfür standardisierte Vertragswerke für den Finanzsektor bereit. Ein deutscher Anbieter kann dennoch die passendere Wahl sein, etwa wenn die eigene Risikostrategie die Konzentration auf US-Anbieter begrenzen soll.

Handlungsempfehlungen

Aus der Analyse leiten wir folgende Empfehlungen ab:

Ausgangslage	Empfehlung
Öffentliche Hand oder vertragliche Verpflichtung zu rein europäischen Anbietern	Deutscher Anbieter
Eigene IT-Organisation, überschaubare Infrastruktur mit wenigen verwalteten Diensten	Deutscher Anbieter als gleichwertige Option
Kleines Team, schneller Projektstart, Bedarf an vielen verwalteten Diensten	Hyperscaler in der EU-Region
KI-Vorhaben mit wechselnden Modellen sowie Sprach- und Bilddiensten	Hyperscaler in der EU-Region oder spezialisierter europäischer KI-Anbieter
Kanzleien und andere Berufsgeheimnisträger	Hyperscaler in der EU-Region mit Vereinbarung nach § 203 StGB und lokaler Datenhaltung, alternativ deutscher Anbieter
Banken und Finanzdienstleister	Beide Varianten möglich, entscheidend sind DORA-konforme Verträge, Prüfrechte und Ausstiegsstrategie
Besonders sensible Daten bei hohem Rechenbedarf	Hybride Architektur mit lokaler oder deutscher Datenhaltung und Rechenleistung beim Hyperscaler in der EU

Unabhängig von der Plattform empfehlen wir drei Schritte vor jeder Entscheidung: die zu verarbeitenden Daten nach Schutzbedarf zu klassifizieren, die benötigten Dienste vollständig zu erfassen und den Betriebsaufwand für jede selbst zu betreibende Komponente realistisch zu beziffern.

Fazit

Digitale Souveränität ist ein berechtigtes Ziel, und die deutschen Anbieter verdienen mehr Aufmerksamkeit, als ihnen im Markt zuteilwird. Für die Mehrzahl kleiner und mittlerer Unternehmen ist ein Hyperscaler in der EU-Region, kombiniert mit einer durchdachten Architektur und belastbaren Verträgen, dennoch die wirtschaftlichere und häufig auch die sicherere Wahl. Der Grund liegt im Betriebsaufwand: Je weniger Komponenten ein Unternehmen selbst betreiben muss, desto geringer ist das Risiko im eigenen Haus.

Das Restrisiko des CLOUD Act bleibt bestehen, lässt sich jedoch auf ein vertretbares Maß reduzieren. Der zusätzliche Betriebsaufwand einer schlankeren Plattform lässt sich dagegen nicht vertraglich auslagern. Die richtige Entscheidung hängt letztlich von Datenlage, Teamgröße und regulatorischen Pflichten ab, für Kanzleien und Banken zusätzlich von Berufsrecht und Aufsicht. Gern unterstützen wir dabei, die passende Lösung für die jeweilige Situation zu finden.