Die Übung vom 24. Oktober 2026 macht aus einer Designaussage der AWS European Sovereign Cloud ein überprüfbares Betriebsergebnis, ersetzt aber keine eigene Bewertung Ihrer Workloads. Wer Souveränität gegenüber Aufsicht oder Vorstand belegen muss, bekommt Material dafür, aber kein Zertifikat.
Was hat AWS am 24. Oktober 2026 genau getestet?
AWS hat die European Sovereign Cloud (ESC) für mehrere Stunden ohne die beiden globalen Systeme betrieben, die im Normalbetrieb mitlaufen. Laut AWS Security Blog vom 1. November 2026 fand die Übung am 24. Oktober 2026 statt und sollte zeigen, dass die ESC ohne Infrastruktur außerhalb der EU laufen kann.
Die ESC ist nach AWS-Angaben seit Januar 2026 allgemein verfügbar, die erste Region liegt in Brandenburg. Im Normalbetrieb nutzt sie zwei globale Systeme: das AWS-Global-Network-Backbone und ein System, über das das lokale EU-Team begrenzte, kontrollierte Übertragungen operativer Daten steuert. Beide, so AWS, sind für den Betrieb nicht kritisch. Während der Übung schaltete das Team beide ab; der Verkehr, der sonst über das Backbone läuft, wurde laut AWS über das öffentliche Internet umgeleitet. Betrieben wurde die Region von EU-ansässigem Personal innerhalb der EU.
Technisch geht es dabei im Kern um das Routing: Nach einem Interview von Techzine mit AWS-Vertretern wurde vor allem die BGP-Route von der AS-Nummer des AWS-Netzwerks auf die eines Providers für die ESC umgestellt.
Was belegt die Übung für die AWS European Sovereign Cloud und was nicht?
Sie belegt, dass die ESC ohne Verbindung zu den globalen AWS-Systemen weiterläuft; sie belegt nicht, wie gut sie das über Wochen tut oder wie Ihre eigene Anwendung darauf reagiert. Das sind zwei getrennte Fragen, und nur die erste hat AWS beantwortet.
Drei Einschränkungen sollten Sie kennen. Erstens ist es eine Selbstdarstellung: AWS hat die Übung selbst durchgeführt und selbst berichtet. Die Übung sei so angelegt gewesen, dass sie zu den Zielen des EU Cloud Sovereignty Framework und der C3A-Kriterien des BSI passt, schreibt AWS in der Ankündigung vom 28. September 2026. „Konsistent mit den Zielen“ ist aber weder ein Audit noch eine Zertifizierung.
Zweitens betont AWS selbst, dass die ESC im Alltag am Backbone hängt, weil es bessere Performance, Kapazität, Zuverlässigkeit und Sicherheit liefere. Daraus folgt, dass der Betrieb ohne Backbone ein Notfallmodus ist. Wie groß der Unterschied ausfällt, beziffert AWS nicht; Techzine hält das in seinem Bericht vom 4. November 2026 ausdrücklich für offen.
Wie bewerten Sie Souveränität: EU Cloud Sovereignty Framework und C3A
Für eine belastbare Bewertung brauchen Sie einen Maßstab, und zwei öffentliche liegen vor: das EU Cloud Sovereignty Framework der Kommission und der C3A-Katalog des BSI. Beide sind frei verfügbar und anbieterneutral, sodass Sie damit auch Nicht-AWS-Angebote vergleichen können.
Die Kommission hat ihr Framework für eine eigene Ausschreibung entwickelt. Es misst Souveränität anhand von Zielen und stuft sie in Assurance Levels ein, die laut Mitteilung der Kommission vom 17. April 2026 von SEAL-0 (keine Souveränität) bis SEAL-4 (vollständige EU-Lieferkette vom Chip bis zur Software) reichen. Nach den Ausführungen der Kommission zählt der niedrigste Wert über alle Ziele; ein starkes Ergebnis in einem Bereich gleicht eine Schwäche in einem anderen nicht aus. Der Käufer legt fest, welches Mindestniveau er braucht.
Die C3A hat das BSI am 27.04.2026 veröffentlicht (BSI-Katalog). Sie übernimmt Struktur und Ziele des EU-Frameworks, setzt voraus, dass der Anbieter die C5-Kriterien erfüllt, und ist laut BSI ein Orientierungsrahmen, der selbst nicht verbindlich ist. Der Unterschied zu C5: C5 fragt, ob ein Dienst sicher ist, C3A, ob er selbstbestimmt nutzbar ist.
Wer die Übung als Beleg verwenden will, ordnet sie deshalb einem konkreten Ziel zu, etwa der Fähigkeit, den Betrieb aufrechtzuerhalten, wenn Anbieter-Support oder Verbindungen wegfallen, und dokumentiert, welche Teile noch offen sind.
Welche eigenen Abhängigkeiten zeigt der Test?
Die Übung adressiert das zentrale Versprechen der ESC: Ihr Betrieb soll nicht von den globalen AWS-Systemen abhängen. Gemeint ist damit keine Abschottung vom Internet. Dass Kunden die Region weiterhin über das öffentliche Internet erreichen und Anwendungen externe Dienste ansprechen können, steht dazu nicht im Widerspruch.
Für Ihre Architektur ist deshalb eine andere Frage entscheidend: Welche externen Dienste sollen bewusst weiter genutzt werden, und welche müssen für einen unabhängigen Betrieb verzichtbar sein? Eine externe Registry oder ein Monitoring-Dienst außerhalb der EU widerlegt nicht die Eigenständigkeit der ESC. Solche Dienste sind separat danach zu bewerten, ob ihre Verfügbarkeit, Datenverarbeitung und rechtlichen Rahmenbedingungen zu Ihren Anforderungen passen. Ein eigener Anwendungstest sollte daher ein konkretes Ausfallszenario prüfen – nicht pauschal unterstellen, dass mit der Trennung von globalen AWS-Systemen auch das Internet oder sämtliche externen Dienste wegfallen.
Hinzu kommt der Netzwerkpfad: Wenn Verkehr im Notfallmodus über das öffentliche Internet läuft, ändern sich Latenz und Angriffsfläche. Verschlüsselung zwischen Ihren Komponenten und realistische Timeouts sind dann keine Kür. Einen Rahmen, um solche Anforderungen systematisch auf die Architektur abzubilden, bietet der AWS Digital Sovereignty Lens.
Was Sie als Nächstes prüfen sollten
Legen Sie für Ihren wichtigsten Workload eine Tabelle an: links jede externe Abhängigkeit zur Laufzeit und beim Deployment (Registries, Identity, Secrets, Monitoring, Paketquellen), rechts Standort und Rechtsraum des Anbieters. Markieren Sie jede Zeile außerhalb der EU und ordnen Sie sie dem passenden Ziel des EU Cloud Sovereignty Framework zu. Das Ergebnis ist die Liste, die Sie Ihrem Vorstand zeigen können, mit oder ohne den AWS-Bericht als Anlage. Wie AWS die ESC beschreibt und welche Rolle sie in Landing Zones spielt, steht auf der Seite European Sovereign Cloud.
Häufige Fragen
Wo steht die AWS European Sovereign Cloud?
Die AWS European Sovereign Cloud ist laut AWS eine unabhängige Cloud-Partition für Europa, die im Januar 2026 allgemein verfügbar wurde. Die erste Region liegt in Brandenburg, Deutschland. Sie ist physisch und logisch von anderen AWS-Regionen getrennt, Kundeninhalte und kundenerzeugte Metadaten bleiben in der EU.
Ist die BSI-Kriteriensammlung C3A verbindlich?
Nein, die C3A ist laut BSI ein Orientierungsrahmen und selbst nicht verbindlich. Sie dient der Transparenz und hilft, Cloud-Dienste nach den für den Einsatzzweck relevanten Kriterien auszuwählen. Sie übernimmt Struktur und Ziele des EU Cloud Sovereignty Framework und setzt voraus, dass der Anbieter die C5-Kriterien erfüllt.
Was bedeuten die SEAL-Stufen im EU Cloud Sovereignty Framework?
SEAL steht für Sovereignty Effectiveness Assurance Level. Die Stufen reichen laut Europäischer Kommission von SEAL-0, bei dem Anbieter keinerlei Souveränität nachweisen, bis SEAL-4, das eine vollständige EU-Lieferkette vom Chip bis zur Software verlangt. Der Käufer legt fest, welches Mindestniveau ein Angebot erreichen muss.
