Experto credite, lieber Herr Merz

Ich schreibe normalerweise nicht über Politiker. Nicht aus Feigheit, sondern weil ich aus eigener Erfahrung weiß, wie schwierig politisches Engagement ist, wenn man etwas bewegen will. Es gibt genug Leute, die das besser können, und mein Thema ist die Technik dahinter, nicht die Person davor. Heute mache ich eine Ausnahme, weil der Bundeskanzler just beim Digitalgipfel 2026 etwas gesagt hat, das ich in anderer Form sehr genau kenne. Ich habe es 21 Jahre lang verkauft.

Ich habe amerikanische Cloud an deutsche Behörden und Unternehmen gebracht, erst direkt bei Microsoft im Public Sector, dann über den Channel bei einem der Microsoft-Partner. Ich kenne die Folien, ich habe einige davon selbst gebaut. Ich kenne die Rechtsabteilungen, die bestimmte Sätze streichen, und die Vertriebsschulungen, die beibringen, wie man dieselben Sätze dann trotzdem in den Raum bekommt. Experto credite, lieber Herr Merz. Glauben Sie dem, der es erlebt hat.

Der Satz, der in keinem Angebot stand

Sie haben beim Digitalgipfel am 2. November gesagt, die geplante Google-Cloud der Nachrichtendienste sei „nicht eine voll integrierte Infrastruktur, sondern eine europäische Infrastruktur“. Und Sie haben hinzugefügt: „Die ist für uns sicher.“

Ich kenne diesen Satz. Er war Bestandteil jedes Angebotes, das ich je mit abgegeben habe. Nur stand er nie da, wo man ihn suchen würde. Kein Hyperscaler schreibt „sicher“ oder „souverän“ als Zusicherung in ein Angebot, das wäre eine Haftungszusage, und die Rechtsabteilung streicht so etwas, bevor es in ein Print-Angebot oder ein Ausschreibungsportal gegossen wird. Was im Angebot steht, ist viel weicher: unterstützt bei der Einhaltung von, entspricht dem Kriterienkatalog, zertifiziert nach, Daten gespeichert in. Lauter generische Text-Bausteine, aus denen sich der Kunde das Wunsch-Fazit selbst zusammensetzt.

Die eigentliche Vertriebskunst besteht darin, die Bausteine so hinzulegen, dass der Kunde den Satz ausspricht. Der Sicherheitsbeauftragte, der Referatsleiter, am Ende der Vergabevermerk: „Die Lösung ist für unseren Einsatzzweck ausreichend sicher.“ Das ist der Moment, in dem der Deal steht. Nicht wenn der Anbieter es behauptet, sondern wenn der Kunde es sich selbst erklärt hat, denn dann liegt die Verantwortung beim Kunden, und der Anbieter hat nur geliefert, was bestellt wurde. Der Beschaffer atmet erleichtert auf, der Seller reibt sich die Hände, hebt den Sales-Stage im CRM auf 80% und fängt an, seinen Jahresbonus auszurechnen.

„Die ist für uns sicher.“ Sie haben diesen Satz für uns gesagt. Nicht als Referatsleiter in einem Vermerk, sondern als Bundeskanzler auf einer Bühne. Vor Publikum. Während das BSI noch prüft, weil nach übereinstimmenden Berichten bestimmte Komponenten noch im Zulassungsverfahren stecken und der ursprünglich für das erste Quartal 2027 geplante Start deshalb nicht zu halten ist. Sie haben dem Hyperscaler den Teil der Vertriebsarbeit abgenommen, den der Anbieter selbst nie machen darf.

Schicht für Schicht

Lassen Sie mich erklären, wie das Spiel aus der Innenperspektive funktioniert, denn es ist älter als diese Bundesregierung und wird sie mit Sicherheit überleben.

Jedes Mal, wenn die Fragen der Kunden besser wurden, haben wir eine Schicht dazugebaut. Am Anfang reichte es, dass das Rechenzentrum in Frankfurt stand. Dann fragte jemand nach dem Betreiber, also kam eine deutsche Betreibergesellschaft, manchmal ein Syndication-Modell, mit deutschem Geschäftsführer und deutschem Handelsregisterauszug. Dann fragte jemand nach dem Personal, also kamen sicherheitsüberprüfte Mitarbeiter. Dann fragte jemand nach den Updates, also kamen Update-Reviews durch Dritte. Dann fragte jemand nach dem Netz, also kam der Air Gap: eine Installation ohne Verbindung zum Internet und ohne Verbindung zum Hersteller. Genau das ist die Google Distributed Cloud, auf der die Nachrichtendienst-Cloud laut NDR und WDR aufsetzen soll.

Jede dieser Schichten war echt. Keine davon war gelogen. Jede hat ein konkretes Bedenken erledigt, und wer heute behauptet, die Air-Gapped-Variante sei dasselbe wie eine Public Cloud mit Frankfurter Postadresse, hat die letzten zehn Jahre nicht aufgepasst. Aber eine Sache hat sich in all den Jahren und durch alle Schichten hindurch nie bewegt, und zwar deshalb nicht, weil sie das Geschäftsmodell ist: Wer den Code schreibt, der das System am Leben hält. Der Standort wanderte nach Europa, die Betreibergesellschaft wanderte nach Europa, das Personal wanderte nach Europa. Der Maintainer blieb jedoch immer, wo er war. Ein Unternehmen unter dem CLOUD-Act.

Der falsche Film

Es geht nämlich nicht um den schlechten Film, den alle im Kopf haben: Ein US-Präsident zwingt Google, die Geheimnisse des BND herauszugeben. Diesen Film kann man mit einem Air Gap tatsächlich abdrehen. Keine Verbindung, kein Zugriff, Daten in Rechenzentren der BWI, dem IT-Systemhaus der Bundeswehr. Wer dagegen argumentiert, argumentiert gegen eine Bedrohung, die das gewählte Design bereits adressiert, und macht es dem Kanzleramt leicht, die Kritik als Technikfeindlichkeit abzutun.

Es geht um eine andere Szene, und sie ist unspektakulärer: Es kommt schlicht kein Update mehr.

Ein System dieser Größe und Einstufung lebt von Updates. Nicht alle sechs Monate, sondern ständig, Sicherheitspatches, Signaturen, Komponenten, Firmware. Jedes dieser Updates kommt vom Hersteller, auch im Air Gap, nur eben per Datenträger statt per Leitung. Sven Herpig von Interface, einer der wenigen in diesem Land, die das Thema seit Jahren ohne Parteibuch bearbeiten, hat es im Tagesspiegel nüchtern durchgespielt: Die USA müssten keinen Zugriff verlangen, sie müssten nur Sanktionen verhängen. Dann dürfte Google keine Updates mehr liefern. Und wie lange die ND-Cloud dann noch einsatzfähig wäre, und vor allem wie sicher, weiß niemand. Falk Steiner hat bei heise den Begriff dafür geprägt: der "softe" Kill-Switch. Niemand dreht etwas ab. Es hört nur jemand auf, etwas anzudrehen, etwas weiter zu unterstützen. Obsoleszenz mit Timer.

Dass dieses Szenario kein Gedankenspiel mehr ist, müssen Sie mir nicht glauben. Fragen Sie den Internationalen Strafgerichtshof in Den Haag, wie es sich anfühlt, wenn die amerikanische Sanktionsliste plötzlich den Namen des eigenen Chefanklägers enthält und sein Microsoft-Konto daraufhin vom Dienst getrennt wird. Microsoft hat hinterher über die Wortwahl gestritten, jedoch nicht über den Vorgang. Das war gerade letztes Jahr, 2025. Es ist keine Prognose, es ist ein Präzedenzfall.

Der Ankerkunde, der sich selbst abbestellt

Wenn also eines Tages kein Update mehr kommt, haben die Dienste nach übereinstimmender Einschätzung ein paar Monate, um umzuziehen. Wohin, lieber Herr Merz?

An den Ort, der nie gebaut wurde. Denn eine Infrastruktur für Daten dieser Einstufung baut niemand auf Verdacht. Sie entsteht nur, wenn ein Kunde mit genau diesen Anforderungen sie beauftragt, und davon gibt es in Deutschland eine Handvoll: die Dienste, die Bundeswehr, vielleicht noch das BKA. Das ist das Henne-Ei-Problem der digitalen Souveränität, und es ist nicht neu. Sie selbst haben es vor einem Jahr beim ersten Gipfel benannt, als Sie versprachen, der Staat werde zum Ankerkunden für europäische Anbieter und die Bundesverwaltung werde digitale Produkte noch viel stärker europäisch beschaffen.

Und jetzt überweist einer der wichtigsten und sicherrheitsrelevantesten Ankerkunden, den dieses Land hat, mindestens 500 Millionen Euro für ein Google-Produkt. Ich sage bewusst nicht, dass das Geld nach Mountain View geht, ein Teil davon bleibt bei der BWI und bei deutschen Integratoren. Aber der Teil, der den Markt gemacht hätte, die Beauftragung des Stacks, geht an den Anbieter, der ihn bereits hat und festigt damit seine Position. Der Ankerkunde hat sich selbst abbestellt. Und jeder europäische Anbieter, der Ihnen vor einem Jahr Milliarden zugesagt hat, hat genau das am Montag mitgehört.

Wer die Regeln setzt

Sie haben in derselben Rede den besten Satz des Tages gesagt: Die zentrale Frage der Wirtschaftsordnung sei nicht mehr make or buy, sondern wer die Regeln setzt. Ich würde diesen Satz sofort unterschreiben. Ich würde ihn mir sogar einrahmen, denn er beschreibt mein altes Geschäft präziser als jedes Vertriebstraining.

Experto credite: Die Regeln setzt, wer die Updates signiert. Immer. Nicht wer das Rechenzentrum betreibt, nicht wer im Handelsregister steht oder wer den Schlüssel zum Serverraum hat. Nur wer den Signaturschlüssel für den nächsten Patch hat, entscheidet, ob das System in sechs Monaten noch läuft und ob es dann noch tut, was es tun soll. Herpig hat auch das nüchtern gesagt: Es gibt in Deutschland so gut wie keine Techniker, die bis ins Detail beurteilen können, ob ein Hyperscaler-Update genau das macht, was in den Change-Notes des Anbieters steht.

Das ist kein Vorwurf an Google. Google ist ein hervorragendes Unternehmen mit einem sehr hohen Sicherheitsanspruch an die eigene Infrastruktur, best in class was die Technologie angeht, da hat Herpig ebenfalls recht. Es ist auch kein Vorwurf an die Dienste, die vermutlich jede Komponente dreimal umgedreht haben. Es ist das Geschäftsmodell. Ich habe davon gelebt. wie zug tausend andere in Europa. Aber das Geschäftsmodell lautet, in einem Satz: Der Kunde besitzt alles außer der Zukunft.

Keine Autarkie, aber auch kein Etikett

Niemand Ernstzunehmendes verlangt Autarkie im 21. Jahrhundert, und ich am wenigsten. Wer mit mir über Souveränität spricht, bekommt keine Predigt über deutsche Chips (die wir haben) und deutsche Betriebssysteme (die es gibt), sondern eine nüchterne Frage: Wer kann Sie abschalten, und was passiert dann? Dass Sie Autarkie als Ziel in einer globalisierten Welt verworfen haben, ist deshalb richtig.

Dass Sie im selben Atemzug ein Google-Produkt wegen Googles Investitionen in Deutschland zur europäischen Infrastruktur erklärt haben, ist etwas anderes. Das ist kein Mittelweg. Das ist ein Etikett.

Dr. Sven Herpig hat recht, wenn er sagt, es bringe nichts, wenn eine unsicherere, aber deutsche Bude das Ding mache und dann Kriminelle oder fremde Dienste über die Updates eindringen. Eine schlechte europäische Lösung ist keine souveräne Lösung, sie ist nur eine schlechte. Aber zwischen voll autark und Google nennen wir jetzt europäisch liegt ein alter aber erfolgreicher Kontinent. Er heißt Europa. Mit dutzenden Anbietern, die es längst gibt, mit Stacks, die längst in großen Produktivumgebungen laufen, und mit einem Reifegrad, der genau aus diesem einen Grund nicht höher ist: Weil weil die zugesagten Ankerkunden ausbleiben. Man müsste sie nur beauftragen. Nicht aus Patriotismus, sondern weil es der einzige Weg ist, den Umzugsort zu bauen, bevor man ihn braucht.

In eigener Sache

Ich arbeite heute für einen europäischen Anbieter. Ich sage das mit Stolz, es war eine persönliche Entscheidung genau für ein solches Unternehmen zu arbeiten. Das dürfen Sie sehr gern als Befangenheit lesen. Oder aber als den Grund, warum ich weiß, wovon ich rede. Ich bin damit übrigens nicht allein. Fragen Sie Prof. Harald Wehnes von der deutschen Gesellschaft für Informatik, fragen Sie die Open Source Business Alliance, fragen Sie Ihren eigenen Verfassungsschutzpräsidenten, der noch im vergangenen Jahr sagte, man müsse in der Lage sein, Alternativen zu bieten. Er hat das nicht gesagt, weil es politisch gut klingt. Er hat es gesagt, weil er den Film mit den Updates kennt.

Die Souveränität liegt nicht im Standort des Rechenzentrums. Sie liegt in der Hand, die den Update-Button drückt. One less excuse.