SAP Sovereign Cloud 2026: 3 Modelle, Kubernetes, VS-NfD
SAP Sovereign Cloud erklärt: drei Betriebsmodelle, SAP Cloud Infrastructure mit VS-NfD-Freigabe, Kubernetes über Gardener und die Abgrenzung zu STACKIT und Delos.
TL;DR
SAP Sovereign Cloud ist das Souveränitäts-Portfolio der SAP mit drei Betriebsmodellen: SAP Cloud Infrastructure in SAP-eigenen Rechenzentren in Walldorf/St. Leon-Rot, SAP Sovereign Cloud On-Site im Rechenzentrum des Kunden und Modelle auf Hyperscalern oder Delos Cloud. Für Kubernetes zählt vor allem SAP Cloud Infrastructure: OpenStack plus Gardener, seit Juni 2026 mit BSI-Freigabe für VS-NfD. Eine öffentliche Preisliste haben wir nicht gefunden.
Was ist SAP Sovereign Cloud?
SAP Sovereign Cloud ist kein einzelnes Rechenzentrum und kein einzelnes Produkt, sondern der Sammelbegriff für SAP-Angebote mit Souveränitätskontrollen. SAP betreibt dabei seine eigenen Anwendungen und Plattformdienste unter vier Kontrollbereichen: Daten, Betrieb, Technik und Recht. Wo die Infrastruktur steht, hängt vom gewählten Betriebsmodell ab.
Die Grundlage bildet die Mitteilung vom 2. September 2025. Darin kündigt SAP eine langfristige Investition von mehr als 20 Milliarden Euro in digitale Souveränität an und nennt drei Modelle. Ein Jahr früher, am 19. September 2024, hatte SAP bereits ein Programm über mehr als zwei Milliarden Euro für Deutschland in den folgenden zehn Jahren angekündigt, mit einer eigenen souveränen Cloud ohne Hyperscaler für Verwaltung und regulierte Branchen.
Im November 2025 hat SAP das Portfolio unter dem Dach EU AI Cloud gebündelt und vier Varianten beschrieben:
| Betriebsmodell | Wo läuft die Infrastruktur? | Wer stellt IaaS bereit? | Zielgruppe (SAP-Angabe) |
|---|---|---|---|
| SAP Sovereign Cloud auf SAP Cloud Infrastructure (EU) | SAP-eigene Rechenzentren in Europa, Daten in der EU | SAP | Verwaltung, regulierte Branchen |
| SAP Sovereign Cloud On-Site | Rechenzentrum des Kunden oder vom Kunden gewählt | SAP über einen Partner im Kundenrechenzentrum | maximale Kontrolle |
| Ausgewählte Hyperscaler je Markt | z. B. AWS European Sovereign Cloud | Hyperscaler | SAP-SaaS mit Souveränitätsfunktionen |
| Delos Cloud | Deutschland, Azure-Technologie | Delos Cloud GmbH (SAP-Tochter) | öffentlicher Sektor in Deutschland |
Eine SAP-Präsentation von den SAP Connect Days im Juni 2026 präzisiert: SAP Cloud Infrastructure steht in Deutschland (inklusive VS-NfD) oder Frankreich, On-Site ist weltweit auf Anfrage verfügbar, ausgenommen die USA. Als Referenz nennt SAP dort die Diehl-Gruppe, die ihre Kernprozesse auf SAP Cloud Infrastructure in Deutschland modernisiert.
SAP Cloud Infrastructure: Region, Zertifikate, VS-NfD
SAP Cloud Infrastructure ist die IaaS-Plattform, die SAP selbst entwickelt und betreibt. Die souveräne Region liegt in Walldorf/St. Leon-Rot und besteht aus drei unabhängigen Availability Zones in physisch getrennten Rechenzentren. Seit Juni 2026 darf sie nach einer BSI-Freigabe Verschlusssachen der Stufe VS-NfD verarbeiten; SAP sieht sich damit unter wenigen deutschen Anbietern.
Die wichtigsten Meilensteine in zeitlicher Reihenfolge:
- 16. April 2026: SAP meldet die ISO/IEC 27001 auf Basis von IT-Grundschutz für die physische Infrastruktur der SAP-eigenen Rechenzentren in Deutschland (Zertifikat BSI-IGZ-0754-2026).
- 9. Juni 2026: Das BSI erteilt die Freigabe zur Verarbeitung von VS-NfD auf SAP Cloud Infrastructure in Walldorf/St. Leon-Rot. Die Prüfung dauerte rund 12 Monate. Betrieben wird die Region nur von sicherheitsüberprüftem Personal.
- Nächster Schritt: Die vollständige BSI-Zulassung setzt nach SAP-Angaben eine Rezertifizierung der gesamten Plattform nach ISO 27001 auf Basis von IT-Grundschutz voraus. Einen Termin nennt SAP nicht.
Die Zertifikate und Testate, die SAP in den beiden Mitteilungen aufführt:
| Nachweis | Gegenstand (SAP-Angabe) | Quelle |
|---|---|---|
| BSI C5 Typ II | SAP Cloud Infrastructure | Mitteilungen April und Juni 2026 |
| ISO/IEC 27001 auf Basis IT-Grundschutz | physische Infrastruktur der deutschen RZ | April 2026 |
| VS-NfD-Freigabe (BSI) | Region Walldorf/St. Leon-Rot | Juni 2026 |
| TSI Level 3+ bzw. Level 3 erweitert | Rechenzentren | April und Juni 2026 |
| EN 50600 / ISO/IEC 22237 | Rechenzentren | April und Juni 2026 |
| C3A-Kriterienkatalog des BSI | Selbstbewertung durch SAP, kein Testat | Juni 2026 |
| ISO 22301, SOC 1 und SOC 2 Typ 2 | SAP Cloud Infrastructure | April 2026 |
Zwei Einschränkungen gehören zur Einordnung. Erstens ist die C3A-Bewertung eine Selbsteinschätzung von SAP, kein Prüfergebnis eines Dritten. Zweitens bezieht sich die IT-Grundschutz-Zertifizierung auf die physische Infrastruktur, nicht auf jede Software-Schicht darüber. Wer einen C5-Bericht für die Vertragsprüfung braucht, sollte ihn direkt bei SAP anfordern und Berichtszeitraum sowie Scope gegen die eigenen Dienste prüfen.
Kubernetes auf SAP Cloud Infrastructure: Gardener und Persephone
Kubernetes läuft auf SAP Cloud Infrastructure über Gardener, das Open-Source-Projekt, das SAP nach der Gardener-Adopter-Liste auch intern für SAP BTP nutzt. Der Kubernetes-Dienst heißt im öffentlichen Code “Persephone”: Die Control Plane betreibt SAP auf Seed Clustern, die Worker Nodes laufen als VMs im OpenStack-Projekt des Kunden. Das Modell ähnelt der STACKIT Kubernetes Engine, die ebenfalls auf Gardener basiert.
Die April-Mitteilung von SAP nennt eine “Kubernetes-basierte Cloud-Umgebung” als Teil der Plattform. Konkreter wird das GitHub-Repository SAP-cloud-infrastructure/persephone (Apache 2.0). Dort beschreibt SAP Persephone als Kubernetes-as-a-Service-Operator, der Gardener-Cluster auf OpenStack anlegt und über den Lebenszyklus verwaltet, “fully managed” und CNCF-konform. Die Aufgabenteilung nach dem README:
| Aufgabe | SAP (Persephone) | Kunde |
|---|---|---|
| Verfügbarkeit der Control Plane (API-Server, etcd, Scheduler) | ja | |
| Kubernetes-Upgrades und Zertifikatsrotation | ja | |
| Updates des Node-Betriebssystems | ja | |
| Bereitstellung der Worker Nodes | ja | |
| Cluster-Konfiguration (Shoot-Spezifikation) | ja | |
| Workloads, Anwendungssicherheit, Quotas | ja |
Voraussetzungen sind ein aktives OpenStack-Projekt auf SAP Cloud Infrastructure, die Rolle kubernetes_admin und genug Quota für Instanzen, Netze, Router, Floating IPs, Security Groups und Volumes. Weil Persephone die Gardener-Shoot-Spezifikation direkt freigibt, sieht ein Cluster aus wie bei jedem Gardener-Anbieter. Ein vereinfachtes Beispiel, die Werte in Großbuchstaben sind Platzhalter:
apiVersion: core.gardener.cloud/v1beta1
kind: Shoot
metadata:
name: app-prod
namespace: garden-PROJEKT
spec:
cloudProfileName: CLOUDPROFILE
region: REGION
kubernetes:
version: "1.35"
provider:
type: openstack
workers:
- name: pool-a
machine:
type: MASCHINENTYP
minimum: 3
maximum: 6
maintenance:
timeWindow:
begin: "020000+0100"
end: "030000+0100"Welche Kubernetes-Versionen SAP freigibt, steht nicht im Repository. Die zugrunde liegende Gardener-Extension für OpenStack unterstützt am 10. Oktober 2026 Kubernetes 1.32 bis 1.36. Unser Befund zur Reife: Das Repository hat keine veröffentlichten Releases und 7 GitHub-Sterne, die Organisation SAP-cloud-infrastructure kündigt ausführlichere Projektinfos erst an. Ein buchbares Produkt mit Leistungsbeschreibung, Preis und SLA für Kubernetes haben wir in öffentlichen SAP-Quellen nicht gefunden. Ob und wie Kunden Persephone heute buchen können, klären Sie direkt mit SAP.
Gardener selbst ist kein SAP-Sonderweg. Die Adopter-Liste nennt in Deutschland unter anderem STACKIT, plusserver mit der plusserver Kubernetes Engine, T-Systems, noris network und Finanz Informatik. Wie Gardener im Vergleich zu Rancher und KKP funktioniert, zeigt unser Beitrag zur Kubermatic Kubernetes Platform.
SAP Sovereign Cloud vs STACKIT, Delos und AWS ESC
Die SAP Sovereign Cloud zielt auf SAP-Landschaften mit Souveränitätsanforderungen, nicht auf allgemeines Container-Hosting. STACKIT ist dagegen eine breite Public Cloud mit buchbarem Managed Kubernetes und offener Preisliste. Delos Cloud richtet sich nur an den öffentlichen Sektor, die AWS European Sovereign Cloud ist ein Hyperscaler unter EU-Betrieb.
| Kriterium | SAP Cloud Infrastructure | STACKIT | Delos Cloud | AWS European Sovereign Cloud |
|---|---|---|---|---|
| Konzern | SAP SE | Schwarz Gruppe | SAP SE (Tochter) | Amazon |
| Technik | OpenStack, Gardener | Gardener (SKE) | Microsoft Azure | AWS |
| Zielgruppe | SAP-Kunden, Verwaltung, regulierte Branchen | Public Cloud für Unternehmen | öffentlicher Sektor DE | siehe ESC-Beitrag |
| VS-NfD | BSI-Freigabe seit 06/2026 | k. A. in dieser Prüfung | k. A. in dieser Prüfung | k. A. in dieser Prüfung |
| Managed Kubernetes öffentlich buchbar | nicht belegt | ja, SKE | siehe Delos-Beitrag | siehe ESC-Beitrag |
| Öffentliche Kubernetes-Preise | nicht gefunden | 0,0996 € pro Stunde netto Cluster Management | k. A. | siehe ESC-Beitrag |
Quellen der Tabelle: SAP-Mitteilungen wie oben, die STACKIT-Produktseite der Kubernetes Engine (Cluster-Management-Gebühr 0,09959511998 € pro Stunde netto in EU01 und EU02, Stand 10.10.2026, entspricht 71,71 € bei 720 Stunden) und die Gardener-Adopter-Liste. Die SAP-Präsentation vom Juni 2026 führt die AWS European Sovereign Cloud ausdrücklich als Hyperscaler-Variante für Deutschland und Frankreich.
Delos Cloud ist ebenfalls eine SAP-Tochter, nutzt aber Azure-Technologie und ist auf Behörden zugeschnitten. In der Mitteilung von 2024 plante SAP Delos ab 2025. Eine allgemeine Verfügbarkeit konnten wir am 10. Oktober 2026 nicht auf einer Primärquelle bestätigen, den Stand und die AKS-Pläne haben wir im Beitrag Delos Cloud: Status, AKS und Alternativen aufgeschrieben. Details zur Region Brandenburg und zu EKS stehen in AWS European Sovereign Cloud mit EKS, die Dienste von STACKIT in STACKIT Cloud 2026.
Für wen passt SAP Sovereign Cloud?
Für Organisationen, die SAP S/4HANA oder SAP BTP mit VS-NfD- oder KRITIS-Anforderungen betreiben, passt SAP Sovereign Cloud, weil SAP Anwendung, Plattform und Infrastruktur aus einer Hand unter deutscher Kontrolle liefert. Für Teams, die vor allem eigene Container-Workloads betreiben, passt ein Managed-Kubernetes-Anbieter mit offener Preisliste meist besser.
Stärken
- Durchgehender Stack von IaaS bis SaaS bei einem deutschen Konzern, ohne US-Mutter in der Infrastrukturschicht von SAP Cloud Infrastructure.
- BSI-Freigabe für VS-NfD in Walldorf/St. Leon-Rot, dazu C5 Typ II und drei Availability Zones.
- Offener Technik-Unterbau (OpenStack, Gardener), der sich mit anderen Gardener-Anbietern deckt und Wissen übertragbar macht.
Grenzen
- Keine öffentliche Preisliste für SAP Cloud Infrastructure oder Kubernetes, Angebote nur auf Anfrage.
- Der Kubernetes-Dienst ist öffentlich nur als frühes Open-Source-Projekt ohne Releases dokumentiert, ohne Produktseite mit SLA.
- Die Region für VS-NfD ist eine einzige Region; ein zweiter deutscher Standort für Geo-Redundanz wird in den geprüften Mitteilungen nicht genannt.
So gehen Sie bei der Bewertung vor:
- Klären Sie, ob Ihre Workloads SAP-Anwendungen sind oder eigene Container. Bei eigenen Containern vergleichen Sie zuerst die Managed-Kubernetes-Anbieter in Deutschland.
- Prüfen Sie die Einstufung Ihrer Daten. Nur bei VS-NfD ist die BSI-Freigabe ein hartes Auswahlkriterium.
- Fordern Sie bei SAP den C5-Bericht und die Leistungsbeschreibung für den Kubernetes-Dienst an, inklusive SLA und unterstützter Versionen.
- Vergleichen Sie die Kosten mit offenen Preisen anderer Anbieter, etwa über unseren Kostenvergleich für Managed Kubernetes.
- Planen Sie die Exit-Strategie: Gardener-Shoots und OpenStack-APIs erleichtern den Wechsel zu anderen Gardener- oder OpenStack-Anbietern, die wir in OpenStack Kubernetes vergleichen.
Was kostet SAP Sovereign Cloud?
Öffentliche Preise für SAP Sovereign Cloud oder SAP Cloud Infrastructure haben wir in den geprüften SAP-Quellen nicht gefunden. Die SAP-Präsentation vom Juni 2026 sagt, dass alle Produkte nur im Abonnement verfügbar sind und souveräne Varianten nur einen Teil der Services kommerzieller SAP-Produkte enthalten. Rechnen Sie also mit individuellen Angeboten.
Für eine belastbare Kalkulation fehlen damit die Bausteine, die wir bei anderen Anbietern offenlegen: Preis pro Control Plane, Preis pro vCPU und GB RAM, Speicher und Traffic. Zum Vergleich: STACKIT berechnet für das Cluster Management der Kubernetes Engine 0,0996 € pro Stunde netto, Worker Nodes kommen separat dazu. Solange SAP keine Preisliste veröffentlicht, nehmen wir SAP Cloud Infrastructure nicht in die Vergleichsmatrix auf, weil dort nur belegte Werte stehen. Nach welchen Kriterien wir Anbieter aufnehmen, steht in der Methodik.
Die SAP-Präsentation zeigt außerdem, dass das Portfolio noch wächst: Die Roadmap-Folie nennt für mehrere SAP-Lösungen geplante Verfügbarkeiten bis 2028. Prüfen Sie vor einer Entscheidung, welche konkreten Dienste in der deutschen Region heute verfügbar sind.
FAQ
Was ist SAP Sovereign Cloud?
SAP Sovereign Cloud ist das Souveränitäts-Portfolio von SAP. Es umfasst SAP Cloud Infrastructure in SAP-eigenen Rechenzentren, SAP Sovereign Cloud On-Site im Kundenrechenzentrum sowie Varianten auf Hyperscalern und Delos Cloud. Ziel ist Kontrolle über Daten, Betrieb, Technik und Recht.
Gibt es Managed Kubernetes in der SAP Sovereign Cloud?
SAP Cloud Infrastructure enthält nach SAP-Angaben eine Kubernetes-basierte Umgebung. Der Dienst Persephone legt Gardener-Cluster auf OpenStack an, SAP betreibt die Control Plane. Eine öffentliche Produktseite mit Preis und SLA haben wir am 10. Oktober 2026 nicht gefunden, die Buchbarkeit klären Sie mit SAP.
Was kostet SAP Sovereign Cloud?
Eine öffentliche Preisliste gibt es nach unserer Prüfung nicht. SAP bietet die souveränen Varianten nur im Abonnement und nach individuellem Angebot an. Zum Vergleich: Die Cluster-Management-Gebühr der STACKIT Kubernetes Engine liegt bei 0,0996 € pro Stunde netto, Stand 10.10.2026.
SAP Sovereign Cloud vs STACKIT: Was ist der Unterschied?
Beide nutzen Gardener für Kubernetes und betreiben deutsche Rechenzentren. STACKIT ist eine allgemeine Public Cloud mit offenen Preisen und buchbarer Kubernetes Engine. SAP Sovereign Cloud zielt auf SAP-Landschaften und Behörden, hat eine VS-NfD-Freigabe für Walldorf/St. Leon-Rot, aber keine öffentliche Preisliste.
Ist SAP Sovereign Cloud dasselbe wie Delos Cloud?
Nein. Delos Cloud ist eine SAP-Tochter mit Azure-Technologie für den öffentlichen Sektor und eines von mehreren Betriebsmodellen im SAP-Portfolio. SAP Cloud Infrastructure ist SAPs eigene IaaS auf Open-Source-Basis ohne Hyperscaler-Technik.
Darf SAP Cloud Infrastructure Verschlusssachen verarbeiten?
Ja, für die Stufe VS-NfD. Das BSI hat SAP am 9. Juni 2026 die Freigabe für SAP Cloud Infrastructure in der Region Walldorf/St. Leon-Rot erteilt, nach rund 12 Monaten Prüfung. Die Freigabe gilt für die Stufe VS-NfD, nicht für höhere Einstufungen.
Wo stehen die Rechenzentren?
Die souveräne Region liegt in Walldorf/St. Leon-Rot mit drei Availability Zones in getrennten Gebäuden. Laut SAP-Präsentation gibt es SAP Cloud Infrastructure für Souveränitätskunden außerdem in Frankreich, On-Site ist weltweit außer in den USA auf Anfrage möglich.
Quellen
- SAP News: SAP Deepens European Cloud Sovereignty Offering (02.09.2025) (abgerufen 10. Oktober 2026)
- SAP News: SAP Unveils EU AI Cloud (27.11.2025) (abgerufen 10. Oktober 2026)
- SAP News: SAP Cloud Infrastructure, IT-Grundschutz-Zertifizierung (16.04.2026) (abgerufen 10. Oktober 2026)
- SAP News: VS-NfD Authorization for SAP Cloud Infrastructure (09.06.2026) (abgerufen 10. Oktober 2026)
- SAP News: Investitionsprogramm digitale Souveränität (19.09.2024) (abgerufen 10. Oktober 2026)
- SAP Connect Days Juni 2026: Cloud Sovereignty Introduction (PDF) (abgerufen 10. Oktober 2026)
- GitHub: SAP-cloud-infrastructure/persephone (abgerufen 10. Oktober 2026)
- GitHub: SAP-cloud-infrastructure (Organisation) (abgerufen 10. Oktober 2026)
- Gardener: Provider Extension OpenStack (abgerufen 10. Oktober 2026)
- Gardener: Adopters (abgerufen 10. Oktober 2026)
- STACKIT Kubernetes Engine (Produkt- und Preisseite) (abgerufen 10. Oktober 2026)