Souveränitäts-Washing? Ein kritischer Blick auf die Partner­schaft zwischen BSI und AWS

Anbieter zum Thema

Bundesamt für Sicherheit i.d.Informationstechnik

FTAPI Software GmbH

Mit Europas zunehmendem Bestreben nach digitaler Souveränität, müssen US-Cloud-Anbieter um ihre Kunden bangen. Aus diesem Grund hat AWS seine „European Sovereign Cloud“ gestartet – in Zusammenarbeit mit dem BSI. Die Reaktionen auf diese und ähnliche Kooperationen des BSI mit US-Hyperscalern fallen hauptsächlich negativ aus.

Erst Google, dann Ionos und jetzt AWS: Was Kooperationen im Bereich Cloud Computing angeht, tanzt das Bundesamt für Sicherheit in der Informationstechnik auf vielen Hochzeiten, um neue technologische Erkenntnisse zu gewinnen. Nachdem BSI-Präsidentin Claudia Plattner sich im vergangen Jahr zu allerlei Kritik für die Zusammenarbeit des BSI mit dem Hyperscaler Google rechtfertigen musste, folgten Mitte Januar 2026 zwei weitere Kooperationsankündigungen. Während die erste unter der Maxime „Digitale Souveränität im Cloud Computing“ mit dem deut­schen Cloud-Anbieter Ionos für Wohlwollen sorgte, sorgt die zweite Ankündigung für Fra­gen. Das BSI hat bekanntgegeben, mit einem weiteren Hyperscaler noch enger zusammen­ar­bei­ten zu wollen: AWS. Dessen European Sovereign Cloud (ESC) ging am 15. Januar live. Das BSI will „bei der Ausgestaltung von Sicherheits- und Souveränitätsmerkmalen“ unterstützen. Was kann man sich darunter genau vorstellen? Und wie ist das mit Europas angestrebter und dringend not­wen­diger digitalen Unabhängigkeit von den USA zu vereinen?

Update: Wie sieht die Zusammenarbeit aus?

BSI und Google wollen sichere Cloud-Lösungen entwickeln

Was beinhalten BSI-Kooperationen mit Cloud Providern?

Da die Sicherheit von Daten in der Cloud die Basis für deren Nutzung sind, ist es durchaus sinn­voll für Anbieter, die in den deutschen Markt wollen, sich Hilfe beim BSI zu holen. Auch für Io­nos, einen Anbieter aus Montabaur, der bereits etabliert ist, sollen sich durch die Zusammen­arbeit mit dem Bundesamt Vorteile ergeben, genauso wie andersherum. Zum einen soll Ionos in Abstimmung mit dem BSI die Bundesverwaltung beim Aufbau einer Private-Enterprise-Cloud-Umgebung unterstützen. Ein weiterer Fokus liegt auf der Entwicklung zukunftsfähiger krypto­gra­fischer Verfahren mit dem Ziel, sensible Daten der öffentlichen Verwaltung ab sofort so zu schützen, dass sie auch gegenüber künftigen Entschlüsselungs­technologien resilient bleiben.

Auf der anderen Seite profitiert Ionos davon, seine Sicherheitslösungen auf die hohen Standards des BSI direkt abstimmen zu können. Außerdem beinhaltet die Kooperation den gegenseitigen Wissensaustausch in Bezug auf Informationssicherheit und kryptografische Verfahren. Dieses Wissen kann helfen, die eigenen technischen Lösungen von zukunftssicher zu gestalten. So kann Ionos die Sicherheitseigenschaften seiner Angebote verbessern und nach­weisen, was einen möglichen Wettbewerbsvorteil verschafft.

Wie US-Konzerne Europas digitale Unabhängigkeit untergraben

Souveränitäts-Washing in der Cloud

Kritik an Kooperation mit Hyperscalern

Und auch in der Zusammenarbeit mit US-Hyperscalern wie Google und AWS profitieren diese innerhalb einer Kooperation mit dem BSI von Einblicken in den deutschen Markt. Was die Vereinbarung mit Google angeht, erhielt das BSI gerade wegen dieser Einblicke heftige Kritik, unter anderem von der Gesellschaft für Informatik. Denn sie würde die europäischen und deutschen Bemühungen, die digitale Souveränität zu stärken, zunichte machen. Bereits im Juli 2025 gab Claudia Plattner unserer Redaktion dazu ein Statement, welches wir hier noch einmal wiedergeben möchten:

Claudia Plattner:  „Wir arbeiten mit sehr vielen verschiedenen Cloud-Unternehmen zusammen und wir haben mit allen immer wieder den Punkt, dass wir ganz klar sagen müssen, okay, das hier sind Sicherheitsanforderungen, die wir umgesetzt sehen wollen. Das betrifft manchmal rein die Si­cher­heit in den Rechenzentren und es betrifft aber natürlich auch die Frage, wie man mit einer Cloud zusammenarbeiten kann und wo man gegebenenfalls auch Sicherheitspunkte einziehen kann. Gerade für US-Hyperscaler ist es natürlich spannend zu sagen, wie sieht denn eigentlich ein Cloud-Betrieb hier in Europa aus, wie kann man den absichern, wie kann man hier gegebenenfalls auch aus deutscher Seite, aus europäischer Seite eine entsprechende Kontrolle ausüben, und genau das schauen wir uns zusammen an. Es betrifft immer die Daten, die rausgehen, also zum Beispiel Telemetriedaten, es betrifft aber immer auch, was kommt denn rein, zum Beispiel Updates oder Steuerbefehle. Und dann nicht zuletzt wie gut funktioniert denn eine Cloud, wenn wir sie mal sozusagen von den USA lösen. Und das sind die Fragen, die wir uns zusammen anschauen. Und da sind wir sehr konstruktiv mit sehr vielen Anbietern unterwegs. Das machen wir in der Tat nicht nur mit einem Hyperscaler sondern mit mehreren. Und hier versuchen wir Lösungen zu schaffen, die dann wiederum zu Optionen werden können, die dann die Bundesregierung, Landesregierung oder auch die deutsche Wirtschaft ziehen können.“

Wie realistisch ist der Kill Switch?

Können die USA Europa den Stecker ziehen?

BSI unterstützt AWS

Optionen für Bundesregierung, Landesregierung und Wirtschaft in Deutschland klingt gut. Seit der Unterzeichnung der Vereinbarung mit Google seit März 2025 scheinen sich jedoch noch nicht viele davon ergeben zu haben. Denn das BSI-Portal, in dem sich alle NIS-2-Betroffenen registrieren müssen, basiert nicht auf der Cloud-Infrastruktur eines deutschen Anbieters, sondern auf der von AWS.

NIS 2

BSI-Portal zur Meldung von Sicherheitsvorfällen ist live

Auch hierzu hagelte es Kritik. Hier ein Auszug der Reaktionen über die Unternehmensseite von Security-Insider auf LinkedIn:

„Ich bin sprachlos, wie kann man als Bundesbehörde nur solche Entscheidungen treffen? Zuerst mit Google und deren Clouddiensten und nun sollen Informationen zu AWS in die Cloud wandern. Zu­mal nach außen auf Bundesebene die digitale Souveränität gepredigt wird. Wie sollen wir in An­sätzen unabhängig von amerikanischen Hyperscalern werden, wenn der Staat nicht als Schlüs­sel­kunde auftritt und europäischen Firmen eine Chance gibt? Mich würde wirklich der wahre Hin­ter­grund dieser Entscheidungen interessieren, denn ich denke und hoffe, dass beim BSI kluge Köpfe am Werk sind.“

„Mit dieser Entscheidung untergräbt das BSI seine eigene Rolle als 'Hüter' digitaler Souveränität und sendet ein widersprüchliches Signal an Behörden und Unternehmen, denen es selbst eu­ro­päische und souveräne Infrastruktur empfiehlt. Am Ende entsteht der Eindruck, dass kurzfristige Bequemlichkeit über langfristige strategische Interessen gestellt wurde. Ein Vorbild für digitale Souveränität sieht anders aus.“

„Ganz abgesehen davon, das ich die Entscheidung persönlich als grob Fahrlässig empfinde, sollte das Bundesamt für Sicherheit in der Informationstechnik (BSI) mit gutem Beispiel voran gehen. Die Aussage von Claudia Plattner 'man könne nicht die ganze Republik retten' finde ich in dem Zu­sam­men­hang zynisch. Politisch wird die Souveränität gepredigt. Deshalb sollte der Staat mit gutem Beispiel voran gehen und konsequent auf europäische Alternativen setzen.“

„Gerade das BSI sollte da gerade bei dem Thema mit gutem Beispiel voran gehen, denn die Zeiten ändern sich leider nicht immer zum Guten. Digital darf man einfach weder von irgendeinem Hy­per­scaler noch von einer Supermacht erpressbar sein.“

Security-Insider Podcast – Folge 89

Die Cloud-Strategie des BSI

Das ist die AWS European Sovereign Cloud

Am 15. Januar startete AWS seine European Sovereign Cloud und das BSI verkündete parallel eine weitere Zusammenarbeit. Diese beinhalte vor allem die Ausgestaltung von Sicherheits- und Souveränitätsmerkmalen. Dem Bundesamt zufolge handelt es sich bei der ESC um eine eigenständige Cloud-Infrastruktur, die sich vollständig in der EU befindet und physisch wie auch logisch unabhängig von der weltweiten AWS-Instanz betrieben wird. Das Ziel ist es, die hierzulande strengen Anforderungen an Datensouveränität, Datenresidenz und operative Kontrolle zu erfüllen und damit öffentliche Auftraggeber, kritische Infrastrukturen und re­gu­lierte Industrien in Europa bedienen zu können. Die erste Region der AWS European Sovereign Cloud ist in Brandenburg. Zusätzlich plant AWS eine Expansion in weitere EU-Länder, be­gin­nend mit neuen souveränen „AWS Local Zones“ in Belgien, den Niederlanden und Portugal. Damit will der Hyperscaler nationale Residenz- und Latenzanforderungen abdecken. Bisher umfasst die ESC mehr als 90 Services, auch aus den Bereichen Compute, Storage, Da­ten­banken, Netzwerke, Security und Künstliche Intelligenz.

Datenkonflikt zwischen Europa und Amerika

Microsoft-Vertreter bestätigt unter Eid Risiko für europäische Daten

Sicher, aber nicht geschützt vor US-Zugriff

Für die Absicherung der European Sovereign Cloud kombiniert AWS eigenen Angaben nach mehrere Ebenen, darunter:

• Der Betrieb soll ausschließlich durch in der EU ansässiges Personalx erfolgen, keine kri­tischen Abhängigkeiten von Infrastruktur außerhalb der EU mit sich bringen, dafür aber Notfallfähigkeit auch bei globalen Netzunterbrechungen.

• Plan ist, dass die Kunden die Kontrolle darüber behalten, wo Daten und Metadaten ge­spei­chert werden, einschließlich Zugriffsmanagement, Abrechnung und Nutzungsdaten.

• Grundlage für technische Sicherheitskontrollen ist das AWS Nitro System, das physische und logische Zugriffsbeschränkungen durchsetzt. Ergänzt wird dies durch Verschlüsselung, Key Management und Hardware-Sicherheitsmodule.

• Mit dem ESC Sovereign Reference Framework (ESC-SRF) stellt AWS ein extern geprüftes Regelwerk bereit, das Kunden zur Nachweisführung gegenüber Aufsichtsbehörden nutzen können.

• Eine eigene Muttergesellschaft sowie lokale Tochtergesellschaften in Deutschland, ergänzt durch einen europäischen Beirat, sollen rechtliche und organisatorische Unabhängigkeit sicherstellen.

Streit um Digitale Souveränität

Schlagabtausch zwischen BSI-Chefin und Open Source Community

Souveränitäts-Washing?

Das Bestreben des BSI, gemeinsam mit kommerziellen Cloud-Anbietern technische Er­kennt­nisse für mehr Sicherheit in der Wolke zu erhalten, mag ehrenhaft sein. Die Umsetzung stößt vielen jedoch bitter auf. Denn AWS unterliegt als US-Unternehmen nach wie vor dem dortigen Gesetz. Größte Sorgen in Europa ist der US Cloud Act. Dieser verpflichtet amerikanische Un­ter­nehmen dazu, den US-Behörden Zugriff auf gespeicherte Daten zu ermöglichen, egal wo die Rechenzentren stehen. Somit ist online immer häufiger die Rede von „Souveränitäts-Washing“. Ein Trend, bei dem dass Tech-Anbieter behaupten, digitale Souveränität zu gewährleisten, diese aber in Wirklichkeit nicht vollständig umsetzen, sondern nur oberflächliche Versprechungen machen, um ihre Marktmacht zu festigen und Nutzer in – oftmals teure – Abhängigkeiten zu locken. Vollständige Unabhängigkeit kann nur durch europäische Betreiber auf europäischem Grund, die nur unter europäischem Recht stehen, erreicht werden.

Ähnlich sieht es auch René Büst, Analyst bei Gartner: „Die Bemühung von Amazon Web Services (AWS), Europäischen Kunden entgegenzukommen, sollte anerkannt werden. Das Ziel der AWS ESC ist die Speicherung von Daten und der Betrieb von Cloud-Systemen ausschließlich auf dem Europäischen Kontinent. Gleichzeitig zeigt die AWS ESC, dass AWS das Thema Souveränität nicht verstanden hat, beziehungsweise die Kernproblematik bewusst ignoriert. ESC gehört der AWS European Sovereign Cloud GmbH, einem deutschen Unternehmen, das eine hundert­pro­zen­tige Tochtergesellschaft seiner amerikanischen Muttergesellschaft ist. Dies erweckt den Anschein einer europäischen Eigentümerschaft, da die Mitarbeiter des deutschen Unter­neh­mens verpflichtet sind, die europäischen Gesetze zu befolgen. Dies ist jedoch nicht unbedingt der Fall, da Fragen hinsichtlich der Auswirkungen von Kontrolle und Sanktionen durch die USA bestehen bleiben. Die AWS ESC hat daher nur eine eingeschränkte operative Souveränität und bietet keine technologische Souveränität. Europäische Unternehmen sollten den Empfehlungen des BSI im Hinblick auf Souveränität nur mit großer Vorsicht folgen. Die bisherigen Aussagen des BSI zeigen, dass es sich bei der Zusammenarbeit und Bewertung der AWS ESC nicht auf die Kernproblematik der Souveränität konzentriert. Die Fähigkeit zur Abkopplung von der globalen AWS-Infrastruktur, die Prüfung eingehender Steuerungsbefehle und Cloud-Updates, die Prü­fung und gegebenenfalls Unterbindung ausgehender Telemetriedaten sowie der Betrieb durch EU-Personal und die Verschlüsselung von Daten sind aus Sicherheitsperspektive wichtige tech­nische Bedingungen. Die Problematik der hundertprozentigen Eigentümerschaft durch die US-Muttergesellschaft und der damit einhergehenden Gefahr von Kontrolle und Sanktionen durch die USA, betrachtet das BSI bei der Bewertung jedoch scheinbar nicht.“

Der Eurostack als europäische Digitalstrategie

So könnte Europas digitale Souveränität konkret aussehen

(ID:50680638)