*TL;DR: Am 3. Juni 2026 veröffentlichte die Europäische Kommission ihr Paket zur technologischen Souveränität – den Cloud and AI Development Act (CADA), den Chips Act 2.0 und die erste vollständige Open-Source-Strategie der EU. Entgegen den Schlagzeilen verbietet es keine amerikanische Technologie. Es tut etwas, das für europäische Organisationen weit folgenreicher ist: Es macht digitale Souveränität aus einem politischen Anspruch zu einer prüfbaren Beschaffungsanforderung mit vier Vertrauenswürdigkeitsstufen, die über die gesamte Lieferkette hinweg bewertet werden. Und genau dieses letzte Detail wiegt schwerer, als die meiste Berichterstattung einräumt – denn eine Souveränitätskette ist nur so stark wie ihr schwächstes Glied, und das schwächste Glied ist meist die Integrationsebene.* --- Wir haben schon früher geschrieben, dass das schwierigste Problem der europäischen digitalen Souveränität nicht darin besteht, einzelne europäische Werkzeuge zu bauen – sondern darin, sie über Grenzen, Systeme und Vertrauensgrenzen hinweg zusammenarbeiten zu lassen. Am 3. Juni hat diese Debatte eine konkrete gesetzgeberische Form angenommen. Das Paket der Kommission stützt sich auf drei miteinander verzahnte Initiativen: den Chips Act 2.0, den Cloud and AI Development Act und eine EU-Open-Source-Strategie. Man sollte sie zusammen lesen und nicht getrennt, denn es ist ihre gemeinsame Logik, die auf den Schreibtischen europäischer Organisationen landet – der öffentlichen wie der privaten. ## Was CADA tatsächlich bewirkt Beginnen wir damit, was er nicht tut, denn die Schlagzeilen in den sozialen Medien behaupten das Gegenteil: CADA verbietet keine amerikanische Technologie. Die Kommission hat ausdrücklich erklärt, dass es darum geht, Europas digitale Autonomie und Resilienz zu stärken, ohne den Markt zu schließen – er bleibt für gleichgesinnte Partner weitgehend offen. Kommissarin Henna Virkkunen brachte die zugrunde liegende Sorge auf den Punkt: Europa will die Gewissheit, dass kein Anbieter kritischer Workloads einen „Kill Switch" für europäische Daten in der Hand hält. Der Zusammenhang ist schwer zu bestreiten – drei US-Anbieter kontrollieren rund 70 % des europäischen Cloud-Markts, und der US CLOUD Act bedeutet, dass sie zur Herausgabe von Daten verpflichtet werden können, unabhängig davon, wo diese physisch liegen. Microsofts eigener Justiziar bestätigte das 2025 unter Eid vor dem französischen Senat. Stattdessen tut CADA zwei Dinge mit Folgen in der Praxis. Erstens definiert er vier Vertrauenswürdigkeitsstufen (assurance levels) für Cloud- und KI-Souveränität, die öffentliche Stellen auf Grundlage ihrer eigenen Risikobewertungen anwenden. Die Kriterien umfassen die Kontrolle über den Dienst und seine Lieferkette, die Verarbeitung von Daten bei der KI-Inferenz, den Standort der Infrastruktur und das Cybersicherheitsniveau. Die höheren Stufen verlangen eine nachgewiesene Unabhängigkeit von Drittländern und Transparenz über die Software-Lieferkette; die höchste verlangt vollständige Transparenz und Kontrolle über die Lieferkette, ohne jede Möglichkeit der Einflussnahme aus Drittländern. Zweitens verpflichtet er die Mitgliedstaaten zu prüfen, welche Systeme der öffentlichen Hand von ausländischer Cloud abhängen, sie nach Souveränitätsstufe einzuordnen und entsprechend zu beschaffen. In strategisch sensiblen Branchen – Banken, Energie, Gesundheitswesen – wird die öffentliche Auftragsvergabe künftig neben dem Preis neue nicht preisbezogene Zuschlagskriterien gewichten, die in der EU entwickelte Software und Hardware bevorzugen. Der Anspruch dahinter ist ebenso industriepolitisch wie regulatorisch: Der Rechtsakt zielt darauf, die Rechenzentrumskapazität der EU binnen fünf bis sieben Jahren zu verdreifachen. Mit anderen Worten: Die Frage lautet nicht mehr „dürfen wir europäische Alternativen einsetzen?", sondern „wie weisen Sie nach, auf welcher Souveränitätsstufe Sie arbeiten?" Das ist eine Beschaffungsanforderung – und Beschaffungsanforderungen verändern, anders als Gipfelerklärungen, das, was Organisationen tatsächlich einkaufen. ## Warum Open Source in den Mittelpunkt rückte Zum ersten Mal enthält das Paket eine vollständige Open-Source-Strategie. Das ist keine Randnotiz. Die Kommission versteht Open Source als den Weg, Abhängigkeiten über den gesamten Technologie-Stack hinweg zu verringern und europäische Alternativen dort zu entwickeln, wo die EU weiterhin auf proprietäre Lösungen angewiesen ist, die ein einzelner Anbieter kontrolliert. Sehen Sie sich die Kriterien für die höchste Souveränitätsstufe noch einmal an: vollständige Transparenz und Kontrolle über die Software-Lieferkette, keine Einflussnahme aus Drittländern. In der Praxis ist das eine Beschreibung von Open Source. Ein proprietärer Stack kann Transparenz versprechen; ein Open-Source-Stack kann sie beweisen. Was man nicht lesen kann, kann man nicht vollständig prüfen. Zu demselben Schluss sind wir beim Bau von Fasthub gekommen – auf einem anderen Weg, aber am selben Punkt. Open Source ist kein Merkmal für die Folie im Vertriebsdeck. Es ist eine Vertrauensarchitektur. Wenn ein Kunde fragt, wie er überprüfen kann, dass seine Daten korrekt und innerhalb der Grenzen seines Rechtsraums verarbeitet werden, kann die Antwort nicht „vertrauen Sie uns" lauten. Die Antwort lautet „lesen Sie den Code". Fasthub ist vollständig aus Open-Source-Komponenten gebaut – Kubernetes, Keycloak, Open Policy Agent, Apache Camel, Quarkus – und läuft auf zu 100 % in der EU gehosteter Infrastruktur. Jede Ebene ist auditierbar. Kein einzelnes Unternehmen kann uns den Boden unter den Füßen wegziehen, und keine ausländische Behörde kann eine Hintertür in ein System erzwingen, dessen jede Zeile der Kunde einsehen kann. ## Das schwächste Glied ist das, das niemand einstuft Hier ist der Teil des Pakets, der mehr Aufmerksamkeit verdient, als er bekommt. Die Souveränitätsstufen werden über die gesamte Lieferkette hinweg bewertet – nicht Komponente für Komponente für sich genommen. Das hat eine Folge, die die meisten Souveränitäts-Roadmaps stillschweigend übergehen. Stellen Sie sich eine europäische Organisation vor, die alles richtig gemacht hat: eine französische, nach SecNumCloud zertifizierte Cloud, eine deutsche Open-Source-Kollaborationssuite, eine estnische E-Government-Schnittstelle – jede für sich konform, jede auf einer hohen Vertrauenswürdigkeitsstufe. Und nun die Frage: Was verbindet sie? Lautet die Antwort „eine US-kontrollierte Integrationsplattform" – ein proprietäres iPaaS, das genau dem CLOUD-Act-Risiko unterliegt, dem die ganze Übung entkommen sollte –, dann sinkt die tatsächliche Souveränität der Kette auf das Niveau dieses Glieds. Jeder Workflow, jeder Datenfluss, jede Zugangsberechtigung läuft durch die eine Ebene, die niemand einzustufen dachte. Die Integrationsebene liegt nicht neben der Souveränitätsfrage. Sie ist die Souveränitätsfrage, weil sie die Ebene ist, die alles berührt. Und genau dort erzeugt Europas fragmentierte Landschaft die größte Reibung. Wer stellt sicher, dass Datenflüsse die Grenzen jedes Rechtsraums einhalten, während das Unternehmen als eine Organisation arbeitet? Wer regelt, welche KI-Modelle welche Daten verarbeiten – und wo? Souveränität entsteht nicht durch Gipfeltreffen und Erklärungen. Sie entsteht durch die unspektakuläre, unverzichtbare Arbeit, Systeme zu verbinden, Daten zu bewegen und Organisationen am Laufen zu halten – innerhalb der Compliance-Vorgaben, die seit dem 3. Juni auf dem Weg sind, Beschaffungsrecht zu werden. Dafür wurde Fasthub gebaut. Nicht als weiterer Eintrag in Europas wachsendem Katalog souveräner Alternativen, sondern als die verbindende Ebene, die sie gemeinsam nutzbar macht – herstellerunabhängig, vollständig auditierbar und souverän nach demselben Maßstab, den es seinen Kunden erfüllen hilft. --- *Fasthub ist eine KI-native Integrationsplattform aus Turku, Finnland – vollständig aus Open-Source-Technologien gebaut und zu 100 % in der EU gehostet.*