Cloud and AI Development Act: Wer zieht dir am Ende den Stecker?

Ein Joint Venture aus dem französischen Rüstungskonzern Thales und Google Cloud zählt für die EU-Kommission offiziell zu den vier Vorzeigebeispielen europäischer souveräner Cloud-Infrastruktur. Ausgerechnet dieser Anbieter, S3NS, schneidet in einer unabhängigen Prüfung schlechter ab als seine drei europäischen Mitbewerber. Genau an diesem Widerspruch lässt sich der Cloud and AI Development Act messen, kurz CADA: ein Verordnungsentwurf der EU-Kommission für mehr digitale Souveränität bei Cloud- und KI-Infrastruktur, vorgestellt am 3. Juni 2026, seither munter als fertige Lösung gehandelt, obwohl das Gesetzgebungsverfahren politisch noch nicht einmal richtig begonnen hat.

Eine Verordnung ist, anders als eine EU-Richtlinie, unmittelbar bindendes Recht in allen Mitgliedstaaten, sobald sie beschlossen und im Amtsblatt der EU veröffentlicht ist, ohne den Umweg über nationale Gesetze. Genau deshalb lohnt sich ein genauer Blick, bevor jemand CADA leichtfertig als erledigt abhakt oder als Argument gegen den eigenen Umstieg auf offene Systeme benutzt. Die Frage, die für diesen Blog seit jeher zählt, ist nicht, wo ein Unternehmen seinen Sitz hat oder welchen Pass die Belegschaft trägt. Die Frage ist, ob eine Organisation im Ernstfall selbst weiterbetreiben, migrieren oder forken kann, wenn ein Anbieter verschwindet, gehackt wird, unter Sanktionen fällt oder per Gerichtsbeschluss zur Datenherausgabe gezwungen wird. Kann dir das jemand abschalten, oder nicht.

Matrix und Element beantworten diese Frage positiv, weil der Code offen liegt und jede Organisation ihren eigenen Server betreiben oder das Projekt notfalls selbst weiterführen könnte. openDesk beantwortet sie ebenso positiv, aus demselben Grund. Der kanadische OVHcloud-Fall dagegen zeigt die Kehrseite: Ein Gericht in Ontario hat das französische Unternehmen OVHcloud zur Herausgabe von Nutzerdaten verpflichtet, die Berufung dagegen ist bis heute unentschieden. Ein europäischer Firmensitz schützt also nicht automatisch vor fremdem Rechtszugriff, sobald eine Konzernstruktur über Ländergrenzen reicht. S3NS reiht sich in diese Kette ein, nur mit einer neuen Variante desselben Grundproblems.

S3NS zeigt, wie leicht sich das europäische Etikett erschleichen lässt

Die EU-Kommission hat im Rahmen eines Förderprogramms vier Anbieter als „souveräne Cloud“ ausgewählt: Post Telecom (Frankreich und Luxemburg, mit OVHcloud und Clever Cloud), STACKIT (Deutschland), Scaleway (Frankreich) und Proximus (Belgien, Frankreich und Luxemburg, mit S3NS und Mistral), wie The Register am 20. April 2026 berichtete. S3NS wiederum ist das Gemeinschaftsunternehmen von Thales und Google Cloud: Thales hält die Mehrheit, das Personal ist französisch, die Vertragsbeziehung zu Kund*innen läuft eigenständig über S3NS. Technisch baut das Angebot trotzdem auf der Infrastruktur von Google Cloud auf.

CISPE, der Branchenverband europäischer Cloud-Anbieter, hat genau für solche Fälle ein eigenes Prüfraster entwickelt, SEAL genannt (Sovereignty Effectiveness Assurance Level, Stufen 0 bis 4), Teil der Initiative „Verifiably Sovereign“, die seit dem 23. April 2026 läuft und inzwischen über vierzig Dienste bewertet. Das Ergebnis für S3NS: SEAL-2. Die drei anderen von der Kommission ausgewählten Anbieter erreichten SEAL-3. CISPE nennt dieses Muster, wenn ein Anbieter formal europäisch auftritt, aber technisch von einem außereuropäischen Konzern abhängt, selbst „Sovereignty Washing“, in Anlehnung an den bekannteren Begriff Greenwashing.

Wichtig für alle, die den Artikel mit einem CADA-Text danebenlegen: SEAL ist nicht dasselbe wie die „Union assurance levels“, die vier gesetzlich vorgeschlagenen Souveränitätsstufen aus dem CADA-Entwurf selbst. Beide Skalen tragen ähnliche Namen und reichen beide von der niedrigsten bis zur höchsten Stufe, das eine ist aber ein privates Industrie-Prüfraster von CISPE, das andere eine noch nicht beschlossene gesetzliche Kategorisierung der EU-Kommission. Wer diese beiden Skalen vermischt, kommt schnell zu falschen Schlüssen darüber, was CADA aktuell überhaupt regelt.

Ein Gesetz, das noch nicht mal im Ausschuss war

Der offizielle Legislative Train Schedule des Europäischen Parlaments, also die Verfahrensverfolgung des Parlaments selbst für laufende Gesetzgebungsprojekte, führt CADA weiterhin unter dem Status „Announced“. Der nächste Schritt wäre die Zuweisung an einen oder mehrere Ausschüsse und die Benennung eines Berichterstatters, also der Abgeordneten, die die Detailarbeit am Text federführend begleiten. Das ist bislang nicht passiert. Erst danach beginnen die sogenannten Trilogverhandlungen zwischen Kommission, Rat und Parlament, in denen sich die drei Institutionen auf einen gemeinsamen Text einigen müssen, bevor eine Verordnung überhaupt im Amtsblatt der EU erscheinen kann. Auch das hat noch nicht begonnen. Seit der Vorstellung am 3. Juni 2026 sind damit auch keine Änderungsanträge zu den vier Souveränitätsstufen dokumentiert, weil das Parlament formal noch gar nicht mit der Prüfung angefangen hat.

Wie früh das tatsächlich ist, zeigt ein Gegenbeispiel aus derselben Recherche: Die Quelle regulations.ai behauptet, CADA sei bereits am 15. Juli 2026 im Amtsblatt veröffentlicht worden, trete am 4. August 2026 in Kraft, die erste Souveränitätsstufe gelte ab Februar 2028, die höchste ab August 2029. Das ist frei erfunden. Ein Gesetz kann nicht im Amtsblatt erscheinen, bevor Parlament und Rat im ordentlichen Gesetzgebungsverfahren zugestimmt haben, und beide haben noch nicht einmal mit der Arbeit am Text begonnen. Wer diese Meldung für bare Münze nimmt, verwechselt einen Kommissionsvorschlag mit geltendem Recht, ein Fehler, der bei EU-Digitalgesetzen erstaunlich oft passiert und der sich mit einem einzigen Blick auf die Parlamentsseite selbst vermeiden lässt.

Kritik von zwei Seiten, die sich nicht widersprechen

CISPE, Nextcloud und Teile des Europaparlaments halten CADA in seiner aktuellen Fassung für zu lasch. netzpolitik.org hat am 4. Juni 2026 vorgerechnet, wie sich Behördendaten unter dem vorgeschlagenen Text auf die vier Stufen verteilen würden: rund 70 Prozent auf Stufe 1, die niedrigste, die auch US-Hyperscaler mit einem Rechenzentrum in der EU erfüllen können, rund 20 Prozent auf Stufe 2, rund 9 Prozent auf Stufe 3, rund 1 Prozent auf Stufe 4, die nur für Verteidigung gilt. Der Artikel nennt CADA in der aktuellen Fassung ein „sehr zaghaftes Instrument“. Der Jurist Dennis-Kenji Kipker warnt zusätzlich vor einem Schlupfloch über sogenannte Angemessenheitsbeschlüsse: Die Kommission kann per eigenem Beschluss feststellen, dass ein Drittstaaten-Anbieter angemessenen Datenschutz bietet, und ihn dadurch auch auf hohen Souveränitätsstufen zulassen, was die eigentliche Schutzwirkung der Stufen untergräbt. Die Grünen-Europaabgeordnete Alexandra Geese formuliert es zugespitzt: Es entstehe eine „institutionalisierte Abhängigkeit“, solange außereuropäische Regierungen weiterhin Einfluss auf kritische Infrastruktur nehmen könnten. Nextcloud sieht laut Euronews vom 22. Juni 2026 ein weiteres Problem: CADA beschränkt sich auf öffentliche Beschaffung und lässt den Privatsektor außen vor, obwohl gerade dort viel Abhängigkeit von US-Anbietern besteht.

CCIA Europe und der deutsche Internetwirtschaftsverband eco kritisieren CADA aus der genau entgegengesetzten Richtung. CCIA Europe, eine Interessenvertretung, in der auch große US-Digitalkonzerne organisiert sind, bezeichnete den Entwurf am selben Tag, an dem die Kommission ihn vorstellte, wörtlich als „a direct recipe for fragmented discrimination across Europe in 27 different ways“, auf Deutsch sinngemäß: ein Rezept für Diskriminierung, uneinheitlich verteilt über 27 verschiedene Mitgliedstaaten. Der Verband fordert, Rat und Parlament sollten den Vorschlag als diskriminierend zurückweisen. eco warnt laut einem Fachartikel von Daniel Schrader auf datacenter-insider.de vom 23. Juni 2026 vor „politisch motivierten Whitelists“ und formuliert das als Verbandsposition, ohne einen einzelnen Namen zu nennen: „Entscheidend dürfen nicht pauschale Herkunftsfragen sein, sondern konkrete Anforderungen an Sicherheit, Datenschutz, Rechtsklarheit, Interoperabilität und wirtschaftliche Leistungsfähigkeit.“

Beide Kritiklinien können gleichzeitig zutreffen, und genau das verrät etwas über den Kompromisscharakter des aktuellen Entwurfs. Ein Gesetz, das sowohl europäischen Cloud-Anbietern als auch der Lobby großer US-Konzerne als Zumutung erscheint, hat entweder einen klugen Mittelweg gefunden oder es gefällt am Ende niemandem richtig. Angesichts der Zahlen von netzpolitik.org, wonach unter der aktuellen Fassung weiterhin bis zu 99 Prozent der Behördendaten bei US-Anbietern landen könnten, spricht mehr für die zweite Lesart.

Was CADA trotzdem richtig macht

Ein fairer Blick gehört dazu. CADA ist bewusst dreisäulig angelegt: Forschung und Entwicklung, Kapazität und Autonomie. Die Autonomie-Säule mit den vier Souveränitätsstufen ist der politisch umstrittenste Teil und der, um den sich der Streit oben dreht. Die Kapazitäts-Säule dagegen setzt konkrete, überprüfbare Ziele: eine Verdreifachung der europäischen Rechenzentrumskapazität innerhalb von fünf bis sieben Jahren, dazu laut Euronews eine Genehmigungsfrist von maximal zwölf Monaten für neue Rechenzentren. Das sind Zahlen, an denen sich die Kommission in ein paar Jahren tatsächlich messen lassen muss.

Bemerkenswert ist außerdem, dass CADA zum ersten Mal in einem EU-Rechtstext den Grundsatz „Public Money, Public Code“ aufgreift: die Idee, dass mit Steuergeld finanzierte Software auch öffentlich einsehbar sein sollte. Diese Anerkennung bleibt im aktuellen Entwurf unverbindlich, ist also eher eine Absichtserklärung als eine Pflicht. Dass der Grundsatz überhaupt in einem Verordnungsentwurf auftaucht, ist trotzdem ein Fortschritt gegenüber früheren EU-Digitalgesetzen, die das Thema komplett ausgelassen haben.

264 Milliarden Euro, aber nicht für das, wonach es klingt

In Presseberichten kursiert oft eine Zahl, die den Ernst der Lage unterstreichen soll: 264 Milliarden Euro. Diese Summe stammt allerdings nicht aus CADA selbst, sondern aus der begleitenden EU Open Source Strategy, die am selben Tag als Teil desselben „Tech Sovereignty Package“ vorgestellt wurde, zusammen mit CADA und dem Chips Act 2.0. Gemeint sind die geschätzten jährlichen EU-weiten Ausgaben für proprietäre IT-Produkte und -Dienste aus den USA. Presseartikel, die diese Zahl direkt CADA zuschreiben, verwechseln zwei verschiedene, wenn auch verwandte, Gesetzesinitiativen.

Wie hoch der europäische Eigenanteil am eigenen Cloud-Markt tatsächlich ist, lässt sich derzeit nicht auf eine einzelne verlässliche Zahl reduzieren: Die EU-Kommission nennt 15 Prozent, bezogen auf 2022, ein Rückgang von 29 Prozent seit 2017, während datacenter-insider.de im Juni 2026 von 13 Prozent spricht. Beim Anteil der US-Hyperscaler am europäischen Cloud-Markt reicht die Spanne von rund 65 Prozent nach der aktuellsten unabhängigen Marktforschung von Forrester bis zu rund 70 Prozent nach älteren, weiter kolportierten Sekundärquellen. Welche Erhebungsmethode hinter welcher Zahl steckt, lässt sich im Einzelfall nicht immer nachvollziehen. Für die Grundrichtung reicht das trotzdem: Egal welche Zahl stimmt, der überwiegende Teil der europäischen Cloud-Infrastruktur liegt heute in der Hand weniger US-Konzerne, und daran ändert ein Gesetzentwurf im Status „Announced“ vorerst nichts.

Was heute schon geht, ohne auf Brüssel zu warten

Während CADA noch Jahre bis zu einem möglichen Inkrafttreten braucht, existiert mit openDesk bereits jetzt eine produktiv genutzte Alternative zu Microsoft 365 in deutschen Behörden, komplett quelloffen entwickelt vom Zentrum für Digitale Souveränität der Öffentlichen Verwaltung, kurz ZenDiS. Das Robert Koch-Institut nutzt openDesk mit rund 7.000 Beschäftigten, die Bundeswehr hat über ihren IT-Dienstleister BWI einen Sieben-Jahres-Vertrag abgeschlossen, ZenDiS rechnet mit bis zu 160.000 Lizenzen im öffentlichen Sektor bis Ende 2025. Laut einer Pressemitteilung der Deutschen Rentenversicherung Bund vom 21. Juli 2026 haben ZenDiS, die Rentenversicherung selbst, die Bundesagentur für Arbeit und weitere Träger openDesk erfolgreich als Notfall-Arbeitsplatz für die Sozialversicherung getestet. Die im März 2026 reformierten EVB-IT-Verträge, die vertraglichen Standardbedingungen für IT-Beschaffung des öffentlichen Sektors, machen Open Source inzwischen zur Standardoption bei neuen Entwicklungsvorhaben. Ein Gutachten des Wissenschaftlichen Dienstes des Bundestags hat im Juli 2026 zusätzlich bestätigt: Wer öffentlich ausschreibt, kann schon heute rechtssicher auf offene Software statt auf Anbieterbindung setzen, unabhängig davon, wie der CADA-Trilog irgendwann ausgeht.

Für Vereine und kleine Unternehmen, die chrislo.de üblicherweise liest, ist genau das der praktisch greifbare Teil dieser ganzen Geschichte. openDesk, Nextcloud, LibreOffice und ähnliche Werkzeuge sind heute nutzbar, offen einsehbar und im Zweifel selbst weiterbetreibbar. Niemand muss auf eine Verordnung warten, die noch nicht mal einem Ausschuss zugewiesen wurde, um die eigene Kontrollfrage zu beantworten.

CADA wird, falls er in einigen Jahren tatsächlich beschlossen wird, vielleicht ein Baustein für mehr digitale Souveränität in Europa. Bis dahin bleibt die Kontrollfrage dieselbe wie heute: Kannst du selbst weitermachen, wenn dir jemand den Stecker zieht, oder brauchst du dafür die Erlaubnis eines Konzerns, der dir gerade noch als europäisch verkauft wurde. S3NS zeigt, wie leicht sich diese Frage mit einem Etikett verdecken lässt. Wer sie ernst nimmt, schaut auf den Code und die Exit-Option, nicht auf den Firmensitz im Handelsregister.

Wenn du diese Frage für deinen eigenen Verein, dein Unternehmen oder deine eigene Infrastruktur gerade nicht beantworten kannst, ist jetzt der richtige Moment, sie zu klären, nicht erst, wenn CADA in einigen Jahren tatsächlich gilt.

Reden wir über deine digitale Souveränität.

Schreib mir eine E-Mail: Kurz beschreiben, was du vorhast oder was dich beschäftigt. Ich melde mich in der Regel innerhalb eines Werktages. hallo@chrislo.de

Kein Kontaktformular, keine Pflichtfelder, keine Datenspur. Einfach schreiben.