Drei deutsche Cloud-Anbieter treten aktuell als Alternative zu AWS, Azure und Google Cloud an: StackIT, IONOS und ES³. Hinter dem gemeinsamen Etikett „deutsche Hyperscaler“ verbergen sich drei fundamental unterschiedliche Eigentümer- und Rechtsmodelle. Genau diese Unterschiede entscheiden darüber, ob ein Mittelständler künftig ruhiger schläft oder nur ein neues Etikett auf altes Risiko klebt.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Das Wichtigste in Kürze
- StackIT gehört der Schwarz-Gruppe (Lidl, Kaufland) und läuft bereits für die Bundeswehr-Cloud
- IONOS ist börsennotiert und betreibt ein etabliertes Massenprodukt-Portfolio
- ES³ positioniert sich als durchgängig deutsches Rechtssubjekt ohne US-Mutterkonzern
- Serverstandort allein reicht für Souveränität nicht, entscheidend ist die komplette Eigentümerkette
Was unterscheidet StackIT, IONOS und ES³ wirklich?
Der Blick auf die drei Anbieter zeigt: Technische Ausstattung macht kaum den Unterschied, die Eigentümerstruktur dagegen schon. StackIT ist ursprünglich als interne Cloud-Plattform der Schwarz-Gruppe entstanden und mittlerweile so weit gereift, dass die Plattform im Deutschland-Stack für die Bundes-KI-Cloud eine tragende Rolle spielt. Das ist kein Zufall. Es ist das Ergebnis einer bewussten politischen Entscheidung, ausschließlich Anbieter ohne US-Mutterkonzern für sicherheitskritische Workloads zuzulassen.
IONOS wiederum ist der Platzhirsch unter den dreien: börsennotiert, mit breitem Portfolio von Webhosting bis Managed Cloud. Zugleich bleibt IONOS ein Massenmarkt-Anbieter, dessen Souveränitätsversprechen stärker auf Marketingebene als auf juristischer Feinstruktur beruht. ES³ positioniert sich dagegen als das konsequenteste Modell: komplett deutsches Rechtssubjekt, deutsches Support-Personal, keine Beteiligungskette, die in die USA zurückführt.
StackIT, IONOS und ES³ im Vergleich: Was Eigentümerstruktur und Rechtssubjekt wirklich über digitale Souveränität aussagen.
StackIT
- ◆ Gehört zur Schwarz-Gruppe (Lidl, Kaufland)
- ◆ Läuft bereits für die Bundeswehr-Cloud
- ◆ Tragende Rolle im Deutschland-Stack für die Bundes-KI-Cloud
- ◆ Politisch gewollt: kein US-Mutterkonzern
IONOS
- ◆ Börsennotiert, breites Massenmarkt-Portfolio
- ◆ Von Webhosting bis Managed Cloud
- ◆ Souveränität eher Marketing als juristische Feinstruktur
- ◆ Etablierte Marke, große Reichweite
ES³
- ◆ Komplett deutsches Rechtssubjekt
- ◆ Deutsches Support-Personal
- ◆ Keine Beteiligungskette in die USA
- ◆ Höhere Kosten je Recheneinheit möglich
Warum der Serverstandort allein nicht schützt
Rechtlicher Kern: Ein europäischer Serverstandort schützt nicht automatisch vor dem US-amerikanischen Cloud Act, wenn Mutterkonzern oder Support-Personal in einem Cloud-Act-Land sitzen. Nur bei durchgängig deutschen Strukturen wie StackIT und ES³ ist dieses Kriterium sauber erfüllt.
„Digitale Souveränität ist keine Marketingfloskel mehr, sondern eine Vertragsklausel, die man im Ernstfall vor Gericht durchsetzen können muss.“
— Michael Dobler, Herausgeber Dr. WebDrei Schritte für IT-Entscheider
Workloads nach Schutzbedarf klassifizieren
C5-Testat und vollständige deutsche oder europäische Eigentümerkette einfordern
Migration zunächst mit unkritischen Workloads testen
Der wirtschaftliche Kostendruck ist real. Wer nicht die Skaleneffekte von AWS, Azure oder Google Cloud beim Chip-Einkauf und bei der Rechenzentrumsauslastung erreicht, zahlt pro Recheneinheit spürbar mehr. Diesen Preis müssen Mittelständler für Unabhängigkeit einkalkulieren. Juristisch ist der Punkt aber noch wichtiger als der wirtschaftliche: Der Serverstandort in Frankfurt oder München schützt nicht automatisch vor dem US-amerikanischen Cloud Act, wenn Mutterkonzern oder Support-Personal in einem Cloud-Act-Land sitzen. Nur bei durchgängig deutschen Strukturen wie StackIT und ES³ ist dieses Kriterium sauber erfüllt.
Ein Beispiel für den mittleren Weg liefert die Partnerschaft aus dem Artikel Thales und Google Cloud für eine souveräne deutsche Cloud: Eine rechtlich unabhängige deutsche Tochter betreibt hier US-Technologie. Das stellt Souveränität auf Governance-Ebene her, aber eben nicht auf Eigentümerebene. Ähnlich verfährt SAP in Frankreich mit dem SecNumCloud-Siegel, wo eine eigene Landesgesellschaft das Zertifikat trägt. Gaia-X selbst hat sich in der Branche mittlerweile eher zu einem Zertifizierungs-Rahmenwerk entwickelt als zu einer eigenständigen buchbaren Plattform. Das macht StackIT, IONOS und ES³ zu den praktikableren Alternativen.
Digitale Souveränität ist keine Marketingfloskel mehr, sondern eine Vertragsklausel, die man im Ernstfall vor Gericht durchsetzen können muss.
— Michael Dobler, Herausgeber Dr. Web
Was müssen IT-Entscheider jetzt konkret prüfen?
Für Mittelständler wird die Anbieterwahl zunehmend zur Compliance-Frage. DSGVO-Auftragsverarbeitung, das C5-Testat des BSI und ab 2026 verschärfte NIS2-Meldepflichten verlangen eine lückenlose Dokumentation darüber, wer wo auf welche Daten zugreifen kann. Ein europäischer Serverstandort reicht dafür nicht, sobald der Mutterkonzern US-amerikanisch ist. Drei Schritte helfen bei der praktischen Umsetzung: Zunächst klassifizieren IT-Entscheider Workloads nach Schutzbedarf. Bei Vertragsverhandlungen fordern sie ein C5-Testat sowie eine vollständig deutsche oder europäische Eigentümerkette ein. Migrationen testen sie zunächst über unkritische Workloads, bevor Kernsysteme wechseln. Wer im KRITIS-Umfeld oder im Finanzwesen unterwegs ist, sollte zusätzlich prüfen, ob der Anbieter die 24-Stunden-Meldepflicht nach NIS2 technisch abbilden kann.
Wie ein solcher Wechsel in der Praxis aussieht, zeigt der Fall Kärcher, das von Microsoft zu einer souveräneren Alternative gewechselt ist. Solche Migrationen sind selten ein Big Bang, sondern ein mehrstufiger Prozess mit klaren Meilensteinen. Auch bei Betriebssystemen zeigt sich ein ähnliches Muster, etwa wenn Frankreich Windows gegen Linux tauscht. Gleichzeitig zeigen Fälle wie Palantir in fünf Bundesländern, wie widersprüchlich Souveränitätsansprüche in der öffentlichen Verwaltung bislang gelebt werden.
Wer heute eine Cloud-Entscheidung trifft, sollte die Eigentümerkette also genauso ernst nehmen wie das Preisblatt. StackIT, IONOS und ES³ bieten dafür drei unterschiedlich konsequente Antworten. Die richtige Wahl hängt am Ende davon ab, wie hoch der eigene regulatorische Schutzbedarf tatsächlich ist.
Mehr Newshunger?
- Thales Google Cloud: Wie souverän ist die deutsche Cloud?
- Kärcher wechselt: Wie geht Cloud-Souveränität? Mit Google.
- Digitale Souveränität: Verlässt Frankreich Windows? Ja.
- SAP zahlt 300 Millionen für Frankreichs souveräne Cloud
- Palantir in fünf Bundesländern: Wie souverän ist das?
- Meta baut Cloud-Geschäft auf, um KI-Kapazität zu verkaufen
- Warum deckelt Google Metas Gemini-Nutzung?
