Digitale Souveränität

Am 2. November 2026 hat der Bundeskanzler beim Digitalgipfel in Berlin gesagt, was viele von uns befürchtet haben: Eine gemeinsame Cloud der deutschen Nachrichtendienste auf Basis von Google-Technik sei mit europäischer Souveränität vereinbar. Das Wort „Blankoscheck“ steht schon in der Schlagzeile der ersten Meldungen. Ich halte diese Aussage für falsch, und ich will begründen, warum. Sie zeigt in einem einzigen Satz, wie der Staat mit Datenschutz, Verschlüsselung und digitaler Unabhängigkeit umgeht: Man redet von Souveränität und kauft das Gegenteil.

Die Bundesrepublik Deutschland ist offenbar digital nicht souverän. Sie ist es nicht in ihrer Verwaltung, nicht in ihrer Polizei und nicht einmal bei ihren Geheimdiensten. Das ist kein Gefühl und keine Polemik, sondern lässt sich Punkt für Punkt belegen. Der jüngste Beweis: Der Bundesnachrichtendienst, der Verfassungsschutz und der Militärische Abschirmdienst sollen ihre geheimsten Informationen künftig in einer Cloud von Google austauschen. Ich zeige in diesem Beitrag, warum das keine Ausnahme ist, sondern die logische Folge einer jahrzehntelangen Politik.

Diese Woche haben wir erlebt, was passiert, wenn ein einziger Baustein des Internets wackelt: Durch die PHP-Lücke PHP2Shell nahmen Behörden, Kliniken und Stadtwerke ihre Webseiten vorsorglich vom Netz. Lästig, aber am Ende nur Webseiten. Was wäre, wenn so ein Fehler nicht eine Anmeldeseite trifft, sondern ein Fahrzeug mit 1,8 Tonnen Masse bei 130 km/h? Wer sich diese Frage stellt, landet schnell bei einer Branche, die ihre Produkte seit Jahren zu Rechnern mit Rädern umbaut.

481,4 Millionen Euro. Diese Zahl sollte in jedem Digitalministerium, in jedem Haushaltsausschuss, in jedem IT-Referat der Bundesverwaltung als das gelesen werden, was sie ist: der Preis einer politischen Fehlentscheidung, die sich über Jahrzehnte aufgeschichtet hat. So viel hat die Bundesverwaltung im Jahr 2025 für Microsoft-Lizenzen ausgegeben – ein Anstieg von rund 38 Prozent gegenüber dem Vorjahr und fast 76 Prozent gegenüber 2023. Zwischen 2017 und 2025 summierten sich die Ausgaben, je nach Berechnungsmethode, auf mehr als 1,9 Milliarden Euro.

Deutschland spricht seit Jahren von digitaler Souveränität. Behörden, Ministerien und Sicherheitsbehörden erklären regelmäßig, wie wichtig Unabhängigkeit von internationalen Technologiekonzernen geworden sei. Gleichzeitig erleben wir jedoch, dass dieselben Institutionen weiterhin auf Infrastrukturen und Dienste setzen, die tief in den Händen amerikanischer Hyperscaler wie Amazon, Google oder Microsoft liegen.

Die aktuelle Diskussion rund um die neuen C3A-Kriterien des Bundesamtes für Sicherheit in der Informationstechnik (BSI) zeigt exemplarisch, wie weit Anspruch und Realität inzwischen auseinanderliegen.

“Wir kannten Teheran, als wäre es Jerusalem.” Mit diesen Worten beschrieb ein israelischer Geheimdienstoffizier gegenüber der Financial Times, wie Israel jahrelang das Leben in der iranischen Hauptstadt überwachte. Nicht durch Agenten auf der Straße. Nicht durch menschliche Quellen. Sondern durch Verkehrskameras.

Am 28. Februar 2026 wurde der iranische Oberste Führer Ali Khamenei bei einem gezielten Luftangriff getötet. Dieser Schlag war das Ergebnis einer jahrelangen digitalen Infiltration – einer Infiltration, die zeigt, wie verwundbar moderne Staaten geworden sind. Und die Europa eine dringliche Frage stellen sollte: Sind wir die Nächsten?

Es ist ausdrücklich zu begrüßen, dass große europäische Leitmedien sich der Thematik rund um Microsoft 365, Cloud-Infrastrukturen und digitale Souveränität widmen. Eine faktenbasierte Auseinandersetzung ist überfällig. Allerdings greift es zu kurz, aktuelle Risiken primär oder gar ausschließlich mit einem neu gewählten US-Präsidenten zu verknüpfen. Die strukturellen Probleme bestehen seit Jahrzehnten – unabhängig von parteipolitischen Konstellationen.

Eine nüchterne chronologische Betrachtung zeigt dies deutlich. Das kürzlich auf YouTube veröffentlichte Video zu Microsoft 365 und digitaler Souveränität verdeutlicht diese Zusammenhänge anschaulich. Doch um die Tragweite zu verstehen, müssen wir vier Jahrzehnte zurückblicken.

Der Moment der Wahrheit

Europa kann oder möchte den Stecker zu den USA nicht ziehen. So lautet das ernüchternde Fazit einer aktuellen Umfrage unter den 27 EU-Regierungen. Finnland hat kürzlich das Szenario eines amerikanischen “Kill Switches” simuliert – die gezielte Abschaltung kritischer Dienste durch US-Behörden. Das Ergebnis: Die Auswirkungen wären “weitreichend”. Lettland und Litauen gestehen offen ein, ohne Microsoft, Amazon und Google kaum funktionieren zu können.

Das ist kein Unfall. Das ist kein Naturereignis. Das ist das Ergebnis von jahrzehntelangem politischem Versagen. Schlimmer noch: Es ist das Ergebnis bewusster politischer Entscheidungen, die Europa systematisch in diese Abhängigkeit getrieben haben.

Digitale Souveränität. Der Begriff wird in europäischen Hauptstädten beschworen wie ein Mantra. Politiker fordern sie, Strategiepapiere preisen sie, EU-Kommissare versprechen sie. Es klingt gut. Es klingt nach Selbstbestimmung, nach Unabhängigkeit, nach Stärke.

Es ist eine Lüge.

Nicht in böser Absicht vielleicht. Aber eine Lüge bleibt eine Lüge, auch wenn man sie sich selbst erzählt. Europa hat keine digitale Souveränität. Es hatte sie nie. Und solange die grundlegenden Strukturen bleiben, wird es sie auch in absehbarer Zeit nicht haben.

Während die öffentliche Debatte über Datenschutz sich häufig auf Konzerne wie Meta oder Google konzentriert, bleibt eine fundamentale Bedrohung der digitalen Souveränität erstaunlich unterbelichtet: Die Executive Order 12333, eine präsidiale Anordnung aus dem Jahr 1981, gewährt US-Geheimdiensten weitreichende Befugnisse zum Zugriff auf Daten außerhalb der Vereinigten Staaten – ohne richterliche Anordnung, ohne parlamentarische Kontrolle und praktisch ohne Rechtsschutz für Betroffene.

Eine Ermächtigungsgrundlage mit 45 Jahren Geschichte

Executive Order 12333 wurde während der Präsidentschaft Ronald Reagans erlassen und definiert die Aufgaben, Befugnisse und Pflichten der US-Nachrichtendienste. Anders als der Foreign Intelligence Surveillance Act (FISA) oder der CLOUD Act handelt es sich nicht um ein vom Kongress verabschiedetes Gesetz, sondern um eine präsidiale Verordnung – was bedeutet, dass sie ohne Zustimmung des Parlaments geändert oder erweitert werden kann.