Bundeswehr weist Palantir vorerst zurück: was digitale Souveränität für Unternehmen heißt

Die Bundeswehr hat den Kauf von Palantirs Maven Smart System im April 2026 vorerst ausgeschlossen. Den Ausschlag gab das Betriebsmodell. Vizeadmiral Thomas Daum ist Inspekteur des Cyber- und Informationsraums. Im Frühjahr 2026 erklärte er, es sei „unvorstellbar", dem US-Unternehmen und dessen Mitarbeitern Zugriff auf den nationalen deutschen Datenbestand zu gewähren. Berichten zufolge bedienen bei der NATO Industrievertreter die Maven-Systeme selbst, und genau das will Berlin für eigene Daten nicht. In dieser Begründung steckt eine Prüffrage, die auch Unternehmen mit US-Cloud-Verträgen betrifft und die der Serverstandort nicht beantwortet.

Was ist digitale Souveränität? Eine Definition für Entscheider

Digitale Souveränität bezeichnet die Fähigkeit einer Organisation, über ihre Daten, Systeme und Verfahren selbst zu bestimmen und den Anbieter bei Bedarf zu wechseln. Sie hat drei Ebenen: den Ort der Verarbeitung, die Kontrolle über den laufenden Betrieb und die Fähigkeit, einen Vertrag geordnet zu beenden.

Nur die erste Ebene lässt sich mit einem Rechenzentrumsstandort belegen. Wer ein System nicht ohne den Anbieter betreiben und nicht ohne dessen Mitwirkung verlassen kann, hat die Kontrolle abgegeben, unabhängig davon, wo die Festplatten stehen. Die zweite und dritte Ebene gehören in das Lieferantenmanagement, und dort setzen auch die Anforderungen der ISO 27001 an.

Palantir Bundeswehr: 30 Unternehmen, Prototyp 2027, Ziel Mitte 2028

Daum sprach mit dem Handelsblatt, Reuters referierte den Bericht am 10. September 2026. Das IT-Systemhaus BWI prüft demnach Angebote von 30 Unternehmen. Die meisten der geprüften KI-Werkzeuge stammen dem Bericht zufolge von deutschen Firmen, das französische Unternehmen ChapsVision ist eines der wenigen ausländischen im Rennen.

„Die Markterkundung läuft und ich bin optimistisch, dass wir im zweiten Quartal 2027 einen Prototyp vorweisen können", sagte Daum dem Handelsblatt. Eine vollständige Alternative zum US-Anbieter ist für Mitte 2028 geplant. Im Zentrum der Tests steht MDOCore, eine gemeinsame Entwicklung von Hensoldt und dem KI-Start-up Helsing, die in Fürstenfeldbruck erprobt wird. MDOCore ist damit ein Kandidat im laufenden Verfahren und kein ausgewählter Auftragnehmer.

Zum Vergleich: In den USA begann der Palantir-Vertrag für Maven 2024 mit 480 Millionen US-Dollar. Bis 2029 soll er auf fast 1,3 Milliarden US-Dollar anwachsen.

Vendor Lock-in: warum der Datenort die Kontrolle nicht ersetzt

Baden-Württemberg entschied anders als die Bundeswehr und unterzeichnete für eine Palantir-Plattform einen Vertrag über rund 25 Millionen Euro mit fünf Jahren Laufzeit, ohne Ausstiegsklausel. Im November 2025 änderte der Landtag das Polizeigesetz und machte den rechtlichen Weg frei.

In Bayern läuft die verfahrensübergreifende Recherche- und Analyseplattform VeRA bereits seit 2024. Nach Angaben der Datenschutzaufsicht durchsucht sie rund 39 Millionen Personendatensätze.

Der Serverstandort beantwortet, wo Daten verarbeitet werden. Die Souveränitätsfrage lautet, wer das System im Alltag bedient und ob sich der Vertrag ohne Zustimmung des Anbieters beenden lässt.

Cloud-Exit-Strategie: vier Fragen vor der Unterschrift

Eine Cloud-Exit-Strategie beschreibt, wie eine Organisation einen Dienst wieder verlässt: mit welchen Daten, in welchem Format, in welcher Frist und zu welchen Kosten.

1. Datenexport: Lassen sich alle Daten samt Struktur in offenen Formaten ausleiten, ohne dass der Anbieter mitwirken muss?
2. Betrieb: Wer administriert das System im Alltag, und lässt sich dem Personal des Anbieters der Zugriff kurzfristig entziehen?
3. Vertrag: Gibt es eine Ausstiegsklausel mit Fristen, Mitwirkungspflichten und einem vereinbarten Preis für die Migrationsunterstützung?
4. Ersatz: Ist eine Alternative benannt und mindestens einmal erprobt, oder existiert sie nur als Absichtserklärung?

Diese Fragen gehören in das Managementsystem. Wer ein ISMS nach ISO 27001 aufbauen will, findet die Anknüpfungspunkte in den Controls zu Lieferantenbeziehungen und Cloud-Diensten. Den Abgleich zwischen Soll und Ist beschreibt die Gap-Analyse nach ISO 27001. Wie die Umsetzung in der Cloud aussieht, zeigt der Beitrag zu ISO 27001, BSI C5 und NIS2 in der Cloud.

CLOUD Act und US-Cloud: das Argument der Kritiker

Die öffentlich berichtete Begründung der Bundeswehr betrifft den Zugriff von Industriemitarbeitern auf den nationalen Datenbestand. Kritiker verweisen zudem auf den amerikanischen CLOUD Act, der US-Behörden potenziell Zugriff auf Daten ermöglichen kann, selbst wenn diese auf Servern in Deutschland liegen.

Für die Anbieterprüfung heißt das: Der Rechtsrahmen des Mutterkonzerns gehört in die Bewertung, ebenso wie Unterauftragnehmer und Speicherorte. Prüfstandards für Cloud-Dienste sind der BSI-Prüfstandard C5 für Cloud-Anbieter und die Standards für Cloud-Compliance. Die vertragliche Seite gehört in dieselbe Prüfung, denn Zugriffsrechte für Anbieterpersonal regelt der Vertrag. Den organisatorischen Rahmen dafür beschreibt die Beratung zu ISMS, ISO 27001 und NIS-2.

Einordnung

Ein Anbieterwechsel löst das Problem nicht automatisch. Bundeskanzler Friedrich Merz und Präsident Emmanuel Macron vereinbarten im Juli 2026, eine europäische militärische Digitalinfrastruktur zu prüfen. Ihre Erklärung nannte das französische Projekt Arcadia und ergänzte den Zusatz „as well as comparable German solutions", also vergleichbare deutsche Lösungen.

Interne Vermerke der Bundesregierung hat Politico Europe eingesehen. Das Portal The Next Web zitiert daraus und hält fest, die Vermerke selbst weder gesehen noch unabhängig geprüft zu haben. Dort heißt es: „Engagement with Arcadia must not undermine national efforts to build a sovereign data-integration platform." Auf Deutsch: Die Zusammenarbeit mit Arcadia dürfe die nationalen Bemühungen um eine souveräne Datenintegrationsplattform nicht untergraben. Nach denselben Unterlagen baut Deutschland parallel ein eigenes System.

Der Maßstab liegt bei der Kontrolle über Betrieb und Ausstieg, und die Herkunft des Anbieters allein sagt darüber wenig aus. Auf der Seite zum Ausstieg von AWARE7 aus der US-Cloud steht: „Seit März 2026 kommt AWARE7 ohne US-Cloud-Anbieter aus". Die Systeme laufen dort bei Anbietern aus Deutschland, ersatzweise aus Europa, der Kern davon als Open Source auf eigener Infrastruktur. Als Zusage steht auf derselben Seite „Kein Vendor-Lock-in", dazu nennt sie offene Standards, offene Schnittstellen und exportierbare Daten.

Für Unternehmen mit Abhängigkeiten von US-Anbietern ist die Markterkundung der Bundeswehr deshalb ein Prüfraster. Ob ein Vertrag ohne Zustimmung des Anbieters endet, zeigt erst der Vertragstext.

Quellen

• Reuters: German military evaluating 30 AI tools for introduction from 2027 (10.09.2026)
• Kettner Edelmetalle: Nein zu Palantir, Bundeswehr setzt ab 2027 auf deutsche Software (10.09.2026)
• Hasepost: Bundeswehr testet 2027 KI für digitale Gefechtsfelder
• Business Insider: Hensoldt und Co., System soll Soldaten mittels KI konkrete Handlungsempfehlungen geben
• Börse Express: Hensoldt Aktie, MDOCore-Tests für Bundeswehr-Plattform
• The Next Web: Berlin fears France's Palantir rival is a new dependency
• Staatsanzeiger Baden-Württemberg: Palantir im Südwesten, was die Polizei-Software bedeutet (12.11.2025)
• Innenministerium Baden-Württemberg: Landtag beschließt Neufassung des Polizeigesetzes (12.11.2025)
• Datenschutzkonferenz: Entschließung Automatisierte Datenanalyse durch Polizeibehörden verfassungskonform gestalten (17.09.2025, PDF)
• tagesschau: Wird die Palantir-Software unangemessen genutzt? (19.06.2025)
• ZDFheute: Palantir-Einsatz bei der Polizei in Deutschland (16.01.2026)
• Kapitalmarktexperten: Hensoldt-Aktie, 15-Millionen-Auftrag für Optarion-Weiterentwicklung
• AWARE7: Unser Souveränitätsversprechen