Wir haben 134 europäische Alternativen geprüft und fallen im eigenen Test durch

Wir haben 134 europäische Alternativen geprüft und fallen im eigenen Test durch

Wir haben ein Werkzeug gebaut, das die digitale Abhängigkeit eines Unternehmens messbar macht: zwölf Fragen, ein Wert pro Ebene, ein Umstiegsplan. Es steht unter sovereignty.balane.tech und kostet nichts.

Der ehrlichste Befund kam heraus, als wir es auf uns selbst angewendet haben. Die Seite, die Unternehmen erklärt, dass der Rechtsraum ihres Anbieters zählt, läuft bei einem US-Unternehmen. Im eigenen Verzeichnis stünden wir an dieser Stelle auf der falschen Seite.

Dieser Artikel handelt weniger vom Werkzeug als von dem, was beim Bauen sichtbar wurde. Wer 134 Produkte einzeln daraufhin prüft, welchem Recht ihr Mutterkonzern unterliegt, lernt drei Dinge, die in keiner Anbieterbroschüre stehen, und eines davon über sich selbst.

Der Denkfehler, der fast alle Gespräche verdirbt

In nahezu jedem Gespräch über Souveränität fällt früh der Satz: „Unsere Daten liegen in Frankfurt." Er ist meist zutreffend und meist irrelevant.

Der US CLOUD Act von 2018 verpflichtet US-Unternehmen zur Herausgabe von Daten, die sie besitzen, verwahren oder kontrollieren, unabhängig davon, wo diese Daten physisch gespeichert sind. Die Anordnung richtet sich an das Unternehmen, nicht an das Rechenzentrum. Ein Server in Frankfurt, betrieben von der deutschen Tochter eines amerikanischen Konzerns, ändert an der Zugriffsmöglichkeit des Mutterkonzerns nichts. Die Frage ist nicht, wo die Festplatte steht. Die Frage ist, wer der Anordnung eines Gerichts folgen muss.

Daraus folgt die einzige Bewertungsregel, die wir für das Verzeichnis aufgestellt haben. Sie ist unbequem, weil sie Marketingaussagen wertlos macht:

Diese Regel hat Folgen, die uns beim Recherchieren selbst überrascht haben. Sie sortiert Produkte aus, die als europäisch vermarktet werden. Und sie lässt Produkte zu, die auf den ersten Blick amerikanisch sind, weil bei quelloffener, selbst betriebener Software der Hersteller gar nicht in der Position ist, Daten herauszugeben, die er nie bekommt.

Was beim Prüfen von 134 Produkten auffällt

Das Verzeichnis war als Liste europäischer Ersatzprodukte gedacht. Beim Prüfen wurde daraus etwas anderes: eine Liste mit Fußnoten. Die Fußnoten sind der eigentliche Wert.

Dass in einem Verzeichnis europäischer Alternativen 27 Einträge stehen, deren Mutterkonzern nicht in der EU sitzt, ist kein Fehler. Es ist der interessanteste Teil. Drei Muster tauchten immer wieder auf.

Erstens: Das Produkt ist europäisch, der Eigentümer nicht mehr. ownCloud gilt vielen als deutsche Antwort auf Dropbox. Die ownCloud GmbH gehört seit 2023 zum US-Unternehmen Kiteworks. Der Code bleibt offen und selbst betreibbar. Der Hersteller unterliegt aber US-Recht. Wer 2022 eine Souveränitätsentscheidung getroffen hat, hat sie seither nicht mehr. Eigentümerwechsel sind der häufigste Weg, auf dem eine geprüfte Entscheidung still verfällt.

Zweitens: Der Betriebsmodus entscheidet, nicht das Produkt. Jitsi Meet ist freie Software und gehört dem US-Anbieter 8x8. Wer meet.jit.si benutzt, nutzt einen US-Dienst. Wer dieselbe Software auf dem eigenen Server betreibt, hat mit 8x8 nichts zu tun. Dasselbe Muster bei Matomo, dessen Firma in Neuseeland sitzt, bei Grafana, das heute ein US-Unternehmen ist, und bei Keycloak, das von Red Hat und damit von IBM getragen wird. Bei allen vieren lautet die Antwort auf die Souveränitätsfrage: kommt darauf an, wo es läuft. Ein Verzeichnis, das nur „europäisch: ja/nein" kennt, kann das nicht abbilden.

Drittens: Die Herkunft steht selten dort, wo man sie sucht. Die kommerzielle Gitea Ltd. ist in Hongkong registriert. 2022 war das der Anlass für die Abspaltung von Forgejo. Auf der Produktseite steht das nicht. Man findet es im Handelsregister, in einer Mailingliste, in einem Blogeintrag der Abspalter. Für eine Kaufentscheidung ist es relevant; für die Suchmaschine ist es unsichtbar.

Deshalb steht bei jedem Eintrag ein Feld, das wir „Haken" nennen: das, was der Anbieter selbst nicht auf seine Startseite schreibt. Auch bei Produkten, die wir gut finden. Ein Verzeichnis ohne dieses Feld ist ein Werbeprospekt mit Filterfunktion.

Warum unten mehr zählt als oben

Die zweite Erkenntnis betrifft die Reihenfolge. Abhängigkeit ist keine Liste, sondern ein Stapel. Jede Schicht steht auf der darunter und erbt deren Rechtsraum, ob sie will oder nicht.

Ein europäisches CRM auf einer amerikanischen Cloud ist kein europäisches CRM. Es ist eine europäische Anwendung mit amerikanischem Fundament. Das ist keine Spitzfindigkeit: Wenn die untere Schicht ausfällt, gesperrt wird oder einer Anordnung folgen muss, hilft die Herkunft der oberen niemandem.

Die rechte Spalte ist dabei die interessante: Sie nennt nicht, wie abhängig eine Schicht ist, sondern was ein Wechsel dort kostet.

Die praktische Folge steht quer zu dem, was üblicherweise zuerst angefasst wird. Am lautesten diskutiert wird die oberste Schicht: welches KI-Modell, welcher Assistent. Sie ist zugleich die am leichtesten austauschbare: eine Schnittstelle, eine Konfiguration, ein Nachmittag. Die Schicht mit der größten Hebelwirkung ist die Anmeldung. Wer den Identitätsdienst wechselt, verschiebt die Kontrolle über den Zugang zu allem, was darüber liegt. Genau deshalb dauert es Monate, und niemand fängt gern damit an.

Ein Wechsel unten zahlt sich meist mehr aus als drei Wechsel oben. Das ist die unbequemste Aussage des ganzen Werkzeugs, weil sie den Aufwand dorthin schiebt, wo er weh tut.

Der eigene Fall: diese Seite läuft bei einem US-Anbieter

Womit wir bei uns wären.

sovereignty.balane.tech läuft bei Vercel, einem Unternehmen mit Sitz in den USA. Der Betreiber der Seite unterliegt damit demselben CLOUD Act, den die Seite erklärt. Es gibt einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, und die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Das ist die rechtlich saubere Formulierung. Sie ändert nichts an der Einordnung, die unser eigenes Verzeichnis vornehmen würde.

Wir hätten das weglassen können. Es steht niemandem ins Gesicht geschrieben, wo eine statische Seite ausgeliefert wird. Wir schreiben es hin, weil eine Seite über Abhängigkeit, die ihre eigene verschweigt, ein Werbetext ist.

Zur ehrlichen Bilanz gehört allerdings auch die Gegenrechnung, und die fällt in diesem Fall günstig aus. Ausgeliefert werden ausschließlich öffentliche Inhalte: keine Konten, keine Formulare, keine Datenbank, keine Cookies, keine Reichweitenmessung. Die Antworten im Souveränitäts-Check verlassen den Browser nicht: Sie liegen im lokalen Speicher, werden dort ausgewertet und erreichen keinen Server, auch unseren nicht. Was beim Hoster entsteht, sind Server-Protokolle mit IP-Adressen. Der Schaden ist klein. Null ist er nicht.

Das ist keine Koketterie mit der eigenen Unzulänglichkeit. Es ist der Normalfall. Kaum ein Unternehmen entscheidet über seinen Stack auf der grünen Wiese; die meisten Abhängigkeiten sind über Jahre entstanden, jede einzelne damals vernünftig begründet. Wer daraus einen Vorwurf macht, hilft niemandem. Wer daraus eine Reihenfolge macht, schon.

Was Sie in fünf Minuten selbst herausfinden

Der Grund, warum das Ganze ein Werkzeug geworden ist und kein weiterer Artikel: Die allgemeine Lage kennt inzwischen jeder. Was fehlt, ist die Übersetzung auf den eigenen Betrieb.

Der Souveränitäts-Check stellt zwölf Fragen zu dem, was Sie täglich benutzen: Cloud, Anmeldung, E-Mail, Dateien, Videokonferenz, Fachanwendungen, KI, Schlüssel und Verträge. Am Ende steht ein Wert pro Ebene, die drei größten Hebel und ein Fahrplan, sortiert nach Wirkung geteilt durch Aufwand. Vier Zeithorizonte: was diese Woche geht, was in sechs Monaten, was in zwölf, und was nur mit dem nächsten Vertragszyklus.

Drei Dinge, die dabei bewusst nicht passieren: Es gibt keine Anmeldung. Es werden keine Daten an uns übertragen. Und es wird Ihnen nichts verkauft: Wir verdienen an keiner der 134 gelisteten Alternativen und bekommen für keine Nennung Geld.

Der Fahrplan ist auf Druck ausgelegt, weil er in der Praxis meist als Anlage in einer Geschäftsführungssitzung landet. Das ist der Moment, für den das Werkzeug gebaut ist: nicht die Erkenntnis, dass man abhängig ist, sondern die Vorlage, mit der jemand eine Entscheidung begründen kann.

Was das mit Architektur zu tun hat

Wir bauen Software für den Mittelstand, und unsere Haltung zur Souveränitätsfrage ist unaufgeregt: Gute Architektur ist souveräne Architektur. Portabilität, offene Formate, austauschbare Bausteine und ein dokumentierter Weg nach draußen sind keine politischen Anforderungen, sondern handwerkliche. Wer sie erfüllt, bekommt Unabhängigkeit als Nebenprodukt, und zwar auch dann, wenn sich die Bedrohungslage nie realisiert, weil dieselben Eigenschaften jede Preisverhandlung verändern.

Die wichtigste Frage bei jeder Softwareentscheidung ist deshalb nicht „Was kann sie?", sondern „Wie komme ich wieder heraus?". Wer sie beantworten kann, muss nicht wechseln. Er kann es nur.

Das Werkzeug steht unter sovereignty.balane.tech. Datenstand des Verzeichnisses: August 2026. Wenn Ihnen ein Fehler auffällt oder ein Eigentümerwechsel entgangen ist, schreiben Sie uns. Korrekturen sind der einzige Grund, warum eine solche Liste über Jahre brauchbar bleibt.