NSS 2025 in Aktion: Wird Washingtons Entmündigungsplan für Europa mit „souveränen“ Clouds von US-Hyperscalern umgesetzt?

Die kürzlich veröffentlichte Nationale Sicherheitsstrategie (NSS 2025) der USA bestätigt diese Dynamik. Ihr erklärtes Ziel ist es, gezielt „monopoly positions“ für US-Technologien zu schaffen und strategische „dependencies“ zu vertiefen. In diesem Rahmen wird europäische Infrastruktur implizit als strategisches US-Vermögen („assets“) betrachtet – ein klares Signal für das Bestreben, Europas eigenständige digitale Gestaltungsanspruch zu konterkarieren.

1. Verwundbare Punkte:  Technische Wege des Datenabflusses und der Einflussnahme

Die entscheidende Verwundbarkeit liegt nicht in der physischen Infrastruktur vor Ort, sondern in der operativen und rechtlichen Kontrollarchitektur. Selbst bei einem Rechenzentrum in Berlin oder Paris bleiben folgende Pfade offen:

• Rechtlicher Pfad (CLOUD Act): US-Behörden können Daten direkt bei der US-Muttergesellschaft eines Hyperscalers anfordern – auch solche, die in Europa gespeichert sind. Der lokale Betreiber ist dem rechtlich machtlos ausgeliefert. Hierzu lieferte ein Microsoft-Vertreter im französischen Senat eine bezeichnende Aussage: Er bestätigte, dass sein Unternehmen einen solchen Zugriff nicht ausschließen könne.  Die ergänzende Behauptung, ein solcher Zugriff sei noch nie erfolgt, ist nicht verifizierbar, da der MS-Mitarbeiter ganz sicher nicht involviert würde. Betroffene US-Unternehmen werden durch sogenannte „Gag Orders“ gesetzlich zur Geheimhaltung verpflichtet.
• Operativer Pfad (Updates, Wartung, Support): Die kritische Steuerungssoftware wird zentral aus den USA heraus entwickelt und fortwährend gewartet. Über Updates können, ob auf behördliche Anweisung oder durch kompromittierte Lieferketten, gezielt Zugänge implementiert oder Datenströme umgeleitet werden. Den US-Sicherheitsbehörden stehen hierfür legale Wege offen. Die europäischen Tochtergesellschaften müssen davon keine Kenntnis erhalten.
• Menschlicher Pfad (Privilegierte Zugänge): Hoch privilegierte Administrator-Zugänge für Wartung und Notfallzugriffe verbleiben häufig bei globalen Teams der US-Zentrale. Dies stellt ein systemimmanentes Risiko dar, das durch Routine in der Zusammenarbeit noch begünstigt wird. Die Realität dieses Risikos belegt ein Vorfall bei Microsoft: Im Dienst für das US-Verteidigungsministerium eingesetzte Servicemitarbeiter aus China exfiltrierten über einen längeren Zeitraum Daten – ein Vorgang, der erst verspätet aufgedeckt wurde und das grundsätzliche Problem privilegierter Zugriffe unterstreicht.

2. Der Trugschluss „Physisch vor Ort = souverän“

Ein Rechenzentrum auf europäischem Boden macht eine Cloud noch lange nicht souverän! Entscheidend ist die Kontrolle über die Technik (Software- und Hardwaremodule) und die rechtliche Hoheit. Solange die Definitionsmacht über Architektur, Updates, APIs und Sicherheitsprotokolle bei den US-Konzernzentralen liegt, bleibt Europa ein Nutzer, nicht ein Herr seiner Infrastruktur. Der physische Standort ist nebensächlich, die virtuelle Kontrolle ist alles.

Besonders bedenklich ist die Weigerung von US-Anbietern, in eigenen Rechenzentren kundeneigene Hardware zu verwenden. Die Begründung, es benötige spezielle, nicht frei verfügbare Hardware, nährt den Verdacht, dass dies – möglicherweise auf behördliche Vorgaben zurückgehend – die unerkannte Exfiltration von Daten erleichtern soll.

3. Der Trugschluss „Bring Your Own Key“

Einige US-Anbieter werben mit der Möglichkeit, den Zugriff auf den zur Verschlüsselung verwendeten Schlüsselcode ausschließlich durch den Kunden selbst verwalten zu lassen. Da jedoch nicht zu kontrollieren ist, ob das betreffende „Schloss“ überhaupt wirksam ist, kann der selbstverwaltete Schlüssel niemals eine Garantie für die Vertraulichkeit sein. Erst wenn der gesamte Verschlüsselungsmechanismus vollständig aus der Kontrollsphäre des Anwenders kommt, kann Vertraulichkeit gewährleistet werden. In diesem Fall gehen aber wichtige Systemmerkmale verloren und der Gesamtaufwand steigt unverhältnismäßig an, sodass die Sinnhaftigkeit der Architektur äußerst fraglich wird.

Dabei ist zu beachten, dass das Sicherheitskriterium Vertraulichkeit mit dem beschriebenen, sehr hohen Aufwand zwar erfüllbar ist, die kontinuierliche Verfügbarkeit kann hierdurch aber niemals gewährt werden. Selbst wenn Mechanismen für Software-Updates keinen Datenabfluss in der Gegenrichtung erlauben, wird das gesamte System innerhalb weniger Wochen wertlos, wenn diese Updates ausbleiben.

4. Kriterien einer echten europäischen souveränen Cloud

Eine wirklich souveräne Cloud muss drei Bedingungen gleichzeitig erfüllen:

• Rechtshoheit: Der Betreiber und alle verbundenen juristischen Personen müssen der ausschließlichen Rechtsprechung der EU oder eines Mitgliedstaats unterliegen. Der CLOUD Act und andere extraterritoriale US-Gesetze müssen rechtssicher ausgeschlossen sein.
• Technologische Kontrolle: Der gesamte Software-Stack – von der Firmware bis zur Anwendung – muss quelloffen sein oder von einem Unternehmen entwickelt und gewartet werden, das selbst der EU-Rechtshoheit untersteht. Versteckte Abhängigkeiten von nicht-europäischen Lieferketten sind unzulässig.
• Operative Kontrolle: Betrieb, Wartung, Incident-Response und Schlüsselmanagement müssen durch Personal erfolgen, das in der EU angesiedelt ist und ausschließlich europäischen Weisungsbefugnissen unterliegt.

5. Der geopolitische Kontext: Die NSS 2025 will Europa mit aller Macht marginalisieren

Die Diskussion ist keineswegs theoretisch. Die NSS 2025 macht die Absicht offenkundig: Europa soll durch die Schaffung monopolistischer Positionen für US-Technologien und die Vertiefung strategischer Abhängigkeiten marginalisiert werden. Vor diesem Hintergrund erscheinen die Angebote der Hyperscaler nicht als reine Kundenservice, sondern als Umsetzung einer US-Staatsstrategie, die europäische digitale Infrastrukturen als US-„national-security assets“ einverleibt. Folglich stellt jeder Auftrag an einen US-Hyperscaler für kritische Infrastrukturen ein existenzielles Risikofür die europäische Souveränität dar.

Als Antwort auf die NSS 2025 haben der Präsidiumsarbeitskreis „Digitale Souveränität“ sowie die Arbeitskreise „Open Source Software“ und „Datenschutz und IT-Sicherheit“ der Gesellschaft für Informatik e.V. eine klare Empfehlung ausgesprochen: Europa muss US-Tech-Monopole aus öffentlichen Aufträgen für kritische Infrastruktur ausschließen.

Autor

Prof. Dr. Harald Wehnes
Sprecher des Präsidiumsarbeitskreises „Digitale Souveränität“ der Gesellschaft für Informatik e.V.

Quellen

US-Finanzminister Scott, Bessent (2025; „unverfrorene koloniale Plünderung“) https://www.linkedin.com/posts/hannes-fassold-0385977a_this-is-without-exaggerating-one-of-the-ugcPost-7361447764683014150-HEtU/

National Security Strategy of the United States of America (2025):  https://www.whitehouse.gov/wp-content/uploads/2025/12/2025-National-Security-Strategy.pdf

European Parliamentary Research Service (2025): The 2025 US National Security Strategy (2025):  https://www.europarl.europa.eu/RegData/etudes/ATAG/2025/779261/EPRS_ATA(2025)779261_EN.pdf

European Policy Centre (2026): Trump’s new National Security Strategy – an existential threat to Europe. https://www.epc.eu/publication/trumps-new-national-security-strategy-an-existential-threat-to-europe/

Un-souveräne Delos Cloud: „Booster“ auf dem Weg in die digitale Kolonie? (2025): 
https://gi.de/meldung/un-souveraene-delos-cloud-ein-booster-auf-dem-weg-in-die-digitale-kolonie

Digitale Souveränität adé (2025): https://gi.de/themen/beitrag/digitale-souveraenitaet-ade 

Milliarden-Einsparpotenzial: GI-Arbeitskreise fordern verbindlichen Rollout von openDesk (2025):https://gi.de/meldung/milliarden-einsparpotenzial-gi-arbeitskreise-fordern-verbindlichen-rollout-von-opendesk 

Schein-Lösungen stoppen: Souveränitäts-Washing von Big Tech gefährdet Sondervermögen (2025):
https://gi.de/themen/beitrag/kritik-zu-souveraenitaets-washing-von-big-tech 

Diskussionsbeitrag: „Digitale Kolonie oder souveräne Macht?“ (2026): https://pak-digs.gi.de/mitteilung/diskussionsbeitrag-digitale-kolonie-oder-souveraene-macht-warum-europa-us-tech-monopole-aus-oeffentlichen-auftraegen-von-kritischer-infrastruktur-ausschliessen-muss