Adieu Palantir: Digitale Souveränität von oben nach unten

Ein Vizeadmiral der Bundeswehr nennt es „unvorstellbar”. Nicht der nächste Cyberangriff, nicht der nächste Erpressungstrojaner, sondern die Vorstellung, dass ein US-amerikanischer Softwarekonzern mit eigenem Personal Zugriff auf deutsche, nationale Datenbestände bekommt. Wenn ein Militär so über einen einzelnen Anbieter spricht, steckt dahinter mehr als diplomatische Zurückhaltung, das ist eine Kampfansage an ein ganzes Geschäftsmodell.

Der Anbieter heißt Palantir. Und seit dem 17. und 18. Juli 2026 hat diese Kampfansage einen offiziellen Namen: „souveränes digitales Rückgrat”, verkündet von Bundeskanzler Friedrich Merz und Präsident Emmanuel Macron beim Deutsch-Französischen Verteidigungs- und Sicherheitsrat auf dem Fliegerhorst Nörvenich. Klingt nach einem großen Wurf. Ist aber, wenn du genau hinschaust, vor allem eins: eine Absichtserklärung.

Was in Nörvenich wirklich beschlossen wurde

Am Verteidigungs- und Sicherheitsrat nahmen neben Merz und Macron auch Bundesdigitalminister Karsten Wildberger, die französische Digitalministerin Anne Le Hénanff und weitere Vertreter beider Wirtschaftsministerien teil. Das Ergebnis, wie heise online berichtet: ein gemeinsames digitales Rückgrat für drei Felder, datenzentrierte Sicherheit, Künstliche Intelligenz und Cloud.

Klingt konkret. Ist es aber, Stand jetzt, nicht. Es gibt keine Zahlen, keine Verträge, keinen Zeitplan, kein Budget. So lautet der Stand der Dinge am 19. Juli 2026, vollständig recherchiert, keine Lücke dieses Artikels.

Ignorieren solltest du die Ankündigung trotzdem nicht, nur solltest du sie nicht als vollzogene Tatsache feiern. Politische Absichtserklärungen haben in Berlin und Paris eine lange Tradition, in der Schublade zu verschwinden, sobald die Kameras ausgeschaltet sind. Wer wissen will, ob aus digitaler Souveränität tatsächlich etwas Praktisches wird, schaut besser auf das, was parallel längst passiert, nicht auf das, was in Nörvenich verkündet wurde.

Arcadia gegen Maven

Konkreter wird es, wenn du auf das schaust, was Frankreich schon gebaut hat. Arcadia heißt die Plattform, entwickelt mit Mistral AI, Safran.AI, Thales und Airbus, die Führungskräften im Militär in Echtzeit zeigen soll, was auf dem Gefechtsfeld passiert, wo eigene und fremde Kräfte stehen, welche Informationen gerade zusammenlaufen. So etwas nennt man ein Kommando- und Kontrollsystem, im Grunde ein Lagebild-Dashboard, nur mit Konsequenzen, die weit über verpasste Umsatzzahlen hinausgehen.

Das Vorbild, gegen das Arcadia antreten soll, heißt Maven Smart System, gebaut von Palantir und aktuell bei der NATO im Einsatz. Frankreich hat Arcadia im Juni 2026 gleich mehrfach getestet, unter anderem bei der NATO-Übung „Coalition Warrior Interoperability Exercise” in Polen. Und Palantir selbst? Reagierte gelassen. Man arbeite an der Kompatibilität mit NATO-Standards und begrüße „die Gelegenheit, sich mit Arcadia oder jedem anderen nationalen System zu integrieren”, ließ das Unternehmen verlauten.

Genau dieser Satz verdient einen zweiten Blick. Ein Konzern, der gerade zum Feindbild einer europäischen Souveränitätsdebatte wird, bietet der Konkurrenz freundlich die Hand, und das wirkt weniger nach Kapitulation als nach Kalkül: Palantir wettet darauf, dass digitale Souveränität in Europa selten im vollständigen Bruch endet, sondern meistens in hybriden Konstruktionen, in denen amerikanische Systeme weiterhin mitmischen, nur mit europäischem Anstrich. Ob diese Wette aufgeht, hängt genau von den Entscheidungen ab, um die es im Rest dieses Artikels geht.

Wer schon vorher die Reißleine gezogen hat

Die eigentliche Geschichte spielt nicht in Nörvenich, sondern in den Monaten davor. Das Bundesamt für Verfassungsschutz, kurz BfV, Deutschlands Inlandsgeheimdienst, hat sich bereits am 13. Mai 2026 nach Abschluss eines Testlaufs für ArgonOS entschieden, eine Analysesoftware des Pariser Unternehmens ChapsVision. Frankreichs eigener Inlandsgeheimdienst DGSI nutzt ArgonOS schon länger, das BfV zieht also nicht ins Ungewisse, sondern zu einem erprobten Nachbarn.

Einen Tag vorher, am 12. Mai 2026, hat die Bundeswehr Palantir für ihre Cloud-Infrastruktur, intern pCloudBw genannt, ausgeschlossen. Die Begründung von Vizeadmiral Dr. Thomas Daum, mit der dieser Artikel begonnen hat: Der Betrieb hätte eigene Palantir-Mitarbeiter mit Zugriff auf nationale Datenbestände erfordert, für ihn „unvorstellbar”. Bis Jahresende 2026 evaluiert die Bundeswehr stattdessen drei europäische Anbieter, Almato aus Stuttgart mit BSI-Zertifizierung für Verschlusssachen, Orcrist Technologies aus Berlin und wieder ChapsVision aus Paris.

Bemerkenswert daran ist weniger die Wahl an sich, sondern das Motiv. Es ist kein Vergleichstest über Funktionen oder Preise gewesen. Es ist eine Kontrollfrage: Wer sitzt am anderen Ende der Leitung, wenn deine sensibelsten Daten verarbeitet werden, und wem ist diese Person am Ende verpflichtet, dir oder einem fremden Rechtssystem? Genau diese Frage ist der Kern des US Cloud Act, eines amerikanischen Gesetzes von 2018, das US-Behörden erlaubt, von amerikanischen Unternehmen Zugriff auf Daten zu verlangen, unabhängig davon, wo auf der Welt diese Daten gespeichert sind. Ein deutscher Server in einem deutschen Rechenzentrum schützt dich nicht davor, wenn der Betreiber ein amerikanisches Unternehmen ist oder von einem kontrolliert wird. Genau das treibt Bundeswehr und Verfassungsschutz um, lange bevor irgendjemand das Wort Souveränität auf eine Pressekonferenz schreibt.

Der Länder-Flickenteppich

Wäre die Geschichte damit zu Ende, könntest du sie als Blaupause lesen: Sicherheitsbehörden erkennen das Risiko, wechseln zu europäischen Anbietern, fertig. Ist sie aber nicht. Sobald du von der Bundesebene auf die Länder schaust, zerfällt das Bild in Widersprüche.

Bayern betreibt mit VeRA weiterhin eine eigene Palantir-Installation für die Landespolizei, Hessen mit hessenDATA ebenso. Niedersachsen und Bremen dagegen lehnen den Einsatz von Palantir-Software explizit ab, auch wenn eine europäische Alternative länger auf sich warten lässt. Niedersachsens Innenministerin Daniela Behrens hat das wörtlich so begründet: „Für mich ist entscheidend, dass teils hochsensible Polizeidaten in den Händen eines solchen Unternehmens landen können.” Ein Satz, der praktisch wortgleich auch von Vizeadmiral Daum hätte stammen können.

Nordrhein-Westfalen steht mittendrin. Der bestehende Palantir-Vertrag für die polizeiliche Analyseplattform DAR läuft im Oktober 2026 aus, die Nachfolgelösung wird europaweit neu ausgeschrieben. Bewerben kann sich dabei theoretisch jede Firma, die die Anforderungen erfüllt, Palantir eingeschlossen. Ob NRW im Herbst tatsächlich zu einem europäischen Anbieter wechselt oder den bestehenden Vertrag im neuen Gewand verlängert, ist offen. Genau an diesem Punkt lässt sich im Oktober messen, ob digitale Souveränität mehr ist als ein Wort auf einer Pressekonferenz.

Verschärft wird der Streit um Hessen durch ein laufendes Verfahren vor dem Bundesverfassungsgericht. Der Chaos Computer Club, kurz CCC, Deutschlands bekannteste Vereinigung für Hacker*innen und digitale Bürgerrechte, hat im Mai 2026 eine Stellungnahme im Rahmen einer Verfassungsbeschwerde gegen das hessische Sicherheits- und Ordnungsgesetz eingereicht. Der Vorwurf: Die Analysesoftware werde laut CCC allein in Hessen bis zu 15.000 Mal im Jahr genutzt, ihre genaue Funktionsweise gelte dabei als Geschäftsgeheimnis eines privaten US-Konzerns, kaum kontrollierbar für Behörden, erst recht nicht für Bürger*innen. Schon 2023 hatte das Bundesverfassungsgericht die damalige Rechtsgrundlage für den hessischen Palantir-Einsatz teilweise für verfassungswidrig erklärt, die aktuelle Beschwerde richtet sich gegen die seither novellierte, aus Sicht des CCC aber immer noch unzureichende Fassung des Gesetzes.

Souveränität nach außen, Überwachung nach innen

Es gibt noch eine zweite Reibungsfläche, die in den Schlagzeilen zur Nörvenich-Ankündigung kaum auftaucht, aber zur vollständigen Geschichte gehört. Parallel zur außenpolitischen Souveränitäts-Ankündigung wird innenpolitisch an einem ganz anderen Vorhaben gearbeitet, das Kritiker*innen inzwischen nur noch „Lex Palantir” nennen: das sogenannte Sicherheitspaket 2.0 von Bundesinnenminister Alexander Dobrindt. Die Grundidee, so weit sie sich aus verfügbaren Berichten ergibt: Bundeskriminalamt und Bundespolizei sollen automatisiert große Datenmengen analysieren und öffentlich zugängliche Internetdaten biometrisch abgleichen dürfen.

Zu den genauen Verfahrensdetails gibt es bislang nur Quellen außerhalb des üblichen verlässlichen Kreises, deshalb an dieser Stelle bewusst zurückhaltend formuliert. Was sich aber sagen lässt: Technisch handelt es sich um ziemlich genau die Art von automatisierter Massendatenanalyse, vor der Bundeswehr und Verfassungsschutz bei Palantir zurückschrecken, nur mit deutscher Gesetzesgrundlage statt amerikanischem Konzern dahinter. Dieses Vorhaben ist nicht Teil der deutsch-französischen Initiative aus Nörvenich, sondern ein separates, innenpolitisch umstrittenes Projekt, das zeitlich in dieselben Wochen fällt.

Diese Gleichzeitigkeit ist die eigentliche Pointe der ganzen Geschichte. Nach außen verkündet dieselbe Bundesregierung, wie wichtig es ist, sensible Daten nicht in die Hände fremder Systeme zu geben. Nach innen wird an einer Befugnis gearbeitet, die genau diese Art von Datenanalyse noch ausweiten würde, nur unter eigener Flagge. Digitale Souveränität ist hier offenbar zuerst eine Frage der Adresse und erst danach eine Frage des Prinzips.

Was das mit deiner eigenen Cloud zu tun hat

An dieser Stelle könntest du einwenden: Schön und gut, aber ich bin nicht die Bundeswehr, ich betreibe keinen Geheimdienst, ich verwalte höchstens die Mitgliederliste meines Vereins oder die Buchhaltung meines kleinen Unternehmens. Was soll mich das kümmern?

Stell dir eine ganz andere Alltagssituation vor. Du würdest niemandem einen Schlüssel zu deiner Haustür geben, der jederzeit, ohne dass du es erfährst, verpflichtet werden kann, diesen Schlüssel an einen fremden Staat weiterzugeben. Trotzdem tust du genau das, sobald du deine Vereinsdaten in Microsoft 365 verwaltest, deine Kundendaten in Google Drive ablegst oder deine Buchhaltung einem amerikanischen Cloud-Anbieter anvertraust. Der Cloud Act gilt für ein US-Unternehmen unabhängig davon, ob es Palantir heißt oder Microsoft, ob es Militärgeheimnisse verwaltet oder die Mitgliederliste deines Sportvereins. Der einzige Unterschied zur Bundeswehr ist die Größe der Zielscheibe, nicht das Prinzip.

Wenn selbst Institutionen mit eigenen Sicherheitsbehörden, eigenen Jurist*innen und eigenem politischem Gewicht zu dem Schluss kommen, dass sie diese Abhängigkeit nicht länger tragen wollen, ist das ein ziemlich eindeutiges Signal für alle, die deutlich weniger Verhandlungsmacht gegenüber einem US-Konzern haben als ein Staat. Ein Verein oder ein kleines Unternehmen kann nicht einfach mit Frankreich eine eigene KI-Plattform entwickeln lassen. Aber es kann auf Nextcloud statt Google Drive setzen, auf Mailbox.org oder einen eigenen Mailserver statt Microsoft 365, auf selbst gehostete Lösungen statt auf Konzerne, deren Rechtsgrundlage in Washington liegt.

Der Vizeadmiral, mit dem dieser Artikel begonnen hat, musste seine Entscheidung nicht rechtfertigen, seine Behörde hat die Mittel und das Mandat, europäische Alternativen zu testen, zu evaluieren und notfalls selbst zu bauen. Du hast diese Mittel wahrscheinlich nicht. Was du aber hast, ist die Wahl, wem du deine Daten anvertraust, und die musst du nicht erst dann treffen, wenn dir ein Vizeadmiral erklärt, warum das wichtig ist.

Wenn du dich fragst, wie ein Umstieg auf Nextcloud, eine eigene E-Mail-Infrastruktur oder eine europäische Cloud-Lösung für deinen Verein oder dein Unternehmen konkret aussehen könnte, begleite ich dich dabei, von der Bestandsaufnahme bis zum laufenden Betrieb.

Reden wir über deine Cloud.

Schreib mir eine E-Mail: Kurz beschreiben, was du vorhast oder was dich beschäftigt. Ich melde mich in der Regel innerhalb eines Werktages. hallo@chrislo.de

Kein Kontaktformular, keine Pflichtfelder, keine Datenspur. Einfach schreiben.