Die kurze Antwort
Die Delos Cloud, eine Tochter von SAP, will Anfang 2027 die ersten souveränen Cloud-Dienste für die deutsche Verwaltung bereitstellen. Seit Oktober 2026 betreibt Delos die Plattform mit Azure- und Microsoft-365-Diensten in eigenen Rechenzentren in Deutschland selbst; Microsoft liefert nur noch Software und Updates, jeder Zugriff des Konzerns muss genehmigt werden und wird protokolliert. Die ISO/IEC-27001-Zertifizierung liegt vor, C5-Testate und die BSI-Prüfung stehen noch aus.
Für Behörden und ihre IT-Dienstleister heißt das: Wer heute Fachverfahren plant, die 2027 oder später in einer Cloud laufen sollen, muss Architektur und Betrieb an diesen Nachweisen ausrichten. Genau hier setzen die Migration nach Azure und ein sauber dokumentierter Cloud- und DevOps-Betrieb an.
Was hat Delos im Oktober erreicht?
Im Oktober 2026 hat Delos den Betrieb der Plattform vollständig vom Technologielieferanten Microsoft übernommen und die erste ISO-Zertifizierung erhalten. Konkret meldet das Unternehmen:
- Operativer Betrieb bei Delos: Betrieb, Sicherheit und Zugriffskontrollen der Azure- und Microsoft-365-Dienste liegen beim deutschen Betreiber. „Betrieb, Sicherheit und Zugriffskontrollen liegen nun ausschließlich bei Delos Cloud und damit in deutschen Händen“, sagt Geschäftsführer Nikolaus Hagl.
- Kontrollierter Herstellerzugriff: Auch Zugriffe von Microsoft müssen von Delos genehmigt werden und werden protokolliert.
- ISO/IEC 27001: Das Informationssicherheits-Managementsystem und der Betrieb der „Delos Cloud Direct Connection“ sind zertifiziert.
Die Rechenzentren in Deutschland stehen im Eigentum von Delos und nicht von Microsoft. Damit sollen Verwaltungsdaten dem Zugriff nach US-Recht entzogen werden.
Betriebspartner ist Arvato Systems. Delos wurde 2022 gegründet; der Bund hatte 2024 laut Handelsblatt bis zu 700 Millionen Euro für Cloud-Dienste über Delos eingeplant, damals noch mit Start ab 2025.
Welche Nachweise fehlen noch bis zum Start?
Für den Start reicht ISO 27001 allein nicht. Nach Darstellung von heise gelten für Länder und Bund unterschiedliche Freigabewege:
| Nutzergruppe | Voraussetzung | Stand November 2026 |
|---|---|---|
| Länder und Kommunen | ISO/IEC 27001 + C5-Testierung Typ 1 | ISO erreicht, C5 Typ 1 in Arbeit |
| Bundesbehörden | C5 Typ 2, ISO 27001 auf Basis von IT-Grundschutz, Empfehlung des Bundesministeriums für Digitales und Staatsmodernisierung | offen |
| Alle | BSI-Anforderungen an Cloud-Plattformen | Prüfverfahren läuft |
Der Unterschied zwischen C5 Typ 1 und Typ 2 ist für die Planung entscheidend: Typ 1 bewertet, ob die Kontrollen zu einem Stichtag angemessen gestaltet sind, Typ 2 prüft ihre Wirksamkeit über einen Zeitraum. Kommunen dürften daher früher einsteigen können als Bundesbehörden.
Warum gilt die Delos Cloud als umstritten?
Der Arbeitskreis Digitale Souveränität der Gesellschaft für Informatik warnt vor „Souveränitäts-Washing“. Sein Kernargument: Bei der Delos Cloud handle es sich um eine Cloud, die im Kern Microsoft-Technologie enthält. Auch wenn der Betrieb in Deutschland liegt, bleibe die Plattform von Microsofts Updates abhängig – und damit politisch und wirtschaftlich erpressbar, sollte der Lieferant die Versorgung einschränken.
Die Debatte läuft parallel zu anderen Ansätzen: Die Schwarz-Gruppe baut mit STACKIT eine europäische Alternative ohne US-Hyperscaler-Technik auf, über deren Mega-Rechenzentrum in Dummerstorf wir berichtet haben. Und bei Ausschreibungen wird digitale Souveränität zunehmend zum Vergabekriterium.
Was bedeutet das für Verwaltung und IT-Dienstleister?
Für Behörden, die heute schon auf Microsoft 365 und Azure-Werkzeuge setzen, verspricht Delos vertraute Technik mit deutschem Betrieb. Für alle, die Software für die öffentliche Hand entwickeln, ergeben sich konkrete Aufgaben:
- Architektur nicht an einen einzigen Anbieter ketten. Containerisierte Anwendungen, offene Schnittstellen und Infrastructure as Code halten den Wechsel zwischen Delos, STACKIT oder einer On-Premises-Umgebung offen. Das entschärft genau die Abhängigkeit, die Kritiker bemängeln.
- Funktionsumfang prüfen. Eine souveräne Variante bietet nicht automatisch alle Dienste der öffentlichen Azure-Cloud zum selben Zeitpunkt. Welche Dienste zum Start verfügbar sind, hat Delos nicht im Detail veröffentlicht – das gehört in jede Machbarkeitsanalyse.
- Nachweise mitdenken. Wer Fachverfahren in eine C5-testierte Umgebung bringt, muss eigene Komponenten ebenfalls dokumentieren: Protokollierung, Berechtigungen, Datenflüsse und Löschkonzepte nach DSGVO. Unterstützung dafür bietet unsere DSGVO-Compliance-Beratung.
- Altanwendungen rechtzeitig modernisieren. Viele Fachverfahren laufen auf Plattformen, die sich nicht ohne Umbau in eine Cloud heben lassen. Die Zeit bis zum Start lässt sich für eine schrittweise Modernisierung nutzen.
Was ist vor dem Start noch offen?
Preise und erste Kunden hat Delos bisher nicht genannt. Offen ist auch, wann genau C5 Typ 2 und die IT-Grundschutz-Zertifizierung vorliegen – und damit, ab wann Bundesbehörden tatsächlich einsteigen können. Der Start „Anfang 2027“ bezieht sich auf die ersten Dienste; ein Datum für den vollen Funktionsumfang gibt es nicht. Nach der Verschiebung gegenüber der ursprünglich angekündigten Verfügbarkeit ab 2025 werden Verwaltungen den Zeitplan genau beobachten.
Häufige Fragen
Wann startet die Delos Cloud?
Nach Angaben der Delos Cloud GmbH sollen die ersten souveränen Cloud-Dienste für die deutsche Verwaltung Anfang 2027 verfügbar sein. Ursprünglich war ein Start bereits für 2025 angekündigt worden.
Hat Microsoft noch Zugriff auf die Delos Cloud?
Seit Oktober 2026 liegen Betrieb, Sicherheit und Zugriffskontrollen laut Delos ausschließlich beim deutschen Betreiber. Auch Zugriffe von Microsoft als Technologielieferant müssen von Delos genehmigt werden und werden protokolliert. Software und Updates kommen weiterhin von Microsoft.
Welche Behörden dürfen die Delos Cloud zuerst nutzen?
Länder und Kommunen können die Plattform nutzen, sobald die C5-Testierung Typ 1 vorliegt; die ISO/IEC-27001-Zertifizierung ist bereits erreicht. Für Bundesbehörden gilt ein zweistufiges Verfahren mit C5 Typ 2, IT-Grundschutz-Zertifizierung und einer Empfehlung des Bundesministeriums für Digitales und Staatsmodernisierung.
Warum ist die Delos Cloud umstritten?
Kritiker wie der Arbeitskreis Digitale Souveränität der Gesellschaft für Informatik sprechen von „Souveränitäts-Washing“: Im Kern laufe Microsoft-Technologie, und die Plattform bleibe von Microsofts Updates abhängig.
Quellen
heise online — Umstrittene Cloud für den Staat: Delos will Anfang 2027 starten (10. November 2026)
IT-BUSINESS — Delos Cloud wird operativ und technisch souverän (November 2026)
it-daily.net — SAP-Tochter Delos übernimmt Betrieb von Microsoft (2. November 2026)
Handelsblatt — SAP: Darum gibt der Bund bis zu 700 Millionen Euro für Cloud-Dienste aus (17. September 2024)