Google Sovereign Cloud 2026: 3 Stufen für GKE in Deutschland
Google Sovereign Cloud erklärt: Data Boundary mit T-Systems, Dedicated mit Thales, Air-Gapped bei der Bundeswehr. Was jede Stufe für GKE bedeutet, mit Preisen.
TL;DR
Google Sovereign Cloud ist kein einzelnes Produkt, sondern ein Portfolio aus drei Stufen: Data Boundary in der öffentlichen Google Cloud (in Deutschland mit T-Systems, nur Frankfurt), Dedicated auf getrennter Infrastruktur eines lokalen Betreibers (in Deutschland mit Thales, Preview, GA bis Ende 2026 geplant) und Air-Gapped ohne Internetverbindung. GKE ist in allen drei Stufen vorgesehen, mit unterschiedlichen Einschränkungen.
Was ist Google Sovereign Cloud?
Google Sovereign Cloud ist der Sammelbegriff für Googles Angebote mit Souveränitätskontrollen. Auf der Produktseite unterscheidet Google drei Stufen: Google Cloud Data Boundary, Google Cloud Dedicated und Google Distributed Cloud. Sie unterscheiden sich darin, wer betreibt, wo die Hardware steht und wie weit Google selbst Zugriff hat.
Die drei Stufen im Überblick:
| Stufe | Infrastruktur | Betrieb | Partner in Deutschland | Status in Deutschland |
|---|---|---|---|---|
| Google Cloud Data Boundary | öffentliche Google Cloud, Region Frankfurt | Google, Schlüssel und Aufsicht optional beim Partner | T-Systems (Sovereign Controls by Partners) | allgemein verfügbar |
| Google Cloud Dedicated | dedizierte, isolierte Infrastruktur | lokaler Partner als eigene Gesellschaft | Thales (neue deutsche Gesellschaft) | Preview, GA bis Ende 2026 geplant |
| Google Distributed Cloud air-gapped | Rechenzentrum des Kunden | Kunde oder sein Betreiber, ohne Verbindung zu Google | z. B. BWI für die Bundeswehr | im Aufbau bis Ende 2027 |
Data Boundary beschreibt Google als Kontrolle über Datenspeicherort, Administratorzugriffe und Schlüssel “within the public cloud environment”. Dedicated ist laut Produktseite “delivered by a local partner on isolated infrastructure”. Für den Air-Gapped-Modus schreibt Google, das System “cannot be remotely shut down by Google”.
Seit dem 12. November 2025 betreibt Google in München seinen ersten Sovereign Cloud Hub für Demos, Proof of Concepts und Schulungen. Als deutsche Partner nannte Google damals die Schwarz Gruppe und T-Systems. Im Mai 2026 kam Thales für die Dedicated-Stufe dazu.
Stufe 1: Germany Data Boundary by T-Systems
Die Germany Data Boundary ist die einzige Stufe, die heute allgemein verfügbar ist. Sie läuft in der normalen Google Cloud, beschränkt neue Ressourcen aber per Organisationsrichtlinie auf die Region europe-west3 in Frankfurt. Schlüssel liegen extern, T-Systems übernimmt die Rolle des Partners. GKE ist unterstützt, mit einer eigenen Einschränkung.
Technisch ist die Data Boundary ein Ordner in Ihrer Google-Cloud-Organisation, auf den Sovereign Controls by Partners ein Paket aus Organisationsrichtlinien anwendet. Allgemein verfügbar sind fünf solcher Partner-Grenzen: Frankreich (S3NS), Deutschland (T-Systems), Italien (Polo Strategico Nazionale) und zwei Varianten für Saudi-Arabien (CNTXT).
Die Doku zur Germany Data Boundary (Stand 22. Oktober 2026) legt fest:
| Kontrolle | Wert in der Germany Data Boundary | Folge für GKE |
|---|---|---|
gcp.resourceLocations |
nur europe-west3 |
Cluster nur in Frankfurt, nicht in Berlin (europe-west10) |
gcp.restrictNonCmekServices |
enthält container.googleapis.com |
Cluster und Datenträger brauchen kundenverwaltete Schlüssel (CMEK) |
cloudkms.allowedProtectionLevels |
EXTERNAL, EXTERNAL_VPC |
Schlüssel liegen in einem externen Key Manager, nicht in Google-HSMs |
container.restrictNoncompliantDiagnosticDataAccess |
True |
keine aggregierte Analyse von Kernel-Problemen durch Google |
| Local SSDs (Compute Engine) | deaktiviert | keine Node-Pools mit lokalen SSDs |
Backup for GKE, GKE Hub, GKE Connect und GKE Identity Service sind ohne weitere Einschränkung gelistet. Die Region europe-west3 hat laut Regionen-Doku drei Zonen (a, b, c), ein regionaler GKE-Cluster ist damit möglich.
Ein Cluster in der Data Boundary entsteht so, wie Sie ihn auch sonst anlegen würden, nur mit CMEK für die Boot-Disks und die etcd-Verschlüsselung:
gcloud container clusters create sov-prod \
--project=PROJEKT_IM_PARTNER_ORDNER \
--region=europe-west3 \
--num-nodes=1 \
--boot-disk-kms-key=projects/KMS_PROJEKT/locations/europe-west3/keyRings/RING/cryptoKeys/KEY \
--database-encryption-key=projects/KMS_PROJEKT/locations/europe-west3/keyRings/RING/cryptoKeys/KEY
# Prüfen, welche Richtlinie die Region erzwingt
gcloud resource-manager org-policies describe gcp.resourceLocations \
--project=PROJEKT_IM_PARTNER_ORDNER --effectiveWichtig ist das Modell der geteilten Verantwortung: Google setzt die gewählten Kontrollen durch, Sie müssen sensible Daten in den Partner-Ordnern halten und dürfen sie auch in Support-Tickets nicht außerhalb teilen. Die Data Boundary ändert nichts an der Konzernstruktur, Vertragspartner bleibt Google.
Stufe 2: Google Cloud Dedicated mit Thales
Google Cloud Dedicated trennt Infrastruktur und Betrieb von Google. In Deutschland übernimmt das eine neue Gesellschaft, die Thales vollständig besitzt und kontrolliert. Das Angebot war im Mai 2026 als Preview verfügbar, die allgemeine Verfügbarkeit ist bis Ende 2026 geplant. Ob und in welchem Umfang GKE zum Start dabei ist, hat Google nicht veröffentlicht.
Die Mitteilung vom 20. Mai 2026 nennt die Eckpunkte:
- Die deutsche Gesellschaft ist “legally and operationally independent” von Google Cloud und wird von lokalem Personal betrieben. Ihr Name sollte “in the coming months” folgen.
- Die Infrastruktur ist dediziert und steht in Deutschland; Standorte nennt die Mitteilung nicht.
- Geplant ist ein geo-redundanter Aufbau mit Disaster Recovery zwischen Deutschland und Frankreich.
- Zielrahmen sind C5 und der neue deutsche Kriterienkatalog C3A. Ein Testat ist nicht gemeldet.
Das Vorbild ist Frankreich. Dort betreibt die Thales-Tochter S3NS das Angebot PREMI3NS, das nach eigener Website die SecNumCloud-3.2-Qualifizierung der ANSSI hat; die Thales-Mitteilung datiert die Qualifizierung auf Ende 2025. GKE ist in der Dokumentation von “Cloud de Confiance by S3NS” als eigenes Produkt geführt, mit dem Hinweis, dass einzelne Inhalte von der Google-Cloud-Doku abweichen können. Für Deutschland ist das ein Indiz, keine Zusage.
Für die Auswahl heißt das: Wer heute eine Ausschreibung mit Anforderung “Betrieb durch EU-Gesellschaft ohne US-Zugriff” bedienen muss, kann Dedicated in Deutschland frühestens nach GA einplanen und sollte den Dienstekatalog, den Kubernetes-Versionsstand und das Testat schriftlich anfragen.
Stufe 3: Air-Gapped und GKE on GDC
Google Distributed Cloud air-gapped bringt Google-Software ins eigene Rechenzentrum, ohne Verbindung zum Internet oder zu Google. Kubernetes läuft dort als GKE on GDC, ein von der Plattform verwalteter Dienst. Bekanntester deutscher Fall ist die Bundeswehr, deren IT-Dienstleister BWI zwei Instanzen bis Ende 2027 aufbaut.
Die Bundeswehr-Meldung vom 5. Juni 2025 beschreibt das Modell: BWI installiert und betreibt “Google Cloud Air-Gapped” in eigenen Rechenzentren mit sicherheitsüberprüftem Personal. Es entstehen zwei physisch getrennte Instanzen, eine für offene Daten und eine für VS-NfD. Der Aufbau beginnt 2026, Ende 2027 soll zusätzlich die SAP Business Technology Platform verfügbar sein. Updates kommen auf physischen Datenträgern, eine Verbindung zum Google-Netz entsteht nicht, und auch Google kann nicht auf die Daten zugreifen.
Die GKE-on-GDC-Doku grenzt den Dienst von GKE in der öffentlichen Cloud ab:
| Funktion | GKE on GDC (air-gapped) | GKE in Google Cloud |
|---|---|---|
| Betrieb ohne Internet | ja | nein |
| Backup | Backup for GDC | Backup for GKE |
| Logging und Monitoring | Prometheus, Grafana, Loki | Cloud Logging, Cloud Monitoring |
| Container-Registry | Managed Harbor Service | Artifact Registry |
| Verantwortung | Plattform verwaltet Control Plane und Systemkomponenten, Kunde die Worker Nodes | Google verwaltet Control Plane |
Air-Gapped ist für Behörden, Verteidigung und Betreiber mit eigener Rechenzentrumsfläche gedacht. Für ein mittelständisches Unternehmen, das Kubernetes in Deutschland betreiben will, ist die Stufe in der Regel überdimensioniert; ein öffentlicher Preis existiert nicht.
Was kostet GKE in der Google Sovereign Cloud?
GKE kostet in allen öffentlichen Regionen 0,10 USD pro Cluster und Stunde, plus Rechenleistung. Die Data Boundary von Google selbst ist teils kostenlos, teils mit 5 % bis 20 % Aufschlag auf den gesamten Verbrauch im Ordner verbunden. Den Preis der T-Systems-Grenze und von Dedicated veröffentlicht Google nicht; beides läuft über Angebot.
Die Bausteine, Stand 24. Oktober 2026, netto, in USD:
| Baustein | Preis | Quelle |
|---|---|---|
| GKE Cluster-Management | 0,10 USD pro Cluster und Stunde, sekundengenau | GKE Pricing |
| GKE Free Tier | 74,40 USD Guthaben pro Monat und Rechnungskonto, nur zonal oder Autopilot | GKE Pricing |
| GKE Extended Support | zusätzlich 0,50 USD pro Cluster und Stunde (gesamt 0,60 USD) | GKE Pricing |
| EU Data Boundary (Assured Workloads) | kein Aufschlag | Assured Workloads Pricing |
| EU Data Boundary and Support / with Access Justifications | 5 % auf den Verbrauch im Ordner | Assured Workloads Pricing |
| Germany Data Boundary by T-Systems | k. A., nicht öffentlich | Partnerangebot |
| Google Cloud Dedicated (Thales) | k. A., Preview | Partnerangebot |
Rechenbeispiel für einen regionalen Cluster in Frankfurt mit der EU Data Boundary with Access Justifications: Die Control Plane kostet 0,10 USD × 730 Stunden = 73 USD pro Monat; das Free Tier greift bei regionalen Clustern nicht. Liegen im selben Ordner 10.000 USD Verbrauch für Nodes, Speicher und Netz, kommen 5 % × 10.073 USD = 503,65 USD Aufschlag dazu. Für Premium-Pakete brauchen Sie außerdem Enhanced oder Premium Support, sonst erhalten Sie keinen Assured-Workloads-Support von autorisiertem Personal. Google bietet eine Testphase von 60 Tagen.
Die SLA bleibt die der normalen GKE: 99,95 % für die Control Plane regionaler und Autopilot-Cluster, 99,5 % für zonale Cluster. Den Vergleich mit anderen Anbietern finden Sie in unserem SLA-Vergleich für Managed Kubernetes.
CLOUD Act: Was die drei Stufen ändern
Der CLOUD Act knüpft an die Kontrolle eines US-Anbieters über Daten an, nicht an den Speicherort. Data Boundary verringert die Zugriffsmöglichkeiten technisch über externe Schlüssel und Zugriffsfreigaben, Vertragspartner bleibt aber Google. Dedicated und Air-Gapped verlagern Betrieb und Kontrolle auf eine nicht von Google kontrollierte Stelle. Das ist der rechtlich relevante Unterschied.
Der Gesetzestext in 18 U.S.C. § 2713 verpflichtet Anbieter zur Herausgabe von Daten in ihrem “possession, custody, or control”, und zwar “regardless of whether such communication, record, or other information is located within or outside of the United States”. Daraus folgt für die Einordnung:
- Data Boundary: Daten liegen in Frankfurt, Schlüssel extern. Ob Google auf Anordnung herausgeben kann, hängt praktisch davon ab, ob Google die Daten ohne den externen Schlüssel lesen kann. Das ist eine technische, keine gesellschaftsrechtliche Absicherung.
- Dedicated: Betreiber ist eine Thales-Gesellschaft. Die Thales-Mitteilung spricht von Schutz vor “extraterritorial reach”. Prüfen Sie im Vertrag, welche Rolle Google für Software-Updates und Support behält.
- Air-Gapped: Ohne Netzverbindung und mit Betrieb durch den Kunden hat Google keinen Zugriff; die Bundeswehr schreibt das ausdrücklich.
Zum Vergleich: Deutsche Anbieter ohne US-Mutter wie STACKIT oder T Cloud Public fallen nicht über ihre Konzernstruktur unter den CLOUD Act. AWS geht mit der European Sovereign Cloud einen eigenen Weg: Region in Brandenburg, Betrieb durch eigene deutsche GmbHs unter der AWS European Sovereign Cloud GmbH, aber ohne externen Betreiber. Alle Angebote nebeneinander zeigt unser Vergleich souveräner Cloud-Anbieter.
Für wen passt welche Stufe?
Die passende Stufe hängt an der Frage, wer im Ernstfall die Kontrolle haben muss. Für DSGVO-konforme Workloads mit Google-Bestand reicht oft die Data Boundary. Für Ausschreibungen mit Betriebsvorgabe kommt in Deutschland erst Dedicated in Frage, sobald es allgemein verfügbar ist. Air-Gapped ist für Verschlusssachen und Verteidigung gebaut.
| Anforderung | Passende Stufe | Grenze |
|---|---|---|
| Bestehende GKE-Workloads, Daten nur in Deutschland, Schlüssel unter eigener Kontrolle | Germany Data Boundary by T-Systems | nur europe-west3, keine Local SSDs, Preis über T-Systems |
| EU-Datengrenze ohne Partner, geringer Aufpreis | EU Data Boundary (kostenlos) oder mit Access Justifications (5 %) | Google bleibt Betreiber, Support-Pflicht für Premium-Pakete |
| Betrieb durch EU-Gesellschaft, C5 als Ziel | Google Cloud Dedicated mit Thales | Preview, GA bis Ende 2026 geplant, Dienstekatalog nicht veröffentlicht |
| VS-NfD, keine Internetverbindung, eigenes Rechenzentrum | Google Distributed Cloud air-gapped | kein öffentlicher Preis, eigener Betrieb der Worker Nodes |
| Kein US-Bezug in der Lieferkette | keine Google-Stufe | dann deutsche Anbieter ohne US-Mutter prüfen |
Unsere Einschätzung: Wer GKE heute schon nutzt, gewinnt mit der Data Boundary messbare Kontrollen ohne Plattformwechsel. Wer eine souveräne Plattform neu auswählt, sollte Dedicated nicht vor GA einplanen und parallel die deutschen Anbieter aus dem Managed-Kubernetes-Vergleich für Deutschland anfragen. Die Ausgangsdaten zu GKE stehen im Anbieterprofil Google GKE.
FAQ
Was kostet die Google Sovereign Cloud für Kubernetes?
GKE selbst kostet 0,10 USD pro Cluster und Stunde, also rund 73 USD pro Monat für einen regionalen Cluster. Die EU Data Boundary ist ohne Aufschlag, die Variante mit Access Justifications kostet 5 % auf den gesamten Ordnerverbrauch. Für die Germany Data Boundary by T-Systems und für Dedicated gibt es keine öffentlichen Preise.
Google Sovereign Cloud vs AWS European Sovereign Cloud: Was ist der Unterschied?
AWS betreibt die European Sovereign Cloud in Brandenburg selbst, über eigene deutsche GmbHs mit Personal, das in der EU ansässig ist. Google trennt drei Stufen: Data Boundary in der normalen Cloud, Dedicated über einen unabhängigen Betreiber (in Deutschland Thales) und Air-Gapped beim Kunden. Bei Google liegt der Betrieb in der Dedicated-Stufe also bei einem Unternehmen, das nicht zum Google-Konzern gehört.
Ist GKE in der Germany Data Boundary eingeschränkt?
Ja, in drei Punkten. Cluster sind nur in europe-west3 (Frankfurt) erlaubt, kundenverwaltete Schlüssel aus einem externen Key Manager sind Pflicht, und die Richtlinie container.restrictNoncompliantDiagnosticDataAccess schaltet Googles aggregierte Kernel-Diagnose ab. Außerdem sind Local SSDs deaktiviert. Backup for GKE und GKE Hub laufen ohne Einschränkung.
Wann ist Google Cloud Dedicated in Deutschland verfügbar?
Thales und Google haben das Angebot am 20. Mai 2026 als Preview angekündigt und die allgemeine Verfügbarkeit bis Ende 2026 als Ziel genannt. Betreiber ist eine neue deutsche Thales-Gesellschaft. Einen festen Termin und einen Dienstekatalog mit GKE haben wir bis zum 24. Oktober 2026 nicht gefunden.
Schützt die Google Sovereign Cloud vor dem CLOUD Act?
Das hängt von der Stufe ab. In der Data Boundary bleibt Google Vertragspartner und Betreiber; externe Schlüssel begrenzen den technischen Zugriff. In Dedicated betreibt eine Thales-Gesellschaft die Plattform, in Air-Gapped der Kunde selbst ohne Netzverbindung zu Google. Eine rechtliche Bewertung für Ihren Fall ersetzt das nicht.
Welche Rolle spielt T-Systems bei Google?
T-Systems ist der Partner der Germany Data Boundary in der Sovereign-Controls-by-Partners-Familie. Die Grenze läuft auf der öffentlichen Google Cloud in Frankfurt mit externen Schlüsseln. Für die Dedicated-Stufe in Deutschland hat Google im Mai 2026 Thales als Betreiber angekündigt, nicht T-Systems.
Quellen
- Google Cloud: Sovereign Cloud (Produktseite) (abgerufen 24. Oktober 2026)
- Google Cloud Docs: Sovereign Controls by Partners, Overview (abgerufen 24. Oktober 2026)
- Google Cloud Docs: Germany Data Boundary by T-Systems (abgerufen 24. Oktober 2026)
- Google Cloud Docs: Shared responsibility in Sovereign Controls by Partners (abgerufen 24. Oktober 2026)
- Google Cloud: Assured Workloads pricing (abgerufen 24. Oktober 2026)
- Google Cloud Docs: Assured Workloads control packages (abgerufen 24. Oktober 2026)
- Google Cloud: GKE pricing (abgerufen 24. Oktober 2026)
- Google Cloud Docs: Regions and zones (abgerufen 24. Oktober 2026)
- Google Cloud Press Corner: Thales und Google Cloud, Sovereign Cloud in Deutschland (20.05.2026) (abgerufen 24. Oktober 2026)
- Google Cloud Press Corner: Sovereign Cloud Hub München (12.11.2025) (abgerufen 24. Oktober 2026)
- Bundeswehr: Partnerschaft BWI und Google (05.06.2025) (abgerufen 24. Oktober 2026)
- Google Cloud Docs: GKE on GDC air-gapped, Kubernetes cluster overview (abgerufen 24. Oktober 2026)
- S3NS: PREMI3NS (abgerufen 24. Oktober 2026)
- Cloud de Confiance by S3NS: GKE-Dokumentation (abgerufen 24. Oktober 2026)
- AWS European Sovereign Cloud FAQ (abgerufen 24. Oktober 2026)
- 18 U.S.C. § 2713 (CLOUD Act) (abgerufen 24. Oktober 2026)