Der Cloud Report 2026 des Bitkom hat 603 deutsche Unternehmen befragt und Zahlen produziert, die wie ein Widerspruch aussehen und keiner sind. 85 Prozent sagen, Deutschland sei bei Cloud-Technologien zu abhängig von US-Anbietern, nach 78 Prozent im Vorjahr. 71 Prozent beziehen ihre Cloud weiterhin aus den USA. Nur 8 Prozent würden das auch bevorzugen. Das sind 63 Prozentpunkte Abstand zwischen dem, was deutsche Unternehmen nutzen, und dem, was sie wollen, und es ist das Ehrlichste, was dieses Jahr zum Thema digitale Souveränität veröffentlicht wurde.
Die Reflexlesart lautet Heuchelei: Sie beschweren sich und zahlen weiter. Diese Lesart ist falsch, und sie führt dazu, dass Berater das Falsche verkaufen. Die Lücke ist kein Überzeugungsproblem. Die Überzeugung liegt bei 91 Prozent, nämlich dem Anteil, der einen deutschen Anbieter bevorzugen würde, gegenüber 53 Prozent, die aktuell einen haben. Die Lücke besteht darin, dass niemand weiß, was das Gehen kostet, und niemand es herausgefunden hat.
Die vier Zahlen, auf die es ankommt
Die meiste Berichterstattung zitiert die 85 Prozent und hört dann auf, weil das die Zahl mit dem Schlagzeilenwert ist. Sie ist zugleich die unbrauchbarste, denn zu sagen, man sei zu abhängig, kostet den Befragten nichts. Stellt man die Werte nebeneinander, entsteht ein anderes Bild.
| Wert | Was er tatsächlich aussagt |
|---|---|
| 85 % halten Deutschland für zu abhängig von US-Cloud | Stimmung. Kostenlos zu haben, kostenlos zu äußern, ohne Budget dahinter. |
| 91 % bevorzugen einen deutschen Anbieter, 53 % haben einen | Überzeugung ist nicht der Engpass. Die Präferenz ist nahezu einhellig. |
| 71 % nutzen US-Cloud, 8 % bevorzugen sie | 63 Punkte zwischen Praxis und Präferenz. Etwas anderes als die Präferenz entscheidet hier. |
| 37 % würden für eine deutsche Cloud Einschränkungen hinnehmen | Die einzige Zahl mit einem Preisschild und damit die einzige belastbare. |
Um die letzte Zeile würde ich ein Programm bauen. 85 Prozent ist, was ein Vorstand sagt. 37 Prozent ist, was ein Vorstand finanziert. Wer eine Souveränitätsinitiative für die 85 entwirft und sie den 37 vorlegt, verliert sie in der ersten Budgetrunde, und alle schließen daraus, Souveränität sei nie ernst gemeint gewesen. Es ist dieselbe Governance-Lücke, an der KI-Pilotprojekte im Security-Review sterben: Die Idee überlebt die Begeisterung und scheitert am ersten Menschen, der dafür unterschreiben muss. Sie war ernst gemeint. Der Vorschlag war nur für das falsche Publikum kalkuliert.
Verkauft als Migration, gekauft als Versicherung
Fast zwei Drittel der deutschen Unternehmen, die bereits Cloud-Dienste einsetzen, überdenken ihre Cloud-Strategie wegen der aktuellen Politik der US-Regierung. Man lese, was dieser Satz tatsächlich beschreibt. Es ist keine Technologieentscheidung und keine Kostenentscheidung. Es ist ein Unternehmen, das feststellt, dass ihm eine Abhängigkeit nicht gefällt, deren Verhalten es nicht vorhersagen kann.
Das ist eine Versicherungsfrage, und sie hat die Form einer Versicherungsfrage: Wie hoch ist die Wahrscheinlichkeit, wie hoch der Schaden, was kostet die Deckung. Verkauft wird sie aber fast immer als Migration, und eine Migration hat keine belastbare Zahl, bevor man eine durchgeführt hat. Also beginnt das Gespräch mit einer unquantifizierten Angst und endet mit einem unquantifizierten Angebot, woraufhin der CFO das einzig Vernünftige tut, was verfügbar ist, und vertagt.
Die Aufgabe im Raum besteht darin, eine unbegrenzte Angst in eine begrenzte Zahl zu verwandeln. Alles Weitere folgt daraus, und davor passiert nichts Nützliches.
Die Bindung liegt nicht dort, wo die Folien sie zeigen
Jeder Cloud-Exit-Plan, den ich geprüft habe, beginnt mit Workloads. Welche VMs, welche Container, welche Datenbanken, wie hoch die Egress-Rechnung wäre. All das ist real und all das ist der beherrschbare Teil. Rechenleistung ist portabel. Objektspeicher ist portabel. Die Rechnung ist ärgerlich und endlich.
Der Anker ist die Identität. Verzeichnis, Conditional Access, Gerätevertrauen, der daran hängende Mail- und Kollaborationstenant und jede SaaS-Anwendung, die dorthin föderiert. Die Daten können gehen. Der Tenant ist das, was bleibt, und ich habe mehr als einen Exit-Plan das im vierten Monat statt in der ersten Woche entdecken sehen. Ab da wird aus dem Programm still eine „hybride Souveränitätsstrategie“ und hört auf, etwas zu bedeuten.
Das ist derselbe Fehlermodus, den ich in der Argumentation für kontinuierliche Verifikation beschrieben habe: Organisationen modellieren das Asset und vergessen, dass die Identitätsschicht das ist, woran alles andere hängt. Wenn Ihre Exit-Bewertung nicht beim Verzeichnis anfängt, ist sie eine Infrastrukturinventur mit einem Souveränitätsetikett.
Das Parity-Versprechen betrifft Funktionen, nicht das Gehen
Europäische Alternativen werden besser, und es wäre unfair, das zu bestreiten. Die Deutsche Telekom baut ihre Public Cloud auf dem Sovereign Cloud Stack auf und verspricht volle Funktionsparität mit den US-Hyperscalern bis Ende 2026. Offene Stacks schaffen tatsächlich Interoperabilität und Portabilität zwischen Anbietern in einer Weise, die es vor drei Jahren nicht gab.
Selbst wenn man das Parity-Versprechen für bare Münze nimmt, beantwortet es die Frage nicht, die ein deutsches Unternehmen stellt. Funktionsparität sagt, ob das Ziel Ihre Workload betreiben kann. Exit-Kosten sagen, wie lange Sie beim Umzug eingeschränkt wären, was Sie gar nicht bewegen können und wer im Geschäft das merkt. Das sind verschiedene Fragen, und ein Anbieter kann die zweite nicht für Sie beantworten, weil die Antwort eine Eigenschaft Ihrer Landschaft ist und nicht seiner Plattform.
Machen Sie einen Exit-Test, keine Exit-Strategie
Eine Cloud-Exit-Strategie in der Form, in der sie 2026 im DACH-Raum verkauft wird, ist ein Dokument. Dokumente sind billig, weshalb es so viele davon gibt, und ein ungetesteter Exit-Plan hat exakt denselben Beweiswert wie ein ungetestetes Backup. Es ist das Muster, auf das ich in Kontrollen, die das Audit bestehen und nichts tun immer wieder zurückkomme: Das Artefakt existiert, das Kästchen ist angehakt, und die Fähigkeit wurde nie ein einziges Mal ausgeübt.
Die Alternative ist klein, günstig und unbeliebt, weil sie eine Zahl produziert, für die anschließend jemand geradestehen muss.
- Eine echte Workload auswählen. Nicht das Greenfield-Pilotprojekt. Etwas mit echten Abhängigkeiten, einem Verantwortlichen, der sich beschweren wird, und einem Platz in einem Geschäftsprozess. Nicht kritisch, aber auch nicht trivial.
- Einem Team zwei Wochen und ein festes Budget geben. Lang genug für echte Probleme, kurz genug, dass niemand still ein Programm daraus macht.
- Drei Dinge messen. Zeit bis zur ersten Auslieferung von woanders. Was kaputtging, das niemand vorhergesagt hatte. Was sich gar nicht bewegen ließ und warum.
- Den dritten Punkt sauber aufschreiben. Die Liste dessen, was nicht umzieht, ist Ihre tatsächliche Souveränitätsposition. Alles darüber ist Präferenz.
- Jährlich mit einer anderen Workload wiederholen. Ein einzelner Test sagt etwas über ein System. Eine Rotation sagt, ob die Landschaft portabler wird oder weniger portabel, und das ist der einzige Trend, der zählt.
Zwei Wochen eines Teams geben einem Vorstand etwas, das kein Strategiepapier liefern kann: eine echte Zahl, erzeugt unter echten Bedingungen, vergleichbar mit der des nächsten Jahres. Es ist dieselbe Disziplin wie beim stufenweisen Vorgehen in einem 90-Tage-Zero-Trust-Plan für den Mittelstand. Die kleinste echte Sache tun, sie messen, und die Messung den Umfang des nächsten Schritts bestimmen lassen.
Warum daraus eine Compliance-Frage wird
Souveränität war zwei Jahre lang eine Wertedebatte und wird still zu einer regulatorischen. Konzentrationsrisiko und Ausstiegsfähigkeit sind unter DORA für Finanzunternehmen inzwischen ausdrückliche Erwartungen, und Lieferkettenabhängigkeit sitzt mitten im NIS2-Risikomanagement. Beides bewegt sich in dieselbe Richtung: von dokumentierter Absicht zu nachgewiesener Fähigkeit.
Prüfer stellen inzwischen die zweite Frage. Nicht „haben Sie eine Exit-Strategie“, sondern „wann haben Sie sie zuletzt getestet, und was ist dabei passiert“. Der deutsche Mittelstand ist hier besonders exponiert, aus den Gründen, die ich in warum der Mittelstand gefährlich schlecht auf NIS2 vorbereitet ist dargelegt habe: Die Richtlinien existieren meistens, der Nachweis, dass sie jemals jemand ausgeführt hat, meistens nicht.
Ein getesteter Exit erzeugt Nachweise als Nebenprodukt. Das ist das Argument, das ich einem CFO vortragen würde, den Geopolitik nicht überzeugt, denn es verwandelt einen Wertekauf in ein Compliance-Artefakt mit festen Kosten.
Was ich im Raum sagen würde
Wer bei 85 Prozent Sorge und null Prozent Test steht, hat noch kein Souveränitätsproblem. Er hat eine ungemessene Abhängigkeit, was etwas anderes und sehr viel günstiger zu beheben ist. Fangen Sie nicht mit einem Migrationsplan, einer Anbieter-Shortlist oder einer Zielarchitektur an. Fangen Sie damit an, herauszufinden, was das Gehen Sie tatsächlich kosten würde, an einer Workload, mit einem echten Team und einer echten Uhr.
Wahrscheinlich stellen Sie fest, dass es schlimmer ist als die Folien behaupten und besser als die Angst nahelegt. Beides ist nützlich. Nach fast zwei Jahrzehnten Enterprise-Security und den Lektionen, die in keinem Framework stehen, ist das Muster konstant: Die Organisationen, die mit einer Abhängigkeit gut zurechtkommen, sind nicht die mit der besten Dokumentation darüber. Es sind die, die mindestens einmal am Hebel gezogen haben und wissen, was dann passiert.
Wenn Sie eine Cloud-Exit-Position aufbauen und sie prüfen lassen möchten, bevor sie Ihrem Vorstand vorliegt, fragen Sie ein Review an. Ich arbeite an Sicherheitsarchitektur und Compliance-Nachweisen für europäische Organisationen.