Deutschland will digital souverän werden - und zahlt dafür einen Aufpreis an denselben Konzern, von dem es unabhängiger werden möchte. Allein 2025 gab der Bund 481,4 Millionen Euro für Microsoft-Lizenzen aus. Die neue Delos Cloud verspricht eine souveräne Verwaltungsinfrastruktur, kostet jedoch rund 15 Prozent mehr als die regulären Microsoft-Dienste. Dabei bleibt die Software amerikanisch, und selbst ein deutsches Innenministerium räumt ein, dass vollständige Souveränität nicht gewährleistet ist. Der abschließende Teil der Reihe untersucht, wie aus digitaler Abhängigkeit ein Geschäftsmodell wird, warum der US CLOUD Act die Versprechen europäischer Cloud-Anbieter infrage stellt und weshalb echte digitale Unabhängigkeit mehr verlangt als deutsche Rechenzentren und neue Etiketten.
Ein Meinungsbeitrag von Michael Hollister.
Wie der Staat die Souveränität als Aufschlag auf die Rechnung desselben Konzerns kauft
Wer als deutsche Behörde die Microsoft-Dienste der sogenannten souveränen Verwaltungscloud bezieht, zahlt dafür rund 15 Prozent über dem deutschen Listenpreis von Microsoft. Der Aufschlag gilt für alles, von den einfachen Azure-Diensten bis zu Office 365, und er ist, nüchtern betrachtet, der Preis für ein Versprechen: dass diese Cloud deutsch, sicher und von amerikanischem Zugriff frei sei. Das Produkt darunter ist dasselbe wie zuvor. Verkauft wird die Hülle. Es ist ein seltener Fall, in dem der Preis die Sache verrät: Wäre die souveräne Cloud ein anderes, eigenständiges Produkt, läge ihr Preis irgendwo; dass er als fester Aufschlag auf Microsofts eigene Liste gebildet wird, zeigt, was den Kern bildet und was die Verpackung ist.
Der erste Teil dieses dritten Kapitels hat die Grundschicht offengelegt - die Rechenleistung, auf der die privaten Betriebssysteme der Macht laufen, und die in Europa zu rund 70 Prozent drei amerikanischen Konzernen gehört. Dieser zweite Teil macht den Schritt, der aus der privaten Infrastruktur eine Staatsfrage macht. Er fragt, was geschieht, wenn ein Land, das die digitale Souveränität zu seinem Leitbegriff erhoben hat, seine eigene Verwaltung auf genau diese Grundschicht baut - und die dünne Schicht, die es darüberlegt, „souverän“ nennt.
Die Antwort ist kein Skandal mit klarem Täter. Sie ist ein Befund über ein Wort, das mehr verspricht, als die Sache dahinter einlöst.
Die Frage hinter dem Etikett
Souveränität ist in der deutschen Digitaldebatte zum Gütesiegel geworden. Fast jedes Angebot trägt es inzwischen, von der Verwaltungscloud bis zur Rüstungs-IT. Die Frage dieses Teils lautet deshalb nicht, ob Souveränität draufsteht, sondern ob sie drin ist: Trägt die „souveräne Cloud“ der deutschen Verwaltung die Kontrolle, die ihr Name behauptet - oder ist sie eine weitere Schicht über derselben amerikanischen Grundschicht, deren rechtliche Reichweite kein Etikett aufhebt?
Die Antwort führt über Zahlen, über eine Klausel, die weniger kann, als ihr Name sagt, über einen Konzern, der unter Eid eine Garantie verweigert, und schließlich über einen europäischen Weg, der dasselbe Muster wiederholt, das der zweite Teil dieser Reihe bei einem anderen Betriebssystem beschrieben hat. Dabei gilt, was für die ganze Reihe gilt: Dokumentiert werden Fakten und Strukturen, nicht Absichten. Dass eine Abhängigkeit besteht, ist belegbar; ob und wann sie gegen deutsche Interessen gewendet wird, bleibt eine offene Frage, die dieser Text nicht entscheidet.
Eine Abhängigkeit, die wächst und teurer wird
Beginnen wir bei dem, was belegt ist, weil es in Zahlen steht. Die Ausgaben des Bundes für Microsoft-IT-Services und Lizenzen stiegen von 74 Millionen Euro im Jahr 2017 über 198 Millionen 2023 auf 204,5 Millionen 2024. Für das Jahr 2025 weist die Bundesregierung allein für Lizenzen 481,4 Millionen Euro aus - mehr als doppelt so viel, wie in den Vorjahren für Dienste und Lizenzen zusammen anfiel. Die Zahlen stammen aus der Antwort der Bundesregierung auf eine Kleine Anfrage der Fraktion Die Linke vom 26. März 2026. Innerhalb von acht Jahren hat sich die Rechnung vervielfacht, und sie steigt weiter: Microsoft hat eine Preiserhöhung zum 01. Juli 2026 angekündigt, deren Mehrkosten die Bundesregierung im Dezember 2025 nicht beziffern konnte.
Der Grund für diese Dynamik liegt nicht in mehr Nutzern oder mehr Leistung, sondern in der Tiefe der Bindung. Nach derselben Antwort arbeiten 96 Prozent der Beschäftigten der Bundesverwaltung täglich mit Microsoft-Produkten. Wer so vollständig an einem Anbieter hängt, verhandelt nicht über Preise, er nimmt sie. Hinzu kommt die Verwundbarkeit im Betrieb: Zwei große Microsoft-Handelspartnerverträge für die gesamte Bundesverwaltung liefen am 31. Mai 2025 aus, und über die Konditionen der Folgeverträge ist wenig bekannt. Eine Verwaltung, die ihre Grundausstattung aus einer Quelle bezieht, deren Preise sie nicht steuert und deren Verträge sie nachverhandeln muss, hat ihre Handlungsfreiheit bereits ein Stück weit abgegeben, bevor überhaupt von Datenzugriffen die Rede ist.
Die Open Source Business Alliance, ein Verband quelloffener Softwareanbieter, zog im Februar 2026 aus einer weiteren parlamentarischen Anfrage denselben Schluss: Die steigenden Kosten entstünden nicht durch mehr Produktivität, sondern durch die Abhängigkeit selbst, und das Geld fehle anderswo für die Modernisierung des Staates. Der Verband hält der Regierung ihren eigenen Koalitionsvertrag entgegen, der den Vorrang quelloffener Software vorsieht - ein Ziel, von dem das Beschaffungsverhalten sich mit jeder Rechnung weiter entfernt. Man muss die Interessenlage des Verbands kennen, der eigene Mitglieder im Markt hat; die Zahlen, auf die er sich stützt, stammen wie die zuvor genannten aus Antworten der Bundesregierung.
Das ist die Ausgangslage, und sie ist unstrittig, weil die Regierung sie selbst beziffert hat. Alles Weitere baut darauf auf.
Was die No-Spy-Klausel nicht kann
Gegen den Zugriff fremder Stellen hat der Bund ein Instrument, das beruhigend klingt: die technische No-Spy-Klausel in seinen Musterverträgen. Sie verpflichtet den Anbieter, keine Hintertüren einzubauen und keine Daten an fremde Nachrichtendienste zu geben. Auf die Frage, was diese Klausel wirklich leistet, hat die Bundesregierung schon im September 2024 eine aufschlussreiche Antwort gegeben, in einer Kleinen Anfrage derselben Fraktion zum Thema Microsoft und Bundesverwaltung.
Die Klausel, so die Regierung, könne einen Verstoß nicht verhindern. Sie sichere im Fall eines Bruchs Gewährleistungsansprüche - also die Möglichkeit, hinterher Schadenersatz zu verlangen. Vertragsstrafen seien nach Kenntnis der Regierung nie angewandt worden. Eine Klausel, die den Zugriff nicht verhindert, sondern nur seine nachträgliche Entschädigung regelt, ist kein Schloss an der Tür. Sie ist eine Versicherungspolice für den Fall, dass die Tür ohnehin offenstand.
Dieselbe Antwort macht auch deutlich, wie wenig Spielraum die Verwaltung technisch hat. Die Bundesverwaltung nutze Office fast ausschließlich als lokal installierte Software, heißt es dort; ob Microsoft diese Produkte künftig nur noch als Cloud-Dienst anbieten werde, wisse die Regierung nicht, und für die Weiterentwicklung von Diensten wie Exchange werde der Azure-Technologie-Stack benötigt. Der alte Rahmenvertrag über Handelspartner lasse sich nicht verlängern, ein neuer müsse ausgeschrieben werden, dessen Vorbereitung noch nicht begonnen habe. Mit anderen Worten: Der Weg führt auch dort, wo heute noch lokal gearbeitet wird, technisch in Richtung der Microsoft-Cloud - und damit zu der Frage, die dieser Teil stellt.
Bemerkenswert ist eine zweite Auskunft aus derselben Antwort. Nach den Treffen der Bundesregierung mit Microsoft gefragt, legte sie eine lange Liste von Gesprächen vor, räumte aber ein, dass eine vollständige Dokumentation nicht bestehe; der Bundesnachrichtendienst verweigerte die Auskunft mit Verweis auf das Staatswohl. Dasselbe Muster, das der zweite Teil dieser Reihe bei Palantir beschrieben hat, kehrt hier wieder: Auf der sensibelsten Ebene erfährt das Parlament am wenigsten. Dass der Bund seit dem 24. Juli 2024 per Gesetz, nach Paragraf 16a des E-Government-Gesetzes, Open-Source-Software vorrangig beschaffen soll, steht als Absichtserklärung daneben - und wird, wie die Zahlen zeigen, vom tatsächlichen Beschaffungsverhalten überholt.
Wie weit die fremde Rechtsordnung reicht
Die eigentliche Frage ist nicht, ob eine Vertragsklausel hält, sondern ob die Daten überhaupt dem deutschen Recht allein unterstehen. Sie tun es nicht. Microsoft, wie Amazon und Google, unterliegt dem amerikanischen CLOUD Act, der US-Anbieter zur Herausgabe von Daten verpflichten kann, gleichgültig, wo auf der Welt diese Daten gespeichert sind. Das ist keine Vermutung, sondern geltendes Recht, und die Frage ist allein, ob es gegen europäische Daten wirksam wird.
Dazu gibt es inzwischen eine Aussage unter Eid. Am 10. Juni 2025 fragte eine Untersuchungskommission des französischen Senats Anton Carniaux, den Direktor für Rechts- und Außenbeziehungen von Microsoft Frankreich, ob er garantieren könne, dass französische Daten niemals ohne Zustimmung der französischen Behörden an die USA gingen.Seine Antwort: „Nein, das kann ich nicht garantieren.“ Er fügte hinzu, ein solcher Fall sei bislang nicht eingetreten. Der Konzern, der seine europäischen Clouds als souverän vermarktet, kann die eine Garantie, auf die es ankommt, nicht geben.
Wie konkret die Reichweite werden kann, zeigt ein Vorgang, der sorgfältige Behandlung verlangt, weil er umstritten ist. Im Mai 2025 berichtete die Nachrichtenagentur Associated Press, Microsoft habe das E-Mail-Konto von Karim Khan, dem Chefankläger des Internationalen Strafgerichtshofs, nach US-Sanktionen gesperrt. Microsoft bestreitet das. Vor einem Ausschuss des britischen Unterhauses erklärte der Microsoft-Manager Hugh Milward im Februar 2026, die Entscheidung, Khan den Zugang zu nehmen, sei die des Gerichtshofs gewesen, nicht die von Microsoft; später entschuldigte sich der Konzern für eine Ungenauigkeit in dieser Aussage und ließ erklären: „Zu keinem Zeitpunkt hat Microsoft seine Dienste für den IStGH eingestellt oder ausgesetzt.“ Eine dritte Darstellung, auf niederländische Recherchen gestützt, besagt, Microsoft habe dem Gerichtshof mitgeteilt, die Sanktionen zwängen zur Sperrung Khans, andernfalls ende der Dienst für die gesamte Organisation - woraufhin der Gerichtshof selbst Khans Konto abschaltete. Eine offizielle Stellungnahme des Gerichtshofs liegt nicht vor.
Was sich an diesem Fall nicht entscheiden lässt, ist, wer den Schalter umgelegt hat. Was sich entscheiden lässt, ist die Struktur dahinter: Ein US-Sanktionsregime richtete sich gegen eine internationale Institution, und der Zugang zu ihrer Kommunikation hing, so oder so, an einem amerikanischen Anbieter und dessen Pflichten unter amerikanischem Recht. Ob der Anbieter sperrte oder der Kunde, die Reichweite der fremden Rechtsordnung bis in die Postfächer eines internationalen Gerichts war in dem Moment nicht mehr theoretisch. Genau diese Reichweite ist es, die über jeder deutschen Behörde steht, die ihre Daten in einer Microsoft-Umgebung hält.
Entscheidend ist dabei ein Punkt, der in der Souveränitätsdebatte oft untergeht: Der CLOUD Act greift an der Nationalität des Anbieters, nicht am Standort der Daten. Ein Rechenzentrum in Frankfurt, betrieben von einem amerikanischen Konzern, liegt physisch in Deutschland und rechtlich zugleich in der Reichweite amerikanischer Anordnungen. Die beruhigende Formel, die Daten lägen doch in Europa, verfehlt deshalb den Kern. Nicht der Ort entscheidet, wer Zugriff verlangen kann, sondern die Rechtsordnung, der das Unternehmen untersteht, das die Schlüssel verwaltet.
Die souveräne Hülle: Delos Cloud
An dieser Stelle tritt die Lösung auf, mit der Deutschland das Problem einhegen will: die Delos Cloud. Sie wird von der Delos Cloud GmbH betrieben, deren Eigentümerin SAP ist; sie baut technisch auf Microsoft Azure auf, Microsoft liefert die Technik, und Arvato Systems betreibt die Plattform in deutschen Rechenzentren mit sicherheitsüberprüftem Personal. Microsoft bewarb das Vorhaben im September 2024 als Möglichkeit, seine Technik „in einer voll souveränen Umgebung“ verfügbar zu machen. Das Versprechen lautet: alle Vorteile von Azure und Office, aber unter deutschem Recht, abgeschirmt vom amerikanischen Zugriff.
Der Betrieb ist im Herbst 2026 angelaufen, wenn auch vorsichtig. Delos unterhält zwei Betriebszentren, in Gütersloh seit September 2025 und in Leipzig seit Anfang 2026, womit die Plattform georedundant ist. Als erste Pilotkunden werden die Bundesagentur für Arbeit und das Staatstheater Stuttgart genannt. Vor dem Marktstart ließ Delos im Juni 2026 fünfzehn Integrationspartner zu, darunter Arvato Systems, Capgemini und Materna; im Oktober 2026 kam Cancom hinzu. Ein festes Datum für den breiten Marktstart gibt es nicht. Ein im Februar 2025 angekündigtes BSI-Testat für die Verarbeitung von Verschlusssachen der Stufe „Nur für den Dienstgebrauch“ war bis in den Oktober 2026 nicht als erteilt gemeldet.
Der entscheidende Befund aber stammt nicht von Kritikern, sondern vom Staat selbst. Das Innenministerium von Baden-Württemberg hat in einer Stellungnahme an den Landtag vom 15. August 2025 ausbuchstabiert, was die souveräne Hülle leistet und was nicht. Die Infrastruktur, heißt es dort, sei souverän und werde unter deutschem Recht betrieben. Zugleich bleibe die Anwendungsebene Microsoft-Software, also proprietäre Software des US-Konzerns. Zugriffe auf Anwendungsdaten durch Drittstaaten könnten, zumindest in einer Grauzone, nicht ausgeschlossen werden. Das Risiko des US CLOUD Act bleibe bestehen. Und dann der Satz, der die ganze Debatte in sich trägt: Trotz der souveränen Infrastruktur könne „nicht in vollem Umfang von vollständiger Souveränität“ gesprochen werden.
Das ist die Hülle, in einem Satz der Verwaltung selbst beschrieben. Der Keller ist deutsch, das Haus steht auf deutschem Boden, aber die Maschine in der Wohnung gehört weiter Microsoft, und die Rechtsordnung, der dieser Hersteller gehorcht, reicht durch die Wände. Dass Delos erklärt, es gelte deutsches Recht und es bestehe keine Pflicht zur Herausgabe an Drittstaaten, steht gegen die Einschätzung des Landes, das die Software einsetzen soll. Beide Sätze stehen nebeneinander, und der Leser mag entscheiden, welcher schwerer wiegt - der des Anbieters oder der des Innenministeriums.
Mit dieser Einschätzung steht das Land nicht allein. Schon 2024 warnte die Open Source Business Alliance, das Delos-Modell drohe die digitale Souveränität auszuhöhlen, statt sie herzustellen. Frank Karlitschek von Nextcloud und Vertreter des Anbieters Plusserver kritisierten die enge Bindung an Microsoft, die am Ende jeder Delos-Installation stehe. Die Befürworter halten dagegen, eine deutsche Betreibergesellschaft mit überprüftem Personal, deutsche Rechenzentren und die BSI-Anforderungen seien ein realer Fortschritt gegenüber der gewöhnlichen Public Cloud - und besser als ein Zustand, in dem Behörden Microsoft ganz ohne Hülle nutzen. Beides lässt sich vertreten. Der Streit dreht sich nicht um die Infrastruktur, deren deutsche Verortung kaum jemand bestreitet, sondern um die Anwendungsebene darüber, die proprietär und amerikanisch bleibt - und um die Frage, ob eine Hülle, die den Kern nicht verändert, den Namen Souveränität verdient. Dass die zuständigen Ressorts seit 2020 im ressortübergreifenden Prüfprojekt MSSC an der Microsoft-Lösung arbeiten, zeigt, wie lange und wie ernsthaft dieser Weg verfolgt wird.
Für diese Souveränität, deren Reichweite das Land selbst begrenzt sieht, zahlt die Behörde rund 15 Prozent über dem gewöhnlichen Microsoft-Preis. Baden-Württemberg hat sich denn auch bis zum Herbst 2026 nicht zum Umstieg entschlossen; rund 51.500 Arbeitsplätze der Landesverwaltung laufen weiter auf einer lokalen Office-Version, deren Support bis 2029 reicht. Souveränität als Aufpreis auf ein Produkt, das man ohnehin schon hatte - das ist das Geschäftsmodell, nicht sein Missbrauch.
Auch der Betriebsstand mahnt zur Nüchternheit. Das Aushängeschild fliegt noch nicht auf voller Höhe: erste Pilotkunden statt breiter Nutzung, fünfzehn Integrationspartner, die sich erst in Stellung bringen, kein festes Marktstartdatum und ein BSI-Testat für Verschlusssachen, das angekündigt, aber bis in den Herbst 2026 nicht als erteilt vermeldet wurde. Zugleich prüfen Länder und Bund offen andere Modelle - das Innenministerium von Baden-Württemberg nennt in derselben Stellungnahme ausdrücklich die Private Cloud des ITZBund, STACKIT, die Ionos Sovereign Cloud und den quelloffenen Sovereign Cloud Stack als Alternativen, die es gegen Delos abwäge, und testet den quelloffenen Arbeitsplatz openDesk in einem eigenen Strategieprojekt. Die souveräne Hülle ist also nicht konkurrenzlos; sie ist nur die, die den vorhandenen Microsoft-Bestand am bequemsten fortschreibt.
Die Rechnung dahinter hat eine eigene Ironie. Der Bund gab 2025 bereits 481,4 Millionen Euro allein für Microsoft-Lizenzen aus; wo die souveräne Variante an die Stelle der gewöhnlichen tritt, kommt auf diese Summe der Aufschlag von rund 15 Prozent hinzu. Souveränität, so gebaut, senkt die Kosten der Abhängigkeit nicht, sie erhöht sie. Das Geld, das der Gesetzgeber mit dem Open-Source-Vorrang des Paragrafen 16a eigentlich in europäische und quelloffene Lösungen lenken wollte, fließt in eine teurere Fassung derselben Bindung. Man zahlt mehr, um dort zu bleiben, wo man wegwollte - und nennt den Mehrpreis einen Schritt zur Unabhängigkeit. Darin liegt kein Betrug und kein Skandal; es liegt darin die ganze Verlegenheit einer Souveränitätspolitik, die den Anbieter nicht wechselt, sondern nur die Verpackung.
Wer den zweiten Teil dieser Reihe gelesen hat, erkennt das Muster. Dort war es die französische Firma ChapsVision mit ihrem deutschen Partner rola, die den „europäischen Weg“ für die Analysesoftware des Verfassungsschutzes verkörperte - und bei näherem Hinsehen dasselbe Betreibermodell, denselben Lock-in reproduzierte wie der amerikanische Anbieter, den sie ersetzen sollte. Bei der Cloud wiederholt sich der Reim eine Ebene tiefer. Der Anbieter wechselt das Etikett, die Grundstruktur bleibt.
Der europäische Weg und seine Wiederholung
Es gibt Versuche, aus dieser Logik herauszukommen, und sie verdienen eine faire Darstellung, denn manche sind ernst gemeint. Die Schwarz-Gruppe, Mutter von Lidl und Kaufland, baut ihre Tochter Schwarz Digits mit der Cloud-Marke StackIT nach eigener Ankündigung vom Mai 2026 zu einem „deutschen Hyperscaler“ aus. SAP will seine Unternehmenssoftware auf StackIT anbieten, die Schwarz-Gruppe migriert ihre eigene IT dorthin. Das ist ein reales Angebot und ein ernstzunehmender Anlauf. Es ist zugleich eine Selbstdarstellung: Verwaltungskunden von Gewicht nennt die Ankündigung nicht, Kapazitäts- und Zertifizierungsnachweise bleiben offen, und ob StackIT in der Breite der Dienste an die amerikanischen Anbieter heranreicht, ist nicht belegt. Das stärkste Argument für die Ernsthaftigkeit des Vorhabens liefert die Schwarz-Gruppe selbst, indem sie ihre eigene Unternehmens-IT auf StackIT migriert und SAP seine Software über das Programm „RISE with SAP“ auf der Plattform anbietet - ein Anbieter, der sein eigenes Geschäft darauf setzt, ist glaubwürdiger als einer, der nur eine Broschüre verteilt. Ob daraus eine Alternative für den Staat wird, hängt aber nicht an der Technik allein, sondern daran, ob Behörden den bequemen Weg zur bekannten Microsoft-Hülle verlassen wollen.
Das große staatlich-europäische Projekt, das genau diese Lücke schließen sollte, gilt vielen inzwischen als gescheitert. Gaia-X, 2019 als europäische Cloud-Initiative gestartet, wurde Anfang 2025 vom Chef des Softwarehauses Nextcloud, Frank Karlitschek, für tot erklärt: „Gaia-X ist tot.“ Übrig geblieben seien Datenspezifikationen, aber kein Marktplatz, keine Referenzimplementierung. Die Gründe für das Scheitern sind in der Branche umstritten, aber einige kehren wieder: ein überbordender bürokratischer Apparat, der kleine Anbieter fernhielt; die Beteiligung von Konzernen wie Alibaba, Huawei und ausgerechnet Palantir, die die Idee einer europäischen Alternative von innen aushöhlte; und, so Karlitschek, das Nachlassen des politischen Willens, sobald die ersten Schlagzeilen vorüber waren. Eine gute Idee, über Jahre verwässert, bis nur noch ein Industriekonsortium ohne Auftrag übrig war.
An die Stelle von Gaia-X ist ein Nachfolger getreten, das europäische Vorhaben IPCEI-CIS und seine Dachstruktur 8ra, mit zwölf Mitgliedstaaten, über 150 Partnern, 750 Millionen Euro Förderung allein aus Deutschland und einem von der EU-Kommission genannten Investitionsvolumen von 3,5 Milliarden Euro. Zu den deutschen Beteiligten zählen Bosch, Ionos, SAP, Siemens und die Deutsche Telekom. Ob daraus wird, was aus Gaia-X nicht wurde, ist offen. Die Vorgeschichte mahnt zur Zurückhaltung.
Am deutlichsten zeigt sich die Wiederholung dort, wo der Staat seine eigene sensibelste IT vergibt. Im Mai 2025 gab die Bundeswehr-Tochter BWI bekannt, ihre private Cloud, die pCloudBw, um einen Baustein von Google zu erweitern: Google Cloud Air-Gapped, eine Umgebung, die physisch von Googles übrigen Systemen getrennt läuft und deren Aktualisierungen nicht über das Netz, sondern über physische Datenträger eingespielt werden. BWI betreibt den Stapel in eigenen Rechenzentren mit überprüftem Personal. Die Beschreibung nennt ihn „explizit souverän“, und es heißt, „auch Google Cloud kann nicht auf die Informationen zugreifen“. Der Aufbau soll 2026 beginnen und bis Ende 2027 abgeschlossen sein, dann auch für Verschlusssachen bis „Geheim“.
Hier schließt sich der Kreis zum ersten Teil dieser Serie. Die Bundeswehr hatte Palantir aus grundsätzlichen Erwägungen zurückgewiesen, weil ein US-Betreiber potenziell Einblick in den nationalen Datenbestand habe. Nun baut dieselbe Bundeswehr eine ihrer Clouds auf der abgeschotteten Technik eines anderen US-Konzerns - und nennt sie souverän. Die Versicherung, der Hersteller selbst könne nicht zugreifen, ist exakt dieselbe, die auch bei Delos im Zentrum steht. Ob sie trägt, ist eine technische und rechtliche Frage, die sich von außen nicht abschließend prüfen lässt; dass sie überhaupt das zentrale Verkaufsargument ist, zeigt, wie sehr die Debatte sich um diesen einen Punkt dreht. Daneben existieren die tatsächlich europäischen oder quelloffenen Ansätze - die Private Cloud des ITZBund, die Ionos Sovereign Cloud, der Sovereign Cloud Stack, der quelloffene Arbeitsplatz openDesk des Zentrums für Digitale Souveränität. Sie sind real, aber sie tragen heute den kleineren Teil der Last.
Drei Wege, ein offener Ausgang
Aus der heutigen Lage lassen sich drei Wege denken, und sie ähneln jenen, mit denen der zweite Teil dieser Reihe geschlossen hat. Der erste ist der amerikanische Lock-in in neuer Form: Die Verwaltung bleibt bei Microsoft, die Delos Cloud wird zur Standard-Hülle, und die Souveränität besteht in einer deutschen Betreibergesellschaft, einem Aufpreis und der Zusicherung, dass der Hersteller nicht zugreift - über einer Anwendungsebene, die amerikanisch bleibt. Der zweite ist die europäische Fragmentierung: nationale Champions wie StackIT, Nachfolgeprojekte wie 8ra, Anbieter wie ChapsVision teilen den Markt unter dem Banner der Souveränität, die Rechtsordnung wechselt von Washington nach Berlin und Paris, doch das Modell bleibt dasselbe - ein privater Anbieter, eine Hülle, eine Bindung über Jahre. Der dritte ist die Emanzipation: quelloffene, staatlich kontrollierte Infrastruktur, Paragraf 16a ernst genommen, openDesk und der Sovereign Cloud Stack nicht als Nische, sondern als Fundament. Der Unterschied zwischen dem zweiten und dem dritten Weg ist dabei kein technischer, sondern einer der Kontrolle über den Quellcode: Eine nationale Hülle über proprietärer Software verschiebt nur, wem der Mieter die Pacht zahlt; eine quelloffene Grundlage, die der Staat selbst lesen, prüfen und weiterentwickeln kann, ändert das Eigentumsverhältnis. Nur der dritte Weg berührt den Kern; die ersten beiden tauschen das Etikett.
Welcher Weg sich durchsetzt, ist unentschieden. Aber die Fakten neigen den ersten beiden zu. 481,4 Millionen Euro Lizenzkosten in einem Jahr, 96 Prozent der Beschäftigten an Microsoft gebunden, eine Delos Cloud, die mit Aufpreis und Testat in den Betrieb geht, während die quelloffenen Alternativen den kleineren Teil tragen - das ist kein Aufbruch zur Emanzipation, das ist die Verwaltung einer Abhängigkeit mit besserem Etikett. Eine Entscheidung fällt hier kein Bekenntnis zur Souveränität, sondern ein Beschaffungsverhalten, und das Beschaffungsverhalten spricht eine andere Sprache als die Reden.
Befund
Die souveräne Hülle ist eine Hülle. Der Staat hat die Grundschicht, die der erste Teil beschrieben hat, nicht verlassen; er hat eine deutsche Betreibergesellschaft, ein paar Rechenzentren und einen Aufpreis darübergelegt und das Ergebnis souverän genannt. Das Land, das die Software einsetzen soll, sagt selbst, dass von vollständiger Souveränität nicht die Rede sein kann. Der Hersteller sagt unter Eid, er könne den fremden Zugriff nicht garantieren. Und die Rechnung steigt Jahr für Jahr. Keiner dieser drei Sätze stammt von einem Kritiker; alle drei stammen aus dem Lager derer, die das Modell tragen oder verkaufen. Das ist die eigentliche Schärfe des Befunds.
Damit schließt sich die Serie. Wer das Betriebssystem besitzt, besitzt einen Schalter im Staat - das war der Befund des zweiten Teils. Wer die Grundschicht stellt, besitzt den Boden, auf dem die Betriebssysteme stehen - das war der Befund des ersten Teils dieses dritten Kapitels. Und ein Staat, der seine Verwaltung auf diesen fremden Boden baut und sich die Souveränität als Posten auf der Rechnung desselben Konzerns kaufen lässt, von dem er loskommen wollte, besitzt am Ende vor allem eines: das Wort. Ob mehr daraus wird, entscheidet kein Etikett, sondern die Frage, wer in den kommenden Jahren den Keller baut, in dem Deutschlands Verwaltung rechnet.
+++
Anmerkungen und Quellen
Michael Hollister war sechs Jahre Bundeswehrsoldat (SFOR, KFOR) und blickt hinter die Kulissen militärischer Strategien. Nach 14 Jahren im IT-Security-Bereich analysiert er primärquellenbasiert europäische Militarisierung, westliche Interventionspolitik und geopolitische Machtverschiebungen. Ein Schwerpunkt seiner Arbeit liegt auf dem asiatischen Raum, insbesondere Südostasien, wo er strategische Abhängigkeiten, Einflusszonen und Sicherheitsarchitekturen untersucht. Hollister verbindet operative Innensicht mit kompromissloser Systemkritik - jenseits des Meinungsjournalismus. Seine Arbeiten erscheinen zweisprachig auf www.michael-hollister.com sowie in kritischen Medien im deutsch- und englischsprachigen Raum.
+++
Gesetzes- und Parlamentsdokumente
Deutscher Bundestag, Drucksache 21/5006 - Antwort der Bundesregierung auf die Kleine Anfrage der Fraktion Die Linke, Lizenzkosten der Bundesverwaltung für Produkte von Microsoft und anderen US-amerikanischen Techkonzernen (26. März 2026): https://dserver.bundestag.de/btd/21/050/2105006.pdf
Deutscher Bundestag, Drucksache 20/12864 - Antwort der Bundesregierung auf die Kleine Anfrage der Gruppe Die Linke, Microsoft und die Bundesverwaltung - Abhängigkeiten, Kosten, Lobbyismus, IT-Sicherheit, No-Spy-Klausel und Delos Cloud (06. September 2024): https://dserver.bundestag.de/btd/20/128/2012864.pdf
Landtag von Baden-Württemberg, Drucksache 17/9179 - Stellungnahme des Ministeriums des Inneren, für Digitalisierung und Kommunen, Einführung der Delos Cloud in der Landesverwaltung Baden-Württemberg (15. August 2025): https://www.landtag-bw.de/resource/blob/584956/7b9fcaf1f4775f0b2f4658dc01232e61/17_9179_D.pdf
Microsoft, Delos Cloud und Lizenzkosten
Microsoft, Pressemitteilung „Erste souveräne Cloud-Plattform für die deutsche Verwaltung auf der Zielgeraden“ (23. September 2024): https://news.microsoft.com/de-de/erste-souveraene-cloud-plattform-fuer-die-deutsche-verwaltung-auf-der-zielgeraden/
Dr. Web, „Cancom wird Partner der Delos Cloud: Behörden zahlen dort 15 Prozent über Microsofts Listenpreis“ (16. Oktober 2026): https://www.drweb.de/cancom-delos-cloud-behoerden-microsoft/
eGovernment, „Delos Verwaltungscloud: Souveränitätsdebatte wegen möglicher Drittstaatenzugriffe“ (27. Oktober 2025): https://www.egovernment.de/delos-verwaltungscloud-soveranitatsdebatte-drittstaatenzugriffe-a-3fc2bdd6c73c35ec0aee951536281a85/
Open Source Business Alliance, „Fast eine halbe Milliarde Euro für Microsoft-Lizenzen“ (19. Februar 2026): https://osb-alliance.de/pressemitteilungen/fast-eine-halbe-milliarde-euro-fuer-microsoft-lizenzen-geld-fehlt-fuer-die-modernisierung-des-staates
CLOUD Act und US-Zugriff
ITmagazine, „Unter Eid: Microsoft kann Schutz vor Cloud Act nicht garantieren“ (Aussage Anton Carniaux vor dem französischen Senat, Juni 2025): https://www.itmagazine.ch/artikel/85137/Unter_Eid_Microsoft_kann_Schutz_vor_Cloud_Act_nicht_garantieren.html
The Register, „Microsoft throws spox under the bus after Parliament testimony on ICC email flap“ (Aussage Hugh Milward, Microsoft-Dementi, 18. Februar 2026): https://www.theregister.com/off-prem/2026/02/18/microsoft-throws-spox-under-the-bus-in-icc-email-flap/4890338
Heise, „Internationaler Strafgerichtshof: Microsofts E-Mail-Sperre als Weckruf für digitale Souveränität“ (englische Fassung; im Browser abrufbar): https://www.heise.de/en/news/Criminal-Court-Microsoft-s-email-block-a-wake-up-call-for-digital-sovereignty-10387383.html
Europäische Alternativen und Rüstungs-IT
Schwarz Digits, „TECH Conference 2025: Schwarz Digits expands own sovereign cloud STACKIT into a German hyperscaler“ (26. Mai 2026): https://schwarz-digits.de/en/presse/archive/2025/tech-conference-2025-schwarz-digits-expands-own-sovereign-cloud-stackit-into-a-german-hyperscaler
CIO, „Gaia-X ist tot, lang lebe 8ra?“ (Frank Karlitschek, IPCEI-CIS / 8ra): https://www.cio.de/article/3828495/gaia-x-ist-tot-lang-lebe-8ra-2.html
Bundeswehr / BWI, „Partnerschaft: Google Cloud und BWI bauen eigene Cloud“ (pCloudBw, Google Cloud Air-Gapped, 05. Juni 2025): https://www.bundeswehr.de/de/meldungen/partnerschaft-bwi-google-bundeswehr-eigene-cloud-5952950
DatacenterDynamics, „German armed forces to use Google Distributed Cloud Air-Gapped solution“ (06. Juni 2025): https://www.datacenterdynamics.com/en/news/german-armed-forces-to-use-google-distributed-cloud-air-gapped-solution/
Eigene frühere Analysen dieser Reihe
Michael Hollister, Das dritte Betriebssystem der Macht - Teil 3 A: Die Grundschicht (Cloud/Hyperscaler, Teil 3 A)
Michael Hollister, Das zweite Betriebssystem der Macht - Wie Palantir Deutschlands Sicherheitsbehörden verbindet und spaltet(Palantir, Teil 1)
Michael Hollister, Das zweite Betriebssystem der Macht - Teil 2 - Wer das Betriebssystem besitzt(Palantir, Teil 2)
Michael Hollister, Das Betriebssystem der globalen Finanzmärkte - Wie BlackRocks Aladdin zur privaten Infrastruktur wurde (BlackRock/Aladdin, Teil 1): https://www.michael-hollister.com/de/2026/07/31/das-betriebssystem-der-globalen-finanzmaerkte-wie-blackrocks-aladdin-zur-privaten-infrastruktur-wurde/
Michael Hollister – Weiterveröffentlichung ausdrücklich erwünscht.
Ich freue mich, wenn meine Artikel, Beiträge und Analysen auf Interesse stoßen und weiterverbreitet werden. Die vollständige oder auszugsweise Übernahme, Weitergabe und Veröffentlichung meiner Texte auf anderen Websites, Blogs oder in sonstigen Publikationen ist ausdrücklich gestattet und erwünscht. Eine vorherige Genehmigung ist nicht erforderlich.
Einzige Voraussetzung: Michael Hollister muss als Autor namentlich und deutlich erkennbar genannt werden. Zusätzlich ist eingut sichtbarer, anklickbarer Link zur Originalwebsite www.michael-hollister.com zu setzen.Ohne Autorennennung und Verlinkung ist eine Weiterverwendung nicht gestattet.
+++
Wir danken dem Autor für das Recht zur Veröffentlichung dieses Beitrags.
+++
Bild: Microsoft-Hauptquartier in Redmond (Washington)
Bildquelle: gguy / shutterstock
+++
Ihnen gefällt unser Programm? Machen wir uns gemeinsam im Rahmen einer "digitalen finanziellen Selbstverteidigung" unabhängig vom Bankensystem und unterstützen Sie uns bitte mit der:
Spenden-Kryptowährung „Nackte Mark“: https://apolut.net/unterstuetzen/#nacktemark
oder mit
Bitcoin: https://apolut.net/unterstuetzen#bitcoin
Informationen zu weiteren Unterstützungsmöglichkeiten finden Sie hier: https://apolut.net/unterstuetzen/
+++
Bitte empfehlen Sie uns weiter und teilen Sie gerne unsere Inhalte in den Sozialen Medien. Sie haben hiermit unser Einverständnis, unsere Beiträge in Ihren eigenen Kanälen auf Social-Media- und Video-Plattformen zu teilen bzw. hochzuladen und zu veröffentlichen.
+++
Abonnieren Sie jetzt den apolut-Newsletter: https://apolut.net/newsletter/
+++
Unterstützung für apolut kann auch als Kleidung getragen werden! Hier der Link zu unserem Fan-Shop: https://harlekinshop.com/pages/apolut
