Zum Inhalt springen
Unabhängig verifiziert · Quartalsweises Re-Audit
EU VETTED
Kuratierte Sammlung

Deutsche Cloud-Anbieter

Cloud- und Speicher-Anbieter mit Hosting in Deutschland, verglichen nach Rechenzentrums-Standort, Eigentümern, CLOUD-Act-Risiko, Unterauftragsverarbeitern und Zertifizierungen wie BSI C5.

Kurzfassung

Führende deutsche Cloud-Anbieter mit Hosting in Deutschland sind Hetzner, IONOS und STACKIT für Infrastruktur sowie Nextcloud, luckycloud und STRATO HiDrive für Speicher, alle EU-eigen und in deutschen Rechenzentren betrieben, geprüft auf DSGVO-Konformität, BSI C5 und CLOUD-Act-Exposition. Entscheidend ist nicht der Standort allein: Eigentum und Unterauftragsverarbeiter bestimmen, ob ein Anbieter wirklich außerhalb der Reichweite des US CLOUD Act liegt.

EU Vetted Editorial
Geprüft Juni 2026 Wie wir prüfen

Einige Links auf dieser Website sind Affiliate-Links. Wir erhalten ggf. eine Provision ohne Mehrkosten für Sie. Redaktionelle Signale und Rankings werden nicht durch Affiliate-Beziehungen beeinflusst.

Ein deutscher Cloud-Anbieter ist hier ein Infrastruktur-, Hosting- oder Speicher-Unternehmen, dessen betreibende Gesellschaft in Deutschland eingetragen und ansässig ist und dessen primäre Infrastruktur in deutschen Rechenzentren läuft. Diese Seite vereint zwei Schichten, die ein deutscher Käufer in der Praxis gemeinsam betrachtet: souveräne Infrastruktur (IaaS/PaaS wie Hetzner, IONOS und STACKIT) und DSGVO-konformen Cloud-Speicher (luckycloud, Nextcloud, STRATO HiDrive). Jeder Eintrag wird an denselben Feldern geprüft, die den Ausschlag geben (Hosting-Region, Eigentümer-Signal, CLOUD-Act-Risiko, Unterauftragsverarbeiter-Kette und anerkannte Zertifizierungen), und jede Angabe ist mit der öffentlichen Dokumentation des Anbieters belegt sowie im Quartalsrhythmus aktualisiert.

Warum es darauf ankommt

Auch die Frankfurt-Region eines US-Hyperscalers löst die Rechtsfrage nicht: Der CLOUD Act erreicht ein der US-Gerichtsbarkeit unterliegendes Unternehmen unabhängig vom Serverstandort, sodass eine deutsche Region den Datenstandort verlagert, ohne zu ändern, wer zur Herausgabe gezwungen werden kann (die vollständige Mechanik erklärt die Seite zu europäischen Cloud-Anbietern). Ein wirklich deutscher Anbieter (in Deutschland eingetragen, deutsch kontrolliert, ohne US-Unterauftragsverarbeiter im Datenpfad) hat ein strukturell schwächeres Risikoprofil. Hetzner etwa akzeptiert für seine Rechenzentren in Falkenstein und Nürnberg behördliche Anfragen ausschließlich von deutschen Gerichten; seine CLOUD-Act-Exposition ist im Verzeichnis mit „Keines” erfasst. Doch „wirklich deutsch” ist eine Kette von Fakten, kein Logo: die betreibende Einheit, ihre Eigentümer und ihre Unterauftragsverarbeiter. Wir erfassen jedes Glied separat, so sehen Sie auch, dass ein günstiger deutscher Host mit US-CDN oder US-Managed-Datenbank im Datenpfad sein Risiko an unerwarteter Stelle wieder einsammelt.

Auf einen Blick

Kernfakten je Anbieter, geprüft anhand der eigenen Unterlagen des Anbieters.

  • Nextcloud

    gehostet in Germany, verschlüsselt im Ruhezustand, keine CLOUD-Act-Exposition, ab 6 €/Mon..

    Am besten für: Organisationen, die selbst hosten oder gemanagte EU-Infrastruktur nutzen möchten und volle Kontrolle über Daten, Verschlüsselungsschlüssel und Unterauftragsverarbeiter wünschen

  • luckycloud

    gehostet in Germany, Zero-Knowledge-Ende-zu-Ende-Verschlüsselung, keine CLOUD-Act-Exposition.

    Am besten für: Kleine und mittlere Unternehmen aus Deutschland und der DACH-Region, die Zero-Knowledge-Speicherung in den eigenen deutschen Rechenzentren eines kleinen inhabergeführten Anbieters suchen

  • Filen

    gehostet in Germany, Zero-Knowledge-Ende-zu-Ende-Verschlüsselung, geringe CLOUD-Act-Exposition, ab 2 €/Mon..

    Am besten für: datenschutzbewusste Privatpersonen und kleine Teams, die Zero-Knowledge-Speicherung unter deutschem Recht mit Open-Source-Apps und günstigen Preisen suchen

  • Koofr

    gehostet in Germany, verschlüsselt im Ruhezustand, keine CLOUD-Act-Exposition, ab 1 €/Mon..

    Am besten für: datenschutzbewusste Privatpersonen und kleine Teams, die in Deutschland gehosteten Speicher eines unabhängigen Anbieters suchen, mit optionaler clientseitiger Verschlüsselung über Koofr Vault für sensible Dateien

  • STRATO HiDrive

    gehostet in Germany, verschlüsselt im Ruhezustand, keine CLOUD-Act-Exposition, ab 6 €/Mon..

    Am besten für: Kleine und mittlere Unternehmen und Privatpersonen in Deutschland, die einen etablierten Großanbieter mit deutschen Rechenzentren und einer optionalen Zero-Knowledge-Verschlüsselungsschicht suchen

  • leitzcloud

    gehostet in Germany, verschlüsselt im Ruhezustand, keine CLOUD-Act-Exposition, ab 8.8 €/Mon..

    Am besten für: Kleine und mittlere Unternehmen aus Deutschland und der DACH-Region sowie öffentlichkeitsnahe Einrichtungen, die ausschließlich deutschen Datenspeicherort auf der eigenen Infrastruktur des Betreibers mit mehrsprachiger Oberfläche benötigen

  • Hetzner Storage Share

    gehostet in Germany, verschlüsselt im Ruhezustand, keine CLOUD-Act-Exposition, ab 4.29 €/Mon..

    Am besten für: Käufer, die eine günstige, unkomplizierte gemanagte Nextcloud-Instanz wollen, die ausschließlich in Deutschland gehostet wird, vom selben zertifizierten Betreiber wie Hetzners Cloud- und Root-Server, und die keine standardmäßige Zero-Knowledge-Verschlüsselung benötigen.

  • Contabo

    gehostet in Germany, verschlüsselt im Ruhezustand, wesentliche CLOUD-Act-Exposition, ab 5 €/Mon..

    Am besten für: Preisgünstige VPS und Dedicated Server für unabhängige Entwickler, kleine SaaS-Anbieter und Prosumer, die einen niedrigen Preis über Enterprise-Compliance stellen.

  • Hetzner

    gehostet in Germany, verschlüsselt im Ruhezustand, keine CLOUD-Act-Exposition, ab 4 €/Mon..

    Am besten für: Cloud- und Dedicated-Server für EU-Teams, die preiswerte, in Deutschland gehostete Infrastruktur mit Workloads in EU-Rechenzentren suchen.

  • IONOS

    gehostet in Germany, verschlüsselt im Ruhezustand, keine CLOUD-Act-Exposition, ab 2 €/Mon..

    Am besten für: Cloud-Compute und -Speicher für deutsche KMU und Beschaffer im öffentlichen Sektor, die BSI C5 und IT-Grundschutz von einem Frankfurter Anbieter benötigen.

  • netcup

    gehostet in Germany, verschlüsselt im Ruhezustand, geringe CLOUD-Act-Exposition, ab 1.84 €/Mon..

    Am besten für: Preisgünstige VPS-, ARM64- und AMD-EPYC-Dedicated-Server für unabhängige Entwickler und kleine SaaS-Anbieter, die eine in Deutschland gehostete Infrastruktur mit stundenweiser Abrechnung suchen.

  • STACKIT

    gehostet in Germany, verschlüsselt im Ruhezustand, keine CLOUD-Act-Exposition.

    Am besten für: Souveräne Cloud-Infrastruktur für EU-Behördenbeschaffung, DORA-regulierte Finanzunternehmen und Großkonzerne, die einen nicht VC-finanzierten deutschen Anbieter bevorzugen.

  • T Cloud Public (formerly Open Telekom Cloud)

    gehostet in Germany, verschlüsselt im Ruhezustand, keine CLOUD-Act-Exposition.

    Am besten für: Enterprise-OpenStack-Public-Cloud für große DACH-Organisationen und öffentliche Beschaffer in Deutschland, die von AWS, Azure oder GCP migrieren möchten.

So treffen Sie die Wahl

Deutsche Käufer sortieren meist nach einem von drei Dingen: Zertifizierung, Preis-Leistung, oder einer Rechenzentrums-Landschaft, die eine Mittelstands-Beschaffungscheckliste benennen kann. Brauchen Sie reine Infrastruktur (IaaS), ist Hetzner ab €4/Monat der Preis-Leistungs-Referenzpunkt; IONOS bietet einen börsennotierten deutschen Konzern mit BSI C5 und IT-Grundschutz, STACKIT einen Stiftungs-kontrollierten Sovereign-Cloud-Ansatz für regulierte Lasten. Steht BSI C5 in Ihrer Ausschreibung, filtern Sie direkt darauf. Hetzner, IONOS, STACKIT und T Cloud Public führen das Testat, den Nachweis, der in deutschen Ausschreibungen des öffentlichen Sektors und im Mittelstand am häufigsten verlangt wird. Brauchen Sie DSGVO-konformen Datei-Speicher, prüfen Sie luckycloud, STRATO HiDrive und das Open-Source-basierte Nextcloud; die „deutsche” Positionierung eines Speicher-Anbieters bricht am häufigsten in der Unterauftragsverarbeiter-Liste ein, prüfen Sie diese also je Produkt statt je Marke. Ist der physische Rechenzentrums-Standort selbst eine Anforderung, nennen die einzelnen Profile die konkreten Standorte jedes Anbieters (Hetzners Rechenzentren in Falkenstein und Nürnberg etwa); fragen Sie dieses Detail bei jedem Anbieter direkt ab, statt anzunehmen, „in Deutschland gehostet” bedeute überall dasselbe. Sortieren Sie die Tabelle oben nach CLOUD-Act-Risiko, Hosting-Region oder Eigentum, um Ihre Vorauswahl zu treffen, und öffnen Sie dann jedes Profil, um die Kette gegen Ihre eigene Folgenabschätzung zu bestätigen. Brauchen Sie den Blick über Deutschland hinaus? Europäische Cloud-Anbieter deckt die gesamte EU-Vorauswahl ab.

VERWANDTE SAMMLUNGEN
FAQ

Häufig gestellte Fragen

Welcher Cloud-Anbieter ist DSGVO-konform?
DSGVO-Konformität hängt nicht nur vom Serverstandort ab, sondern von der gesamten Verarbeitungskette: Hosting-Region, Eigentümer, Unterauftragsverarbeiter und ein öffentlich verfügbarer Auftragsverarbeitungsvertrag (AVV/DPA). Auf dieser Seite gelistete Anbieter wie Hetzner, IONOS und STACKIT hosten in deutschen Rechenzentren, sind EU-eigen und stellen einen AVV bereit. Wir erfassen jedes dieser Signale getrennt, damit Sie die Konformität gegen Ihre eigene Datenschutz-Folgenabschätzung prüfen können, statt einem pauschalen Label zu vertrauen.
Unterliegen deutsche Cloud-Anbieter dem US CLOUD Act?
Nicht automatisch, und das ist der entscheidende Punkt. Der US CLOUD Act kann auf Daten zugreifen, die ein der US-Gerichtsbarkeit unterliegendes Unternehmen hält, unabhängig vom Serverstandort. Ein in Deutschland eingetragener, deutsch kontrollierter Anbieter ohne US-Unterauftragsverarbeiter im Datenpfad hat daher ein strukturell schwächeres Risikoprofil. Hetzners, IONOS' und STACKITs CLOUD-Act-Exposition ist im Verzeichnis jeweils mit „Keines” erfasst, während die deutsche Tochter eines US-Konzerns auch mit deutschem Rechenzentrum weiterhin exponiert sein kann.
Was ist die beste deutsche Cloud für Unternehmen?
Das hängt davon ab, welche Anforderung für Sie nicht verhandelbar ist. Für reine Infrastruktur (IaaS) ist Hetzner ab €4/Monat die meistgenannte Wahl, IONOS bietet einen börsennotierten deutschen Konzern mit BSI C5 und IT-Grundschutz, und STACKIT (Schwarz-Gruppe) zielt mit BSI C5, EUCS und DORA-Bereitschaft auf den öffentlichen Sektor und regulierte Branchen. Für DSGVO-konformen Datei-Speicher zählen luckycloud, Nextcloud und STRATO HiDrive dazu. Filtern Sie die Tabelle nach Zertifizierung, Eigentum oder CLOUD-Act-Risiko, um Ihre Auswahl einzugrenzen.
Was bedeutet die BSI-C5-Zertifizierung?
BSI C5 (Cloud Computing Compliance Criteria Catalogue) ist der vom deutschen Bundesamt für Sicherheit in der Informationstechnik definierte Prüfstandard für Cloud-Sicherheit. Ein C5-Testat dokumentiert, dass ein Anbieter ein umfangreiches Set an Sicherheits- und Transparenzanforderungen erfüllt. Es ist im deutschen Markt der maßgebliche Cloud-Sicherheitsnachweis. Hetzner, IONOS, STACKIT und T Cloud Public (vormals Open Telekom Cloud) führen dieses Testat; in der Vergleichstabelle lässt sich gezielt darauf filtern.
Was ist der Unterschied zwischen einer deutschen Cloud und einer EU-Cloud?
Eine deutsche Cloud ist hier ein Anbieter mit Sitz und primärem Hosting in Deutschland, unter deutscher und EU-Gerichtsbarkeit. Eine EU-Cloud ist der breitere Begriff für jeden in der EU oder im EWR ansässigen und gehosteten Anbieter, etwa OVHcloud (Frankreich) oder UpCloud (Finnland). Die Compliance-Logik ist dieselbe; deutsche Käufer mit BSI-C5- oder IT-Grundschutz-Anforderungen oder einer Präferenz für deutsche Gerichtsbarkeit grenzen jedoch oft bewusst auf Deutschland ein. Für die EU-weite Sicht siehe unsere Seite zu europäischen Cloud-Anbietern.
Methodik

Wie wir jeden Eintrag hier geprüft haben.

Für jedes Produkt prüfen wir die öffentliche DPA, das Unterauftragsverarbeiter-Dokument, die Hosting-Region, Zertifizierungen und die Eigentümerstruktur. Jede Prüfung wird mit Zeitstempel versehen. Die Signale sind redaktionell und werden vierteljährlich neu verifiziert. Selbstauskünfte akzeptieren wir nicht.

Methodik lesen →