Das stille Souveränitäts-Playbook: 8 europäische Unternehmen, die Ihr CLOUD-Act-Problem lösen

Rechenzentren allein reichen nicht

Das Standardgespräch zur Souveränität in der europäischen Tech-Welt läuft so: ‘Unser Anbieter bietet eine EU-Region. Die Daten bleiben in Frankfurt. Die DSGVO wird beachtet. Wir sind abgesichert.’

Das ist die falsche Schlussfolgerung. Nach dem US-CLOUD-Act (2018) und FISA Section 702 können US-Behörden ein in den USA gegründetes Unternehmen zwingen, weltweit gehaltene Daten offenzulegen — einschliesslich Daten, die physisch in Frankfurt, Paris oder Dublin gespeichert sind. Rechtlich zählt nicht, wo die Daten liegen, sondern wer die Muttergesellschaft ist. Ist die Mutter eine Delaware Corporation, ist eine EU-Region ein Trost, kein juristischer Schutzschild.

Der Europäische Gerichtshof machte dies in Schrems II (2020) ausdrücklich klar und bekräftigte es in der Folgerechtsprechung: Ein Auftragsverarbeitungsvertrag, Standardvertragsklauseln und EU-Datenhosting beseitigen das Risiko einer extraterritorialen US-Datenoffenlegung nicht. Nur ein Anbieter, dessen Mutterentität wirklich ausserhalb der US-Jurisdiktion liegt, tut das.

Das ist die Frage der ‘stillen Souveränität’: nicht ‘bietet unser Anbieter eine EU-Region?’, sondern ‘wenn ein US National Security Letter eintrifft, ist das empfangende Unternehmen dann eine in den USA gegründete Entität, die nachkommen muss, oder eine europäische Entität, die es nicht kann?’

Nachfolgend acht europäische Anbieter — mehrere börsennotiert im grossen Massstab, mehrere öffentlich geförderte Open-Source-Projekte, mehrere regulierte Finanzinstitute — die die zweite Frage alle gleich beantworten: keine US-Mutter, keine CLOUD-Act-Reichweite, keine FISA-702-Exposition. Sie sind das stille Souveränitäts-Playbook.

1. Sinch — Schwedisches CPaaS im Massstab von Nasdaq Stockholm

Für SMS, Sprache, Verifikation, WhatsApp Business, RCS und transaktionale E-Mail — die CPaaS-Ebene, auf der jede kundennahe europäische Anwendung aufbaut — ist der US-Standard Twilio. Die europäische Antwort ist Sinch: mit Sitz in Stockholm, notiert an Nasdaq Stockholm (Ticker SINCH), 4000+ Mitarbeitende in 60+ Ländern. Sinch übernahm Mailgun 2021 und Mailjet 2019, was einen glaubwürdigen SendGrid-Ersatz innerhalb derselben Unternehmensstruktur liefert.

Sinch wurde 2008 gegründet — im selben Jahr wie Twilio — und ist eines der grössten europäischen Tech-Unternehmen, von denen die meisten Menschen noch nie gehört haben. Für europäische Fintech-, Gesundheits- und Behördenorganisationen, in denen Verifikationsflüsse und Messaging-Telemetrie regulatorisches Gewicht tragen, ist es der direkte architektonische Ersatz.

2. dScribe — Belgische Data Governance für den modernen Data Stack

Belgien brachte 2008 die weltweit führende Data-Governance-Plattform hervor — Collibra — sah dann aber zu, wie das Unternehmen seinen globalen Hauptsitz nach New York verlegte und sich als US-Gesellschaft neu inkorporierte. Heute ist Collibra eine Delaware Corporation. Das ist ein gutes Ergebnis für Kapitalmarktinvestoren und ein suboptimales für europäische Datenteams, deren Governance-Metadaten nun juristisch unter CLOUD-Act-Reichweite liegen.

dScribe Cloud ist die neuere, in Gent ansässige belgische Antwort, gegründet 2021. Sie deckt Business Glossary, Data Lineage, In-Report-Kontext und — entscheidend — eine semantische Schicht ab, die KI-Anwendungen für gouvernierte Definitionen abfragen können. Gründer Pieter Delaere leitet ein Unternehmen, das strukturell belgisch geblieben ist. Power BI-, Fabric-, Databricks-, SAP-Integrationen erstklassig.

3. Twikey — Belgisches SEPA-Lastschriftverfahren + eIDAS-E-Mandate

Lastschriften sind nicht aufregend; sie sind für europäische Abonnementgeschäfte unumgänglich. Twikey mit Sitz in Gent hat eine der meistgenutzten SEPA-Lastschrift- und Mandatsverwaltungsplattformen in Benelux und DACH aufgebaut. eIDAS-konforme E-Mandat-Signatur (in der ganzen EU rechtsverbindlich), 3500+ Bankverbindungen, native Unterstützung für Cegid, Exact, Odoo und Teamleader.

GoCardless hat seinen Sitz im Vereinigten Königreich und deckt dieselbe Kategorie ab, aber Twikeys belgische Unternehmensbasis und die tiefe lokale Scheme-Integration sind die souveränitätsorientierte Wahl für europäische Abonnementbetriebe.

4. OpenProject — Berliner GmbH, GPLv3, Ende der Jira-Server-Ära

Atlassians Jira Server wurde im Februar 2024 eingestellt. Organisationen, die Jira aus Gründen der Datensouveränität selbst hosteten, stehen nun vor einer Wahl: Migration zu Jira Cloud (Delaware Corporation, AWS-gehostet, CLOUD-Act-exponiert), Migration zu Jira Data Center (ab rund 44 000 USD/Jahr für 500 Nutzer) oder Migration zu einer wirklich selbst hostbaren Alternative.

OpenProject — Berliner GmbH, GPLv3-lizenziert, Mitglied der Free Software Foundation Europe — ist der dritte Weg. Community Edition ist für immer kostenlos; Enterprise Cloud läuft auf EU-Infrastruktur. Hybrid Agile + Gantt + BIM-Integration für den Bau. Von deutschen Bundesministerien und Universitäten übernommen. Das souveränitätsbewusste Ende der Jira-Server-Ära.

5. GetResponse — Polen, unabhängig seit 1997

Für E-Mail-Marketing im grossen Massstab sitzen die US-Optionen (Mailchimp, Constant Contact, HubSpot) alle unter US-Gesellschaften — Mailchimp von Intuit übernommen, Constant Contact 2021 von Clearlake und Siris US Private Equity übernommen. Selbst MailerLite betreibt eine duale US-/Irland-Rechtsstruktur.

GetResponse ist die Ausnahme: 1997 in Danzig von Simon Grabowski gegründet, 27 Jahre kontinuierliches unabhängiges polnisches Eigentum, Mitarbeiterbeteiligungsprogramm 2021 eingeführt. 400 000+ Kunden in 183 Ländern, 10+ Sprachen, native Webinare und Kurs-Creator. Die seltene E-Mail-Marketing-Plattform im Massstab, die wirklich noch europäisch ist.

6. CrowdSec — Pariser Open-Source-WAF mit Community-Blocklist

Für die Security-/WAF-/Bot-Management-Ebene von Cloudflare besteht die architektonische Herausforderung darin, dass Cloudflare ein Reverse Proxy ist — Ihr Kundenverkehr wird durch Delaware-Corporation-Infrastruktur geleitet. CrowdSec ist eine völlig andere Architektur: ein MIT-lizenzierter Open-Source-Agent, der auf Ihren Servern läuft, Logs liest, bösartiges Verhalten erkennt und Bouncer auslöst, die auf der passenden Ebene blockieren.

Pariser SAS. 14 000+ GitHub-Sterne. Eine Crowdsourced Community Blocklist, gespeist von Zehntausenden aktiver Installationen. Eingesetzt in der französischen öffentlichen Verwaltung und bei zahlreichen europäischen Hosting-Anbietern. Für CDN + Edge-Caching kombiniert man CrowdSec mit Bunny.net (Slowenien) oder OVHcloud (Frankreich) — der kombinierte Stack ersetzt die nützliche Oberfläche von Cloudflare ohne die CLOUD-Act-Exposition.

7. Lemonway — Französisches Zahlungsinstitut für Marketplaces

Marketplace-Zahlungen sind regulierte Infrastruktur, keine technische Integration. Unter PSD2 benötigen Marketplaces, die Drittmittel halten, ein reguliertes Zahlungsinstitut — nicht nur eine API. Stripe Connect stellt dies über Stripe Payments Europe Limited (Dublin) bereit, aber die Muttergesellschaft Stripe Inc. ist in Delaware inkorporiert.

Lemonway ist das in Paris ansässige, von der ACPR lizenzierte Zahlungsinstitut (Lizenz #16568 seit 2012), das 2025 12,4 Milliarden Euro über 20,3 Millionen Transaktionen für 1200+ europäische Marketplaces abwickelte, darunter Decathlon, SNCF Connect & Tech, Drouot und EstateGuru. Tiefe Abdeckung von Cartes Bancaires, iDEAL, Bancontact, Sofort — oft 30-50 % günstiger als internationale Scheme-Verarbeitung. Reguliert durch den Aufsichtsarm der Banque de France.

8. Tehtris — Französisches souveränes XDR in Pessac

Endpoint Detection and Response ist die Software-Kategorie, die am meisten sieht. Kernel-Level-Agents, die jeden Prozessstart, Dateizugriff, Anmeldedatenabfragen und Netzwerkverbindungen beobachten, erzeugen den sensibelsten Telemetriestrom der Anbieterlandschaft. CrowdStrike Falcon ist zu Recht exzellent — und CrowdStrike Holdings, Inc. ist eine an der Nasdaq notierte Delaware Corporation (CRWD) mit Hauptsitz in Austin.

Tehtris ist die französische XDR-Plattform (2010 gegründet, Pessac bei Bordeaux), die EDR, MTD, NTA, SIEM, SOAR, Honeypots, CTI und KI-gestützte Detektion (CYBERIA) unter einer einzigen französischen SAS abdeckt. 250+ Ingenieure, 100+ Länder, ISO 27001, MITRE ATT&CK-evaluiert. Für NIS2-wesentliche Einrichtungen, DORA-abgedeckte Finanzunternehmen und CISOs im öffentlichen Sektor, die nun eine ausländisch-juristische Telemetrie-Exposition auf ihrem Risikoregister haben, entfernt Tehtris die Exposition auf Ebene der Unternehmensentität.

Warum das 2026 stärker ins Gewicht fällt

Drei regulatorische Dynamiken laufen zusammen:

1. Die NIS2-Umsetzung in den EU-Mitgliedstaaten tritt in die Durchsetzungsphase ein. Wesentlichen und wichtigen Einrichtungen werden konkrete Fragen zur Anbieterjurisdiktion gestellt, nicht nur zu Zertifizierungen.

2. DORA (Digital Operational Resilience Act) gilt seit Januar 2025 für Finanzdienstleister in der gesamten EU. Die Risikobewertung von Dritt-ICT-Anbietern umfasst ausdrücklich Konzentrationsrisiko und Jurisdiktionsrisiko kritischer Anbieter.

3. Der EU AI Act gilt für KI-Systeme und die zugrundeliegende Datenverarbeitungsinfrastruktur. Da KI-Verarbeitungstelemetrie zu einer Kategorie hochsensibler Daten wird, stellt sich dieselbe CLOUD-Act-Expositionsfrage erneut — nun für KI-Anbieter.

Parallel dazu hilft das politische Umfeld nicht. Diskussionen über wechselseitige Zölle, die Volatilität von Sanktionen und die sichtbare Fragilität des EU-US Data Privacy Framework führen dazu, dass ‘unser Anbieter hat eine US-Mutter, verspricht aber DSGVO-Konformität’ für Compliance-Verantwortliche eine schwächere Antwort ist, als sie es 2024 war.

Das Souveränitäts-Playbook, destilliert

Das Playbook lautet nicht ‘lehne jede US-Software ab’. Es lautet: Wissen Sie für jede Kategorie hochsensibler Daten, die Ihre Organisation verarbeitet, ob die rechtliche Mutterentität des Anbieters innerhalb oder ausserhalb der US-Jurisdiktion liegt — und wählen Sie entsprechend.

• CPaaS / Messaging → Sinch (Schweden, Nasdaq Stockholm)
• Data Governance → dScribe (Belgien)
• SEPA-Lastschrift + E-Mandate → Twikey (Belgien)
• Projektmanagement → OpenProject (Deutschland, GPLv3)
• E-Mail-Marketing → GetResponse (Polen)
• WAF + Bot-Management → CrowdSec (Frankreich, Open Source) + Bunny.net (Slowenien) für CDN
• Marketplace-Zahlungen → Lemonway (Frankreich, ACPR PI)
• EDR / XDR → Tehtris (Frankreich)

Diese acht sind nicht die einzigen europäischen Antworten in ihren Kategorien — aber jede ist eine strukturell-europäische Unternehmensentität in bedeutendem Massstab, mit einem realen Produkt, echter Kundenadoption und ohne US-Mutter, die man zwingen könnte. Das ist das stille Souveränitäts-Playbook.

Für die meisten Organisationen ist die Migration einer Kategorie nach der anderen — beginnend mit derjenigen, die die sensibelste Telemetrie erzeugt — das richtige Tempo. Die Reihenfolge zählt weniger als die Erkenntnis, dass der Standort des Rechenzentrums nicht die Antwort ist. Die Jurisdiktion der Unternehmensentität schon.

Sie möchten Ihren eigenen Stack prüfen? Testen Sie unser kostenloses Souveränitäts-Score-Tool — geben Sie die von Ihnen genutzten Produkte ein und erhalten Sie einen jurisdiktionellen Expositionswert von 0-100 sowie konkrete europäische Alternativen für die Tools, die Sie am stärksten exponieren.