Digitale Souveränität in der Cloud: Was der Bitkom Cloud Report 2026 für den Mittelstand bedeutet

Mehr als acht von zehn Unternehmen in Deutschland halten das Land für zu abhängig von US-amerikanischen Cloud-Anbietern – und dieser Anteil ist innerhalb eines Jahres noch gewachsen. Gleichzeitig nutzen laut dem Statistischen Bundesamt mittlerweile mehr als die Hälfte aller Unternehmen kostenpflichtige Cloud-Dienste, Tendenz unverändert steigend. Zwischen diesen beiden Zahlen liegt eine Frage, die sich kaum ein mittelständisches Unternehmen aktiv gestellt hat: Was würde es eigentlich kosten, den eigenen Cloud-Anbieter zu wechseln – und will man das überhaupt wissen, bevor man es muss?

Der Cloud Report 2026 von Bitkom Research (öffnet in neuem Tab) liefert dazu belastbare Zahlen aus einer repräsentativen Befragung von 603 Unternehmen ab 20 Beschäftigten. Dieser Beitrag ordnet ein, was die Zahlen für die IT-Strategie eines mittelständischen Betriebs bedeuten – unabhängig davon, ob man sich politisch für „digitale Souveränität" interessiert oder schlicht wissen will, wie abhängig man von einem einzelnen Anbieter geworden ist.

Die Faktenlage: Cloud-Nutzung wächst, das Vertrauen in die Quelle sinkt

Zunächst zur Grundlage. Laut der amtlichen IKT-Erhebung des Statistischen Bundesamts (öffnet in neuem Tab) nutzten 2025 gut 54 Prozent der Unternehmen in Deutschland mit mindestens 10 Beschäftigten kostenpflichtige Cloud-Services. Die Nutzung ist dabei stark größenabhängig: 86 Prozent bei Großunternehmen ab 250 Beschäftigten, aber nur 65 Prozent bei mittleren Unternehmen mit 50 bis 249 Beschäftigten und 51 Prozent bei kleinen Unternehmen mit 10 bis 49 Beschäftigten. Am häufigsten genutzt werden Cloud-Dienste laut Destatis für E-Mail (76 Prozent), Datenspeicherung (71 Prozent) und Office-Anwendungen (68 Prozent) – komplexere Anwendungen wie ERP oder CRM laufen dagegen erst bei 23 Prozent der Unternehmen in der Cloud.

Parallel dazu zeigt der Bitkom Cloud Report 2026, dass sich das Verhältnis zu dieser Infrastruktur verändert. In der zugrunde liegenden Bitkom-Befragung (öffnet in neuem Tab) unter 603 Unternehmen ab 20 Beschäftigten – telefonisch erhoben in den Kalenderwochen 14 bis 20 des Jahres 2026 – gaben 85 Prozent der Befragten an, Deutschland sei zu abhängig von US-Cloud-Anbietern. Im Jahr zuvor lag dieser Wert laut derselben Erhebung noch bei 78 Prozent. 80 Prozent der Befragten sagen, man brauche deutsche oder europäische Hyperscaler, und 71 Prozent nennen laut dem Report als tatsächlichen Herkunftsort ihrer aktuellen Cloud-Provider die USA – nur 53 Prozent nennen Deutschland, 45 Prozent die EU (Mehrfachnennungen waren möglich).

Der eigentliche Befund: Es bleibt häufig bei der Haltung

Der interessanteste Teil des Reports ist nicht die wachsende Skepsis, sondern das, was ihr nicht folgt. Laut Bitkom-Report hat nur gut ein Drittel der befragten Unternehmen (34 Prozent: 8 Prozent mehrfach, 26 Prozent einmal) bereits einen Wechsel des Cloud-Anbieters vorgenommen. 43 Prozent geben an, dass ein Wechsel für sie weder stattgefunden hat noch geplant ist.

Nach den Gründen gefragt, warum ein Wechsel schwerfällt, nennen laut Bitkom-Report 59 Prozent der Cloud nutzenden Unternehmen Lock-in-Effekte als Hürde – damit ist das der am häufigsten genannte Hinderungsgrund, noch vor fehlendem strategischem Bedarf (49 Prozent), zu hohem personellem Aufwand (45 Prozent) und hoher Komplexität der Anwendungen (ebenfalls 45 Prozent). Mit anderen Worten: Die Unsicherheit, ob man sich zu sehr auf einen einzelnen Anbieter verlassen hat, ist in vielen Unternehmen schon da – aber genau diese Abhängigkeit ist zugleich der Grund, warum sich daran so selten etwas ändert.

Dazu passt eine weitere Zahl aus dem Report: 98 Prozent der befragten Unternehmen geben an, dass das Herkunftsland des Cloud-Anbieters für sie überhaupt eine Rolle spielt. Trotzdem bleibt die tatsächliche Providerwahl in den meisten Fällen bei dem Anbieter, mit dem man einmal gestartet ist.

Was Unternehmen laut Bitkom bereit wären in Kauf zu nehmen

Der Report fragt auch danach, was Unternehmen für einen stärker souveränen Cloud-Betrieb aufzugeben bereit wären. Konkret wurde gefragt, ob die Befragten einen Cloud-Dienst nutzen würden, der Daten ausschließlich in Deutschland und vor ausländischem Zugriff geschützt verarbeitet – auch wenn dafür Nachteile in Kauf zu nehmen wären. Das Ergebnis laut Bitkom-Report:

• 25 Prozent wären bereit, länger auf neue Funktionen zu warten (2025 waren es laut Bitkom nur 12 Prozent).
• 17 Prozent würden eine schlechtere Bedienbarkeit oder einen schlechteren Service akzeptieren (2025: 6 Prozent).
• 14 Prozent würden einen eingeschränkteren Funktionsumfang hinnehmen (2025: 8 Prozent).
• 12 Prozent wären bereit, 10 bis 20 Prozent höhere Kosten zu tragen (2025: 7 Prozent).

Bemerkenswert ist dabei weniger die absolute Höhe dieser Werte als ihre Entwicklung: In jeder einzelnen Kategorie ist die Bereitschaft zu Zugeständnissen gegenüber dem Vorjahr spürbar gestiegen, bei den ersten beiden Punkten hat sie sich sogar mehr als verdoppelt. Gleichzeitig sagen laut Bitkom-Report nach wie vor 58 Prozent, ein solcher Dienst komme für sie unter keinen Umständen in Frage (2025: 65 Prozent) – die Mehrheit bleibt also bei ihrer bisherigen Lösung, aber die Minderheit, die zu Kompromissen bereit ist, wächst in allen vier abgefragten Kategorien.

Was das für die IT-Strategie eines mittelständischen Betriebs heißt

Zwischen der politisch aufgeladenen Debatte um „digitale Souveränität" und dem konkreten Betrieb eines Unternehmens liegt eine nüchterne, technische Frage: Wie schwer wäre es, bei Bedarf den Anbieter zu wechseln? Das lässt sich unabhängig von politischen Präferenzen beantworten, und der Bitkom-Report liefert dafür eine brauchbare Checkliste – nämlich die Kriterien, die Unternehmen bei der Anbieterauswahl laut eigener Angabe für am wichtigsten halten: Vertrauen in IT-Sicherheit, Datenschutz und Compliance (95 Prozent), Leistungsfähigkeit und Stabilität (91 Prozent), Möglichkeit zur Datenverschlüsselung (89 Prozent) und Schutz vor unbefugtem Zugriff durch den Cloud-Anbieter selbst (87 Prozent). Interoperabilität – also die technische Grundlage für einen späteren Wechsel – nennen dagegen nur 63 Prozent als wichtig, und eine „einfache Wechselmöglichkeit des Cloud-Providers" nur 37 Prozent.

Das ist der eigentliche Hebel: Lock-in entsteht nicht an einem einzelnen Tag, sondern durch viele kleine Entscheidungen – proprietäre Datenformate, tief integrierte Managed-Services, fehlende Exportfunktionen –, die zum Zeitpunkt der Entscheidung praktisch nie unter dem Aspekt „Wie kommen wir hier wieder raus?" geprüft werden. Wer die eigene Cloud-Architektur heute aufbaut oder erweitert, kann diese Frage von Anfang an mitdenken, ohne dafür gleich den Anbieter zu wechseln: offene Schnittstellen, dokumentierte und vollständige Datenexporte, und eine bewusste Trennung zwischen Daten, die wirklich anbieterspezifische Funktionen brauchen, und Daten, die genauso gut woanders liegen könnten.

Für produktive Arbeitslasten, die ohnehin selbst gehostet werden können – etwa Automatisierungs-Workflows oder interne Tools –, ist das ein konkreter Ansatzpunkt: Je mehr der eigenen Prozesse auf offenen, selbst betreibbaren Komponenten laufen, desto geringer die Zahl der Stellen, an denen ein einzelner Anbieter über Preis, Verfügbarkeit oder Funktionsumfang entscheidet. Das ersetzt keine vollständige Cloud-Strategie, reduziert aber genau die Abhängigkeiten, die laut Bitkom-Report am häufigsten als Wechselhürde genannt werden.

Woran sich ein solches Audit in der Praxis festmachen lässt

Eine solche Bestandsaufnahme muss nicht aufwendig sein, um nützlich zu sein. Drei Fragen reichen für den Anfang: Erstens, welche Daten liegen bei welchem Anbieter, und lassen sie sich in einem offenen, dokumentierten Format vollständig exportieren – oder nur über eine proprietäre Schnittstelle, die der Anbieter jederzeit ändern kann? Zweitens, welche der genutzten Cloud-Dienste nutzen wirklich Funktionen, die es nur bei diesem einen Anbieter gibt, und welche sind austauschbare Standardfunktionen wie Objektspeicher, virtuelle Maschinen oder E-Mail-Hosting, bei denen ein Wechsel technisch unproblematisch wäre? Drittens, gibt es vertragliche Fristen oder Kündigungsregelungen, die einen Wechsel zu einem ungünstigen Zeitpunkt erzwingen würden, etwa weil Daten nach Vertragsende nur für einen kurzen Zeitraum verfügbar bleiben?

Gerade die zweite Frage lohnt sich, weil sie oft unterschätzt wird. Laut Bitkom-Report nutzen Unternehmen KI-Dienste in der Cloud bereits heute zu 42 Prozent, mit steigender Tendenz – und gerade bei neu eingeführten KI-Funktionen ist die Versuchung groß, sie unreflektiert beim bestehenden Cloud-Anbieter zu buchen, weil die Integration am wenigsten Reibung verursacht. Das ist an sich kein Fehler, aber es lohnt sich, diese Entscheidung bewusst zu treffen statt sie aus Bequemlichkeit zu übernehmen – denn jede neue, tief integrierte Funktion erhöht den Aufwand eines späteren Wechsels zusätzlich zu dem, was ohnehin schon an Altlast besteht.

Fazit: Ein Audit, kein Umzug

Die Zahlen aus dem Bitkom Cloud Report 2026 beschreiben eine Lücke zwischen Einstellung und Handeln, nicht einen akuten Handlungszwang. Niemand muss wegen dieser Studie seine Cloud-Infrastruktur migrieren. Was sich daraus aber ableiten lässt, ist eine überschaubare Übung: eine Bestandsaufnahme, welche geschäftskritischen Daten und Prozesse bei welchem Anbieter liegen, wie vollständig sich diese Daten exportieren ließen und wie viele der genutzten Dienste wirklich anbieterspezifische Funktionen nutzen – im Gegensatz zu Standardfunktionen, die genauso gut woanders liefen. Diese Bestandsaufnahme kostet einen Nachmittag. Sie zu unterlassen kostet im Zweifel deutlich mehr, nämlich genau dann, wenn ein Wechsel nicht mehr freiwillig ist, sondern durch eine Preiserhöhung, eine Abkündigung oder eine regulatorische Vorgabe erzwungen wird.