StackIT, IONOS, ES3: Welcher Hyperscaler ist souverän?

Drei deutsche Cloud-Anbieter treten aktuell als Alternative zu AWS, Azure und Google Cloud an: StackIT, IONOS und die Open Telekom Cloud von T-Systems. Hinter dem gemeinsamen Etikett „deutsche Hyperscaler“ verbergen sich drei fundamental unterschiedliche Eigentümer- und Rechtsmodelle. Wie souverän die einzelnen Angebote wirklich sind, lässt sich seit diesem Jahr auch objektiv einordnen: über den European Sovereign Stack Standard (ES³) von Schwarz Digits, ein vierstufiges Reifegradmodell, unabhängig von BDO verifiziert. Genau diese Unterschiede entscheiden darüber, ob ein Mittelständler künftig ruhiger schläft oder nur ein neues Etikett auf altes Risiko klebt.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Das Wichtigste in Kürze

StackIT gehört der Schwarz-Gruppe (Lidl, Kaufland) und läuft bereits für die Bundeswehr-Cloud
IONOS ist börsennotiert und betreibt ein etabliertes Massenprodukt-Portfolio
Die Open Telekom Cloud von T-Systems bedient seit Jahren Banken, Kanzleien und öffentliche Auftraggeber im regulierten Umfeld
Der European Sovereign Stack Standard (ES³) von Schwarz Digits macht Souveränität mit vier Reifegraden erstmals objektiv messbar

Was unterscheidet StackIT, IONOS und Open Telekom Cloud wirklich?

Drei Spinde mit Schildern, Waage und Netzwerkkabel auf weißem Grund — StackIT-Plattform der Schwarz-Gruppe wird Kernelement der deutschen Bundes-KI-Cloud, da Eigentümerstruktur wichtiger ist als Technik

Der Blick auf die drei Anbieter zeigt: Technische Ausstattung macht kaum den Unterschied, die Eigentümerstruktur dagegen schon. StackIT ist ursprünglich als interne Cloud-Plattform der Schwarz-Gruppe entstanden und mittlerweile so weit gereift, dass die Plattform im Deutschland-Stack für die Bundes-KI-Cloud eine tragende Rolle spielt. Das ist kein Zufall. Es ist das Ergebnis einer bewussten politischen Entscheidung, ausschließlich Anbieter ohne US-Mutterkonzern für sicherheitskritische Workloads zuzulassen.

IONOS wiederum ist der Platzhirsch unter den dreien: börsennotiert, mit breitem Portfolio von Webhosting bis Managed Cloud und dem aggressivsten Preis im Feld. Zugleich bleibt IONOS ein Massenmarkt-Anbieter, dessen Souveränitätsversprechen stärker auf Marketingebene als auf juristischer Feinstruktur beruht. Die Open Telekom Cloud von T-Systems positioniert sich dagegen als das etablierteste Modell im regulierten Betrieb: Seit Jahren laufen dort Workloads von Banken, Kanzleien und öffentlichen Auftraggebern. Wie souverän die drei Angebote im Detail wirklich sind, lässt sich seit diesem Jahr über den European Sovereign Stack Standard (ES³) von Schwarz Digits einordnen, ein Reifegradmodell mit vier Stufen von Basic bis zukunftssicher.

StackIT

Konzern-Cloud mit Staatsauftrag

◆ Gehört zur Schwarz-Gruppe (Lidl, Kaufland)
◆ Läuft bereits für die Bundeswehr-Cloud
◆ Tragende Rolle im Deutschland-Stack für die Bundes-KI-Cloud
◆ Politisch gewollt: kein US-Mutterkonzern

Durchgängig deutsche Struktur

IONOS

Der etablierte Platzhirsch

◆ Börsennotiert, breites Massenmarkt-Portfolio
◆ Von Webhosting bis Managed Cloud
◆ Souveränität eher Marketing als juristische Feinstruktur
◆ Etablierte Marke, große Reichweite

Souveränität prüfbedürftig

Open Telekom Cloud

Der etablierte Betrieb im regulierten Umfeld

◆ Betrieben von T-Systems (Deutsche Telekom)
◆ Seit Jahren produktiv bei Banken, Kanzleien und im Gesundheitswesen
◆ Keine Beteiligungskette in die USA
◆ Tragende Rolle im regulierten öffentlichen Sektor

Durchgängig deutsche Struktur

Warum der Serverstandort allein nicht schützt

Server in Frankfurt

Support-Team?

Mutterkonzern?

Cloud-Act-Land?

Rechtlicher Kern: Ein europäischer Serverstandort schützt nicht automatisch vor dem US-amerikanischen Cloud Act, wenn Mutterkonzern oder Support-Personal in einem Cloud-Act-Land sitzen. Nur bei durchgängig deutschen Strukturen wie StackIT und der Open Telekom Cloud ist dieses Kriterium sauber erfüllt.

„Digitale Souveränität ist keine Marketingfloskel mehr, sondern eine Vertragsklausel, die man im Ernstfall vor Gericht durchsetzen können muss.“

— Michael Dobler, Herausgeber Dr. Web

Drei Schritte für IT-Entscheider

Workloads nach Schutzbedarf klassifizieren

C5-Testat und vollständige deutsche oder europäische Eigentümerkette einfordern

Migration zunächst mit unkritischen Workloads testen

Der wirtschaftliche Kostendruck ist real. Wer nicht die Skaleneffekte von AWS, Azure oder Google Cloud beim Chip-Einkauf und bei der Rechenzentrumsauslastung erreicht, zahlt pro Recheneinheit spürbar mehr. Diesen Preis müssen Mittelständler für Unabhängigkeit einkalkulieren.

Juristisch ist der Punkt aber noch wichtiger als der wirtschaftliche: Der Serverstandort in Frankfurt oder München schützt nicht automatisch vor dem US-amerikanischen Cloud Act, wenn Mutterkonzern oder Support-Personal in einem Cloud-Act-Land sitzen. Nur bei durchgängig deutschen Strukturen wie StackIT und der Open Telekom Cloud ist dieses Kriterium sauber erfüllt.

Ein Beispiel für den mittleren Weg liefert die Partnerschaft aus dem Artikel Thales und Google Cloud für eine souveräne deutsche Cloud: Eine rechtlich unabhängige deutsche Tochter betreibt hier US-Technologie. Das stellt Souveränität auf Governance-Ebene her, aber eben nicht auf Eigentümerebene. Ähnlich verfährt SAP in Frankreich mit dem SecNumCloud-Siegel, wo eine eigene Landesgesellschaft das Zertifikat trägt. Gaia-X selbst hat sich in der Branche mittlerweile eher zu einem Zertifizierungs-Rahmenwerk entwickelt als zu einer eigenständigen buchbaren Plattform. Das macht StackIT, IONOS und ES³ zu den praktikableren Alternativen.

Digitale Souveränität ist keine Marketingfloskel mehr, sondern eine Vertragsklausel, die man im Ernstfall vor Gericht durchsetzen können muss.
— Michael Dobler, Herausgeber Dr. Web

Was müssen IT-Entscheider jetzt konkret prüfen?

Für Mittelständler wird die Anbieterwahl zunehmend zur Compliance-Frage. DSGVO-Auftragsverarbeitung, das C5-Testat des BSI und ab 2026 verschärfte NIS2-Meldepflichten verlangen eine lückenlose Dokumentation darüber, wer wo auf welche Daten zugreifen kann. Ein europäischer Serverstandort reicht dafür nicht, sobald der Mutterkonzern US-amerikanisch ist. Drei Schritte helfen bei der praktischen Umsetzung: Zunächst klassifizieren IT-Entscheider Workloads nach Schutzbedarf. Bei Vertragsverhandlungen fordern sie ein C5-Testat sowie eine vollständig deutsche oder europäische Eigentümerkette ein. Migrationen testen sie zunächst über unkritische Workloads, bevor Kernsysteme wechseln. Wer im KRITIS-Umfeld oder im Finanzwesen unterwegs ist, sollte zusätzlich prüfen, ob der Anbieter die 24-Stunden-Meldepflicht nach NIS2 technisch abbilden kann.

Wie ein solcher Wechsel in der Praxis aussieht, zeigt der Fall Kärcher, das von Microsoft zu einer souveräneren Alternative gewechselt ist. Solche Migrationen sind selten ein Big Bang, sondern ein mehrstufiger Prozess mit klaren Meilensteinen. Auch bei Betriebssystemen zeigt sich ein ähnliches Muster, etwa wenn Frankreich Windows gegen Linux tauscht. Gleichzeitig zeigen Fälle wie Palantir in fünf Bundesländern, wie widersprüchlich Souveränitätsansprüche in der öffentlichen Verwaltung bislang gelebt werden.

Wer heute eine Cloud-Entscheidung trifft, sollte die Eigentümerkette also genauso ernst nehmen wie das Preisblatt. StackIT, IONOS und die Open Telekom Cloud bieten dafür drei unterschiedlich konsequente Antworten. Wer zusätzlich eine objektive Einordnung sucht, kann sich am European Sovereign Stack Standard (ES³) von Schwarz Digits orientieren. Die richtige Wahl hängt am Ende davon ab, wie hoch der eigene regulatorische Schutzbedarf tatsächlich ist.