EU erwägt Beschränkungen für US-Cloud-Anbieter im Behördenumfeld

Gesundheits-, Justiz- und Finanzdaten von Behörden sollen künftig auf europäischer Infrastruktur liegen. Ein vollständiges Verbot von AWS, Azure und Co. ist aber nicht geplant.

Brüssel zieht die Zügel bei der Cloud-Nutzung im öffentlichen Sektor an. Nach Informationen von CNBC, das sich auf zwei nicht namentlich genannte Mitarbeiter der EU-Kommission beruft, wird in der Behörde derzeit darüber beraten, wie sich besonders schutzbedürftige Verwaltungsdaten künftig dem Zugriff außereuropäischer Anbieter entziehen lassen. Konkret geht es um Gesundheits-, Justiz- und Finanzinformationen, die in den Mitgliedstaaten von Behörden und öffentlichen Stellen verarbeitet werden.

Souveräne Infrastruktur statt Hyperscaler

Statt eines pauschalen Ausschlusses ausländischer Anbieter setzt die Kommission den Quellen zufolge auf eine abgestufte Lösung. Je nachdem, wie sensibel die jeweiligen Datenbestände eingestuft werden, sollen unterschiedlich hohe Anforderungen an die genutzte Cloud-Umgebung gestellt werden. Anbieter aus Drittstaaten, also auch die marktbeherrschenden Hyperscaler aus den USA, wären damit nicht generell aus Behördenaufträgen ausgeschlossen. In bestimmten Sektoren dürften sie aber faktisch keine Rolle mehr spielen.

Ein Beamter beschrieb gegenüber CNBC den Grundgedanken so, dass für definierte Bereiche schlicht europäische Kapazität vorgeschrieben werden solle. Der Stand der Beratungen sei allerdings noch nicht final. Auf private Unternehmen sollen sich die Vorgaben nach Angaben der Quellen ausdrücklich nicht erstrecken.

Teil eines größeren Pakets

Eingebettet sind die Überlegungen in das Tech Sovereignty Package, das die Kommission für den 27. Mai 2026 angekündigt hat. Dazu gehören unter anderem der Cloud and AI Development Act (CADA) sowie der Chips Act 2.0. Beide Vorhaben zielen darauf, europäische Eigenentwicklungen bei Rechenzentren, Cloud-Diensten und Halbleitern zu fördern. Bevor irgendetwas davon in Kraft tritt, müssten allerdings sämtliche 27 Mitgliedstaaten zustimmen.

Eine Sprecherin der Kommission wollte die konkreten Pläne auf Nachfrage von CNBC nicht bestätigen. Sie deutete aber an, dass es darum gehe, mehr Wettbewerb auf dem Markt für Cloud- und KI-Dienste zu ermöglichen und souveräne Angebote auch über die öffentliche Auftragsvergabe zu stärken.

Cloud Act als Reizthema

Der politische Druck hat zuletzt deutlich zugenommen. Solange US-Anbieter dem Cloud Act von 2018 unterliegen, können amerikanische Strafverfolgungsbehörden grundsätzlich auf Daten zugreifen, die bei diesen Unternehmen gespeichert sind. Das gilt auch dann, wenn die Server in einem europäischen Rechenzentrum stehen. Mit den Verstimmungen zwischen der EU und der zweiten Trump-Administration ist diese Konstellation für viele Hauptstädte unhaltbar geworden.

Mehrere Regierungen haben bereits begonnen, aus dieser Abhängigkeit auszubrechen. Frankreich etwa hat im Januar mit Visio eine eigene Videokonferenzlösung vorgestellt, die bis 2027 flächendeckend in der Verwaltung Microsoft Teams und Zoom ersetzen soll.

Erste Ausschreibungen laufen bereits

Die Kommission selbst hat im April einen Rahmenvertrag im Volumen von 180 Millionen Euro an vier Anbieter vergeben, die EU-Institutionen mit souveränen Cloud-Diensten versorgen sollen. Bemerkenswert dabei: Eines der ausgewählten Konsortien ist ein Joint Venture des französischen Konzerns Thales mit Google Cloud. Das Konstrukt zeigt, wie schwer sich Europa damit tut, US-Technologie kurzfristig komplett zu ersetzen, ohne sie wenigstens in europäische Rechtskonstrukte einzubetten.

Ob CADA und das Souveränitätspaket dieses Spannungsverhältnis auflösen können, dürfte sich frühestens nach dem 27. Mai zeigen, und auch dann erst nach den üblichen Verhandlungsrunden mit Rat und Parlament.