Digitale Souveränität: Kontrolle über Infrastruktur, Daten und Abhängigkeiten
~8 min read
devopsdigital-sovereigntyself-hostingopen-sourceprivacygaia-xsovereign-cloud-stackgdprvendor-lock-in
Das Problem: Vendor Lock-in, Datenabfluss und steigende Kosten
Jedes Unternehmen, das heute Cloud-Dienste von US-Hyperscalern (Microsoft 365, Google Workspace, AWS, OpenAI) nutzt, trägt ein kalkuliertes Risiko: Daten verlassen den europäischen Rechtsraum, monatliche Subscription-Kosten steigen jährlich um 15–25 %, und ein Anbieterwechsel wird durch proprietäre Formate, fehlende Export-Schnittstellen und tiefe Integrationen faktisch unmöglich.
Die Rechnung ist einfach: Ein Unternehmen, das seine kritische Infrastruktur nicht selbst betreiben kann, besitzt seine digitale Identität nicht. Das zeigt sich spätestens dann, wenn der Anbieter die Preise verdoppelt (Microsoft 365 ist zwischen 2020 und 2025 um über 30 % teurer geworden), die DSGVO-konforme Datenhaltung nicht garantiert werden kann oder ein US-Gesetz wie der CLOUD Act direkten Zugriff auf Unternehmensdaten ermöglicht.
Digitale Souveränität bedeutet nicht, nie wieder Cloud-Dienste zu nutzen. Sie bedeutet, die Kontrolle über die eigene Infrastruktur, Daten und Technologieentscheidungen zu behalten — und jederzeit die Wahl zu haben, den Anbieter zu wechseln oder selbst zu hosten.
Self-Hosted vs. Cloud: Ein Vergleich
Die Entscheidung zwischen Eigenbetrieb und Cloud ist keine Glaubensfrage, sondern eine Kosten-Nutzen-Abwägung. Die folgende Tabelle zeigt die wichtigsten Dimensionen:
| Dimension | Self-Hosted (eigene Infrastruktur) | Cloud (Hyperscaler) |
|---|---|---|
| Kosten | Hohe einmalige Investition (Hardware), niedrige laufende Kosten | Pay-as-you-go, aber Kostensteigerung von 15–25 % p. a. |
| Kontrolle | Vollständig — Daten, Versionen, Konfiguration | Eingeschränkt — Anbieter definiert Upgrades, Features, Limits |
| Datenschutz | Daten verlassen nie das eigene Netz — DSGVO-konform | Abhängig von Rechtsraum und AGB des Anbieters |
| Wartungsaufwand | Hoch — eigenes Team für Betrieb, Security, Updates | Niedrig — wird vom Anbieter übernommen |
| Skalierbarkeit | Horizontal skalierbar, aber begrenzt durch eigene Hardware | Praktisch unbegrenzt, aber zu Anbieterkonditionen |
| Ausfallsicherheit | Eigenverantwortlich — Redundanz muss selbst gebaut werden | SLA-garantiert, aber bei Störung kein eigener Eingriff möglich |
Faustregel: Für kritische Geschäftsprozesse mit sensiblen Daten lohnt sich Self-Hosted fast immer. Für experimentelle oder stark schwankende Workloads kann die Cloud wirtschaftlicher sein. Die Kunst liegt im hybriden Ansatz: Kerndienste selbst betreiben, Spitzenlast in die Cloud auslagern — aber immer mit Exit-Strategie.
Die Werkzeugkiste der digitalen Souveränität
Für jede Kategorie gibt es heute ausgereifte Open-Source-Alternativen, die produktionsreif sind. Hier die wichtigsten Bausteine, alle auf tobias-weiss.org mit detaillierten Produktionsguides dokumentiert:
E-Mail ist oft der erste Schritt — und der komplexeste. Während Dovecot und Postfix seit Jahrzehnten Standard sind, hat sich der Markt weiterentwickelt:
- Mailcow — Komplettes E-Mail-System mit Webinterface, Spamfilter (Rspamd), Autokonfiguration und Docker-Compose-Stack. Ideal für mittlere Unternehmen.
- Stalwart Mail Server — Moderner, JMAP-fähiger Mailserver in Rust geschrieben. Deutlich performanter als Dovecot bei Full-Text-Suche und speichersparender. Der direkte Vergleich zeigt: Stalwart benötigt bei 50.000 E-Mails 40 % weniger Speicher und ist 3× schneller bei Volltextsuchen.
Ausführlicher Vergleich im Artikel: Stalwart vs Dovecot 2.4 CE
Kollaboration
- Nextcloud — Die zentrale Plattform für Filesharing, Kalender, Kontakte, Office-Dokumente, Talk (Video-Konferenzen) und über 200 Apps. Nextcloud Hub deckt fast alle Microsoft-365-Funktionen ab.
- openDesk — Das vom deutschen Innenministerium geförderte modulare Arbeitsplatzsystem. Kubernetes-nativ, mit Keycloak-SSO, OnlyOffice-Integration und Ende-zu-Ende-Verschlüsselung. Speziell für Behörden und Bildungseinrichtungen entwickelt.
Storage
- MinIO — S3-kompatibler Objektspeicher für Produktion. Bietet Bucket-Lifecycle-Policies, automatische Bitrot-Erkennung, Erasure Coding und Replikation. Schlüsselkomponente für jede souveräne Infrastruktur — Nextcloud, GitLab und viele weitere Dienste nutzen S3 als Storage-Backend.
Workflow-Automation
- n8n — Open-Source-Workflow-Automation als Alternative zu Zapier/Make. Läuft vollständig auf eigener Infrastruktur, Credentials verschlüsselt in PostgreSQL, Queue-Mode mit Redis für Produktionslast.
KI-Infrastruktur
Die selbstgehostete KI-Plattform ist das wichtigste Puzzlestück für Souveränität im AI-Zeitalter (dazu unten mehr).
Infrastruktur & Sicherheit
- SSL Reverse Proxy mit CrowdSec — Nginx als Reverse Proxy, automatische Let's-Encrypt-Zertifikate, CrowdSec als WAF/IPS. Jeder self-gehostete Dienst sollte dahinter betrieben werden.
Beispiel: Minimaler souveräner Stack mit Docker Compose
Der folgende Stack zeigt, wie wenige Dienste nötig sind, um eine produktionsreife, souveräne Infrastruktur aufzusetzen — inklusive Nextcloud, Datenbank, Reverse Proxy und KI-Gateway:
version: "3.8"
networks:
sovereign-net:
driver: bridge
services:
# Reverse Proxy mit SSL und WAF
nginx:
image: nginx:1.27-alpine
networks:
- sovereign-net
ports:
- "443:443"
- "80:80"
volumes:
- ./nginx/conf.d:/etc/nginx/conf.d
- ./ssl:/etc/letsencrypt
- ./crowdsec:/etc/crowdsec
restart: unless-stopped
# Nextcloud (zentrale Kollaborationsplattform)
nextcloud:
image: nextcloud:30-apache
networks:
- sovereign-net
volumes:
- nextcloud-data:/var/www/html
environment:
- POSTGRES_HOST=postgres
- POSTGRES_DB=nextcloud
- POSTGRES_USER=nextcloud
- POSTGRES_PASSWORD=${POSTGRES_PASSWORD}
- NEXTCLOUD_ADMIN_USER=admin
- NEXTCLOUD_ADMIN_PASSWORD=${ADMIN_PASSWORD}
- OVERWRITEPROTOCOL=https
depends_on:
- postgres
- redis
restart: unless-stopped
# MinIO (S3-Backend für Nextcloud und andere Dienste)
minio:
image: minio/minio:latest
networks:
- sovereign-net
command: server /data --console-address ":9001"
volumes:
- minio-data:/data
environment:
- MINIO_ROOT_USER=${MINIO_ROOT_USER}
- MINIO_ROOT_PASSWORD=${MINIO_ROOT_PASSWORD}
restart: unless-stopped
# LiteLLM + Ollama (lokale KI-Inferenz)
litellm:
image: ghcr.io/berriai/litellm:main
networks:
- sovereign-net
volumes:
- ./litellm_config.yaml:/app/config.yaml
environment:
- LITELLM_MASTER_KEY=${LITELLM_KEY}
restart: unless-stopped
ollama:
image: ollama/ollama:latest
networks:
- sovereign-net
volumes:
- ollama-models:/root/.ollama
deploy:
resources:
reservations:
devices:
- driver: nvidia
count: 1
capabilities: [gpu]
postgres:
image: postgres:16-alpine
networks:
- sovereign-net
volumes:
- postgres-data:/var/lib/postgresql/data
environment:
- POSTGRES_PASSWORD=${POSTGRES_PASSWORD}
restart: unless-stopped
redis:
image: redis:7-alpine
networks:
- sovereign-net
volumes:
- redis-data:/data
restart: unless-stopped
volumes:
nextcloud-data:
minio-data:
postgres-data:
redis-data:
ollama-models:
Dieser Stack zeigt: Mit sechs zentralen Diensten (NGINX, Nextcloud, MinIO, LiteLLM/Ollama, PostgreSQL, Redis) deckt man E-Mail-Ablage, Dateisynchronisation, Kollaboration, S3-konformen Objektspeicher und KI-Inferenz ab — alles auf eigener Infrastruktur.
EU-Initiativen: Gaia-X, Sovereign Cloud Stack und die Bundescloud
Die europäische Antwort auf US-Hyperscaler nimmt Gestalt an:
- Gaia-X — Ein europäisches Dateninfrastruktur-Ökosystem mit gemeinsamen Standards für Souveränität, Interoperabilität und Datenschutz. Kein eigener Cloud-Anbieter, sondern ein Regelwerk für vertrauenswürdige Datenräume.
- Sovereign Cloud Stack (SCS) — Betreiber von Gaia-X-konformen Cloud-Infrastrukturen auf Basis von OpenStack und Kubernetes. Ermöglicht es europäischen Anbietern, kompatible, souveräne Clouds zu betreiben.
- openDesk (Bundescloud) — Vom Bundesministerium des Innern geförderter, modularer Arbeitsplatz für die öffentliche Verwaltung. Basiert auf Nextcloud, Open Xchange, OnlyOffice und Keycloak.
- EuroStack — Eine Initiative europäischer Organisationen für eine grundlegende digitale Infrastruktur auf Basis europäischer Technologien.
Diese Initiativen sind vielversprechend, aber in der Praxis noch nicht auf dem Niveau der Hyperscaler. Wer heute handeln will, muss selbst aktiv werden — die Werkzeuge und Guides dafür gibt es bereits.
KI-Souveränität: Warum eigene Modelle der Schlüssel sind
Mit dem Aufkommen von ChatGPT und API-basierten KI-Diensten entsteht eine neue Form der Abhängigkeit: KI-Vendor-Lock-in. Unternehmen, die ihre Daten zur Verarbeitung an OpenAI, Google oder Anthropic senden, geben nicht nur sensible Informationen aus der Hand, sondern verlieren auch die Kontrolle über Modellverhalten, Verfügbarkeit und Kosten.
Die Risiken von KI-APIs
- Datenabfluss: Jeder Prompt, jede Datei, die an eine externe API gesendet wird, verlässt den Rechtsraum — Verstoß gegen die DSGVO bei personenbezogenen Daten (§ 44 ff. DSGVO, Auftragsverarbeitung).
- Kostenexplosion: Abhängigkeit von API-Preisen. Bei steigender Nutzung wachsen die Kosten linear — ohne die Möglichkeit, auf günstigere Alternativen zu wechseln.
- Modellverfügbarkeit: Der Anbieter kann das Modell jederzeit ändern, einstellen oder neu bepreisen.
- Vendor-Lock-in: Integrationen gegen eine spezifische API — ein Wechsel erfordert Neuentwicklung.
Self-Hosted AI als Lösung
Eine vollständig selbstgehostete KI-Plattform (Ollama + LiteLLM + Open WebUI) eliminiert diese Risiken:
- Daten bleiben lokal: Kein Prompt verlässt das eigene Rechenzentrum.
- Feste Kosten: Eine einmalige Hardware-Investition (z. B. RTX 3090 für ca. 1.500 €) deckt den gesamten KI-Bedarf eines kleinen bis mittleren Teams.
- Modellfreiheit: Beliebiges Open-Weight-Modell (Llama 4, DeepSeek V4, Mistral, Qwen) — jederzeit austauschbar ohne API-Anpassung, da LiteLLM eine OpenAI-kompatible API bereitstellt.
- Auditierbarkeit: Vollständige Kontrolle über Logs, Token-Verbrauch, Zugriffsrechte und Modellversionen.
Hardware-Schnellübersicht
| Setup | GPU | Modelle | Kosten (ca.) | Geeignet für |
|---|---|---|---|---|
| Minimum | CPU (kein GPU) | 1–7B Parameter | 0 € | Experimente, Chatbots |
| Einsteiger | RTX 3060 12GB | 7–13B Parameter | 300 € | 1–2 Nutzer |
| Empfohlen | RTX 3090 24GB | 7–70B Parameter | 1.500 € | 3–5 Nutzer |
| Team | 2× RTX 4090 24GB | 7–70B parallel | 4.000 € | 10–20 Nutzer |
| Enterprise | 4× A100 80GB | Alle Modelle | 60.000 € | 50+ Nutzer |
Grad der digitalen Souveränität: Selbst-Checkliste
Wie souverän ist Ihre Infrastruktur? Beantworten Sie die folgenden Fragen für Ihr Unternehmen:
| Stufe | Status | Kriterium |
|---|---|---|
| Level 0 | ❌ Keine Souveränität | Alle Dienste laufen bei US-Hyperscalern, keine Exit-Strategie, keine Datenverschlüsselung |
| Level 1 | ⚠️ Bewusstsein | DSGVO-konforme Cloud-Anbieter (z. B. Hetzner, IONOS) identifiziert, erste Gespräche |
| Level 2 | 🔧 Hybrid | Nicht-kritische Dienste in die Cloud, kritische Dienste (E-Mail, Files) selbst gehostet |
| Level 3 | ✅ Souverän | E-Mail, Kollaboration, Storage auf eigener Infrastruktur (Nextcloud, MinIO, Mailcow) |
| Level 4 | 🔐 Souverän + Sicher | Level 3 + eigener Reverse Proxy mit WAF, zentrales Logging, 2FA, regelmäßige Audits |
| Level 5 | 🤖 Souverän + KI | Level 4 + selbstgehostete KI-Modelle (Ollama/LiteLLM), keine externen KI-APIs |
| Level 6 | 🏢 Vollständig souverän | Level 5 + eigener Kubernetes-Cluster, Sovereign Cloud Stack, europäische Hardware |
Wo stehen Sie? Jede Stufe ist ein Fortschritt. Level 2 ist realistisch für KMU in 3–6 Monaten, Level 3–4 in 6–12 Monaten.
Fazit: Handeln in drei Schritten
Digitale Souveränität ist kein binäres Merkmal, sondern ein kontinuierlicher Prozess. Der Weg dorthin lässt sich in drei Stufen einteilen:
1. Leicht (sofort umsetzbar, 0–500 €/Monat)
- DSGVO-konforme Cloud-Anbieter nutzen (Hetzner, IONOS, Hetzner Storage Box)
- Verschlüsselung aktivieren (Nextcloud E2EE, verschlüsselte E-Mails)
- Open-Source-Alternativen für einzelne Dienste evaluieren (Nextcloud statt SharePoint, n8n statt Zapier)
- Reverse Proxy mit CrowdSec vor öffentliche Dienste setzen (SSL Proxy Guide)
2. Mittel (3–6 Monate, 1.500–5.000 € einmalig)
- E-Mail-Infrastruktur migrieren (Mailcow oder Stalwart)
- S3-konformen Objektspeicher aufbauen (MinIO)
- Kollaborationsplattform aufsetzen (Nextcloud oder openDesk)
- Exit-Strategie für Microsoft 365 dokumentieren und testen (MS365 Exit Guide)
3. Schwer (6–18 Monate, 5.000–50.000 € einmalig + Betrieb)
- Eigene KI-Infrastruktur aufbauen (Ollama + LiteLLM + Open WebUI)
- Workflow-Automation selbst hosten (n8n)
- Vollständige Observability aufsetzen (Grafana + Prometheus + Loki)
- Kubernetes-Cluster mit Sovereign-Cloud-Stack-Konformität
Der wichtigste Schritt ist der erste. Fangen Sie heute an — mit einem einzigen Dienst, den Sie von einem Hyperscaler auf Ihre eigene Infrastruktur migrieren. Die digitale Souveränität ist kein Ziel, das man erreicht, sondern eine Fähigkeit, die man aufbaut.