Mit STACKIT baut die Schwarz Gruppe eine souveräne Cloud-Infrastruktur aus Deutschland auf. Neue Großprojekte des Bundes zeigen 2026, dass daraus mehr werden könnte als eine Alternative für besonders sensible Daten.
Mit STACKIT entwickelt sich aus Deutschland eine Cloud-Plattform, die zunehmend zu einer strategischen Alternative für Unternehmen und Behörden wird, bei denen Datensouveränität, Sicherheit und regulatorische Kontrolle entscheidend sind.
Die von Schwarz Digits betriebene Cloud-Infrastruktur gehört zur Schwarz Gruppe, dem Konzern hinter Lidl und Kaufland. STACKIT betreibt eigene Rechenzentren in Deutschland und Österreich und verbindet europäische Datenhaltung mit DSGVO-konformer Datenverarbeitung, einem C5-Typ-2-Testat sowie ISO-27001-Zertifizierungen, darunter ISO 27001 auf Basis von IT-Grundschutz.
Was lange vor allem als europäische Alternative zu den großen amerikanischen Hyperscalern wahrgenommen wurde, gewinnt 2026 eine neue Dimension. STACKIT wurde für bedeutende Cloud- und KI-Projekte der deutschen Verwaltung ausgewählt.
Damit geht es längst nicht mehr nur um die Frage, ob Europa eine eigene Cloud-Infrastruktur braucht. Entscheidend wird vielmehr, ob Anbieter wie STACKIT daraus eine wettbewerbsfähige europäische Technologieplattform entwickeln können.
Warum ist STACKIT 2026 relevant?
STACKIT ist vor allem deshalb relevant, weil der deutsche Cloud-Anbieter europäische Datenhaltung und eine deutsche Eigentümerstruktur mit der finanziellen Stärke der Schwarz Gruppe verbindet.
Mit der KI-Plattform des Bundes und seiner Beteiligung am GovTech-Deutschland-Rahmenvertrag hat STACKIT 2026 zudem zwei wichtige Referenzen im öffentlichen Sektor gewonnen.
Damit entwickelt sich das Unternehmen von einer souveränen Cloud-Alternative zu einem ernstzunehmenden Infrastruktur-Anbieter für sensible europäische Anwendungen.
Warum regulierte Branchen ihre Cloud-Strategie neu bewerten
Öffentliche Verwaltungen, Banken, Versicherungen, Gesundheitsdienstleister und andere Organisationen, die mit sensiblen Daten arbeiten, stehen vor immer komplexeren Anforderungen.
Cybersecurity, Datenschutz, operative Resilienz und digitale Souveränität spielen bei der Auswahl eines Cloud-Anbieters eine immer größere Rolle.
Damit verändert sich auch die Entscheidungslogik.
Rechenleistung, Preis und Funktionsumfang bleiben wichtig. Doch ebenso relevant werden der Unternehmenssitz des Anbieters, die Eigentümerstruktur, der Standort der Rechenzentren, Sicherheitsstandards und die Frage, welcher Rechtsordnung sensible Daten unterliegen.
Genau hier entsteht Raum für europäische Anbieter wie STACKIT.
Im Gegensatz zu den großen US-Hyperscalern ist STACKIT ein deutsches Unternehmen ohne amerikanische Muttergesellschaft. Nach Angaben des Unternehmens unterliegt seine Infrastruktur daher nicht dem US CLOUD Act.
Für Organisationen, die ihre Abhängigkeit von außereuropäischen Rechtsordnungen reduzieren wollen, ist das ein relevanter Unterschied.
Daten in Europa: STACKITs Antwort auf die Souveränitätsfrage
STACKIT betreibt seine Infrastruktur ausschließlich in eigenen europäischen Rechenzentren in Deutschland und Österreich. Nach Unternehmensangaben finden Datenerhebung, Speicherung und Verarbeitung innerhalb Europas und unter europäischem Recht statt.
Gerade für Behörden und stark regulierte Unternehmen kann dieses Modell bestimmte juristische und operative Risiken international verteilter Cloud-Strukturen reduzieren.
Dabei gilt allerdings: Der Standort eines Rechenzentrums allein garantiert noch keine vollständige regulatorische Compliance. Auch die Kunden bleiben dafür verantwortlich, wie Dienste konfiguriert und personenbezogene oder sensible Daten verarbeitet werden.
Der Unterschied liegt deshalb weniger in einem einzelnen technischen Merkmal als im Gesamtmodell: europäische Eigentümerstruktur, europäische Infrastruktur und europäische Rechtsordnung.
Für Deutschland ist diese Frage inzwischen weit mehr als ein Datenschutzthema. Sie berührt die grundsätzliche Fähigkeit Europas, kritische digitale Infrastruktur selbst zu kontrollieren.
C5 Typ 2 und ISO 27001 stärken STACKITs Position
Für regulierte Märkte sind unabhängige Sicherheitsnachweise ein wesentlicher Bestandteil jeder Cloud-Entscheidung.
STACKIT verfügt über ein C5-Typ-2-Testat auf Grundlage des Kriterienkatalogs Cloud Computing C5 des Bundesamts für Sicherheit in der Informationstechnik (BSI).
Hinzu kommen unter anderem Zertifizierungen nach ISO/IEC 27001 sowie ISO 27001 auf Basis von IT-Grundschutz, außerdem ISO/IEC 27017 und ISO/IEC 27018.
Dabei ist eine wichtige Unterscheidung notwendig: C5 ist keine vom BSI selbst ausgestellte Zertifizierung. Unabhängige Wirtschaftsprüfer prüfen Cloud-Anbieter anhand der vom BSI entwickelten Kriterien.
Gerade das Typ-2-Testat ist für Unternehmen und Behörden relevant, weil dabei nicht nur die Ausgestaltung, sondern auch die Wirksamkeit der Kontrollen über einen definierten Prüfzeitraum betrachtet wird.
Für Beschaffungs- und Sicherheitsteams schafft dies eine strukturierte Grundlage zur Bewertung von Cloud-Risiken – auch wenn es die eigene Compliance-Prüfung eines Kunden nicht ersetzt.
Der Bund wird zum wichtigen Praxistest
Wie ernst STACKIT inzwischen als Infrastrukturplattform genommen wird, zeigte sich besonders deutlich im Mai 2026.
Ein Konsortium unter Führung von SVA System Vertrieb Alexander gemeinsam mit Codesphere und STACKIT erhielt einen Auftrag im Zusammenhang mit der neuen KI-Plattform des Bundesministeriums für Digitales und Staatsmodernisierung (BMDS).
STACKIT stellt dafür die souveräne Cloud-Infrastruktur bereit. Das Projekt hat ein Volumen von rund 250 Millionen Euro.
Die Plattform soll Behörden von Bund und Ländern ermöglichen, KI-Anwendungen einzusetzen – darunter intelligente Dokumentenverarbeitung sowie Systeme zur Beschleunigung von Planungs- und Genehmigungsverfahren.
Für STACKIT ist dies weit mehr als ein prestigeträchtiger Referenzkunde.
Es ist ein groß angelegter Praxistest dafür, ob eine in Deutschland entwickelte und europäisch betriebene Cloud-Infrastruktur sensible staatliche KI-Anwendungen zuverlässig tragen kann.
Und genau darin liegt eine gewisse industriepolitische Symbolik: Deutschland, das bei vielen digitalen Plattformtechnologien lange von amerikanischen und asiatischen Konzernen abhängig war, versucht bei der nächsten Generation kritischer Infrastruktur wieder stärker auf eigene technologische Fähigkeiten zu setzen.
STACKIT wird Teil des 250-Millionen-Euro-Rahmenvertrags von GovTech Deutschland
Nur wenige Tage später folgte ein weiteres Signal.
STACKIT wurde in das Cloud-Portfolio aufgenommen, das Bechtle im Rahmenvertrag von GovTech Deutschland anbietet. Der Vertrag besitzt ein mögliches Gesamtvolumen von bis zu 250 Millionen Euro.
Bund, Länder und Kommunen erhalten darüber Zugang zu skalierbaren Infrastruktur- und KI-Diensten.
STACKIT wurde dabei für die Multi-Cloud-Umgebungen der Deutschlandplattform sowie der Gesundheitsplattform MEDI:CUS ausgewählt.
Gerade diese Einsatzgebiete sind bemerkenswert.
Öffentliche Verwaltung und Gesundheitswesen gehören zu den Bereichen, in denen Datenschutz, Sicherheit und die Kontrolle über digitale Infrastruktur besonders hohe Anforderungen stellen.
Dass STACKIT hier zum Einsatz kommt, macht aus dem Versprechen digitaler Souveränität zunehmend einen konkreten Anwendungsfall.
Die Schwarz Gruppe bringt etwas mit, das vielen europäischen Cloud-Anbietern fehlt
STACKIT besitzt zudem einen entscheidenden Vorteil gegenüber vielen kleineren europäischen Cloud-Unternehmen: finanzielle und industrielle Rückendeckung.
Hinter Schwarz Digits steht die Schwarz Gruppe – einer der größten Handelskonzerne Europas und Muttergesellschaft von Lidl und Kaufland.
Damit verfügt STACKIT über einen Eigentümer, der langfristig erhebliche Summen in Rechenzentren, Cybersecurity, Softwareentwicklung und Fachkräfte investieren kann.
Das unterscheidet das Unternehmen von europäischen Cloud-Start-ups, bei denen große Kunden auch die langfristige finanzielle Stabilität des Anbieters berücksichtigen müssen.
Dennoch wäre es falsch, STACKIT bereits als vollständigen Ersatz für AWS, Microsoft Azure oder Google Cloud darzustellen.
Die amerikanischen Hyperscaler besitzen weiterhin enorme Vorteile bei globaler Reichweite, Entwickler-Ökosystemen, Rechenkapazität und Breite ihres Produktangebots.
STACKIT verfolgt jedoch eine andere Wettbewerbslogik.
Wo maximale globale Skalierbarkeit und ein möglichst großes Service-Portfolio gefragt sind, bleiben die amerikanischen Anbieter äußerst stark.
Wo dagegen europäische Rechtsordnung, Datensouveränität und operative Kontrolle stärker gewichtet werden, besitzt STACKIT ein zunehmend überzeugendes Argument.
Entsteht in Europa ein neuer Cloud-Markt?
Die Entwicklung von STACKIT könnte auf eine grundsätzliche Veränderung des europäischen Cloud-Marktes hindeuten.
Es ist wenig wahrscheinlich, dass europäische Anbieter die amerikanischen Hyperscaler kurzfristig vollständig verdrängen.
Wahrscheinlicher ist eine stärkere Aufteilung nach Art und Sensibilität der Anwendungen.
AWS, Microsoft und Google könnten weiterhin einen großen Teil allgemeiner und international verteilter Workloads dominieren.
Europäische souveräne Cloud-Plattformen könnten dagegen einen wachsenden Anteil bei Behörden, Gesundheitsdaten, Finanzdienstleistungen und anderen sicherheitskritischen Anwendungen übernehmen.
Die Projekte von GovTech Deutschland und dem BMDS liefern erste konkrete Hinweise darauf, dass dieses Modell Realität werden könnte.
Für STACKIT beginnt damit allerdings erst die nächste Phase.
Ob aus einer starken Position in Deutschland ein wirklich bedeutender europäischer Cloud-Anbieter entsteht, wird davon abhängen, ob das Unternehmen bei Preis, Funktionsumfang, Entwicklerfreundlichkeit, Interoperabilität und Innovationsgeschwindigkeit mithalten kann.
Häufig gestellte Fragen
Kann STACKIT mit AWS, Microsoft Azure und Google Cloud konkurrieren?
Ja – allerdings nicht zwingend über dieselbe Strategie. STACKIT muss nicht das gesamte Service-Portfolio der amerikanischen Hyperscaler kopieren. Seine stärkste Differenzierung liegt bei Anwendungen, für die europäische Rechtsordnung, Datensouveränität, Sicherheitsanforderungen und Unabhängigkeit vom US CLOUD Act wichtige Beschaffungskriterien darstellen.
Wie schützt STACKIT Daten und Privatsphäre?
STACKIT kombiniert europäische Rechenzentrumsinfrastruktur mit DSGVO-konformer Datenverarbeitung, einem C5-Typ-2-Testat und mehreren ISO-Zertifizierungen. Die Infrastruktur wird innerhalb Europas betrieben, und STACKIT besitzt keine US-amerikanische Muttergesellschaft.
Wo speichert STACKIT seine Daten?
STACKIT gibt an, seine Infrastruktur ausschließlich in eigenen europäischen Rechenzentren in Deutschland und Österreich zu betreiben. Datenerhebung, Speicherung und Verarbeitung erfolgen nach Unternehmensangaben unter europäischem Recht.
Für welche Branchen ist STACKIT besonders interessant?
Das Souveränitätsmodell ist insbesondere für öffentliche Verwaltungen, Gesundheitswesen, Finanzdienstleister sowie andere regulierte oder sicherheitssensible Bereiche relevant. Die Beteiligung an der Deutschlandplattform, MEDI:CUS und der KI-Plattform des Bundes zeigt, dass dieses Modell zunehmend auch bei großen öffentlichen Projekten zum Einsatz kommt.
Ist STACKIT vom BSI C5-zertifiziert?
Genauer gesagt verfügt STACKIT über ein C5-Typ-2-Testat auf Grundlage der C5-Kriterien des BSI. Das BSI stellt diese Testate nicht selbst aus. Die Prüfung erfolgt unabhängig anhand des vom Bundesamt entwickelten Kriterienkatalogs.
Die wichtigsten Punkte
STACKIT betreibt souveräne europäische Cloud-Infrastruktur in eigenen Rechenzentren in Deutschland und Österreich.
Zum Sicherheits- und Compliance-Modell gehören unter anderem ein C5-Typ-2-Testat und ISO-27001-Zertifizierungen.
Aufgrund seiner deutschen Eigentümerstruktur und fehlenden US-Muttergesellschaft ist STACKIT nach eigenen Angaben nicht dem US CLOUD Act unterworfen.
Die Beteiligung an der KI-Plattform des Bundes und am GovTech-Deutschland-Rahmenvertrag liefert konkrete Belege für die wachsende Bedeutung des Anbieters im öffentlichen Sektor.
Die größte Chance für STACKIT liegt nicht darin, amerikanische Hyperscaler überall zu ersetzen, sondern dort Marktanteile zu gewinnen, wo europäische Souveränität selbst zu einem Wettbewerbsvorteil wird.
Fazit: Eine deutsche Cloud-Ambition wird erwachsen
STACKITs Position im europäischen Cloud-Markt hat sich 2026 deutlich verändert.
Europäische Infrastruktur, deutsche Eigentümerstruktur, unabhängige Sicherheitsnachweise und die finanzielle Stärke der Schwarz Gruppe bildeten bereits zuvor ein ungewöhnlich starkes Fundament.
Mit den großen Projekten der deutschen Verwaltung kommt nun etwas Entscheidendes hinzu: der Nachweis, dass dieses Modell auch bei strategisch relevanten Anwendungen im großen Maßstab eingesetzt werden kann.
Damit verändert sich die zentrale Frage.
Es geht nicht mehr nur darum, ob Deutschland und Europa einen souveränen Cloud-Anbieter aufbauen können. Entscheidend ist nun, wie groß ein solcher Anbieter werden kann.
Deutschland hat bei der ersten Generation globaler Internetplattformen nur wenige eigene Champions hervorgebracht. Bei Cloud-Infrastruktur, Cybersecurity und künstlicher Intelligenz bietet sich nun eine neue Gelegenheit, technologische Abhängigkeiten zumindest in strategischen Bereichen zu reduzieren.
STACKIT allein wird Europas digitale Souveränität nicht sichern.
Doch sollte es dem Unternehmen gelingen, seinen Erfolg bei deutschen Behörden und regulierten Branchen auf weitere Unternehmen und europäische Märkte zu übertragen, könnte aus einem IT-Projekt der Schwarz Gruppe etwas deutlich Größeres entstehen:
ein deutscher Cloud-Anbieter mit europäischem Anspruch.
