EDV-Gerichtstag 2026: Der Wunsch nach Digi­taler Sou­ve­ränität

Ein Ruck ging durch Europa: Die digitale Abhängigkeit von den USA muss beendet werden. Diese Erkenntnis ist in der EU inzwischen mehr als ein Thema für Sonntagsreden, sondern wird als existenzielle Notwendigkeit gesehen.

Anke Morsch, Vorsitzende des EDV-Gerichtstags, nannte vor allem zwei Ereignisse als augenöffnend. So verhängte die US-Regierung im Frühjahr Exportbeschränkungen gegen den KI-Hersteller Anthropic, der seine neuesten und leistungsfähigsten Sprachmodelle nicht mehr nach Europa liefern sollte. Und im Vorjahr verlor Karim Khan, damaliger Chefankläger
des Internationalen Staatsgerichtshofs aufgrund von US-Sanktionen den Zugang zu seinem Microsoft-Konto.

Dass es sich dabei nicht um Einzelfälle handelt, sondern dass generell auf US-Unternehmen kein Verlass mehr ist, dürfte jedem klar sein, der die willkürliche Verhängung von Zöllen (auch gegen vermeintlich verbündete Staaten) durch US-Präsident Donald Trump verfolgt hat.

Ist der Zug schon abgefahren?

Inzwischen ist der EU klar: Europa braucht eine eigene Cloud-Infrastruktur. Europa braucht viel mehr eigene Rechenzentren. Und Europa braucht auch eigene Sprachmodelle.

Die EU mag bei der KI-Entwicklung gegenüber den USA und China bereits abgehängt wirken. Aber Antonio Krüger, wissenschaftlicher Direktor des Deutschen Forschungszentrums für Künstliche Intelligenz (DFKI), sprach den rund 900 Teilnehmer:innen des EDV-Gerichtstags Mut zu. "Viele Züge verlassen den Bahnhof. Man kann den nächsten oder übernächsten Zug nehmen. Entscheidend ist, dass man sich überhaupt auf die Reise macht."

Auch Christian R. Ulbrich, Leiter der Forschungsstelle für Digitalisierung in Staat und Verwaltung an der Uni Basel, warnte vor Schwarzseherei. Die Tech-Konzerne könnten es sich überhaupt nicht leisten, generell auf Geschäfte in Europa zu verzichten, "sie sind aufgrund ihrer massiven KI-Investiton auf jeden Cent angewiesen". Für die Übergangszeit bis zur digitalen Souveränität Europas sei also nicht mit einer harten Disruption zu rechnen.

Microsoft schützt Institutionen, nicht Individuen

So versuchte auch der Microsoft-Vertreter Michael Dorner, Head of Legal für Deutschland und Österreich, Microsoft als Unternehmen zu präsentieren, das mit rund 3.000 Beschäftigten in der EU und jahrzehntelangen Geschäften "auch europäisch" ist. "Wir stehen für eine regelbasierte Ordnung", sagte Dorner. Microsoft versuche gegenüber der US-Regierung als "Stimme der Vernunft" zu agieren, "auch im Sinne Europas".

Nach den US-Sanktionen gegen IStGH-Angehörige habe sich Microsoft auch verpflichtet, so Dorner, gegen jede Anordnung der US-Regierung zur Einschränkung von Cloud-Diensten in Europa zu klagen. Ebenfalls gegen die Pflicht zur Herausgabe von Daten werde man klagen, wenn es keine Rechtsgrundlage für die Herausgabe-Forderung gebe.

In der Diskussion stellte sich allerdings heraus, dass diese Garantie nur für Institutionen gilt und nicht für Einzelpersonen. Microsoft werde also klagen, wenn die Konten des IStGH abgeschaltet werden sollen, nicht aber, wenn es Anordnungen zu einzelnen Richtern "als Individuen" gebe.

Dorner zeigte zudem, dass sich das Drängen von Microsoft auf rechtsstaatliches Vorgehen auch gegen die EU richten kann. So habe die EU Sanktionen gegen den indischen Raffineriebetreiber Nayara verhängt, weil dieser mit Russland zusammenarbeitet. Auf Drängen der EU habe Microsoft zunächst den Zugang von Nayara zur Cloud abgeschaltet. Nach einer rechtlichen Prüfung sei der Zugang allerdings schon nach einer Woche wieder freigegeben worden, da die EU in dieser Frage keine Hoheitsgewalt habe.

USA ist kein sicherer Hafen

Bis zum Aufbau einer ausreichenden EU-Daten-Infrastuktur müssen weiterhin Daten aus Europa zum Beispiel bei US-Cloud-Anbietern gespeichert und verarbeitet werden. Die EU-Datenschutzgrundverordnung erlaubt dies, wenn im jeweiligen Staat ein "im wesentlichen gleichartiger" Datenschutz besteht. Damit dies nicht in jedem Einzelfall organisiert werden muss, machen die USA generelle Zusagen zum Datenschutz. Wenn die EU-Kommission die Zusagen für angemessen hält,
fasst sie einen entsprechenden Beschluss, meist mit wohlklingenden Namen wie "Safe Harbour" oder "Privacy Shield".

Nach erfolgreichen EuGH-Klagen des österreichischen Datenschützers Max Schrems gegen frühere Abkommen, gilt derzeit das Data Privacy Framework (DPF). Neu ist, dass die EU-Bürger:innen ein spezielles US-Gericht (Data Protection Review Court) anrufen können. Im Juli 2023 hat die EU-Kommission den Datenschutzrahmen der USA für "angemessen" erklärt.

Rechtsprofessorin Sarah Rachut wies allerdings darauf hin, dass diese Angemessenheits-Erklärung durch ein Urteil des US-Supreme Courts fragwürdig wurde. Der Supreme Court hatte im Juni 2026 entschieden, dass die Federal Trade Commission, die auch über die Einhaltung des Data Privacy Frameworks wacht, nicht unabhängig sei. "Damit besteht in den USA kein angemessenes Schutzniveau mehr", folgerte Rachut. Der US-Cloud Act, der es US-Behörden erlaubt auf alle Daten bei US-Unternehmen
zuzugreifen, sei ohne unabhängige Kontrolle nicht mehr mit der EU-DSGVO kompatibel.

Rachut regte an, dass europäische Daten bei US-Unternehmen nur noch verschlüsselt gespeichert werden sollten. Philip Slusallek vom Deutschen Forschungszentrum für Künstliche Intelligenz sah darin jedoch keine Lösung. Sicher sei dies nur, solange die Daten lediglich gespeichert werden. Sobald sie verarbeitet werden, müssten sie entschlüsselt werden, da das Rechnen mit verschlüsselten Daten viel zu langsam wäre.

Rachut rief dennoch nicht dazu auf, nun alle Daten von US-Unternehmen abzuziehen. "Es gibt auch Risiken, wenn wir leistungsfähige US-Techniken nicht nutzen". Dies wäre auch ein Nachteil für europäische Unternehmen und Institutionen.

Souveränität gegen die Exekutive

Anke Morsch, die EDVGT-Vorsitzende, brachte noch eine weitere Ebene von digitaler Souveränität ins Spiel. Soll die Justiz digital auch von der Exekutive unabhängig sein? Ist es richtig, wenn die Justiz Cloud-Kapazität und KI-Modelle nutzt, die ihr vom jeweiligen Ministerium zur Verfügung gestellt werden?

Der Schweizer Christian R. Ulbrich warnte: "Wer die KI kontrolliert, bestimmt die ideologische Ausrichtung". Er befürchtet, dass Richter so überlastet sind, dass sie die Ergebnisse, die ihnen eine Justiz-KI anbietet, nur noch abnicken werden.

Microsoft-Mann Dorner hielt es jedoch für unrealistisch, dass die Justiz ihre ganz eigene Infrastruktur aufbauen könne, dies sei viel zu teuer. Zu den "total costs of ownership" gehörten etwa auch die Kosten für Cybersicherheit, die meist massiv unterschätzt werden.

Anke Morsch fand, dass die Nutzung von exekutiven Cloud-Kapazitäten durch die Justiz "bisher noch unproblematisch" sei. Bei der Nutzung von KI sei es jedoch erforderlich, dass diese von einem "Rechtspflegeministerium" stamme. Sie deutete damit an, dass ein Teil der deutschen Gerichte in manchen Bundesländern nicht den Justizministerien untersteht, sondern Fachministerien, wie dem Finanz- oder dem Sozialministerium. Hier könne die Gefahr bestehen, dass eine Justiz-KI so trainiert wird, dass den Rechtsauffassungen der Behörden besonderes Gewicht zukommt.

Dass dies mit der Vorstellung einer unabhängigen Kontrolle dieser Exekutive durch die Fachgerichte schwer vereinbar ist, liegt auf der Hand.