Es gibt eine Zahl aus dem Sommer 2026, die man sich merken sollte, weil sie eine ganze Debatte in einem Satz zusammenfasst: 91 Prozent der deutschen Unternehmen würden einen deutschen Cloud-Anbieter bevorzugen. 71 Prozent nutzen Angebote aus den USA. Und nur 8 Prozent würden das freiwillig tun.
Das ist kein Meinungsbild, das ist ein Eingeständnis. Fast alle wollen etwas anderes, fast niemand macht es, und dazwischen liegt keine Überzeugung, sondern Bequemlichkeit und Vertragslaufzeit.
Wer sich fragt, was das mit Bitcoin und Privatsphäre zu tun hat: alles. Denn dieselbe Denkfigur, die bei der Verwahrung von Bitcoin selbstverständlich ist – not your keys, not your coins – gilt bei Daten genauso. Sie hat dort nur keinen so griffigen Namen.
Kurzfassung:
Der Bitkom Cloud Report 2026 (Juni 2026) zeigt ein deutliches Missverhältnis: 91 % der Unternehmen wollen deutsche Anbieter, nur 53 % setzen einen ein; 71 % nutzen US-Clouds, obwohl nur 8 % sie bevorzugen. 85 % halten Deutschland für zu abhängig von US-Anbietern (Vorjahr: 78 %), 64 % überdenken wegen der US-Politik ihre Cloud-Strategie. Der Grund für das Unbehagen ist der CLOUD Act von 2018: Er verpflichtet US-Unternehmen zur Herausgabe von Daten an US-Behörden – unabhängig davon, wo die Server stehen. Entscheidend ist nicht der Standort, sondern der Unternehmenssitz. „Souveräne" Angebote wie die Delos Cloud mildern das ab, lösen es aber nicht. Vollständig entzieht sich der Frage nur, wer selbst hostet.
Warum der Serverstandort nicht schützt#
Das häufigste Missverständnis in dieser Debatte lautet: Wenn die Daten in Frankfurt liegen, gilt deutsches Recht.
Der CLOUD Act ist genau als Antwort auf dieses Argument geschrieben worden. Er stellt nicht auf den Ort der Speicherung ab, sondern auf die Verfügungsgewalt: Ein Unternehmen, das amerikanischem Recht unterliegt, muss Daten herausgeben, auf die es Zugriff hat – egal, in welchem Rechenzentrum sie physisch liegen. Ein Rechenzentrum in Deutschland, betrieben von einer deutschen Tochter eines US-Konzerns, ändert an dieser Kette nichts.
Zwei Rechtsordnungen, ein Datensatz:
Damit gerät jeder Anbieter mit US-Mutter in einen Konflikt, den er nicht auflösen kann: Die DSGVO verbietet die Herausgabe, der CLOUD Act verlangt sie. Für den Kunden bedeutet das keine Sicherheit, sondern eine Wette darauf, welche Seite sich im Ernstfall durchsetzt – ausgetragen von Juristen, ohne dass er davon erfährt. Denn zu solchen Anordnungen gehört regelmäßig, dass der Betroffene nicht informiert werden darf.
Was „souveräne Cloud" bedeutet – und was nicht#
Die Branche hat auf das Problem reagiert, und zwar mit einem eigenen Produktversprechen. Die Delos Cloud betreibt Microsoft-Dienste unter deutschem Recht mit BSI-Aufsicht und hat Anfang 2026 ihr zweites Betriebszentrum in Leipzig in Betrieb genommen. Es gibt Konstruktionen mit deutschem Betriebspersonal, getrennter Schlüsselverwaltung und vertraglich zugesicherter Abschottung.
Nur beantwortet das eine andere Frage als die gestellte. Souveränität heißt nicht „ein Vertrag, der Zugriff untersagt". Souveränität heißt: Es gibt niemanden, den man fragen könnte. Solange die Software von einem Konzern kommt, die Updates von dort eingespielt werden und die Betriebsstruktur an einer Muttergesellschaft hängt, ist die Abschottung eine Zusage – und Zusagen sind exakt das, was in der Privatsphäre-Debatte seit zwanzig Jahren nicht hält.
Man muss dafür niemandem böse Absicht unterstellen. Es reicht die Beobachtung, dass Zusagen sich ändern, wenn die Rechtslage sich ändert, und dass die Rechtslage sich ändert, wenn eine Regierung wechselt. Ein Schlüssel, den nur du hast, ist gegen politische Konjunkturen immun. Eine vertragliche Garantie nicht.
Und noch eine Verschiebung steckt in dem Begriff. Wer aus einer amerikanischen Cloud in eine deutsche wechselt, hat den Zugriff nicht abgeschafft, sondern die Behörde getauscht, die ihn ausübt – eine, die dich nicht kennt, gegen eine, die dich verwaltet. Dieselben Gesetzespakete, die gerade beschlossen werden, erweitern die inländischen Zugriffsbefugnisse erheblich. Digitale Souveränität im Sinne eines Ministeriums heißt: Der Zugriff bleibt, er wird nur inländisch. Souveränität im Sinne dieses Artikels heißt: Es gibt keinen Zugriff, weil es keinen Verwahrer gibt.
Das Problem ist längst unstrittig#
Bemerkenswert an 2026 ist, wie wenig davon noch bestritten wird. Im August hat GovImpact – ein gemeinsames Projekt von DigitalService und NExT – ein Papier zum Umstieg der Verwaltung auf souveräne Clouds vorgelegt, samt Vorschlägen für einen Souveränitätsfonds und für schnellere IT-Freigaben. Schleswig-Holstein ersetzt SharePoint schrittweise durch Nextcloud. Und zwei Drittel der Unternehmen sagen, die amerikanische Politik habe sie zum Nachdenken über ihre Cloud-Strategie gebracht. Das macht die Sache nicht dadurch richtig, dass eine Behörde sie inzwischen auch so sieht – es zeigt nur, dass niemand mehr ernsthaft dagegenhält.
Der Unterschied zwischen diesen Akteuren und dir ist nur einer: Sie brauchen dafür Jahre, Ausschreibungen und Übergangsfristen. Du brauchst einen Nachmittag und einen Mini-PC.
Was das mit Bitcoin zu tun hat#
Wer Bitcoin selbst verwahrt, hat eine Entscheidung bereits getroffen, die bei Daten noch aussteht: die Entscheidung gegen den Verwahrer. Kein Anbieter, der einfrieren kann, kein Vertrag, der neu ausgelegt wird, keine Regulierung, die dich bei jemand anderem trifft.
Bei Fotos, Dokumenten, Kalendern und Passwörtern akzeptieren dieselben Leute meist das Gegenteil, und meist ohne es je bewusst entschieden zu haben. Dabei ist die Cloud in der Praxis eine der größten Gefahrenquellen für Bitcoin-Besitzer überhaupt – nicht als Angriff auf die Schlüssel, sondern als bequemer Zwischenspeicher:
- Das Foto der Seed-Wörter – Einmal „nur kurz“ fotografiert, damit die Wiederherstellung klappt – und automatisch in die Fotomediathek synchronisiert. Damit liegen zwölf Wörter bei einem Anbieter, der sie technisch lesen kann und im Ernstfall herausgeben muss.
- Die Notiz mit der Passphrase – Notiz-Apps synchronisieren standardmäßig. Was als Gedächtnisstütze gedacht war, ist eine Kopie deines Zugangs auf fremder Infrastruktur – oft unverschlüsselt, immer außerhalb deiner Kontrolle.
- Das Backup, das alles enthält – Ein vollständiges Telefon-Backup in der Herstellercloud enthält App-Daten, Wallet-Dateien, Screenshots und Chatverläufe. Es ist der bequemste Weg, ein sorgfältig abgesichertes Gerät wieder auszuhebeln.
Die Regel dahinter ist unspektakulär und gilt ohne Ausnahme: Was in einer fremden Cloud liegt, liegt bei jemand anderem. Verschlüsselung ändert das nur dann, wenn du den Schlüssel hast – und bei den großen Anbietern hast du ihn in der Standardkonfiguration nicht.
Was du konkret tun kannst#
1. Bestandsaufnahme: Was liegt eigentlich wo?
Bevor du migrierst, schau nach, was synchronisiert wird. Fotos, Kontakte, Kalender, Notizen, Passwortmanager, Geräte-Backups, Browser-Verlauf. Die meisten sind überrascht, wie viel automatisch aktiviert wurde. Diese Liste ist deine Arbeitsgrundlage – alles andere ist Aktionismus.
2. Zuerst das Kritische, dann der Rest
Seed-Backups, Ausweisdokumente, Vertragsunterlagen, Passwörter: Diese Kategorie gehört sofort aus der fremden Cloud heraus, auch wenn der Rest noch Monate dort bleibt. Ein vollständiger Umstieg ist ein Projekt, das Herausnehmen der drei sensibelsten Ordner ist eine Abendbeschäftigung.
3. Die eigene Cloud aufsetzen
Nextcloud ersetzt Dateien, Fotos, Kontakte und Kalender vollständig – auf einem Mini-PC bei dir zu Hause, per Umbrel in wenigen Klicks installiert, auf derselben Maschine, auf der auch deine Bitcoin-Node laufen kann. Der Stromverbrauch liegt im Bereich einer Glühbirne, die laufenden Kosten bei null.
4. Verschlüsseln, bevor etwas das Haus verlässt
Wo eine fremde Cloud bleibt – etwa als zweites Backup –, gilt: Ende-zu-Ende-Verschlüsselung mit einem Schlüssel, den nur du hast. Dann ist der Anbieter ein Festplattenvermieter und keine Vertrauensfrage mehr, und der CLOUD Act liefert lediglich einen Haufen Zufallszahlen.
5. Ein Backup ist kein Backup
Die eigene Cloud verlagert das Risiko, sie beseitigt es nicht: Ein Gerät zu Hause kann kaputtgehen, brennen oder gestohlen werden. Drei Kopien, zwei Medien, eine außer Haus – das ist die alte Regel, und sie gilt unverändert. Eine verschlüsselte Festplatte bei einem Menschen deines Vertrauens erfüllt sie besser als jeder Anbieter.
6. Keine Schlüssel, nirgends
Der eine Satz, der alles andere überlebt: Seed-Wörter und Passphrasen kommen auf kein Gerät, das synchronisiert – auch nicht auf dein eigenes. Sie gehören auf Papier oder Stahl, an einen Ort, den du kontrollierst. Die sicherste Cloud der Welt ist die, in der nichts Wichtiges liegt.
Der eigentliche Punkt#
Digitale Souveränität ist gerade ein Begriff, den Ministerien, Verbände und Anbieter gleichermaßen benutzen, und das macht ihn unschärfer, nicht klarer. In Ausschreibungen bedeutet er meistens: derselbe Konzern, andere Vertragsklauseln.
Für dich kann er etwas Konkreteres bedeuten. Es gibt einen Punkt, an dem die Frage „Wem vertraue ich?" durch die Frage „Wer hat den Schlüssel?" ersetzt wird. Bei Bitcoin ist dieser Übergang bekannt und heißt Selbstverwahrung. Bei Daten ist er genauso möglich, kostet einmalig ein Wochenende und danach nichts mehr.
Und das ist die eigentlich gute Nachricht in einer Debatte, die sonst nur aus schlechten Meldungen besteht: Auf diese Frage musst du nicht warten, bis Brüssel, Berlin oder Redmond sie beantworten. Du kannst sie selbst beantworten, diesen Monat.
Häufige Fragen#
Schützt ein deutsches Rechenzentrum vor dem CLOUD Act?
Nein, wenn der Anbieter zu einem US-Konzern gehört. Der CLOUD Act knüpft an die Verfügungsgewalt des Unternehmens an, nicht an den Standort der Hardware. Ein deutsches Rechenzentrum unter deutscher Konzernkontrolle ist etwas anderes – dort greift er nicht.
Sind „souveräne Clouds" wie Delos also sinnlos?
Nein, sie sind eine Verbesserung gegenüber dem Standardvertrag: deutsches Betriebspersonal, BSI-Aufsicht, getrennte Schlüsselverwaltung. Sie beruhen aber auf Zusagen und Konstruktionen und nicht auf Physik. Wer an Ausschreibungen und Bestandsverträge gebunden ist, kommt damit einen Schritt weiter; für deine privaten Daten gibt es den besseren Weg.
Ist meine eigene Cloud nicht unsicherer als Google?
In einem Punkt ja: Für Updates, Backups und Zugriffsschutz bist du selbst zuständig. Dafür entfällt die gesamte Kategorie von Risiken, die aus fremder Verfügungsgewalt entsteht – Behördenzugriff, Kontosperrung, Auswertung zu Trainingszwecken, Vertragsänderung. Wer regelmäßig aktualisiert und ein Backup führt, steht unter dem Strich deutlich besser da.
Was kostet der Umstieg?
Ein gebrauchter Mini-PC oder ein Raspberry Pi mit SSD reicht für den Anfang und liegt bei rund 150 bis 400 Euro. Danach fallen nur die Stromkosten an, üblicherweise 10 bis 25 Euro im Jahr. Die Software – Umbrel, Nextcloud – ist quelloffen und kostenlos.
Brauche ich dafür eine feste IP oder eine offene Portfreigabe?
Nein. Für den Zugriff von unterwegs genügt ein VPN in dein eigenes Netz oder ein Tunnel-Dienst; beides kommt ohne offene Ports aus. Wer nur zu Hause synchronisiert, braucht nicht einmal das.
Kann ich das mit meiner Bitcoin-Node kombinieren?
Ja, und genau das ist der Reiz. Umbrel betreibt Bitcoin-Node, Lightning und Nextcloud auf derselben Maschine. Ein Gerät, das ohnehin durchläuft, wird damit gleichzeitig deine Finanz- und deine Datenzentrale – ohne dass ein Dritter etwas davon mitbekommt.
Die eigene Cloud an einem Tag Im Cloud-Workshop richten wir gemeinsam deinen eigenen Server ein: Nextcloud für Dateien, Fotos, Kontakte und Kalender, sauber gesichert und ohne Anbieter dazwischen. Am eigenen Gerät, ohne Vorkenntnisse.
Quellen: Bitkom: Cloud Report 2026 (Studienbericht, PDF) · Bitkom-Presseinformation: Deutsche Cloud – 4 von 10 Unternehmen würden Abstriche in Kauf nehmen · t3n: Cloud-Paradox – 91 Prozent wollen deutsche Anbieter · Behörden Spiegel: Digital souverän in der Cloud · eGovernment: Digitale Souveränität – Vendor Lock-in, CLOUD Act, Multicloud
Dieser Artikel erschien zuerst auf bitcoinlighthouse.de – dort findest du auch unsere Bitcoin-Workshops in München.
Comments0
No comments yet. Start the conversation.