Französische digitale Souveränität und sicheres Datei-Hosting

Französische Anforderungen an digitale Souveränität beim Datei-Hosting drehen sich um drei Kernpunkte: wo die Daten physisch gespeichert sind, wer rechtlich darauf zugreifen kann und ob der Anbieter durch ausländisches Recht zur Herausgabe gezwungen werden kann. Im Jahr 2026 verlangen öffentliche Auftraggeber und regulierte Käufer zunehmend die SecNumCloud-Qualifikation der ANSSI, Speicherung auf französischem oder EU-Boden unter Anbietern des französischen Rechts sowie Immunität gegenüber extraterritorialen Gesetzen wie dem US CLOUD Act. Die Doktrin „Cloud au centre", formalisiert durch den Rundbrief des Premierministers vom Mai 2021 und seitdem gestärkt, macht dies zu einer Beschaffungsanforderung – nicht nur zu einem Wunsch.

Warum Souveränität bei der Dateiübertragung eine Rolle spielt

Ein französisches Krankenhaus, das Patientenbilder über einen US-amerikanischen Dateiübertragungsdienst versendet, erzeugt drei Probleme. Erstens erlaubt der US CLOUD Act (2018) US-Strafverfolgungsbehörden, Kundendaten unabhängig vom Speicherort zu beschlagnahmen. Zweitens erfasst Section 702 des FISA Kommunikation von Nicht-US-Personen auf eine Weise, die den EuGH wiederholt zu Schrems-Urteilen bewogen hat. Drittens erwarten Frankreichs Gesetz zur Militärprogrammplanung und das jüngste Cybersicherheitsgesetz, dass sensible Sektoren Anbieter nutzen, die solcher Einflussnahme entzogen sind. Dateiübertragungsdaten sind selten als „Staatsgeheimnis" eingestuft, aber Patientenakten, Rechtsstrategie und F&E-Dokumente fallen häufig unter sektorspezifische Schutzvorschriften, die mit Souveränitätsanforderungen übereinstimmen.

SecNumCloud: Was die Qualifikation bedeutet

SecNumCloud ist die Cloud-Qualifikation der ANSSI. Sie prüft sowohl technische Sicherheit als auch rechtliche Unabhängigkeit. Das 2022er Referenzwerk v3.2, mit Klarstellungen in v3.2bis (2023–2024) aktualisiert, fügte explizite Immunitätskriterien hinzu: Kapital, Verträge und Entscheidungsfindung des Anbieters müssen so strukturiert sein, dass kein nicht-europäisches Recht die Offenlegung von Daten erzwingen kann. In der Praxis bedeutet das: mehrheitlich europäisches Eigentum, Vertragsparteien nach europäischem Recht und europäische Betriebskontrolle. Qualifizierte Anbieter 2026 sind unter anderem OVHcloud (Hosted Private Cloud), Outscale, Worldline, Bleu (das Microsoft-Orange-Capgemini-Joint-Venture für Sovereign Azure) und S3NS (Thales-Google Cloud). Die Liste ist kurz, weil die Hürde hoch ist.

Hosting französischer Gesundheitsdaten: HDS-Zertifizierung

Getrennt von SecNumCloud erfordert das Hosting von Gesundheitsdaten in Frankreich die HDS-Zertifizierung (Hébergeur de Données de Santé) gemäß Artikel L1111-8 des Code de la santé publique. HDS hat zwei Geltungsbereiche – Infrastruktur-Hosting und ausgelagertes Hosting – und wird gegen ein Referenzrahmen auditiert, der mit ISO 27001 und sektorspezifischen Kontrollen übereinstimmt. Jeder Dateiübertragungsdienst, der von französischen Krankenhäusern, Kliniken oder medizinischen Labors mit PHI genutzt wird, muss HDS-zertifiziert sein oder auf einer HDS-zertifizierten Plattform betrieben werden. Das HDS-Hosting außerhalb dieser Zertifizierung ist ein vertraglicher und regulatorischer Verstoß – selbst wenn die Daten verschlüsselt sind.

Französisches Recht zu Datenspeicherung und Strafverfolgungszugriff

Französische Strafverfolgungsbehörden können auf gehostete Dateien zugreifen – auf Basis der digitalen Ermittlungsartikel des Code de procédure pénale, die in den meisten Fällen eine richterliche Anordnung erfordern. Für Nachrichtendienste erlaubt das Renseignement-Gesetz vom 24. Juli 2015 spezifische Abfangmaßnahmen mit vorheriger Genehmigung. Dieses Regime ähnelt nicht dem US National Security Letter oder dem geheimen FISA-702-Verfahren. Souveränitätsorientiertes Hosting in Frankreich bedeutet: Ihre Daten können von französischen Behörden nach französischem Recht mit französischer Justizprüfung eingesehen werden – was viele französische regulierte Käufer ausländischen Offenlegungsregimen vorziehen, die sie nicht kontrollieren.

EU-weite Alternativen und Gaia-X

Über rein französische Anbieter hinaus bietet das breitere europäische Cloud-Ökosystem Souveränität durch den Gaia-X-Rahmen, der föderierte Daten- und Dienstkriterien definiert – einschließlich Anbieter-Lokalisierung und Vertragsbedingungen. Gaia-X-Labels auf verschiedenen Ebenen zeigen die Compliance-Tiefe an. Anbieter wie OVHcloud, Scaleway, IONOS, Hetzner und T-Systems beteiligen sich. Bei der Dateiübertragung lautet die praktische Frage, ob die Infrastruktur des Anbieters – von Storage-Backend über CDN bis Observability – vollständig unter europäisch-rechtlichen Anbietern liegt oder ob Teile des Stacks in die US-Sphäre abfließen.

Extraterritorialität und der CLOUD Act in der Praxis

Der US CLOUD Act erlaubt der US-Regierung, gespeicherte Daten von US-ansässigen Dienstleistern anzufordern – unabhängig davon, wo die Daten liegen. In den Jahren 2023 und 2024 schlossen mehrere hochprofilierte französische Beschaffungsentscheidungen US-Eltern-Clouds ausdrücklich aus, selbst wenn diese EU-only-Regionen anboten. Die rechtliche Begründung: Verschlüsselung im Ruhezustand blockiert die Offenlegung nicht, wenn der Anbieter die Schlüssel kontrolliert. Ein souveränitätsgerechter Dateiübertragungsdienst hält Schlüssel ausschließlich unter europäischen Einheiten – oder nutzt noch besser Ende-zu-Ende-Verschlüsselung, sodass der Anbieter keinen Klartext hat, den er auch unter Zwang offenlegen könnte.

Beschaffungssprache, die Souveränität durchsetzt

Französische öffentliche Auftraggeber formulieren Souveränität zunehmend in Ausschreibungen mit konkreten Klauseln. Typische Formulierung: Der Anbieter muss SecNumCloud-qualifiziert sein, Daten müssen auf französischem oder EU-Territorium verbleiben, Betreiber und Unterauftragnehmer müssen EU-Recht unterliegen, und kein Zugriff durch Nicht-EU-Behörden auf Basis ausländischen Rechts darf erfolgen. Private Unternehmen in regulierten Sektoren (Banken, Versicherungen, Verteidigung) übernehmen ähnliche Formulierungen. Selbst außerhalb regulierter Sektoren hat das Thema Souveränität nach dem Französischen Geheimdienstgesetz 2023 und den Ankündigungen zur Industriestrategie 2024 Einzug auf Vorstandsebene gehalten.

Konsequenzen für die Wahl des Dateiübertragungsdienstes

Für französische Unternehmen mit sensiblen Daten sieht die Entscheidungslogik 2026 so aus: Unterliegen die Daten sektorspezifischen Regeln (Gesundheit, Verteidigung, öffentliche Verwaltung)? Dann SecNumCloud-qualifizierter oder HDS-zertifizierter Anbieter. Sind die Daten sensibel, aber nicht reguliert? Dann EU-Rechts-, EU-gehosteter Anbieter mit starken Vertragsverpflichtungen. Sind die Daten geringwertig? Dann reichen Standard-DSGVO-konforme EU-gehostete Tools. In allen Fällen zählt die Verschlüsselungsarchitektur: clientseitige, Ende-zu-Ende-Verschlüsselung neutralisiert viele Offenlegungsrisiken, weil der Anbieter die Datei buchstäblich nicht lesen kann.

HexaTransfer verschlüsselt Dateien im Browser mit AES-256-GCM vor dem Upload, sodass der auf EU-Infrastruktur liegende Chiffretext weder vom Dienst noch von einer Partei ohne den Link-Fragment lesbar ist. Testen Sie es auf hexatransfer.com – kostenlos, kein Konto erforderlich, maximal 10 GB.

Französische digitale Souveränität ist kein Isolationismus. Es handelt sich um konkrete rechtliche und technische Kontrollen, die die Offenlegung von Daten unter französischem oder europäischem Recht steuerbar machen. Für Datei-Hosting ist der richtige Stack: ein qualifizierter Anbieter für regulierte Workloads, clientseitige Verschlüsselung für alles andere und Verträge, die französische oder EU-Jurisdiktion benennen. Alles darunter lässt eine Lücke, durch die eine entschlossene Auslandsbehörde schreiten kann.