Dieser Artikel ist Teil einer laufenden Reihe zur digitalen Souveränität in Europa. Zuletzt aktualisiert im Juli 2026, zum CADA-Vorschlag.
Souveränität als bewegliches Ziel
Digitale Souveränität in der EU ist keine statische Debatte. Was als Gespräch über Datenresidenz begann, ist zu durchsetzbarer Governance, operativer Kontrolle und regulatorischer Angleichung geworden.
Für viele Organisationen, besonders unter EU-Aufsicht, fühlte sich „Daten in Europa“ einst als genug an. Heute ist das nur der Anfang. Dieselbe Cloud, die Wachstum treibt, stellt Fragen: wer Daten kontrolliert, wer zugreifen kann, unter welchem Recht.
Als Microsoft im Februar 2025 die letzte Phase der EU Data Boundary abschloss, kehrte Vertrauen zurück, dass Daten in Europa bleiben. Die tiefere Frage blieb: wie europäische Institutionen in der Cloud unter eigener Governance arbeiten können, ohne fremde Aufsicht.
DORA, breitere NIS2-Auslegungen und stärkere DSGVO-Durchsetzung machen Souveränität zur Erwartung, nicht zur Präferenz. Anforderungen verschieben sich zu beweisbarer Kontrolle über Identität, Zugriff und Betrieb.
Durchsetzung ist keine Hypothese mehr
Im März 2024 stellte der EDPS fest, dass die Europäische Kommission selbst Microsoft 365 rechtswidrig nutzte. Kommission und Microsoft verschärften Zweckbindung, beschränkten Transfers außerhalb des EWR und ergänzten verbindliche Vertragsanweisungen. Im Juli 2025 bestätigte der EDPS die Behebung - und forderte andere EU-Institutionen auf, dasselbe zu tun.
Von Standort zu echter Kontrolle
Microsoft hat ein Sovereign-Cloud-Portfolio formalisiert: Sovereign Public, Sovereign Private und nationale Partner. Data Guardian heißt: Remote-Zugriff durch Microsoft-Ingenieure braucht ausdrückliche Freigabe von Personen in Europa, protokolliert in einem manipulationssicheren Ledger. External Key Management lässt Kunden die Schlüssel halten. Azure Local und Microsoft 365 Local erlauben Workloads in Rechenzentren der Kunden oder vertrauenswürdiger Partner wie Bleu und Delos Cloud.
Am 3. Juni 2026 veröffentlichte die Kommission CADA mit vier Assurance-Stufen von EU-Datenstandort bis voller Lieferkettenkontrolle. Noch nichts ist bindend. Die Richtung ist klar. Gartner erwartet, dass europäische souveräne IaaS-Ausgaben 2026 fast verdoppeln.
Grenzen bleiben. Microsoft betreibt weiter die darunterliegende Infrastruktur. US-Gesetze wie der CLOUD Act können weiter kollidieren. Extra-Governance kann Komplexität erhöhen. Organisationen kaufen keine souveräne Cloud als Produkt. Sie entwerfen darauf hin, über die Zeit.
Von Politik zu Plattformdesign
Bei Masterminds Group helfen wir, Azure mit Infrastructure as Code zu strukturieren, Zugriffsgovernance umzusetzen und Plattformen zu entwerfen, die transparent und steuerbar bleiben. Keine Rechtsauslegung. Druck in ein technisches Design übersetzen, das Sie betreiben können.