Was Delos Cloud ist

Delos Cloud ist eine Cloud-Plattform für die deutsche öffentliche Verwaltung. Betreiber ist die Delos Cloud GmbH, eine Tochter von SAP. Die Software stammt von Microsoft: Delos betreibt Azure-Dienste und Office 365 in eigenen Rechenzentren in Deutschland, mit sicherheitsüberprüftem deutschem Personal.

Stand November 2026 ist die Plattform noch nicht allgemein verfügbar. Geplant war ein Start im Jahr 2025, dann ab Januar 2026. Im Oktober 2026 hat Delos laut Bericht den Betrieb von Microsoft übernommen; eine Produktivnutzung ist für Anfang 2027 angestrebt. Das BSI-C5-Testat steht noch aus, ein erstes ISO-27001-Zertifikat liegt vor.

Wofür es eingesetzt wird

Bund, Länder und Kommunen sollen Delos Cloud nutzen können, wenn sie Microsoft-Dienste brauchen, die Daten aber in Deutschland und unter deutscher Betriebsverantwortung liegen sollen. Angestrebt ist auch die Verarbeitung von Verschlusssachen der Stufe VS-NfD. Pilotkunde ist die Bundesagentur für Arbeit, die Stadt Dortmund plant einen Wechsel bis Ende 2027. Unternehmen steht das Angebot nicht offen.

Die Abhängigkeit von Microsoft bleibt: Software und Updates kommen weiterhin von dort. Laut Presseberichten liegen die Preise rund 15 Prozent über den Microsoft-Listenpreisen. Ob der US CLOUD Act greifen kann, wird unterschiedlich bewertet.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der geplante Einsatz als souveräne Cloud für Behörden in Deutschland; Bewertung beruht auf angekündigtem Stand und Pilotbetrieb, Fragen zu Selbstbetrieb und Quellcode sind sinngemäß gelesen.

Rechtsraum eingeschränkt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	ja	Anbieter ist die Delos Cloud GmbH mit Sitz in Walldorf, eine von SAP gegründete Tochter der SAP SE (Walldorf). Die Bundesregierung nennt als Vertragspartner die Delos GmbH mit Sitz in Deutschland im Eigentum der SAP SE. Die Website des Anbieters war für diese Prüfung nicht erreichbar; Sitz und Registerdaten sind daher nur über Dritte belegt. Beleg: Drucksache 20/15138, Antwort der Bundesregierung… · SAP-Tochter Delos übernimmt Betrieb von Microsoft · Delos Cloud · Erste souveräne Cloud-Plattform für die deutsche…
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	teilweise	Anbieter und Konzernmutter haben ihren Sitz in Deutschland; Delos erklärt unter Verweis auf externe Rechtsgutachten, der CLOUD Act greife nicht in der oft diskutierten Weise. Dagegen hält das Ministerium in Baden-Württemberg fest, dass die Anwendungsebene proprietäre US-Software ist, die dem CLOUD Act unterliegt, und volle Souveränität daher nicht beansprucht werden könne. Microsoft liefert weiterhin die Software und kann nach Freigabe durch Delos auf die Plattform zugreifen. Die Konzernmutter SAP ist zudem an der NYSE notiert und hat US-Tochtergesellschaften (u. a. SAP NS2). Beleg: Klar auf Kurs (Interview mit Delos Cloud) · Drucksache 17/9179, Stellungnahme des Ministeriu… · SAP-Tochter Delos übernimmt Betrieb von Microsoft · SAP
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	teilweise	Auslegung: Plattform wird vom Anbieter betrieben, Selbstbetrieb entfällt. Seit Oktober 2026 hat Delos laut Bericht den Betrieb von Microsoft übernommen und technische Souveränitätskontrollen aktiviert: Jeder Zugriff, auch durch Microsoft, muss von Delos freigegeben werden und wird protokolliert; Updates sollen erst nach Prüfung durch Delos eingespielt werden. Betrieben wird durch sicherheitsüberprüftes deutsches Personal. Eine Schlüsselhaltung ausschließlich beim Kunden ist nicht dokumentiert, und wie Updates geprüft werden, ist laut Bericht unklar. Beleg: SAP-Tochter Delos übernimmt Betrieb von Microsoft · Case Study: TLS-Zertifikate für Delos Cloud · Erste souveräne Cloud-Plattform für die deutsche…
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	ja	Laut Antwort der Bundesregierung ist die SAP SE mit Sitz in Walldorf Eigentümerin der Delos Cloud GmbH; der Bund ist nicht beteiligt. Ein Kontrollwechsel zwischen November 2024 und November 2026 ist nicht bekannt. Beleg: Drucksache 20/15138, Antwort der Bundesregierung…

Datenhoheit nicht erfüllt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	teilweise	Laut Microsoft-Pressemitteilung verlangt das BSI, dass alle Daten der deutschen Verwaltung innerhalb Deutschlands verarbeitet werden, und der Betrieb erfolgt an mehreren Standorten in Deutschland; das Land Baden-Württemberg beschreibt die Plattform als physisch von Microsoft getrennt. Belegt ist das nur durch Ankündigungen von Anbieter, Partnern und Landesregierung; Vertragsunterlagen (AVV, Leistungsbeschreibung) und Angaben zu Backups waren nicht abrufbar, die Plattform ist noch nicht allgemein produktiv verfügbar. Beleg: Erste souveräne Cloud-Plattform für die deutsche… · Drucksache 17/9179, Stellungnahme des Ministeriu…
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	nein	Auslegung: Betrieb der Plattform im eigenen RZ oder bei einem frei gewählten Dienstleister. Delos ist Eigentümer der Infrastruktur und betreibt die Plattform in eigenen Rechenzentren; ein Betrieb beim Kunden oder bei einem Dritten ist nicht vorgesehen. Partner (15 laut Juni 2026) vertreiben und migrieren, betreiben die Plattform aber nicht. Beleg: Erste souveräne Cloud-Plattform für die deutsche… · Delos Cloud gewinnt erste Partner
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	nicht belegbar	Keine Dokumentation zu Telemetrie- oder Diagnosedaten der Plattform gefunden; insbesondere ist nicht belegt, welche Daten an Microsoft als Softwarelieferant fließen. Beleg: SAP-Tochter Delos übernimmt Betrieb von Microsoft
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	nicht belegbar	Öffentliche Vertragsunterlagen oder KI-Nutzungsbedingungen der Delos Cloud wurden nicht gefunden. Die geprüften Dokumente von Bund und Land behandeln das Training von KI-Modellen nicht.

Quellcode & Lizenz nicht erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	nein	Die Plattform beruht auf Microsoft Azure und Office 365, also auf proprietärer Software von Microsoft. Offene Software kann auf der Plattform betrieben werden, der Plattformkern ist aber nicht quelloffen. Beleg: Erste souveräne Cloud-Plattform für die deutsche… · Drucksache 17/9179, Stellungnahme des Ministeriu…
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	nein	Der Betrieb setzt die proprietäre Microsoft-Technologie voraus, die Delos unter Lizenz betreibt. Beleg: Erste souveräne Cloud-Plattform für die deutsche… · Klar auf Kurs (Interview mit Delos Cloud)
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	nein	Für Kunden ist ein Weiterbetrieb nach Vertragsende nicht vorgesehen. Die Vereinbarung zwischen Delos und Microsoft zur Fortführung bei Sanktionen betrifft den Anbieter, nicht den Kunden; Analysten bezweifeln, dass ein Betrieb ohne Microsoft-Updates länger als einige Wochen trägt. Beleg: Press Release: Delos Cloud Forms Alliances with… · SAP rüstet sich für Microsoft-Ausfall in Europa · Klar auf Kurs (Interview mit Delos Cloud)

Betrieb & Nachweise nicht erfüllt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	teilweise	Delos hat laut Bericht vom November 2026 ein erstes ISO/IEC-27001-Zertifikat (TÜV Nord) für das Informationssicherheits-Managementsystem und die Direct Connection erhalten. Das BSI-C5-Testat (Typ 1 und Typ 2) und ein ISO-27001-Zertifikat auf Basis IT-Grundschutz stehen aus und werden in den kommenden Monaten erwartet. Ziel ist die vollständige Erfüllung der BSI-Cloud-Plattform-Anforderungen und die Eignung für VS-NfD; laut Land Baden-Württemberg war die BSI-Bewertung im August 2025 nicht abgeschlossen. Beleg: SAP-Tochter Delos übernimmt Betrieb von Microsoft · Delos Cloud: Das kostet die digitale Souveränität · Drucksache 17/9179, Stellungnahme des Ministeriu… · Erste souveräne Cloud-Plattform für die deutsche…
4.2 Öffentlicher Prozess für Sicherheitslücken?	nicht belegbar	Ein öffentlicher Meldeweg für Sicherheitslücken, Advisories oder eine Patchpolitik von Delos wurden nicht gefunden; die Website des Anbieters war nicht erreichbar. Beleg: SAP-Tochter Delos übernimmt Betrieb von Microsoft
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	teilweise	Vertragspartner ist die Delos Cloud GmbH mit Sitz in Deutschland; der Betrieb erfolgt in Deutschland durch deutsches Personal, Vertrieb und Migration auch über Partner. Vertragsbedingungen, anwendbares Recht und Gerichtsstand waren nicht abrufbar. Beleg: Drucksache 20/15138, Antwort der Bundesregierung… · Erste souveräne Cloud-Plattform für die deutsche… · Delos Cloud gewinnt erste Partner
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	nicht belegbar	Eine öffentliche Liste der Unterauftragsverarbeiter der Delos Cloud wurde nicht gefunden. Bekannt ist aus Pressemitteilungen nur, dass Arvato Systems die Plattform operativ betreibt.
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	teilweise	Teil (a): Nach Microsoft-Pressemitteilung betreibt eine deutsche Betreibergesellschaft die Plattform mit sicherheitsüberprüftem, deutschem Personal; das Land Baden-Württemberg nennt sicherheitsüberprüfte Mitarbeiter in Deutschland. Teil (b) ist nicht belegt: Wie Microsoft als Softwarelieferant bei Support oder Eskalation auf Kundendaten zugreift und ob dafür eine Freigabe je Fall nötig ist, ist nicht veröffentlicht; laut Landesregierung sind Zugriffe auf Anwendungsdaten durch Drittstaaten zumindest in einer Grauzone nicht ausgeschlossen. Beleg: Erste souveräne Cloud-Plattform für die deutsche… · Drucksache 17/9179, Stellungnahme des Ministeriu…

Exit & Interoperabilität nicht erfüllt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	nicht belegbar	Welche Exportwege und Formate auf der Delos-Plattform zur Verfügung stehen, ist nicht dokumentiert. Laut Fachquelle ist der Dienstumfang gegenüber der Microsoft Public Cloud eingeschränkt; Pilotprojekte prüfen erst, ob Office-Umgebungen funktionsgleich laufen. Beleg: Delos Cloud · Klar auf Kurs (Interview mit Delos Cloud)
5.2 Offene Standards für Anmeldung und Schnittstellen?	nicht belegbar	Welche Anmeldeverfahren und Schnittstellen (z. B. SAML/OIDC, dokumentierte APIs) auf der Delos-Plattform unterstützt werden, ist öffentlich nicht dokumentiert. Beleg: Delos Cloud
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	nicht belegbar	Regelungen zu Export, Fristen und Kosten bei Vertragsende wurden nicht gefunden. Fachquelle warnt vor doppelter Bindung an Microsoft und Delos. Beleg: Delos Cloud

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Wann die Plattform produktiv verfügbar ist und mit welchen Diensten. Angestrebt ist Anfang 2027, ein festes Datum gibt es nicht.
Wann das BSI-C5-Testat und die Freigabe für VS-NfD vorliegen.
Ob der US CLOUD Act über die Microsoft-Software greifen kann. Anbieter und Land Baden-Württemberg kommen zu unterschiedlichen Einschätzungen.
Wie Updates von Microsoft geprüft werden und welche Daten an Microsoft fließen.
Welche Schnittstellen, Anmeldeverfahren und Exportwege bereitstehen und was der Vertrag zum Vertragsende regelt.
Die Website des Anbieters war für die Prüfung nicht erreichbar; mehrere Angaben stammen aus Presse und Partnerquellen.
Ob Delos Cloud das Training von KI-Modellen mit Kundendaten vertraglich ausschließt, weil keine öffentlichen Vertrags- oder KI-Bedingungen vorliegen.
Ob eine Liste der Unterauftragsverarbeiter mit Standorten und Änderungsankündigung existiert, weil keine öffentliche Fassung gefunden wurde.
Ob Microsoft-Personal außerhalb Deutschlands bei Eskalationen oder Updates Zugriff auf Kundendaten erhalten kann, weil dazu keine vertragliche Regelung veröffentlicht ist.
Ob AVV oder Leistungsbeschreibung der Delos Cloud den Speicherort von Kundendaten und Backups in Deutschland vertraglich festlegen, weil keine Vertragsunterlagen öffentlich sind.
Ob Support- oder Eskalationszugriffe durch Microsoft-Personal außerhalb Deutschlands vorgesehen sind und eine Freigabe je Fall erfordern, weil dazu nichts veröffentlicht ist.

Fragen vor einer Entscheidung

Welche Azure- und Office-365-Dienste sind zum geplanten Start Anfang 2027 tatsächlich verfügbar, und reichen sie für die eigenen Fachverfahren?
Liegen BSI-C5-Testat und Freigabe für VS-NfD vor, bevor eine Entscheidung fällt?
Wie bewertet die eigene Rechtsabteilung die Frage, ob der US CLOUD Act über die Microsoft-Software greifen kann?
Welche Exportwege und Fristen regelt der Vertrag, und wie ließe sich später zu einem anderen Anbieter wechseln?

Delos Cloud

Was Delos Cloud ist

Wofür es eingesetzt wird

Prüfraster im Detail

Rechtsraum eingeschränkt

Datenhoheit nicht erfüllt

Quellcode & Lizenz nicht erfüllt

Betrieb & Nachweise nicht erfüllt

Exit & Interoperabilität nicht erfüllt

Was wir nicht klären konnten

Fragen vor einer Entscheidung

Ähnliche Software im Index

STACKIT

Microsoft Azure

Amazon Web Services (AWS)

IONOS Cloud