Europa entdeckt die digitale Souveränität – und stellt fest, dass sie ziemlich viel Arbeit macht

Es ist noch gar nicht so lange her, da war „digitale Souveränität“ vor allem ein Begriff für politische Sonntagsreden. Europa wollte unabhängiger werden, weniger von großen amerikanischen Tech-Konzernen abhängen und irgendwie seine eigenen digitalen Fähigkeiten aufbauen. Klingt vernünftig. Nur war die praktische Umsetzung ungefähr so konkret wie „Wir sollten mal mehr Sport machen“.

Inzwischen passiert allerdings deutlich mehr. Die EU arbeitet gleichzeitig an einer souveräneren Cloud-Infrastruktur, stellt Open Source ausdrücklich ins Zentrum ihrer Technologiestrategie, bringt mit der EUDI-Wallet eine europäische digitale Identität auf den Weg und will über neue Regeln für öffentliche Beschaffung sogar beeinflussen, wer eigentlich die Aufträge bekommt. Das sind auf den ersten Blick vier völlig unterschiedliche Themen. Bei genauerem Hinsehen gehören sie aber ziemlich direkt zusammen.

Denn hinter allen vier Projekten steckt dieselbe Frage: Kann Europa seine digitale Infrastruktur selbst kontrollieren – oder sind wir am Ende doch nur Nutzer von Technologien, die andere kontrollieren?

Die europäische Cloud – souverän, aber wirklich?

Fangen wir dort an, wo digitale Souveränität besonders offensichtlich wird: bei der Infrastruktur.

Die Europäische Kommission hat im April 2026 eine Ausschreibung über bis zu 180 Millionen Euro für souveräne Cloud-Dienste vergeben. Vier europäische Anbieter beziehungsweise Konsortien wurden ausgewählt: Post Telecom mit CleverCloud und OVHcloud, STACKIT, Scaleway sowie Proximus mit Partnern wie S3NS, Clarence und Mistral. Die Verträge laufen über bis zu sechs Jahre und sollen EU-Institutionen, Behörden und Agenturen eine Alternative zu klassischen großen Cloud-Plattformen bieten.

Interessant ist dabei weniger die Summe als die Definition von „souverän“. Die EU bewertet Cloud-Anbieter nicht einfach danach, ob auf dem Firmenschild ein europäischer Name steht. Das Cloud Sovereignty Framework betrachtet unter anderem strategische Kontrolle, Rechtslage und Zuständigkeiten, Daten und Technologie, Betrieb, Lieferketten, Sicherheit, Compliance und sogar Umweltaspekte.

Das ist wichtig, denn europäisches Unternehmen bedeutet nicht automatisch europäische Technologie. Ein schönes Beispiel dafür steckt sogar in der eigenen Ausschreibung: Einer der ausgewählten Verbünde arbeitet mit S3NS zusammen, einem Joint Venture von Thales und Google Cloud. Souveränität bedeutet also nicht zwangsläufig, dass irgendwo ein Rechenzentrum steht, auf dem ausschließlich Software aus Europa läuft.

Und genau das finde ich eigentlich ziemlich interessant. Europa versucht hier nicht einfach, die amerikanischen Cloud-Anbieter mit einem europäischen Logo nachzubauen. Stattdessen wird versucht, Souveränität messbar zu machen. Wer kann auf die Daten zugreifen? Wer kontrolliert die Infrastruktur? Welche Abhängigkeiten gibt es bei Technologie und Lieferketten? Was passiert, wenn ein Anbieter aus politischen oder rechtlichen Gründen plötzlich nicht mehr verfügbar ist?

Souveränität ist also kein Aufkleber auf einem Rechenzentrum. Sie ist die Möglichkeit, im entscheidenden Moment selbst bestimmen zu können.

Open Source war nie nur kostenlos

Damit sind wir automatisch beim nächsten Problem. Eine souveräne Cloud ist schön und gut. Aber was läuft eigentlich darauf?

Hier kommt Open Source ins Spiel.

Die Europäische Kommission hat im Juni 2026 ihre neue Open-Source-Strategie vorgestellt und sie ausdrücklich in das größere Paket zur technologischen Souveränität eingebettet. Ziel ist unter anderem, Abhängigkeiten von Technologien außerhalb der EU zu reduzieren, Open-Source-Alternativen zu fördern und deren langfristige Wartung und Weiterentwicklung zu unterstützen. Auch die Nutzung von Open Source in der öffentlichen Verwaltung soll stärker gefördert werden.

Das ist ein ziemlich deutlicher Perspektivwechsel.

Open Source war jahrzehntelang für viele Entscheidungsträger ungefähr das digitale Äquivalent zum Werkzeugkasten im Keller: praktisch, irgendwie kostenlos und vor allem etwas für Nerds. Jetzt taucht Open Source plötzlich mitten in der europäischen Technologiepolitik auf.

Und das hat einen guten Grund. Wenn eine Behörde eine proprietäre Software einsetzt, hängt sie nicht nur von der Software selbst ab. Sie hängt auch vom Hersteller, dessen Geschäftsmodell, dessen Preisen, dessen Updatepolitik und letztlich von dessen Bereitschaft ab, das Produkt weiter anzubieten.

Bei Open Source ist das nicht automatisch gelöst. Auch Open-Source-Projekte brauchen Geld, Entwickler, Wartung, Sicherheitsupdates und eine funktionierende Community. Ein ungepflegtes Open-Source-Projekt ist genauso wenig souverän wie eine schlecht gewartete proprietäre Software.

Aber der entscheidende Unterschied ist: Der Quellcode ist grundsätzlich zugänglich und kann von anderen übernommen, geprüft, verändert und weiterentwickelt werden.

Das macht Open Source für Europa strategisch interessant. Nicht weil kostenlose Software grundsätzlich besser wäre, sondern weil sie eine zusätzliche Möglichkeit schafft, Abhängigkeiten zu reduzieren. Die EU formuliert das inzwischen ziemlich deutlich: Open Source soll ein Bestandteil technologischer Souveränität werden.

Für jemanden, der seit Jahren Linux nutzt und mit selbst betriebenen Diensten herumspielt, ist das schon irgendwie amüsant. Was für den Linux-Nerd von gestern einfach eine praktische Alternative war, wird heute auf EU-Ebene plötzlich zur strategischen Infrastruktur.

Die EU-Wallet – jetzt wird es persönlich

Bis hierhin geht es vor allem um Rechenzentren, Software und Behörden. Also um Dinge, die man im Alltag meistens nur dann wahrnimmt, wenn sie nicht funktionieren.

Mit der europäischen digitalen Identität wird es dagegen plötzlich persönlich.

Deutschland will am 2. Januar 2027 mit einer funktionsfähigen EUDI-Wallet starten. Darin soll unter anderem der digitale Personalausweis abgelegt werden können. Perspektivisch sollen weitere Nachweise wie Führerschein oder andere Dokumente hinzukommen. Gleichzeitig testen bereits mehr als 150 Unternehmen mögliche Anwendungen, beispielsweise digitale Altersnachweise, Bankgeschäfte oder andere Identifizierungsverfahren.

Und auch hier finde ich die grundsätzliche Idee interessanter als die üblichen Schlagzeilen von „gläsernem Bürger“ oder „digitaler Überwachung“. Denn eine digitale Identität muss nicht automatisch bedeuten, dass ich bei jedem Vorgang meinen kompletten Datensatz herumreiche.

Im Gegenteil: Eine vernünftig konstruierte digitale Identität kann genau das Gegenteil ermöglichen. Wenn eine Webseite lediglich wissen muss, ob ich volljährig bin, sollte sie im Idealfall nicht gleich mein vollständiges Geburtsdatum, meine Adresse und sämtliche anderen Daten bekommen.

Die spannende Frage ist deshalb nicht nur, ob wir eine digitale Identität bekommen. Die spannende Frage ist, wie sie technisch funktioniert und wer darüber entscheidet.

Wer betreibt die Infrastruktur? Welche Daten werden tatsächlich übertragen? Was kann ein Anbieter über mich erfahren? Kann ich meine Identität auch bei verschiedenen Anbietern verwenden? Funktioniert das Ganze ohne einen einzigen zentralen Datenhändler im Hintergrund?

Genau hier trifft die EU-Wallet wieder auf das Thema digitale Souveränität. Denn eine digitale Identität ist letztlich eine ziemlich mächtige Infrastruktur. Wenn sie gut umgesetzt wird, kann sie digitale Vorgänge einfacher und datensparsamer machen. Wenn sie schlecht umgesetzt wird, haben wir lediglich einen neuen zentralen Datentopf gebaut. Das Design entscheidet.

Und dann wäre da noch die Einkaufsliste

Jetzt fehlt eigentlich nur noch ein ziemlich unspektakuläres Puzzleteil: Wer kauft das alles?

Am 9. September 2026 hat die Europäische Kommission einen Vorschlag für ein neues Regelwerk zur öffentlichen Beschaffung vorgestellt. Das Ganze klingt zunächst nach einem Thema, bei dem selbst eingefleischte Technik-Nerds nach drei Minuten einschlafen. Tatsächlich steckt darin aber ein ziemlich wichtiger Teil der europäischen Souveränitätsstrategie.

Das öffentliche Beschaffungswesen macht ungefähr 15 Prozent des EU-BIP aus. Die Kommission will künftig neben dem Preis stärker Kriterien wie Sicherheit, Resilienz, Innovation und eine europäische Präferenz berücksichtigen. Für bestimmte Ausschreibungen sollen entsprechende Qualitätskriterien mindestens 30 Prozent des Gewichts ausmachen, bei arbeitsintensiven Aufträgen sogar 50 Prozent. Außerdem soll es einen allgemeinen europäischen Präferenzrahmen geben. Der Vorschlag muss allerdings noch durch das Europäische Parlament und den Rat.

Übersetzt bedeutet das ziemlich banal: Europa kann sich noch so viele Gedanken über digitale Souveränität machen – am Ende muss auch jemand die Rechnung bezahlen und entscheiden, bei wem eingekauft wird.

Wenn eine Behörde eine Cloud-Infrastruktur aufbauen soll und bei der Ausschreibung ausschließlich der niedrigste Preis entscheidet, kann der politische Wunsch nach Souveränität ziemlich schnell an der Realität scheitern. Wenn dagegen Sicherheitsrisiken, Lieferketten, Abhängigkeiten und europäische Wertschöpfung tatsächlich Teil der Bewertung werden, sieht die Sache anders aus.

Digitale Souveränität beginnt offenbar mit einer ziemlich langweiligen Frage: Wer bekommt den Auftrag?

Europa gegen Amerika? Darum geht es eigentlich gar nicht

An dieser Stelle könnte man jetzt wunderbar eine große Geschichte daraus machen: Europa gegen die USA. Europäische Cloud gegen AWS, Azure und Google Cloud. Open Source gegen Microsoft. EUDI gegen die großen amerikanischen Plattformen.

Ich halte das allerdings für zu einfach.

Ich möchte nicht in einer digitalen Welt leben, in der Europa alles selbst bauen muss. Das wäre weder realistisch noch unbedingt sinnvoll. Europa wird auch weiterhin amerikanische, asiatische und andere internationale Technologien einsetzen.

Die entscheidende Frage ist eine andere: Können wir im Ernstfall noch selbst entscheiden?

Wenn eine europäische Behörde amerikanische Cloud-Technologie nutzt, aber ihre Daten kontrollieren kann, Anbieter wechseln kann, offene Standards verwendet und nicht komplett von einem einzelnen Unternehmen abhängig ist, sehe ich darin nicht automatisch ein Problem.

Wenn dagegen eine kritische Infrastruktur so stark von einem einzigen Anbieter abhängt, dass ein Wechsel praktisch unmöglich wird, sieht es anders aus. Das ist der eigentliche Unterschied zwischen Digitalisierung und digitaler Souveränität.

Es geht nicht darum, alles selbst zu besitzen. Es geht darum, nicht völlig abhängig zu sein.

Das Ganze ergibt plötzlich ein ziemlich schlüssiges Bild

Und genau deshalb gehören diese vier Themen für mich zusammen.

Die Cloud beantwortet die Frage, wo unsere digitalen Daten und Dienste laufen. Open Source beantwortet zumindest teilweise die Frage, wer die Software kontrollieren und weiterentwickeln kann. Die EUDI-Wallet betrifft unsere digitale Identität und damit eine der sensibelsten Schnittstellen zwischen Bürgern, Unternehmen und Staat. Und die öffentliche Beschaffung entscheidet darüber, welche Anbieter und Technologien am Ende tatsächlich zum Einsatz kommen.

Das ist kein einzelnes Projekt. Es ist eher ein Versuch, eine komplette digitale Infrastruktur neu zu denken.

Die EU nennt das inzwischen ausdrücklich technologische Souveränität. Im Juni 2026 hat die Kommission dafür ein größeres Paket vorgestellt, das neben Open Source auch Cloud und KI sowie Chips und Energieinfrastruktur umfasst. Die einzelnen Maßnahmen sollen sich gegenseitig ergänzen und Abhängigkeiten entlang des gesamten Technologie-Stacks reduzieren.

Und genau hier wird es spannend. Denn bisher wurde Digitalisierung häufig nach dem Prinzip betrieben: Was ist gerade verfügbar, günstig und einfach einzusetzen?

Jetzt kommt eine weitere Frage hinzu: Was passiert, wenn wir diese Technologie irgendwann nicht mehr bekommen?

Das ist keine theoretische Frage mehr. Lieferketten können reißen, geopolitische Beziehungen können sich verändern, Unternehmen können Geschäftsmodelle ändern und Staaten können Gesetze verabschieden, die plötzlich auch Auswirkungen auf europäische Unternehmen und Daten haben.

Souveränität bedeutet deshalb nicht, dass Europa jede Technologie selbst erfinden muss. Souveränität bedeutet, dass Europa Handlungsoptionen behält.

Souveränität ist kein Produkt

Genau hier liegt für mich aber auch die größte Gefahr.

Es wäre sehr einfach, jetzt einfach „europäische Cloud“, „Open Source“, „EUDI-Wallet“ und „Made in Europe“ auf vier schöne Plakate zu schreiben und zu behaupten: Problem gelöst.

So funktioniert das natürlich nicht.

Eine europäische Cloud kann trotzdem von internationalen Technologien abhängig sein. Open Source kann trotzdem von einzelnen Maintainern oder Unternehmen abhängen. Eine digitale Identität kann trotz guter Datenschutzversprechen neue Abhängigkeiten schaffen. Und eine europäische Beschaffungsregel kann zwar die Richtung verändern, aber noch lange keine konkurrenzfähige europäische Alternative aus dem Boden stampfen.

Digitale Souveränität ist deshalb kein Produkt, das man bestellen kann. Sie ist ein Zustand, den man dauerhaft erhalten muss.

Dafür braucht es offene Standards, funktionierende Alternativen, Wettbewerb, eigene technische Fähigkeiten, sichere Infrastruktur, gute Software, vernünftige Beschaffung und vor allem die Bereitschaft, Abhängigkeiten überhaupt zu erkennen. Und wahrscheinlich gehört auch ein bisschen weniger Bequemlichkeit dazu.

Denn die bequemste Lösung ist nicht immer die souveränste.

Der ungemütliche Teil der Wahrheit

Ich finde es durchaus bemerkenswert, was sich gerade in Europa entwickelt. Nicht weil plötzlich alles perfekt wäre. Ganz im Gegenteil: Viele dieser Projekte stehen noch am Anfang, manches muss erst durch Parlament und Mitgliedstaaten, anderes muss sich in der Praxis überhaupt erst beweisen.

Aber die Richtung hat sich verändert.

Europa redet nicht mehr nur darüber, dass es technologisch unabhängiger werden möchte. Es versucht inzwischen, Cloud-Infrastruktur, Software, digitale Identität und öffentliche Beschaffung miteinander zu verbinden. Das ist wesentlich interessanter als die nächste politische Forderung nach „mehr Digitalisierung“.

Denn Digitalisierung hatten wir bereits. Jetzt geht es um die unangenehmere Frage: Wer kontrolliert eigentlich das digitale Fundament, auf dem diese Digitalisierung läuft?

Und vielleicht ist genau das der Punkt, an dem digitale Souveränität interessant wird. Nicht als europäisches Gegenmodell zu allem, was aus den USA oder Asien kommt, sondern als Möglichkeit, auch morgen noch selbst entscheiden zu können, welche Technologien wir nutzen, wem wir unsere Daten anvertrauen und welchen Anbieter wir im Zweifel auch wieder loswerden können.

Denn echte digitale Souveränität bedeutet am Ende nicht, dass Europa alles selbst baut. Sie bedeutet, dass Europa nicht gezwungen ist, alles bei anderen einzukaufen.

Quellen & Verweise:

• EU Cloud-Ausschreibung: European Commission – Sovereign Cloud Framework Explained
• Cloud Sovereignty Framework: European Commission – Cloud Sovereignty Framework Implementation Guidance (PDF)
• EU Open-Source-Strategie: Knowledge Centre Data & Society / EU Commission – Communication on European Tech Sovereignty & Open Source Strategy
• EUDI-Wallet in Deutschland: Bundesregierung / BMDS – Deutsche EUDI-Wallet heißt d-you!
• Öffentliches Beschaffungsrecht: European Commission Press Corner – Commission Proposes Simpler and More Strategic Public Procurement
• Technologische Souveränität: European Commission Digital Strategy – Shaping Europe’s Digital Future