Die Balance: Regulierung braucht Alternativen, um Hebel zu haben

Dies ist das Schlüsselkapitel der Argumentation dieser Website. Alles andere baut auf diese Synthese hin.

Was die Durchsetzungsbilanz zeigt

Drei Muster ergeben sich aus der GDPR-Bilanz, der DMA-Bilanz und den Fällen des selektiven Rückzugs:

Muster 1: Regulierung erzeugt formale Compliance, keine substantielle Veränderung. Acht Jahre GDPR, €7,1 Milliarden an kumulierten Bußgeldern , und die Geschäftsmodelle der wichtigsten regulierten Plattformen sind strukturell intakt geblieben.

Muster 2: Wenn die Regulierung stärker drückt, reagieren Anbieter mit selektivem Rückzug. Apple Intelligence und Meta multimodal Llama kommen nicht in die EU. Das erklärte Ziel des DMA — offene Märkte, mehr Wettbewerb — wird in der Praxis durch geringere Produktverfügbarkeit für europäische Verbraucher ersetzt.

Muster 3: Regulierung ohne Industriepolitik lädt zu geopolitischen Vergeltungsmaßnahmen ein. Die US-amerikanischen Vergeltungsdrohungen vom Dezember 2025 eskalieren den Konflikt auf eine Ebene, auf der es nicht mehr um konkrete Gatekeeper geht, sondern um die EU-US-Handelsbeziehungen insgesamt — mit europäischen Unternehmen, die nichts mit dem DMA zu tun haben (Mistral, SAP, Spotify, Siemens), als Kollateralzielen.

Diese drei Muster haben eine gemeinsame strukturelle Ursache: Regulierung allein kann einen Monopolanbieter nicht zwingen, sein Kerngeschäftsmodell zu ändern. Der Anbieter hat rationale Alternativen (Bußgeld zahlen, klagen, sich zurückziehen), die günstiger sind als eine substantielle Änderung. Das Einzige, was eine substantielle Änderung für den Anbieter rational macht, ist die glaubwürdige Drohung des Kundenverlusts zugunsten einer Alternative.

Diese Alternative existiert derzeit in den meisten Segmenten, in denen europäische Regulierung greift, nicht in ausreichendem Maßstab.

Die Synthese

Daraus folgen zwei Thesen:

These 1: Regulierung ohne Alternativen ist eine Verhandlungsposition ohne Hebel. Sie kann Bußgelder eintreiben, aber keine Bedingungen diktieren. Die EU hat dies in acht Jahren GDPR-Durchsetzung und den ersten achtzehn Monaten DMA-Durchsetzung gelernt. Weiterhin andere Ergebnisse von denselben Instrumenten zu erwarten — mehr Regulierung, härtere Bußgelder, längere Untersuchungen — ist das politische Äquivalent davon, stärker gegen eine festsitzende Tür zu drücken.

These 2: Alternativen ohne Regulierung sind für die meisten Kunden kommerziell nicht lebensfähig. Selbst dort, wo europäische Alternativen existieren (Mistral, OVHcloud, Scaleway, Nextcloud, IceWarp, Authentik), werden Kunden ohne vertraglichen Hebel, der die Frage erzwingt, nicht von etablierten Produkten migrieren. DORA-Anforderungen an Ausstiegsstrategien, Data Act-Portabilitätspflichten, CRA SBOM-Anforderungen sind genau dieser Hebel — sie verwandeln „wir würden irgendwann gerne wechseln" in „wir müssen in der Lage sein, innerhalb von Monaten zu wechseln." Das ist es, was die Alternativen überhaupt erst kommerziell lebensfähig macht.

Beides zusammen funktioniert. Regulierung ohne Alternativen ist wirkungslos. Alternativen ohne Regulierung bleiben auf der Strecke. Die Kombination ist der entscheidende Punkt.

Wie eine pragmatische Strategie für 2026–2028 aussieht

Die Strategie auf zwei Beinen:

Den bestehenden Rechtsrahmen zur Durchsetzung vertraglicher Bestimmungen nutzen — DORA-Ausstiegsstrategien, Data Act-Portabilitätspflichten, CRA SBOM- und Lebenszyklus-Anforderungen. Dies ist es, was die Operations-Roadmap Kapitel für Kapitel für den europäischen CIO operationalisiert. Diese Verpflichtungen sind Gesetz; man muss nicht auf neue Gesetzgebung warten, um sie anzuwenden.

Gleichzeitig echte Alternativen aufbauen — europäische Cloud-Anbieter (OVHcloud, Scaleway, STACKIT, mit dem Verantwortungsumverteilungsmodell, das der europäischen Talentdichte zugutekommt), KI-Plattformen (Mistral Studio, Forge, die Koyeb-Infrastruktur), Prozessorarchitektur (RISC-V über DARE und Codasip) und Partnerschaften für Fertigungskapazitäten (Korea, Japan, selektiv Taiwan). Dies ist es, was der Alternativenabschnitt und der Partnerschaftsabschnitt ausarbeiten.

Beide Beine sind notwendig. Ohne Regulierung hat der Kunde keinen vertraglichen Hebel zum Wechseln. Ohne Alternativen gibt es nirgendwo hinzuwechseln. Der Erfolg europäischer digitaler Souveränität hängt davon ab, dass sich beides parallel, koordiniert und in ausreichendem Maßstab bewegt.

Vier Thesen

Zum Abschluss des politischen Arguments:

Erstens: vollständige Autarkie ist weder erreichbar noch wünschenswert. Die Matrix hat gezeigt, dass keine Region — einschließlich der USA und Chinas — im Jahr 2026 vollständig autark ist. Die Diskussion muss sich von „wie werden wir unabhängig" hin zu „wie gestalten wir Abhängigkeiten so, dass sie nicht fatal sind" verschieben. Das ist der Unterschied zwischen politischem Slogan und umsetzbarer Strategie.

Zweitens: Europa besitzt weltweit seltene Industrieressourcen, die jedoch nicht unverwundbar sind. ASML (100 % EUV) , Infineon/NXP/STMicro (Automotive-Chips), SAP (Enterprise-ERP). Diese müssen geschützt werden — sind aber auf einem 5–10-Jahres-Horizont ersetzbar, wenn sich der politische Wille in konkurrierenden Regionen konsolidiert. Die entstehende europäische Industrieschicht — Mistral (Bewertung €11,7 Mrd., $400M ARR Anfang 2026) , Helsing (Verteidigungs-KI, Bewertung €12 Mrd. nach €600 Mio. Series D im Juni 2025) , Wayve (autonomes Fahren), Codasip und SiPearl (Prozessorarchitektur) — ist 2026 real, bildet aber noch keinen kohärenten Gegenpol.

Drittens: vertragliche und architektonische Disziplin ist wertvoller als politische Erklärungen. Keiner der Lieferkettenvor­fälle, auf die diese Website verweist — chinesische Solar-Wechselrichter mit undokumentierten Kommunikationskomponenten , der CrowdStrike-Ausfall, der schätzungsweise 8,5 Millionen Windows-Maschinen zum Absturz brachte, weil kein gestaffeltes Rollout vorhanden war , die xz-utils-Backdoor, die durch Social Engineering des Maintainer-Prozesses eingebracht wurde — hätte die Auswirkungen gehabt, die er hatte, wenn betroffene Organisationen über robuste Ausstiegsklauseln, SBOM-Anforderungen, gestaffelte Rollouts, Redundanz und getestete Business-Continuity verfügt hätten. Nichts davon erfordert eine politische Entscheidung in Brüssel. Es erfordert Disziplin bei Beschaffung und IT-Architektur, die jede Organisation jederzeit anwenden kann.

Viertens: Europa hat einen unbestrittenen Vorteil, der selten diskutiert wird. Pro Kopf verfügt die EU über eine höhere Konzentration von KI-Spezialisten als die USA und etwa dreimal so viele wie China. Die europäischen Hochschulsysteme — ETH, EPFL, TU Delft, KU Leuven, die französischen grandes écoles, deutsche Technische Universitäten — bilden Ingenieurtalente in einem Maßstab aus, der weltweit selten ist, und Europas Tech-Talentpool wuchs laut Atomicos State of European Tech im Jahr 2025 um 4 % im Jahresvergleich auf 4,6 Millionen. Das Verantwortungsumverteilungsmodell — bei dem die europäische Alternative Kundenkompetenz statt Anbieterkompetenz voraussetzt — spielt genau diesem Vorteil in die Hände.

Die strategische Frage für 2026–2028 ist nicht, ob Europa zu den Vereinigten Staaten aufschließen wird. Das ist nicht das richtige Ziel. Die Frage ist, ob Europa sein vorhandenes Wissen und seine Industrieressourcen so strukturiert, dass es in der entscheidenden Schicht jedes Technologie-Stacks entweder über eigene Kapazitäten oder einen zuverlässigen Partner verfügt. Diese Position erfordert keine Autarkie. Sie erfordert Disziplin — vertraglich, architektonisch, partnerschaftlich, regulatorisch.

Disziplin ist etwas, das Europa — anders als Kapital oder Geografie — wählen kann.