Zum Inhalt springen
Unabhängig verifiziert · Quartalsweises Re-Audit
EU VETTED
Kuratierte Sammlung

Verschlüsselter Cloud-Speicher in der EU

Cloud-Speicher- und Filesharing-Dienste mit Hosting in der Europäischen Union. Verschlüsselung und Datenstandort pro Eintrag geprüft.

Kurzfassung

EU-gehosteter Cloud-Speicher hält Dateien in Rechenzentren unter EU-Jurisdiktion und vereinfacht die DSGVO-Konformität. Das entscheidende Kriterium ist die Kombination, die Sie benötigen: EU-Hosting (Datenstandort), EU-Eigentum (kein CLOUD-Act-Risiko) und Zero-Knowledge-Verschlüsselung (Anbieter kann Ihre Dateien nicht lesen). Tresorit, Proton Drive und Infomaniak kDrive decken unterschiedliche Punkte dieses Dreiecks ab.

EU Vetted Editorial
Geprüft May 2026 Wie wir prüfen

Einige Links auf dieser Website sind Affiliate-Links. Wir erhalten ggf. eine Provision ohne Mehrkosten für Sie. Redaktionelle Signale und Rankings werden nicht durch Affiliate-Beziehungen beeinflusst.

Dieser Hub bündelt die Cloud-Speicher- und Filesharing-Produkte aus dem EU-Vetted-Verzeichnis, die innerhalb der Europäischen Union gehostet werden. Die filterbare Matrix unten erlaubt es, die Liste nach den für Ihre Situation maßgeblichen Kriterien einzugrenzen; diese Einleitung ordnet das Thema ein, damit die Matrix leichter zu lesen ist.

„Verschlüsselter Cloud-Speicher in Europa" umfasst eine breite Spanne von Werkzeugen, von der Dateisynchronisation für Privatpersonen bis zu Filesharing-Plattformen für regulierte Branchen. Gemeinsam ist ihnen hier der EU-Datenstandort (Dateien liegen in Rechenzentren innerhalb der EU) kombiniert mit einer Form der Verschlüsselung. Darüber hinaus unterscheiden sich die Produkte deutlich in Eigentum, Verschlüsselungsmodell und Compliance-Dokumentation.

Eine präzise Begriffstrennung lohnt sich. EU-Hosting ist eine Aussage darüber, wo Daten physisch liegen. Verschlüsselung ist eine Aussage darüber, wer sie lesen kann. Eigentum ist eine Aussage darüber, welche Rechtsordnungen den Anbieter erreichen könnten. Das sind unabhängige Eigenschaften, und ein Anbieter kann bei einer gut abschneiden und bei einer anderen Fragen aufwerfen. Das Verzeichnis erfasst jede davon gesondert, statt sie zu einem einzigen Etikett zu verschmelzen.

Jeder Eintrag trägt seine eigenen, unabhängig geprüften Daten: Hosting-Region, Eigentümersignal, CLOUD-Act-Risiko und ob ein Auftragsverarbeitungsvertrag angeboten wird. Ziel ist es, Ihnen das Anlegen eigener Prioritäten zu ermöglichen; eine datenschutzbewusste Privatperson und ein Beschaffungsteam der öffentlichen Hand gewichten diese Felder berechtigterweise unterschiedlich.

Warum es darauf ankommt

Für Organisationen, die der DSGVO unterliegen, sind der Speicherort personenbezogener Daten und die Zugriffsmöglichkeiten keine abstrakten Fragen. Daten innerhalb der EU zu halten, kann die Rechtsgrundlage der Verarbeitung vereinfachen und den Dokumentationsaufwand rund um internationale Übermittlungen verringern. Es ersetzt weder einen ordentlichen Auftragsverarbeitungsvertrag noch die Sorgfaltsprüfung der Sub-Auftragsverarbeiter, verändert aber den Ausgangspunkt.

Die CLOUD-Act-Frage wird am häufigsten missverstanden. Der US CLOUD Act kann Unternehmen unter US-Jurisdiktion grundsätzlich verpflichten, von ihnen kontrollierte Daten herauszugeben, unabhängig vom Serverstandort. EU-Hosting kann das Risiko also verringern, beseitigt es aber nicht von selbst; Eigentum und Konzernstruktur des Anbieters spielen ebenfalls eine Rolle. „In der EU gehostet" als vollständige Antwort auf Fragen extraterritorialen Rechts zu behandeln, ist ein verbreiteter Fehler; treffender ist die Sicht, dass es ein Faktor unter mehreren ist.

Verschlüsselung verändert das Bild erneut. Betreibt ein Anbieter ein Zero-Knowledge-Modell, kann er Ihre Dateien nicht lesen und folglich auf eine behördliche Anfrage hin keine lesbaren Inhalte herausgeben, wobei er weiterhin Metadaten halten kann und der Schutz von einer soliden Umsetzung abhängt. Ist die Verschlüsselung nur serverseitig, kann der Anbieter technisch auf Inhalte zugreifen. Zu wissen, welches Modell ein Produkt verwendet, ist unerlässlich, bevor man Schlüsse darüber zieht, was eine behördliche Anfrage erreichen könnte.

Schließlich können Eigentum und Hosting in verschiedene Richtungen weisen. Manche EU-gehosteten Dienste gehören Unternehmen außerhalb der EU; manche EU-eigenen Dienste stützen sich auf Infrastruktur außerhalb der EU. Keines davon ist automatisch ein Ausschlusskriterium, doch die Kombination bestimmt das tatsächliche Risikoprofil. Deshalb weist dieses Verzeichnis die Signale gesondert aus, statt ein einziges Bestanden-oder-nicht-Urteil zu fällen.

Auf einen Blick

Kernfakten je Anbieter, geprüft anhand der eigenen Unterlagen des Anbieters.

  • Tresorit

    gehostet in Ireland, verschlüsselt im Ruhezustand, wesentliche CLOUD-Act-Exposition, ab 10 €/Mon..

  • pCloud

    gehostet in Luxembourg, verschlüsselt im Ruhezustand, geringe CLOUD-Act-Exposition, ab 5 €/Mon..

    Am besten für: Privatpersonen und kleine Teams, die eine benutzerfreundliche Sync-Erfahrung mit frei wählbarem EU-Datenspeicherort und Lifetime-Plan-Optionen suchen

  • Nextcloud

    gehostet in Germany, verschlüsselt im Ruhezustand, keine CLOUD-Act-Exposition, ab 6 €/Mon..

    Am besten für: Organisationen, die selbst hosten oder gemanagte EU-Infrastruktur nutzen möchten und volle Kontrolle über Daten, Verschlüsselungsschlüssel und Unterauftragsverarbeiter wünschen

  • luckycloud

    gehostet in Germany, Zero-Knowledge-Ende-zu-Ende-Verschlüsselung, keine CLOUD-Act-Exposition.

    Am besten für: Kleine und mittlere Unternehmen aus Deutschland und der DACH-Region, die Zero-Knowledge-Speicherung in den eigenen deutschen Rechenzentren eines kleinen inhabergeführten Anbieters suchen

  • Filen

    gehostet in Germany, Zero-Knowledge-Ende-zu-Ende-Verschlüsselung, geringe CLOUD-Act-Exposition, ab 2 €/Mon..

    Am besten für: datenschutzbewusste Privatpersonen und kleine Teams, die Zero-Knowledge-Speicherung unter deutschem Recht mit Open-Source-Apps und günstigen Preisen suchen

  • Koofr

    gehostet in Germany, verschlüsselt im Ruhezustand, keine CLOUD-Act-Exposition, ab 1 €/Mon..

    Am besten für: datenschutzbewusste Privatpersonen und kleine Teams, die in Deutschland gehosteten Speicher eines unabhängigen Anbieters suchen, mit optionaler clientseitiger Verschlüsselung über Koofr Vault für sensible Dateien

  • STRATO HiDrive

    gehostet in Germany, verschlüsselt im Ruhezustand, keine CLOUD-Act-Exposition, ab 6 €/Mon..

    Am besten für: Kleine und mittlere Unternehmen und Privatpersonen in Deutschland, die einen etablierten Großanbieter mit deutschen Rechenzentren und einer optionalen Zero-Knowledge-Verschlüsselungsschicht suchen

  • Cryptee

    gehostet in Estonia, Zero-Knowledge-Ende-zu-Ende-Verschlüsselung, wesentliche CLOUD-Act-Exposition, ab 3 €/Mon..

    Am besten für: datenschutzbewusste Privatnutzer, Journalisten und Aktivisten, die Zero-Knowledge-verschlüsselte Notizen, Dokumente und Fotos benötigen

  • leitzcloud

    gehostet in Germany, verschlüsselt im Ruhezustand, keine CLOUD-Act-Exposition, ab 8.8 €/Mon..

    Am besten für: Kleine und mittlere Unternehmen aus Deutschland und der DACH-Region sowie öffentlichkeitsnahe Einrichtungen, die ausschließlich deutschen Datenspeicherort auf der eigenen Infrastruktur des Betreibers mit mehrsprachiger Oberfläche benötigen

  • Orbifs

    gehostet in France, verschlüsselt im Ruhezustand, geringe CLOUD-Act-Exposition, ab 69 €/Mon..

    Am besten für: Architektur-, Ingenieur-, Bau- und Medienteams, die sehr große CAD-, BIM-, Punktwolken- und Videodateien verwalten und ein eingebundenes, EU-gehostetes Projektlaufwerk mit Datei-Sperren wollen, statt NAS+VPN oder einem US-Cloud-Speicher

  • Hetzner Storage Share

    gehostet in Germany, verschlüsselt im Ruhezustand, keine CLOUD-Act-Exposition, ab 4.29 €/Mon..

    Am besten für: Käufer, die eine günstige, unkomplizierte gemanagte Nextcloud-Instanz wollen, die ausschließlich in Deutschland gehostet wird, vom selben zertifizierten Betreiber wie Hetzners Cloud- und Root-Server, und die keine standardmäßige Zero-Knowledge-Verschlüsselung benötigen.

  • Leviia

    gehostet in France, verschlüsselt im Ruhezustand, keine CLOUD-Act-Exposition, ab 2.4 €/Mon..

    Am besten für: Privatpersonen, Familien und KMU in Frankreich, die einen souveränen, in Frankreich gehosteten Nextcloud-Drive plus S3-kompatiblen Objektspeicher suchen

  • Oodrive

    gehostet in France, verschlüsselt im Ruhezustand, keine CLOUD-Act-Exposition.

    Am besten für: regulierte französische Organisationen aus öffentlichem Sektor, Finanzwesen, Gesundheit und Verteidigung, die SecNumCloud-qualifizierten Dateitausch und E-Signatur benötigen

  • Wimi

    gehostet in France, verschlüsselt im Ruhezustand, keine CLOUD-Act-Exposition, ab 3 €/Mon..

    Am besten für: Französische Teams, die eine souveräne Kollaborations-Suite suchen, bei der Dateispeicherung neben Projekträumen, Messaging und Kalender integriert ist

So treffen Sie die Wahl

Klären Sie zuerst, worauf Sie eigentlich optimieren. Steht der DSGVO-Datenstandort im Vordergrund, sind EU-Hosting und ein belastbarer AVV die ersten Filter. Geht es um Widerstandsfähigkeit gegenüber extraterritorialen behördlichen Anfragen, zählen Eigentum und Konzernstruktur ebenso wie das Hosting, und Sie sollten das CLOUD-Act-Kennzeichen jedes Eintrags prüfen. Soll vor allem der Anbieter selbst Ihre Dateien nicht lesen können, ist das Verschlüsselungsmodell ausschlaggebend. Diese Ziele überschneiden sich, sind aber nicht identisch; das beste Produkt für das eine ist nicht immer das beste für das andere.

Prüfen Sie das Verschlüsselungsmodell genau. „Verschlüsselt" kann Verschlüsselung bei der Übertragung, im Ruhezustand oder vollständige Ende-zu-Ende-Verschlüsselung (Zero-Knowledge) bedeuten, und nur Letztere ist so ausgelegt, dass der Anbieter Ihre Inhalte nicht lesen kann. Bedenken Sie auch, was nicht verschlüsselt ist: Dateinamen, Ordnerstruktur und Freigabe-Metadaten bleiben mitunter unverschlüsselt, selbst wenn die Dateiinhalte geschützt sind. Passen Sie das Modell an Ihr Bedrohungsszenario an, statt die stärkste Auslegung anzunehmen.

Unterscheiden Sie EU von EWR-nah. Mehrere angesehene datenschutzorientierte Speicheranbieter sind Schweizer Unternehmen. Die Schweiz profitiert von einem EU-Angemessenheitsbeschluss, der Datenübermittlungen erleichtert, ist aber weder EU- noch EWR-Mitglied. Verlangen Ihre Beschaffungsregeln also ausdrücklich EU-Jurisdiktion, kommt ein Schweizer Anbieter womöglich nicht in Frage, auch wenn er sonst eine starke Datenschutzwahl ist. Seien Sie präzise, ob Ihre Anforderung „EU" oder „Europa im weiteren Sinne" lautet.

Für eine Beschaffungsauswahl arbeiten Sie die dokumentierten Felder ab, nicht die Marketingtexte: Hosting-Region, Eigentümersignal, Liste der Sub-Auftragsverarbeiter, AVV-Verfügbarkeit, Verschlüsselungsmodell und für Ihre Branche einschlägige Zertifizierungen. Jeder Eintrag in diesem Verzeichnis erfasst diese als unabhängig geprüfte Felder, sodass Sie die Matrix auf eine begründbare Auswahl eingrenzen und die endgültige Entscheidung dann anhand Ihrer eigenen Risikobereitschaft und regulatorischen Pflichten treffen können.

WECHSEL-RATGEBER

Wechsel von einem US-Tool für dateifreigabe?

Europäische Alternativen im direkten Vergleich (gleiche Prüfungen zu Hosting, Eigentum und CLOUD Act) für die am häufigsten ersetzten dateifreigabe-Tools.

RATGEBER

Die 7 besten europäischen Dropbox-Alternativen (2026): Compliance-geprüft

Sieben europäische Cloud-Speicher, die Dropbox tatsächlich ersetzen, gereiht nach unserem verifizierten Datensatz: Proton Drive und kDrive führen, Filen ist der Budget-Pick mit Ende-zu-Ende-Verschlüsselung, Nextcloud der Self-Hosting-Standard. Pro Tool haben wir Eigentümerschaft, Hosting-Region, Unterauftragsverarbeiter und CLOUD-Act-Risiko anhand der eigenen Dokumente des Anbieters geprüft, nicht nur die Marketing-Seite.

Zum Ratgeber →
VERWANDTE SAMMLUNGEN
FAQ

Häufig gestellte Fragen

Was bedeutet „in der EU gehosteter Cloud-Speicher“ konkret?
EU-Hosting bedeutet, dass der Anbieter Ihre Dateien in Rechenzentren innerhalb der Europäischen Union speichert. Das hält die Daten zum Zweck des Datenstandorts in der EU-Jurisdiktion, was die DSGVO-Konformität vereinfachen kann. Der Hosting-Standort allein klärt jedoch nicht, wem der Anbieter gehört, welche Sub-Auftragsverarbeiter er einsetzt oder ob ein Mutterkonzern extraterritorialem Recht unterliegt; diese Punkte werden je Eintrag gesondert erfasst.
Ist EU-Hosting dasselbe wie EU-Eigentum?
Nein. Ein Anbieter kann Daten in der EU hosten und zugleich einem Unternehmen mit Sitz außerhalb der EU gehören; umgekehrt kann ein EU-eigener Anbieter auf Infrastruktur außerhalb der EU zurückgreifen. Beide Signale sind aus unterschiedlichen Gründen relevant: Das Hosting betrifft den Datenstandort, das Eigentum betrifft, welche Rechtsordnungen (auch extraterritoriale wie der US CLOUD Act) den Anbieter grundsätzlich erreichen könnten. Jeder Eintrag in diesem Verzeichnis zeigt beides.
Wovor schützt Zero-Knowledge- bzw. Ende-zu-Ende-Verschlüsselung?
Zero-Knowledge-Verschlüsselung (auch Ende-zu-Ende genannt) ist so ausgelegt, dass nur Sie die Schlüssel zum Entschlüsseln Ihrer Dateien besitzen. Der Anbieter kann die Inhalte dann nicht lesen und auf eine behördliche Anfrage hin keine lesbaren Inhalte herausgeben. Sie verbirgt jedoch für sich genommen keine Metadaten wie Dateinamen, Größen oder Freigabeaktivitäten, sofern der Anbieter diese nicht ebenfalls verschlüsselt, und sie hängt von einer korrekten Umsetzung ab. Sie ist eine Schutzmaßnahme von mehreren, keine vollständige Antwort.
Gelten Schweizer Anbieter als EU-Optionen?
Die Schweiz liegt in Europa und wird oft mit EU-Datenschutz-Tools in einen Topf geworfen, ist aber weder EU- noch EWR-Mitglied. Das Schweizer Datenschutzrecht wird von der EU als angemessen anerkannt, was Datenübermittlungen erleichtert, doch Schweizer Anbieter unterliegen Schweizer Recht und nicht dem EU-Recht. Wenn es Ihren Beschaffungsregeln ausdrücklich auf EU-Mitgliedschaft ankommt, behandeln Sie Schweizer Optionen als EWR-nah, nicht als EU.
Beseitigt die Wahl eines EU-gehosteten Anbieters das CLOUD-Act-Risiko?
Nicht zwangsläufig. Der US CLOUD Act kann grundsätzlich auf Daten zugreifen, die von Unternehmen unter US-Jurisdiktion kontrolliert werden, unabhängig vom Serverstandort. EU-Hosting kann das Risiko verringern, ob es dieses ausschließt, hängt jedoch von Eigentum, Konzernstruktur und Sub-Auftragsverarbeitern des Anbieters ab. Dieses Verzeichnis kennzeichnet ein mögliches CLOUD-Act-Risiko bei jedem Eintrag, damit Sie es selbst abwägen können.
Was sollte ein Beschaffungsteam vor der Einführung eines Speicheranbieters prüfen?
Mindestens: wo die Daten gehostet werden, wem der Anbieter gehört, die Liste der Sub-Auftragsverarbeiter, ob ein Auftragsverarbeitungsvertrag (AVV) angeboten wird, das Verschlüsselungsmodell sowie einschlägige Zertifizierungen. Jeder Eintrag in diesem Verzeichnis erfasst Hosting-Region, Eigentümersignal, CLOUD-Act-Risiko und AVV-Verfügbarkeit als unabhängig geprüfte Felder, sodass sich eine Auswahl nach Ihren eigenen Prioritäten zusammenstellen lässt.
Methodik

Wie wir jeden Eintrag hier geprüft haben.

Für jedes Produkt prüfen wir die öffentliche DPA, das Unterauftragsverarbeiter-Dokument, die Hosting-Region, Zertifizierungen und die Eigentümerstruktur. Jede Prüfung wird mit Zeitstempel versehen. Die Signale sind redaktionell und werden vierteljährlich neu verifiziert. Selbstauskünfte akzeptieren wir nicht.

Methodik lesen →