Würde Europas souveräne Cloud 115 Milliarden kosten?

Eine Zahl für die Minister

Am 13. Oktober treffen sich die europäischen Digitalminister in Dublin zu einem informellen Telekommunikationsrat. Am Rande diskutieren hochrangige Beamte auf einem Podium. Man legt ihnen eine Zahl vor: 115 Milliarden Euro über zehn Jahre. So viel soll der Cloud and AI Development Act Europa kosten, der Verordnungsentwurf, mit dem die Kommission die Abhängigkeit der Verwaltungen von nicht europäischen Clouds verringern will.

Die begleitende Pressemitteilung geht weiter: Es sei das „Sechsfache“ der oberen Schätzung der Kommission von 18 Milliarden. Die Fachpresse greift die Zahl schon am nächsten Tag auf.

Die Studie stammt von Matthias Bauer, Direktor des ECIPE, eines Think-Tanks für politische Ökonomie. Auf der letzten Seite steht, dass die CCIA Europe sie finanziert hat, der Branchenverband, dem Amazon, Google, Meta und Apple angehören. Zwei der größten Cloud-Anbieter bezahlen also über ihren Verband die Studie, die beziffert, was es kostet, ihnen weniger Raum zu geben. Wir haben die Studie, ihren technischen Anhang und die Folgenabschätzung der Kommission gelesen.

Der Entwurf in zwei Sätzen

Der Verordnungsvorschlag stammt vom 3. Juni 2026. Er ordnet öffentliche Cloud-Nutzung vier Sicherheitsstufen zu, von offen bis streng: Je näher eine Tätigkeit an der öffentlichen Ordnung liegt, desto weniger darf der Anbieter fremdem Recht unterliegen, bis hin zu einem Dienstleister, der in Europa im Besitz und unter Kontrolle ist. Man kann es sich wie einen Zutrittsausweis vorstellen: Je sensibler der Raum, desto strenger der Ausweis.

Verabschiedet ist der Text nicht. Im Europäischen Parlament steht das Verfahren ganz am Anfang: Die Überweisung an den Ausschuss wurde am 17. September angekündigt, ein Bericht ist nicht beschlossen.

Woraus die 115 Milliarden bestehen

Die Studie nennt in Wahrheit drei Zahlen: 35,6 Milliarden im engen, 115 im mittleren, 233 im weiten Szenario. Als Referenzfall wählt sie das mittlere, weil es ihrer Ansicht nach einen „bewusst moderaten“ Richtwert liefert.

Dieses Szenario stapelt zwei Annahmen. Erstens: 20 % der betroffenen öffentlichen Nutzungen fielen in die beiden strengsten Stufen. Die Kommission setzt in ihrer eigenen Rechnung 10 % an. Zweitens: Die Anforderungen gälten für 25 % der Cloud-Lasten privater Unternehmen in wesentlichen Sektoren wie Banken, Energie, Gesundheit oder Verkehr.

Die 115 Milliarden verteilen sich dann so: 35 auf den öffentlichen Sektor, 80 auf die Privatwirtschaft, also rund 70 % der Summe. Das ist ein Renovierungsangebot, dessen größte Position das Haus des Nachbarn betrifft, falls der sich zu denselben Arbeiten entschließt.

Artikel 31: eine Tür, die noch zu ist

Das gesamte Privatgeschäft hängt an einem Artikel des Entwurfs, dem 31. Seine Lektüre lohnt sich, denn er bestätigt weder die Befürchtung der Lobby noch das Gegenteil.

Absatz 1: Private Unternehmen in wesentlichen Sektoren „können“ dieselbe Risikobewertung durchführen wie die Verwaltungen. Das ist freiwillig. Absatz 3: Wenn besondere Umstände es rechtfertigen und nach Anhörung der Mitgliedstaaten, kann die Kommission einen delegierten Rechtsakt erlassen, der diese Bewertung samt Schutzmaßnahmen für die Unternehmen verbindlich machen würde.

Die Tür steht also im Text. Sie ist aber zu, und der Schlüssel ist ein Rechtsakt, den die Kommission nicht erlassen hat. Nehmen wir eine Regionalbank, die ihre Anwendungen bei einem US-Hyperscaler betreibt: Solange kein delegierter Rechtsakt vorliegt, zwingt sie nach diesem Text nichts zum Umzug.

Die 25 % sind ein Modellparameter, keine Entscheidung. Die Studie testet drei Werte (10, 25 und 50 %) und räumt selbst ein: Die Erfassung des privaten Sektors sei im Modell „bedingt“, und der endgültige Einsatz von Artikel 31 bleibe rechtlich wie politisch ungewiss.

Die 18 Milliarden der Kommission, verglichen womit?

Bleibt das „Sechsfache“. Wir haben die 18 Milliarden in der Folgenabschätzung der Kommission gesucht. Sie stehen dort auf Seite 63, für die gewählte Option: 4 bis 18 Milliarden Euro Kosten über zehn Jahre, abgezinst, für die öffentlichen Behörden.

Die Obergrenze von 18 Milliarden deckt also nur die Verwaltungen. Sie neben 115 Milliarden einschließlich Privatwirtschaft zu stellen, heißt, den Preis einer Küche neben das Angebot für das ganze Haus zu legen.

Hat die Kommission den privaten Sektor vergessen? Die Pressemitteilung behauptet, die 80 Milliarden seien in den offiziellen Berechnungen „vollständig ausgelassen“ worden. Das stimmt zur Hälfte. Die Folgenabschätzung zählt durchaus 25 600 private Unternehmen in kritischen Sektoren und veranschlagt für sie 486 Millionen bis 2,6 Milliarden Euro, um Souveränität in ihre Risikoanalyse einzubauen. Den Umzug ihrer Systeme beziffert sie dagegen nicht, weil der Text sie dazu in der jetzigen Fassung nicht verpflichtet.

Noch ein Detail: Das enge Szenario der Studie übernimmt exakt die Aufteilung der Kommission auf die vier Stufen. Mit dieser Annahme kommt das ECIPE für den öffentlichen Sektor auf 17,4 Milliarden. Beide Rechnungen zählen nicht dieselben Posten, liegen aber in derselben Größenordnung.

Was auch die Kommission nicht gut beziffert hat

Hier aufzuhören wäre zu einfach. Die Studie trifft eine echte Schwachstelle: die Kosten, Software für den Wechsel der Cloud neu zu schreiben. Nach ihrer Rechnung machen Migration und Neuprogrammierung 69 % der Summe aus.

Damit steht das ECIPE nicht allein. Der Ausschuss für Regulierungskontrolle, das interne Gremium, das die Folgenabschätzungen der Kommission prüft, gab zunächst eine negative Stellungnahme ab und am 8. Mai 2026 eine positive mit Anmerkungen. Eine davon: die Migrationskosten in der Gesamtsumme besser abzubilden.

Die Kommission hatte sogar selbst Portierungskosten von 86,3 Milliarden errechnet. Sie verwarf den Wert als „maximalistisch“, weil er voraussetzte, dass 6 400 öffentliche Stellen schon im ersten Jahr alle betroffenen Anwendungen umziehen, und behielt eine Spanne von 2,5 bis 14,8 Milliarden. Die Debatte über die Migrationsrechnung ist legitim, und sie hat innerhalb der Kommission selbst begonnen.

Auch die Studie hat einen blinden Fleck, den sie selbst benennt: Sie beziffert keinerlei Nutzen für Sicherheit, Resilienz oder Autonomie. Das ist eine Bilanz mit nur einer Spalte. Die Studie sagt das offen und betont, sie sei nicht als vollständige Kosten-Nutzen-Analyse zu lesen.

Szenario oder Gewissheit

Für einen Erwerbstätigen in Frankreich weist die Studie im mittleren Szenario 534 Euro über zehn Jahre aus. Der Teil, der auf die öffentlichen Haushalte fiele und nicht von Artikel 31 abhängt, beträgt 128 Euro.

Die Studie ist vorsichtiger als ihre Präsentation. In einer Fußnote schreibt sie, ihre Szenarien seien Modellrechnungen, keine Prognosen des endgültigen Textes. Am selben Tag versichert in der CCIA-Pressemitteilung Mitchell Rutledge, der Leiter der Interessenvertretung, die Kosten für den privaten Sektor seien „nicht hypothetisch, sondern unvermeidlich“.

Zwischen beiden Sätzen liegen 80 Milliarden Euro und ein delegierter Rechtsakt, den noch niemand geschrieben hat.