Souveräne Cloud in Deutschland: Anbieter, Evaluationskriterien und Praxistipps

Die Anforderungen an Cloud-Lösungen haben sich grundlegend verändert. Mit verschärften Regularien wie NIS-2 und dem US CLOUD Act reicht es nicht mehr aus, einfach „irgendeine Cloud“ zu nutzen. Unternehmen müssen heute genau wissen, wo ihre Daten gespeichert werden, wer darauf zugreifen kann und welchem Recht die Cloud-Infrastruktur unterliegt.

In unserem letzten Artikel haben wir beleuchtet, warum digitale Souveränität für Unternehmen unverzichtbar wird. Doch welche konkreten Anbieter gibt es am deutschen und europäischen Markt? Welche Lösung passt zu Ihren Anforderungen?

Der Markt für souveräne Cloud-Lösungen ist in den letzten Jahren deutlich gewachsen. Von reinen EU-Anbietern über Hyperscaler mit Sovereign-Angeboten bis hin zu spezialisierten Hybrid-Lösungen. Die Auswahl ist groß. Diese Vielfalt erschwert die Entscheidung.

Viele Anbieter werben mit „Souveränität“, doch die Unterschiede sind enorm. Was bei einem Anbieter selbstverständlich ist, fehlt beim anderen komplett. IT-Entscheider stehen vor der Herausforderung, die richtige Lösung für ihre spezifischen Anforderungen zu finden.

In diesem Artikel erhalten Sie einen Marktüberblick. Wir zeigen Ihnen die wichtigsten Anbieter, harte Entscheidungskriterien und welche Lösung zu welchem Unternehmenstyp passt.

Was macht eine Cloud wirklich souverän?

Der Begriff „souveräne Cloud“ wird häufig verwendet. Doch echte Souveränität erfordert mehr als nur ein Rechenzentrum in Deutschland. Eine Cloud ist erst dann souverän, wenn sie Unternehmen volle Kontrolle über ihre Daten, Prozesse und Technologien ermöglicht.

Vier Dimensionen sind dabei entscheidend.

Die vier Säulen der Cloud-Souveränität

1. Datensouveränität

Ihre Daten werden ausschließlich in Deutschland oder der EU gespeichert. Die Cloud unterliegt europäischem Recht. Besonders wichtig: Schutz vor dem US CLOUD Act, der amerikanische Anbieter verpflichtet, Daten an US-Behörden herauszugeben, egal, wo auf dieser Welt sich die Daten physisch befinden. Datensouveränität bedeutet: Sie behalten die alleinige Kontrolle über die Datenverschlüsselung (BYOK – Bring Your Own Key). Der Cloud-Anbieter hat keinen Zugriff auf Ihre entschlüsselten Daten, weil er die dazu erforderlichen Schlüssel nicht besitzt (Zero Data Knowledge).

2. Technologische Souveränität

Die Cloud basiert auf offenen Standards wie VMware, OpenStack oder Kubernetes. Ihre Workloads lassen sich bei Bedarf zu anderen Anbietern migrieren. Das schützt vor Vendor Lock-in.

Standardisierte APIs ermöglichen die Integration mit anderen Systemen. Sie sind nicht an proprietäre Technologien eines Anbieters gebunden.

3. Operative Souveränität

Der Betrieb erfolgt durch EU-Personal. Es bestehen keine Abhängigkeiten zu Teams in Drittstaaten. Sie wissen genau, wer Ihre Cloud betreut.

Transparenz über Subunternehmer und Lieferketten ist gewährleistet. Sie erhalten Zugriff auf Logs und können Audits durchführen.

4. Wirtschaftliche Souveränität

Sie können den Anbieter wechseln, ohne Ihre Architektur komplett umbauen zu müssen. Exit-Strategien sind vertraglich geregelt. Transparente Preisgestaltung ohne versteckte Kosten für Datenübertragungen oder Support.

Wichtige Zertifizierungen

Die folgenden Standards spielen bei souveränen Cloud-Lösungen eine zentrale Rolle:

Zertifikat	Bedeutung
ISO 27001	Informationssicherheit nach internationalem Standard
ISO 9001	Qualitätsmanagement und Prozesssicherheit
VMware Cloud Verified	Offizielle VMware-Kompatibilität
DSGVO	EU-Datenschutz-Konformität (Pflicht)
CNCF Certified	Standardkonforme Kubernetes-Plattform

Souveräne Cloud-Anbieter in Deutschland: Der Marktüberblick

Der Markt lässt sich in drei Kategorien unterteilen. Jede Kategorie hat ihre spezifischen Stärken und richtet sich an unterschiedliche Unternehmenstypen.

Kategorie 1: Europäische Cloud-Anbieter

Diese Anbieter betreiben ihre Infrastruktur vollständig in Europa. Sie unterliegen ausschließlich europäischem Recht.

IONOS Cloud

• Rechenzentren in Deutschland und EU, 100 % erneuerbare Energien
• DSGVO-konform, verbrauchsabhängige Preisgestaltung
• Zertifizierungen im Bereich Informationssicherheit
• Gute Basis-Infrastruktur für standardisierte Anwendungsfälle

Für wen geeignet: KMUs mit klaren Compliance-Anforderungen, die Wert auf deutsche Anbieter legen.

STACKIT (Schwarz Gruppe)

• Rechenzentren in Deutschland/Österreich, Schwarz Gruppe als wirtschaftlich stabiler Hintergrund
• Open-Source-Basis (Sovereign Cloud Stack-kompatibel)
• Google Workspace-Integration (verschlüsselt, ohne Google-Zugriff)
• Fokus auf Unabhängigkeit durch offene Standards

Für wen geeignet: Unternehmen mit Fokus auf Open Source und technologische Unabhängigkeit.

OVHcloud

• Französischer Anbieter mit Local Zones in Deutschland/EU
• DSGVO-konform, flexible Standortwahl möglich
• OpenStack-Spezialisierung für technologische Offenheit
• Internationale Präsenz mit europäischer Ausrichtung

Für wen geeignet: International agierende Unternehmen mit EU-Fokus und OpenStack-Strategie.

pluscloud open (plusserver)

• Vollständig auf Sovereign Cloud Stack (SCS) basierend
• Rechenzentren ausschließlich in Deutschland
• Maximale Transparenz durch Open-Source-Basis
• Höchste Interoperabilität durch SCS-Standards

Für wen geeignet: Unternehmen mit maximalem Souveränitätsanspruch und interner technischer Expertise.

Hetzner

• Deutsche Rechenzentren (Nürnberg, Falkenstein)
• Sehr wettbewerbsfähige Preise
• DSGVO-konform, solide Basis-Infrastruktur
• Fokus auf Infrastructure-as-a-Service

Für wen geeignet: Preisbewusste Unternehmen mit grundlegenden IaaS-Anforderungen und eigener IT-Expertise. Zu beachten: Reines IaaS-Modell ohne Managed Services. Support erfolgt über Ticket-System, keine dedizierten Ansprechpartner.

Kategorie 2: Hyperscaler mit souveränen Angeboten

Die großen internationalen Cloud-Anbieter haben auf gestiegene Souveränitätsanforderungen reagiert. Sie bieten spezielle Lösungen für den europäischen Markt. Allerdings können sie im Rahmen des US CLOUD Act und amerikanischer Gesetze trotzdem gezwungen werden, Kundendaten an US-amerikanische Behörden auszuliefern. Verhindern ließe sich dies nur durch Verschlüsselung der Daten mittels kundenseitig verwalteter, extern gehaltener Schlüssel.

T-Systems Sovereign Cloud (basierend auf Google Cloud)

• Google Cloud-Technologie mit deutscher Kontrolle (T-Systems)
• Schlüsselverwaltung bei T-Systems (kein Google-Zugriff)
• Datenspeicherung in Deutschland, Support in EU

Für wen geeignet: Unternehmen, die GCP-Funktionen benötigen, aber EU-Souveränität wahren müssen.

Delos Cloud (basierend auf Microsoft Azure)

• Microsoft-Technologie, unabhängiger Betrieb durch Delos
• Speziell für öffentlichen Dienst entwickelt
• Rechenzentren in Deutschland (Arvato Systems)

Für wen geeignet: Behörden und stark regulierte Branchen mit Microsoft-Anforderungen.

AWS European Sovereign Cloud

• Vollständig unabhängige AWS-Region in Brandenburg
• EU-Personal, autonome Datenverwaltung innerhalb EU
• Physisch und logisch getrennt von globalen AWS-Regionen
• Zero-Knowledge-Modell möglich mittels kundenseitig verwalteter, extern gehaltener Schlüssel (XKS)

Für wen geeignet: AWS-Kunden, die auf EU-Souveränität umstellen müssen.

Oracle EU Sovereign Cloud

• Physisch getrennte Rechenzentren (Frankfurt/Madrid)
• Betrieb ausschließlich durch EU-Personal
• Nur EU-Recht gilt, vollständige Isolierung
• Zero-Knowledge-Modell möglich mittels kundenseitig verwalteter externer Schlüssel

Für wen geeignet: Oracle-Kunden mit hohen Compliance-Anforderungen.

Kategorie 3: Hybrid-Cloud

Nichts ist souveräner als Ihre eigene On-premises Infrastruktur. Allerdings verzichten Sie damit auf Skalierung und Services großer Public Clouds. Hybrid-Clouds befreien aus diesem Dilemma:

Eine Hybrid-Cloud kombiniert On-premises Infrastruktur mit Public Cloud oder Private Cloud Lösungen. Damit dies sicher, effizient und flexibel funktioniert, ist eine zentrale Management-Plattform notwendig. Entscheidend ist dabei nicht nur das “Nebeneinander” mehrerer Umgebungen, sondern deren technische und organisatorische Kopplung zu einer gemeinsamen Betriebsumgebung. Dazu gehören standardisierte Konnektivität (Netzwerk/Identitäten), einheitliches Management und Monitoring, konsistente Security- und Compliance-Kontrollen sowie die gezielte Platzierung von Workloads und Daten je nach Anforderungen (z. B. Latenz, Datenschutz, Kosten, Skalierung).

Im Gegensatz zu den weiter oben beschriebenen ‘Sovereign Clouds’ ist eine Hybrid-Cloud primär ein Architektur- und Betriebsmodell über mehrere Umgebungen hinweg. Souveränität ist dabei nicht automatisch gegeben, sondern muss durch Anbieterauswahl und Governance (Zugriffe, Schlüssel, Compliance) sichergestellt werden: besonders schützenswerte Daten bleiben on-premises oder in einer entsprechend kontrollierten Cloud, weniger kritische Workloads in einer europäisch gehosteten Public oder Private Cloud.

In den folgenden 3 Absätzen möchten wir deshalb die Proact Lösungsangebote bezüglich souveräner Cloud näher erläutern, bevor wir einen konkreten Fragenkatalog und eine einfache Entscheidungsmatrix zur Anbieter-Auswahl zur Verfügung stellen.

Proact Hybrid Cloud (PHC): Souveräne, europäische Cloud Lösung basierend auf VMware mit umfassenden Managed Services und persönlichem Support

Die Proact Hybrid Cloud kombiniert Private Cloud, On-Premises-Integration und optionale Public-Cloud-Anbindung zu einer nahtlosen Plattform. Das Besondere: Sie behalten die Kontrolle, während Proact den Betrieb übernimmt.

Sie entscheiden, welche Workloads in der Private Cloud laufen und welche Sie in Public Clouds wie Azure oder AWS auslagern. Diese Flexibilität macht die PHC besonders für Unternehmen interessant, die schrittweise migrieren möchten.

Die 7 Kernmerkmale der Proact Hybrid Cloud

1. Persönlicher Service Delivery Manager für jeden Kunden

Jeder PHC-Kunde in Deutschland erhält einen dedizierten Service Delivery Manager. Ihr Ansprechpartner kennt Ihre Umgebung, Ihre Anforderungen und Ihre Prozesse.

2. VMware Cloud Verified

Die Proact Hybrid Cloud ist offiziell VMware-zertifiziert. Ihre VMs lassen sich 1:1 übertragen. Diese Portabilität schützt vor Vendor Lock-in. Sie können Workloads zwischen verschiedenen Umgebungen verschieben, ohne Anwendungen umbauen zu müssen.

3. SecurityScorecard A-Rating (97 von 100 Punkten)

Unsere PHC erreicht bei der unabhängigen SecurityScorecard-Bewertung 97 von 100 Punkten. Das entspricht einem A-Rating, der besten Bewertungsstufe.

Bewertet werden unter anderem Patchmanagement, Endpoint-Sicherheit, DNS-Schutz und Netzwerkschutz. Diese externe Bewertung bietet objektive Vergleichbarkeit.

4. Hybride Integration mit Azure und AWS

Die Proact Hybrid Cloud lässt sich nahtlos mit Microsoft Azure und Amazon Web Services verbinden. Sie können DSGVO-kritische Daten in der Private Cloud behalten und gleichzeitig Public-Cloud-Services für skalierbare Workloads nutzen. Das gibt Ihnen maximale Flexibilität.

5. ISO 27001:2013 und ISO 9001 zertifiziert

Regelmäßige externe Audits gewährleisten hohe Sicherheits- und Qualitätsstandards. Die PHC ist DSGVO-konform, ohne die komplexen Vertragsstrukturen, die bei Hyperscalern oft vorkommen.

Sie erhalten klare Zusicherungen zur Datenlokation, zum Betrieb und zur Rechtslage. Das erleichtert Compliance-Nachweise erheblich.

6. Umfassende Managed Services

Wir übernehmen Betrieb, Monitoring und Wartung Ihrer Cloud-Umgebung. Das umfasst:

• Backup-as-a-Service mit anpassbaren Intervallen und Geo-Redundanz
• 24/7-Monitoring und proaktives Patch-Management
• Disaster Recovery mit definierten Recovery-Zielen
• Windows- und Linux-Systembetrieb
• Datenbank- und Application-Management

7. Self-Service-Portal mit voller Kontrolle

Trotz Managed Services behalten Sie die Kontrolle. Über das Self-Service-Portal verwalten Sie Ihre Ressourcen selbst. Sie sehen jederzeit, welche Kosten anfallen.

Für wen die Proact Hybrid Cloud besonders geeignet ist

Die PHC ist besonders interessant für:

• Mittelständische Unternehmen, die persönlichen Service schätzen
• Organisationen mit VMware-Infrastruktur, die ohne Refactoring migrieren möchten
• Firmen mit schrittweiser Cloud-Strategie, die nicht alle Workloads sofort verlagern wollen
• IT-Abteilungen, die Betrieb auslagern, aber Kontrolle behalten möchten
• Unternehmen, die DSGVO-Compliance ohne Hyperscaler-Komplexität suchen

Standorte und Infrastruktur

Die PHC wird in Tier 3+ Rechenzentren in Deutschland und Europa betrieben. Alle Rechenzentren sind ISO 27001-zertifiziert. Sie können den Standort Ihrer Daten wählen. Mehrere Availability Zones an unterschiedlichen geografischen Standorten sorgen für Geo-Redundanz.

Praxisbeispiele: So nutzen Kunden die Proact Hybrid Cloud

Zwei konkrete Beispiele aus unterschiedlichen Branchen:

• Easy Software: DSGVO-konforme Dokumentenverwaltung mit Managed Kubernetes
• Joseph Stiftung: Sichere IT-Infrastruktur in der Wohnungswirtschaft

Proact Managed Container Platform (PMCP): Souveräne, europäische, Kubernetes zertifizierte Cloud-Plattform

Für Container- und Kubernetes-Workloads bietet Proact eine vollständig verwaltete Plattform.

Die Stärken der Proact Managed Container Platform (PMCP):

• Die PMCP ist CNCF-zertifiziert (Certified Kubernetes). Das bestätigt Standardkonformität und Kompatibilität mit anderen Kubernetes-Umgebungen.
• Proact übernimmt Management, Updates und Security-Patching. Sie benötigen keine eigenen Kubernetes-Experten.
• Die Plattform lässt sich in CI/CD-Pipelines integrieren. Das beschleunigt Entwicklungs- und Bereitstellungsprozesse erheblich.

PMCP eignet sich besonders für Unternehmen mit Cloud-Native-Strategie, DevOps-Teams ohne eigene Kubernetes-Expertise sowie für Organisationen mit höchsten Souveränitätsanforderungen (100 % Open Source).

Die Kombination: PHC + PMCP

Die Kombination aus Proact Hybrid Cloud und Managed Container Platform bietet maximale Flexibilität. Klassische VMs für Legacy-Anwendungen, Container für Cloud-Native-Workloads. Alles aus einer Hand, mit einem Ansprechpartner.

Sie können Ihre IT-Landschaft schrittweise modernisieren: Legacy-Systeme bleiben in VMware-Umgebungen, neue Anwendungen starten in Kubernetes. Proact betreut beide Welten.

Checkliste für IT-Entscheider zum Finden der passenden souveränen Cloud-Lösung

Die Wahl der passenden souveränen Cloud-Lösung erfordert eine systematische Bewertung verschiedener Faktoren. Der nachfolgende Fragenkatalog hilft Ihnen dabei, in aller Kürze relevante Kriterien für geeignete Cloud-Modelle zu identifizieren und so eine fundierte Entscheidung zu treffen.

Datenlokation und Compliance

• Wo müssen Ihre Daten gespeichert werden? (Deutschland, EU, flexibel)
• Welchen Regularien unterliegen Sie? (NIS-2, KRITIS, Gesundheitswesen, Finanzsektor)
• Benötigen Sie Multi-Region-Redundanz innerhalb der EU?

Betriebsmodell

• Möchten Sie Managed Services, die Ihr Team entlasten?
• Möchten Sie einen persönlicher Ansprechpartner oder genügt ein Ticket-Support-System?

Technologie-Stack und Integration

• Haben Sie eine bestehende VMware-Umgebung?
• Nutzen Sie bereits Azure oder AWS und möchten diese integrieren?
• Benötigen Sie Kubernetes und Container-Orchestrierung?

Sicherheit und Transparenz

• Welche Zertifizierungen sind für Ihre Branche Pflicht?
• Wie wichtig sind externe Sicherheitsbewertungen (SecurityScorecard)?
• Benötigen Sie Audit-Zugriff auf Logs und Betriebsprozesse?

Portabilität und Vendor Lock-in

• Wie wichtig ist Anbieterwechsel-Fähigkeit für Ihre Strategie?
• Benötigen Sie Multi-Cloud-Fähigkeit?
• Haben / wünschen Sie eine vertraglich geregelte Exit-Strategie?

Tipp: VMware- und Kubernetes-basierte Lösungen bieten hohe Workload-Portabilität. Managed Services entlasten besonders mittelständische IT-Teams erheblich.

Welche souveräne Cloud passt zu Ihrem Unternehmen?

Wie Sie sehen, gibt es mittlerweile viele unterschiedliche souveräne Cloud-Lösungen in Deutschland bzw. Europa. Die Wahl des richtigen Anbieters hängt am Ende von Ihren spezifischen Anforderungen ab. Diese Entscheidungsmatrix gibt Ihnen eine erste Orientierung:

Ihre Situation	Passende Lösung(en)
Bestehende VMware-Umgebung	Proact PHC (VMware Cloud Verified)
Open-Source-Strategie	pluscloud open, STACKIT
Bestehende AWS-Nutzung	AWS European Sovereign Cloud
Microsoft-Ökosystem	Delos Cloud
Managed Services + persönlicher Support	Proact PHC
Budget-bewusst, reine IaaS	Hetzner, IONOS
Container/Kubernetes-Workloads	Proact PMCP, STACKIT
Google Cloud-Funktionen	T-Systems Sovereign Cloud

So gelingt der Einstieg in die souveräne Cloud

Der Wechsel zu einer souveränen Cloud erfordert Planung. Diese bewährte Roadmap hilft Ihnen, Fallstricke zu vermeiden.

1. Ziele definieren und Stakeholder einbinden

Klären Sie zunächst, welche Business-Ziele Sie verfolgen. Eine Cloud-Migration ist kein reines IT-Projekt.

Binden Sie alle relevanten Stakeholder ein: IT, Compliance, Management, Datenschutzbeauftragte. Typische Fragen in dieser Phase:

• Welche Geschäftsprozesse sollen profitieren?
• Welche Compliance-Anforderungen müssen erfüllt werden?
• Wie sieht der Zeitplan aus?
• Welches Budget steht zur Verfügung?

2. Workload-Analyse und Datenklassifizierung

Nicht alle Workloads eignen sich gleich gut für die Cloud. Führen Sie eine gründliche Analyse durch:

• Welche Workloads sind Cloud-ready? Moderne, lose gekoppelte Anwendungen migrieren leichter als monolithische Legacy-Systeme.
• Welche Daten sind DSGVO-kritisch? Personenbezogene Daten erfordern besondere Schutzmaßnahmen. Sie sollten in Private Clouds oder bei Anbietern mit nachweisbarer DSGVO-Konformität gespeichert werden.
• Welche Anwendungen haben Legacy-Abhängigkeiten? Manche Systeme lassen sich nicht ohne Weiteres in die Cloud verschieben. Für sie bietet sich eine Hybrid-Cloud-Lösung an.

3. Anbieter evaluieren

Nutzen Sie die Checkliste/den Fragenkatalog aus diesem Blogartikel. Fordern Sie von jedem Anbieter konkrete Nachweise:

• Welche Zertifizierungen liegen vor?
• Gibt es Kundenreferenzen aus Ihrer Branche?
• Wie sieht das Betriebsmodell aus?
• Welche SLAs werden garantiert?
• Wie transparent ist die Preisgestaltung?

Führen Sie Gespräche mit mindestens drei Anbietern. So bekommen Sie ein Gefühl für Unterschiede in Service-Qualität und Betreuung.

4. Pilot-Projekt starten

Beginnen Sie mit einem unkritischen Workload. Sammeln Sie Erfahrungen, bevor Sie geschäftskritische Systeme migrieren.

Ein gutes Pilot-Projekt ist technisch überschaubar, hat klare Erfolgskriterien und betrifft keine geschäftskritischen Prozesse. Nach erfolgreichem Abschluss können Sie skalieren.

5. Schrittweise Migration durchführen

Gehen Sie iterativ vor. Keine „Big Bang“-Migration, sondern schrittweise Verlagerung von Workloads.

Nutzen Sie die Hybrid-Phase bewusst. On-Premises und Cloud laufen parallel. Das gibt Ihnen Zeit, Prozesse anzupassen und Mitarbeiter zu schulen.

Typische Reihenfolge: Erst Entwicklungs- und Testumgebungen, dann weniger kritische Produktivsysteme, zuletzt geschäftskritische Anwendungen.

Fazit: Bei souveränen Clouds zählt mehr als die Größe des Anbieters

Der Markt für souveräne Cloud-Lösungen in Deutschland ist vielfältig. Von großen Hyperscalern bis zu spezialisierten Partnern. Jeder Anbietertyp hat seine Berechtigung.

Doch die Größe eines Anbieters sagt wenig über die Qualität der Betreuung aus. Drei zentrale Erkenntnisse sollten Ihre Entscheidung leiten:

1. Individueller Service ist für mittelständische Unternehmen ein Riesenvorteil

Hyperscaler bieten maximale Skalierung. Doch gerade mittelständische Unternehmen profitieren oft mehr von einem Partner, der ihre Umgebung kennt. Ein dediziertes IT-Architekten-Team und ein erfahrenes IT-Projektmanagement sind unbezahlbar, wenn es um komplexe Migrations- oder Integrationsprojekte geht.

2. Hybrid-Architekturen verbinden das Beste aus mehreren Welten

Sie müssen sich nicht zwischen Private und Public Cloud entscheiden. Hybrid-Cloud-Lösungen ermöglichen beides: DSGVO-Kontrolle für kritische Daten, Skalierbarkeit für flexible Workloads.

Besonders VMware-basierte Hybrid Clouds bieten einen weiteren Vorteil: Migration ohne Refactoring. Ihre bestehenden Workloads laufen weiter, ohne dass Sie Anwendungen anpassen müssen.

3. Extern geprüfte Cloud-Sicherheit ist unverzichtbar

Externe Audits sind aussagekräftiger als bloße Zertifizierungen wie ISO 27001. Ein SecurityScorecard A-Rating zeigt, wie sicher eine Cloud in der Praxis ist.

Die Proact Hybrid Cloud kombiniert diese drei Aspekte: Ein persönliches Team aus Account Manager, IT-Architekt und Service Delivery Manager für jeden Kunden, echte Hybrid-Flexibilität und mittels externem Audit geprüfte Cloud-Sicherheit.

Und ja: Im Notfall können Sie die Hardware im Rechenzentrum wirklich anfassen und streicheln. Das ist bei globalen Hyperscalern nicht möglich. Bei uns schon.

Sie möchten mehr erfahren? Dann kontaktieren Sie uns jetzt für ein kostenloses Beratungsgespräch. Wir freuen uns, von Ihnen zu hören!