Was Amazon Web Services (AWS) ist

Amazon Web Services (AWS) ist die Cloud-Plattform von Amazon. Sie bietet virtuelle Server, Objekt- und Blockspeicher, Container, verwaltete Datenbanken, Netzwerk- und Sicherheitsdienste sowie KI-Dienste. Der Kunde wählt die Region, in der seine Daten liegen, in Deutschland etwa Frankfurt.

Abgerechnet wird nach Verbrauch, die Preise je Dienst stehen öffentlich auf der Website. Für feste Nutzungszusagen über ein oder drei Jahre gibt es Rabatte. Vertragspartner für Kunden in Europa ist die Luxemburger Gesellschaft Amazon Web Services EMEA SARL.

Wofür es eingesetzt wird

Unternehmen nutzen AWS für eigene Anwendungen, Webdienste, Datenplattformen und KI-Projekte. Der Objektspeicher Amazon S3 hat eine Schnittstelle geprägt, die viele andere Anbieter kompatibel anbieten.

Seit Januar 2026 gibt es zusätzlich die AWS European Sovereign Cloud mit einer Region in Brandenburg. Sie ist von den übrigen Regionen getrennt, hat eigene Konten und eine eigene Abrechnung, wird von Personal in der EU betrieben und von eigenen deutschen Gesellschaften getragen, die letztlich zu Amazon gehören. Diese Ausprägung ist hier nicht bewertet.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz als Public Cloud in EU-Regionen für Unternehmen in Deutschland; Fragen zu Selbstbetrieb und Quellcode sind für eine Cloud-Plattform sinngemäß gelesen.

Rechtsraum nicht erfüllt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	nein	Vertragspartner für Kunden in Europa ist Amazon Web Services EMEA SARL in Luxemburg; die Konzernmutter Amazon.com, Inc. und Amazon Web Services, Inc. haben ihren Sitz in Seattle, USA. Auch die deutschen Gesellschaften der AWS European Sovereign Cloud gehören letztlich zu Amazon. Beleg: AWS Customer Agreement · Is the AWS European Sovereign Cloud sovereign en…
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	nein	AWS bestätigt selbst, dass der CLOUD Act für AWS gilt und auch Daten außerhalb der USA erfassen kann (18 U.S.C. § 2713). AWS sagt zu, unangemessene Anfragen anzufechten, und gibt an, seit 2020 keine außerhalb der USA gespeicherten Inhalte von Unternehmens- oder Behördenkunden an die US-Regierung herausgegeben zu haben (Stand Juni 2025). FISA Section 702 ist laut CRS seit 12. Juni 2026 außer Kraft; Anordnungen aus der Genehmigung vom März 2026 gelten bis zu ihrem Ablauf fort. Beleg: The CLOUD Act (FAQ) · 18 U.S.C. § 2713 – Required preservation and dis… · The Impact of FISA Section 702's Repeal (LSB11444)
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	teilweise	Auslegung: Plattform wird vom Anbieter betrieben, Selbstbetrieb entfällt; geprüft werden Schlüsselhoheit und technische Zugriffssperren. Mit dem External Key Store bleibt der Schlüssel in einem Schlüsselverwaltungssystem des Kunden außerhalb von AWS; AWS-Dienste erhalten jedoch weiterhin entschlüsselte Datenschlüssel und können sie zwischenspeichern, und AWS rät für die meisten Arbeitslasten davon ab. Das Nitro System soll laut AWS den Zugriff von AWS-Personal auf EC2-Arbeitslasten verhindern; AWS selbst knüpft die Herausgabe daran, ob es technisch Zugriff hat. Eine unabhängige Bewertung gegenüber behördlichen Anordnungen liegt nicht vor. Beleg: AWS KMS Developer Guide: External key stores · European Digital Sovereignty · FAQ
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	ja	Amazon Web Services gehört zur Amazon.com, Inc. mit Sitz in Seattle (USA), die an der Nasdaq notiert ist und AWS als eigenes Segment im Form 10-K (Geschäftsjahr 2025) ausweist. Eigentums- und Kontrollverhältnisse sind damit öffentlich belegt; ein Kontrollwechsel im Zeitraum ist nicht bekannt. Der Sitz außerhalb der EU wird unter 1.1 bewertet. Beleg: Form 10-K für das Geschäftsjahr 2025 (SEC EDGAR)

Datenhoheit nicht erfüllt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	teilweise	Nach dem AWS DPA (Ziffer 12.1) wählt der Kunde die Regionen, auch im EWR; AWS überträgt Kundendaten nicht aus diesen heraus, außer soweit zur Erbringung der vom Kunden genutzten Dienste oder zur Erfüllung rechtlicher Pflichten nötig. Das ist ein vertraglich vorbehaltener Ausnahmefall für Kundendaten. Eine gesonderte Regelung für Backups wurde nicht gefunden. Beleg: AWS GDPR Data Processing Addendum (AWS DPA) · Data Privacy FAQ
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	nein	Auslegung: Betrieb der bewerteten Plattform im eigenen RZ oder bei einem frei gewählten Dienstleister. Die AWS-Regionen betreibt ausschließlich AWS. AWS Outposts stellt von AWS installierte und verwaltete Hardware am Kundenstandort bereit, angebunden an eine AWS-Region über einen Service Link; Betreiber bleibt AWS. Beleg: AWS Outposts · AWS Outposts User Guide: Region connectivity (Se…
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	teilweise	AWS dokumentiert, dass Kontoinformationen, Ressourcenkennungen und Berechtigungen für den Betrieb und zur Verbesserung des Angebots genutzt werden; abschaltbar ist das nicht. Für KI-Dienste lässt sich die Nutzung von Inhalten zur Dienstverbesserung per Organisationsrichtlinie abschalten, ohne Widerspruch ist sie laut Formulierung möglich. Eine vollständige Liste der erhobenen Diagnosedaten wurde nicht gefunden. Beleg: Data Privacy FAQ · AWS Organizations: AI services opt-out policies
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	teilweise	Nach den AWS Service Terms dürfen bestimmte KI-Funktionen (z. B. CloudWatch ML) Kundeninhalte speichern und zur Entwicklung und Verbesserung nutzen. AWS-KI-Dienste können Inhalte auch zum Modelltraining verwenden, sofern der Kunde nicht über eine Opt-out-Policy in AWS Organizations widerspricht. Ein Ausschluss ohne Widerspruch besteht damit nicht für alle Dienste. Beleg: AWS Service Terms · AWS Organizations: AI services opt-out policies

Quellcode & Lizenz nicht erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	nein	Auslegung: Offenheit der Plattform-Bausteine. Die Kernfunktionen (EC2-Steuerung, S3, IAM, Verwaltungs-APIs) sind proprietär; quelloffen sind Werkzeuge wie der Terraform-Provider (MPL 2.0). Einzelne verwaltete Dienste beruhen auf offenen Projekten wie Kubernetes oder PostgreSQL, das ändert am proprietären Kern nichts. Beleg: terraform-provider-aws (GitHub, MPL 2.0) · Opening the AWS European Sovereign Cloud
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	teilweise	Auslegung: Können Arbeitslasten ohne proprietäre Pflichtschnittstellen betrieben werden? Arbeitslasten auf EC2, EKS (Kubernetes) oder RDS mit Standarddatenbanken nutzen offene Schnittstellen; Verwaltung und Anmeldung laufen jedoch zwingend über die proprietären AWS-APIs und IAM. Beleg: Opening the AWS European Sovereign Cloud · IAM User Guide: Identity providers and federation
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	teilweise	Auslegung: Portabilität der Arbeitslasten. Nach Vertragsende entfernt AWS Inhalte 30 Tage lang nicht wegen der Kündigung, ein Abruf ist nur nach Zahlung aller offenen Beträge möglich; ein Weiterbetrieb ist nicht vorgesehen. Arbeitslasten auf Standardtechnik lassen sich migrieren, AWS-spezifische Dienste nur mit Anpassung. Beleg: AWS Customer Agreement

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	ja	AWS ist nach ISO/IEC 27001:2022 zertifiziert (EY CertifyPoint). Ein C5-Testat zu Angemessenheit und Wirksamkeit der Kontrollen umfasst u. a. die Regionen Frankfurt, Irland, Paris, Mailand, Stockholm und Spanien; der Bericht ist über AWS Artifact abrufbar. Prüfzeitraum und Gültigkeit stehen nicht auf den öffentlichen Seiten. Beleg: ISO 27001 FAQs · Cloud Computing Compliance Criteria Catalogue (C5)
4.2 Öffentlicher Prozess für Sicherheitslücken?	ja	AWS betreibt ein Vulnerability Disclosure Program mit Meldeweg und Reaktionszusagen, vergibt als CNA eigene CVEs ab CVSS 4,0 und veröffentlicht Security Bulletins (zuletzt Oktober 2026). Beleg: Vulnerability Reporting · Security Bulletins
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	teilweise	Vertragspartner ist Amazon Web Services EMEA SARL in Luxemburg; es gilt luxemburgisches Recht mit Gerichtsstand Luxemburg-Stadt, also ein Vertrag nach EU-Recht. Deutsches Recht mit Gerichtsstand München ist nur im Addendum zur AWS European Sovereign Cloud vorgesehen. Wo Support für die regulären Regionen erbracht wird, wurde nicht belegt. Beleg: AWS Customer Agreement · AWS European Sovereign Cloud Addendum (ESCA) mit…
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	ja	AWS veröffentlicht eine Liste der Unterauftragsverarbeiter (Stand 30.10.2026) mit Land und teils Region, getrennt nach Infrastruktur, Service-Providern, Drittanbietern und Support. AWS aktualisiert die Seite mindestens 30 Tage vor Einsatz eines neuen Unterauftragsverarbeiters; Änderungen werden auf Wunsch per E-Mail mitgeteilt. Beleg: AWS Sub-processors
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	nein	Der AWS DPA erlaubt Zugriff durch AWS-Personal, soweit zur Erbringung oder Wartung der Dienste nötig, ohne Ortsbeschränkung und ohne Zustimmung des Kunden im Einzelfall. Support-Gesellschaften u. a. in den USA, Indien, Costa Rica, Südafrika und Ägypten verarbeiten Kundendaten laut Unterauftragsverarbeiterliste nur, wenn der Kunde sie im Supportfall teilt (Teil b insoweit erfüllt). Einen Betrieb ausschließlich durch Personal in der EU beschreibt AWS nur für die gesondert betriebene European Sovereign Cloud, nicht für die bewerteten EU-Regionen. Beleg: AWS GDPR Data Processing Addendum (AWS DPA) · AWS Sub-processors · FAQ

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	ja	Objektspeicher läuft über die S3-API von Amazon S3, die auch andere Anbieter als kompatible Schnittstelle anbieten; Infrastruktur lässt sich mit dem Terraform-Provider (MPL 2.0) beschreiben; Kubernetes- und Datenbankdienste beruhen auf Standardprojekten mit deren Exportformaten. Beleg: Opening the AWS European Sovereign Cloud · terraform-provider-aws (GitHub, MPL 2.0)
5.2 Offene Standards für Anmeldung und Schnittstellen?	ja	AWS IAM unterstützt Föderation über SAML 2.0 und OpenID Connect; die Dienste sind über dokumentierte APIs, CLI und Terraform steuerbar. Beleg: IAM User Guide: Identity providers and federation · terraform-provider-aws (GitHub, MPL 2.0)
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	teilweise	Der Kunde kann seine Daten selbst exportieren. Ausgehender Datentransfer beim vollständigen Verlassen von AWS wird nach Antrag beim Support gutgeschrieben; Kunden in der EU folgen dem Ablauf des EU Data Act Addendum. Nach Vertragsende bleiben 30 Tage für den Abruf, nur bei bezahlten Rechnungen. Beleg: Free data transfer out to internet when moving o… · AWS Customer Agreement

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Wo Kontoinformationen, Metadaten, Support- und Abrechnungsdaten in den regulären EU-Regionen gespeichert werden.
Prüfzeitraum und Gültigkeit des C5-Berichts. Er ist nur über AWS Artifact abrufbar.
Ob die AWS European Sovereign Cloud inzwischen ein C5-Testat Typ 2 hat und ob das BSI den Betrieb ohne Verbindung in die USA geprüft hat.
Ob die Aussage, AWS-Personal könne nicht auf EC2-Arbeitslasten zugreifen, unabhängig über die Prüfung im Auftrag von AWS hinaus bestätigt ist.
Wie der Wechsel nach dem EU Data Act Addendum im Einzelnen abläuft.
Welche AWS-KI-Dienste Kundeninhalte standardmäßig zur Verbesserung nutzen, weil der Abschnitt „AWS Machine Learning and Artificial Intelligence Services“ der Service Terms beim Abruf nicht vollständig auswertbar war.
Ob AWS-Betriebspersonal außerhalb der EU auf Kundendaten in den EU-Regionen zugreifen kann (außerhalb des Supports), weil die Data Privacy FAQ keine Personalstandorte nennt.
Von welchen Standorten aus AWS-Betriebspersonal auf Kundendaten in den EU-Regionen zugreifen kann, weil AWS dazu für die kommerziellen Regionen keine Angabe veröffentlicht.

Fragen vor einer Entscheidung

Welche Daten dürfen bei einem Anbieter liegen, der auf Anordnung von US-Behörden zur Herausgabe verpflichtet werden kann, und welche nicht?
Reicht für Sie die Wahl einer EU-Region, oder brauchen Sie die vertraglichen Zusagen der AWS European Sovereign Cloud, und welche Dienste fehlen dort?
Brauchen Sie für einzelne Arbeitslasten einen External Key Store, und wer im Haus betreibt dann die Schlüsselverwaltung und haftet für deren Verfügbarkeit?
Welche Arbeitslasten nutzen AWS-eigene Dienste, und wie aufwendig wäre ein Umzug zu einem anderen Anbieter?

Amazon Web Services (AWS)

Was Amazon Web Services (AWS) ist

Wofür es eingesetzt wird

Prüfraster im Detail

Rechtsraum nicht erfüllt

Datenhoheit nicht erfüllt

Quellcode & Lizenz nicht erfüllt

Betrieb & Nachweise eingeschränkt

Exit & Interoperabilität eingeschränkt

Was wir nicht klären konnten

Fragen vor einer Entscheidung

Ähnliche Software im Index

STACKIT

Microsoft Azure

IONOS Cloud

Delos Cloud