Die unsichtbare Abhängigkeit
Europa nutzt für Cloud und KI überwiegend Angebote von US-Konzernen. Was das für Unternehmen bedeutet, was Gaia-X erreichen sollte und welche europäischen Alternativen es gibt.
Wenn ein europäisches Unternehmen heute eine E-Mail versendet, ein Dokument in der Cloud speichert oder eine KI-Analyse durchführt, laufen diese Daten mit hoher Wahrscheinlichkeit über Server eines US-amerikanischen Konzerns. Nach Erhebungen der Synergy Research Group entfallen auf Amazon Web Services, Microsoft Azure und Google Cloud Platform zusammen 70 Prozent des europäischen Marktes für Cloud-Infrastrukturdienste (IaaS, PaaS und Hosted Private Cloud), während alle europäischen Anbieter zusammen seit 2022 bei rund 15 Prozent verharren (Synergy Research Group, „European Cloud Providers' Local Market Share Now Holds Steady at 15%", 24. Juli 2025, Datenbasis Gesamtjahr 2024 und erstes Halbjahr 2025, srgresearch.com). Europäische Alternativen wie OVHcloud, Deutsche Telekom (Open Telekom Cloud) und deutsche Rechenzentrumsbetreiber teilen sich diesen Rest.
Diese Zahlen beschreiben nicht nur einen wirtschaftlichen Zustand. Sie beschreiben eine strategische Abhängigkeit. Europäische Unternehmen, Behörden und Krankenhäuser haben ihre digitale Infrastruktur an Firmen ausgelagert, die dem US-amerikanischen Recht unterliegen. Für Anbieter, die US-Recht unterliegen, können der CLOUD Act, FISA Section 702 und Executive Order 12333 auch dann greifen, wenn die Server in Frankfurt, Amsterdam oder Paris stehen. Der Europäische Datenschutzausschuss (EDPB) hat in seinen Empfehlungen 01/2020 unmissverständlich klargestellt, dass technische Maßnahmen allein dieses Risiko nicht eliminieren können, solange der Anbieter selbst unter US-Jurisdiktion fällt.
Die Abhängigkeit geht über Cloud-Speicher hinaus. Bei Künstlicher Intelligenz setzt sich das fort: Viele der Modelle, die heute in europäischen Unternehmen eingesetzt werden, stammen von US-Anbietern. Damit entsteht eine doppelte Abhängigkeit: bei der Infrastruktur, auf der die Daten liegen, und bei den Modellen, die sie auswerten.
China: Das Nationale Geheimdienstgesetz
Während die Debatte über digitale Souveränität in Europa oft auf die USA fokussiert ist, existiert auf der anderen Seite ein mindestens ebenso bedrohliches Rechtsregime. Das Nationale Geheimdienstgesetz der Volksrepublik China (国家情报法), in Kraft getreten am 28. Juni 2017, verpflichtet in Artikel 7 alle chinesischen Organisationen und Bürger dazu, nationale Geheimdienstarbeit zu unterstützen und mit den Nachrichtendiensten zu kooperieren. Artikel 14 erlaubt den Geheimdiensten ausdrücklich, Unternehmen zur Bereitstellung von technischer Unterstützung, Daten und Informationen zu zwingen.
Die Tragweite dieses Gesetzes ist enorm: Es gilt weltweit und ohne Ausnahme für jedes chinesische Unternehmen, egal ob es in Peking, London oder Berlin operiert. Für europäische Unternehmen bedeutet das ein konkretes Risiko bei der Nutzung von Produkten chinesischer Hersteller. Die Diskussion um Huawei im Bereich 5G-Infrastruktur war nur die sichtbarste Spitze dieses Eisbergs. Dieselbe strukturelle Frage stellt sich bei allen Anbietern, die diesem Gesetz unterliegen: Artikel 7 und 14 verpflichten sie zur Zusammenarbeit mit den Nachrichtendiensten.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat in mehreren Stellungnahmen auf die Risiken durch Technologie aus nicht-vertrauenswürdigen Drittstaaten hingewiesen. Die ENISA Threat Landscape 2024 listet staatlich gesteuerte Cyberangriffe und Datenabfluss über kommerzielle Produkte als wachsende Bedrohung für europäische Unternehmen. Digitale Abhängigkeit betrifft damit nicht nur US-Anbieter. Europa steht zwischen zwei Supermächten, die beide gesetzliche Instrumente geschaffen haben, um auf Daten ausländischer Unternehmen zuzugreifen, und es braucht eine eigenständige Antwort darauf.
USA: Wenn der Zugang abgeschaltet wird
Die Abhängigkeit von US-Diensten ist nicht nur ein Datenschutzproblem. Sie ist ein Betriebsrisiko. Und dieses Risiko besteht nicht nur in Krisengebieten. Die transatlantischen Beziehungen zwischen den USA und Europa unterliegen politischen Zyklen, Handelsstreitigkeiten und wechselnden Regierungen. Die Zoll-Eskalation zwischen den USA und der EU im Frühjahr 2025 hat gezeigt, dass wirtschaftlicher Druck auch zwischen Verbündeten eingesetzt wird.
Handelskonflikte, politische Krisen oder neue Exportbeschränkungen können den Zugang zu Diensten aus Drittstaaten beeinflussen. Wer die eigene Handlungsfähigkeit absichern will, verteilt dieses Risiko bewusst.
Die Bundesregierung KI-Strategie (aktualisiert 2025) benennt die "Verringerung kritischer Abhängigkeiten von nicht-europäischen Anbietern" als eines von fünf strategischen Zielen. Das ist kein Anti-Amerikanismus. Es ist wirtschaftliche Vernunft. Kein europäisches Unternehmen würde seine Stromversorgung einem einzigen ausländischen Anbieter anvertrauen. Bei der digitalen Infrastruktur tun es fast alle.
Gaia-X: Anspruch und heutiger Stand
Als der damalige Bundeswirtschaftsminister Peter Altmaier und sein französischer Amtskollege Bruno Le Maire im Oktober 2019 das Projekt Gaia-X vorstellten, war die Vision ambitioniert: Eine souveräne europäische Cloud-Infrastruktur, die europäischen Datenschutzstandards entspricht und die Abhängigkeit von US-Hyperscalern reduziert. Die Idee war, ein föderiertes System zu schaffen, in dem europäische Cloud-Anbieter ihre Dienste über gemeinsame Standards und Schnittstellen anbieten, interoperabel, transparent und DSGVO-konform.
Was dann geschah, ist ein Lehrstück über die Schwierigkeiten europäischer Technologiepolitik. Gaia-X wuchs von einem deutsch-französischen Projekt zu einem Konsortium mit über 350 Mitgliedern, darunter auch Amazon Web Services, Microsoft Azure, Google Cloud, Alibaba und Palantir. Die ursprüngliche Idee einer Alternative zu den Hyperscalern verwandelte sich in ein Forum, in dem genau diese Hyperscaler an den Standards mitschrieben, die sie eigentlich regulieren sollten. Mehrere europäische Gründungsmitglieder, darunter Scaleway (Frankreich), verließen das Projekt aus Protest gegen die Verwässerung der Souveränitätsziele.
Heute existiert Gaia-X zwar weiterhin und arbeitet an Compliance-Labels und Datenraum-Standards, aber die ursprüngliche Vision einer europäischen Cloud-Alternative hat sich in dieser Form nicht erfüllt. Das CISPE (Cloud Infrastructure Services Providers in Europe) hat in seinem Positionspapier 2024 deutlich formuliert: Gaia-X hat wertvolle Grundlagenarbeit bei Interoperabilitätsstandards geleistet, aber als Instrument zur Herstellung digitaler Souveränität hat es sein Ziel verfehlt. Das bedeutet nicht, dass die Notwendigkeit verschwunden wäre, im Gegenteil. Es bedeutet, dass digitale Souveränität nicht durch ein einzelnes Prestigeprojekt entstehen wird, sondern durch konkrete Produkte, die funktionieren und die europäische Unternehmen tatsächlich einsetzen.
Mistral und Aleph Alpha: Europas Antwort
Während Gaia-X im politischen Prozess stecken blieb, entstand die echte europäische Antwort dort, wo Innovation entsteht: in Startups. Mistral AI, gegründet im Mai 2023 in Paris von ehemaligen Forschern von Google DeepMind und Meta AI, hat innerhalb weniger Jahre eine eigene Familie von Sprachmodellen aufgebaut, darunter frei verfügbare Open-Weight-Modelle. Laut der Modellübersicht von Mistral steht inzwischen auch das Flaggschiff Mistral Large 3 unter der Apache-2.0-Lizenz zur Verfügung (Mistral: Models Overview, abgerufen am 23.09.2026). Es stammt von einem europäischen Unternehmen mit Sitz in Paris.
Auf deutscher Seite hat Aleph Alpha, gegründet 2019 in Heidelberg, einen anderen Weg gewählt. Statt auf den Consumer-Markt zu zielen, konzentriert sich Aleph Alpha auf Behörden, Verteidigung und regulierte Industrien. Mit ihrer "Sovereign AI"-Plattform bieten sie On-Premise-Deployment und Betrieb auf europäischer Infrastruktur, ein Angebot, das insbesondere für den öffentlichen Sektor und kritische Infrastrukturen relevant ist. Die Bundesregierung hat Aleph Alpha als strategisches Unternehmen im Rahmen der nationalen KI-Strategie identifiziert, und Partnerschaften mit dem Forschungszentrum Jülich und dem DFKI unterstreichen die Bedeutung des Unternehmens für die deutsche KI-Landschaft.
Beide Unternehmen zeigen, dass Europa nicht mehr auf US-Modelle angewiesen sein muss. Die Qualität ist da. Die Infrastruktur ist da. Europäische Unternehmen haben damit eine echte Wahl. Die französische Regierung hat im Rahmen des "France 2030"-Programms über 500 Millionen Euro in KI-Unternehmen investiert. Die Bundesregierung KI-Strategie 2025 sieht zusätzliche Mittel für souveräne KI-Infrastruktur vor. Der politische Wille existiert. Jetzt muss er in der Unternehmenspraxis ankommen.
Wer die KI kontrolliert, kontrolliert die Daten
Die Debatte über digitale Souveränität wird oft auf die Frage "Wo stehen die Server?" reduziert. Das greift zu kurz. Die entscheidende Frage lautet: Wer kontrolliert die Verarbeitung? Denn bei Künstlicher Intelligenz werden Daten nicht einfach gespeichert, sie werden analysiert, verknüpft, interpretiert und in Entscheidungen umgewandelt. Ein KI-Modell, das Ihre Kundendaten verarbeitet, Ihre Verträge analysiert oder Ihre Geschäftsprozesse optimiert, hat ein tiefes Verständnis Ihrer Organisation. Wer dieses Modell kontrolliert, kontrolliert dieses Wissen.
Das ist der fundamentale Unterschied zwischen Cloud-Speicher und KI-Infrastruktur. Ein Dokument, das auf einem Server liegt, kann kopiert werden, aber es muss erst gelesen und verstanden werden, um es auszuwerten. Ein KI-Modell, das Tausende Ihrer Dokumente verarbeitet hat, hat diese Auswertung bereits vorgenommen. Es kennt Ihre Kundenstruktur, Ihre Preisgestaltung, Ihre internen Schwachstellen. Deshalb zählt bei KI nicht nur der Speicherort, sondern auch, wer die Verarbeitung kontrolliert und welchem Recht dieser Anbieter unterliegt.
Der EU AI Act, der am 1. August 2024 in Kraft trat, adressiert Transparenz und Risikoklassifizierung, geht aber nicht weit genug bei der Frage der Infrastruktur-Souveränität. Er regelt, wie KI-Systeme eingesetzt werden dürfen, nicht, wem die Rechenkapazität und die Modelle gehören, auf denen sie laufen. Die Konzentration der KI-Kapazitäten bei wenigen nicht-europäischen Anbietern bleibt davon unberührt. Wenn Europa im KI-Zeitalter wirtschaftlich und politisch handlungsfähig bleiben will, muss es nicht nur eigene Modelle haben. Es muss die gesamte Kette kontrollieren: von der Hardware über die Trainingsinfrastruktur bis zur Deployment-Plattform, auf der Unternehmen diese Modelle einsetzen.