EU-Open-Source-Strategie 2026: Video-Souveränität

Echtzeit-Video war den größten Teil des vergangenen Jahrzehnts eine reine Beschaffungs-Entscheidung: Anbieter wählen, Vertrag unterzeichnen, ausrollen. Dieser Rahmen reicht heute nicht mehr. Video-Infrastruktur trägt mittlerweile Gesundheits-Beratungen, Parlaments-Sitzungen, Gerichts-Verhandlungen und grenzüberschreitende Behörden-Zusammenarbeit. Auf diesem Niveau institutioneller Abhängigkeit ist die Frage, wer die Infrastruktur kontrolliert und unter welchem Rechtsregime, eine Souveränitäts-Frage, kein Posten in einer Excel-Tabelle.

Am 3. Juni 2026 hat die Europäische Kommission ihre Mitteilung zur europäischen technologischen Souveränität veröffentlicht, mit der EU-Open-Source-Strategie als zentralem Baustein. Daneben stehen drei weitere Initiativen: der Vorschlag für den Cloud and AI Development Act (CADA), der Chips Act 2.0 und die Strategische Roadmap für Digitalisierung und KI im Energiesektor. Zusammen bilden sie den bisher kohärentesten EU-Versuch, die „Wer kontrolliert den Stack?"-Frage auf der Ebene von Politik und Recht zu beantworten.

Zwei Punkte sind vorab klarzustellen. Erstens ist die EU-Open-Source-Strategie eine unverbindliche Mitteilung. Sie gibt eine Richtung vor, schafft aber keine rechtlichen Pflichten für Mitgliedstaaten oder Vergabestellen. Zweitens ist CADA ein frühphasen-legislativer Vorschlag ohne aktuelle Rechtskraft. Eine realistische Verabschiedung liegt frühestens Ende 2027, und Mitgliedstaaten hätten danach noch eine Umsetzungs-Frist. Keines dieser Dokumente schafft heute Pflichten. Das ist wichtig für Vergabe-Verantwortliche, die sonst Gefahr laufen, sie als bereits gültig zu lesen.

Open Source nimmt in dieser Antwort prominenten Platz ein, und das zu Recht. Aber dieser Artikel argumentiert, dass Open Source allein für Souveränität nicht ausreicht. Für Video-Infrastruktur hängt Souveränität ebenso davon ab, wo das System läuft und wer es betreibt.

Für den DACH-Raum kommt eine zusätzliche Dimension dazu: Deutschland hat 2026 bereits ein funktionierendes Souveränitäts-Ökosystem aufgebaut – ZenDiS, openDesk, openCode, Sovereign Tech Fund und konkrete Migrations-Beispiele wie Schleswig-Holstein. Diese Initiativen prägen, wie EU-Strategie und CADA in der Praxis ankommen.

Inhaltsverzeichnis

1. Was die EU-Open-Source-Strategie tatsächlich sagt
2. Open Source ist nicht souverän: die Drei-Schichten-Analyse
3. CADAs Vier-Stufen-Modell der Souveränitäts-Zusicherung
4. DACH-Realität 2026: ZenDiS, openDesk, Schleswig-Holstein und Sovereign Tech Fund
5. Öffentliche Beschaffung als Anker: was sich für Käufer ändert
6. Self-hosted vs. managed souveränes Video
7. Was das speziell für Echtzeit-Video bedeutet
8. Praktische Souveränitäts-Checkliste für Video-Beschaffung
9. Häufige Fragen (FAQ)

Was die EU-Open-Source-Strategie tatsächlich sagt

Die Strategie ist um vier Ziele aufgebaut: Open Source für technologische Souveränität, ein „lebendiges Open-Source-Ökosystem", Open Source in der öffentlichen Verwaltung sowie verstärkte Standards und internationale Reichweite. Für Organisationen, die Video-Infrastruktur bewerten, sind drei der Verpflichtungen am direktesten wirksam.

1. Strukturelle Abhängigkeiten reduzieren. Die Strategie hält fest, dass die EU aktuell bei über 80 Prozent der wichtigen digitalen Produkte, Dienste, Infrastruktur und Schutzrechte auf Nicht-EU-Länder angewiesen ist. Sie fordert europäische offene Alternativen zu Nicht-EU-Proprietär-Lösungen in kritischen Bereichen, unterstützt durch Förder-Mittel und koordinierte Ausrollung auf Mitgliedstaaten-Ebene über das European Digital Infrastructure Consortium for Digital Commons.

2. Beschaffungs-Reform. Die Strategie weist öffentliche Verwaltungen die Rolle von Ankernutzern und Beitragenden im Open-Source-Ökosystem zu. Sie sollen nicht mehr nur passive Konsumenten sein. Neue Beschaffungs-Leitlinien, open-source-freundliche Ausschreibungs-Anforderungen und ein erweitertes Netzwerk von Open-Source-Programmbüros sind im Scope. Für ein Krankenhaus, eine Justizbehörde oder einen öffentlich-rechtlichen Sender, die eine Video-Plattform bewerten, signalisiert das die Richtung kommender EU-Beschaffungs-Leitlinien: Open-Source-Bausteine werden erwartet, und sie werden in vielen Vergaben verlangt werden, sobald verbindliche Leitlinien folgen.

3. Langfristige Pflege und Nachhaltigkeit. Der dritte und weniger diskutierte Punkt: die Strategie schlägt ein Open Source Maintenance Instrument und ein Framework zur Analyse von Abhängigkeits-Risiken vor. Damit soll ein strukturelles Problem adressiert werden – weit verbreitete Open-Source-Komponenten, die plötzlich aufgegeben oder kritisch unterfinanziert sind. Für Video bedeutet das konkret: WebRTC- und Medien-Verarbeitungs-Schichten beruhen auf Komponenten, deren kommerzielle Pflege nicht immer garantiert ist. Ein Kommissions-gestütztes Pflege-Framework verändert diese Rechnung deutlich.

Die Kommission hat im Januar 2026 zusätzlich eine Konsultation zu Open-Source-Ökosystemen gestartet, deren Eingaben in die Strategie-Umsetzung einfließen. Organisationen mit operativer Erfahrung in Open-Source-Video-Infrastruktur sind gut positioniert, die Beschaffungs-Leitlinien mitzugestalten.

Open Source ist nicht souverän: die Drei-Schichten-Analyse

Die intuitive Gleichsetzung „Open Source = souverän" ist verständlich. Offene Lizenzen heben die Abhängigkeit von der Erlaubnis eines einzelnen Anbieters auf, Software zu lesen, zu modifizieren und zu betreiben. In diesem engen Sinn reduzieren sie eine Kategorie von Abhängigkeit. Wer aber die Frage „Open Source vs. souverän" ernsthaft stellt, stellt fest: die Lizenz ist nur eine von drei Schichten, die bestimmen, ob ein Deployment tatsächlich souverän ist.

• Erste Schicht: Code und Lizenz. Kannst du die Software lesen, modifizieren und betreiben, ohne die Zustimmung eines einzelnen Anbieters? Eine offene Lizenz antwortet: ja. Das ist die Schicht, bei der die meisten Beschaffungs-Gespräche stehenbleiben. Für manche Käufer – besonders solche mit Anspruch auf volle Auditierbarkeit des Server-Stacks, Fork-Recht oder Air-Gap-Deployment – ist sie die entscheidende Schicht. Das „Public-Code"-Prinzip der FSFE (im Kern: öffentliche Institutionen sollten nur Software einsetzen, die sie vollständig kontrollieren und modifizieren können) hat mit der Diskussion um die EU-Strategie neue Sichtbarkeit gewonnen. Aus FSFE-Sicht gibt freie Software öffentlichen Institutionen eine Form von Kontrolle, die kein Managed Service replizieren kann.

• Zweite Schicht: wo Daten physisch verarbeitet und gespeichert werden. Ein System kann komplett Open Source sein und trotzdem auf Infrastruktur laufen, die einem Nicht-EU-Rechtsregime untersteht. US-betriebene Cloud-Infrastruktur unterliegt Gesetzen, die die Herausgabe von Daten erzwingen können, unabhängig davon, wo die Server physisch stehen. Das EU-US Data Privacy Framework, im September 2025 vom Gericht der Europäischen Union in erster Instanz bestätigt (Berufung vor dem EuGH anhängig), bietet einen Übermittlungs-Mechanismus für DSGVO-konforme Datenflüsse, hebt aber die CLOUD-Act-Exposition für Daten auf US-kontrollierter Infrastruktur nicht auf. Eine offene Lizenz auf der Software bietet keinen Schutz vor dieser Gerichtsbarkeit.

• Dritte Schicht: die operative Kette. Wer betreibt, supportet und patcht das System? Wo ist der Betreiber eingetragen, und wer kann unter welchem Recht zur Herausgabe von Zugriff oder Daten gezwungen werden? Genau hier setzt der CADA-Vorschlag an.

Konkrete Illustration: eine Organisation, die eine selbst-gehostete Open-Source-Video-Plattform auf US-kontrollierter Hyperscaler-Infrastruktur betreibt, hat Schicht 1 erfüllt, aber Schichten 2 und 3 verfehlt. Ein gemanagter Video-Dienst, der auf EU-Infrastruktur läuft und von einer EU-eingetragenen Einheit unter EU-rechtlich gestalteten Vertrags-Bedingungen betrieben wird, erfüllt Schichten 2 und 3 – auch wenn proprietäre Komponenten im Stack stecken. Die Lizenz ist nicht der einzige Souveränitäts-Test. Die operative Kette zählt mit.

CADAs Vier-Stufen-Modell der Souveränitäts-Zusicherung

CADA führt ein vierstufiges Modell zur Souveränitäts-Bewertung ein. Stufe 1 ist die Basis-Ebene: Daten müssen in EU-Infrastruktur verarbeitet und gespeichert werden. Die Stufen 2 bis 4 fügen progressiv strengere Anforderungen hinzu:

• Stufe 1: Daten-Verarbeitung und -Speicherung in der EU.
• Stufe 2: Unabhängigkeit von Drittstaaten-Rechtsregimen plus Lieferketten-Transparenz.
• Stufe 3: EU-Eigentum und -Kontrolle der betreibenden Einheit.
• Stufe 4: EU-eingetragenes Personal und vollständig EU-souveräne operative Kette.

Der reine Lizenz-Ansatz (nur „Open Source") scheitert typischerweise bei Stufen 2 und höher, weil diese Stufen die Kontrolle der operativen Umgebung betreffen, nicht den Code.

Wichtig: CADAs konkrete Stufen-Anforderungen werden sich noch entwickeln, während der Vorschlag Parlament und Rat passiert. Aber die Logik der vierstufigen Bewertung ist ein robuster Rahmen schon heute für Vergabe-Entscheidungen.

DACH-Realität 2026: ZenDiS, openDesk, Schleswig-Holstein und Sovereign Tech Fund

Während die EU-Strategie auf Brüsseler Ebene Rahmenbedingungen setzt, hat Deutschland 2026 bereits operativ funktionierende Souveränitäts-Strukturen. Wer als Käufer Video-Infrastruktur im DACH-Raum bewertet, kommt an diesen Initiativen nicht vorbei.

ZenDiS – das Zentrum für Digitale Souveränität

Das Zentrum für Digitale Souveränität (ZenDiS) wurde im Dezember 2022 gegründet, als Reaktion auf den wachsenden Bedarf an digitaler Eigenständigkeit im öffentlichen Sektor. Sitz ist Bochum, Träger sind Bund und Länder. ZenDiS hat im April 2026 einen strategischen Prozess gestartet, um die weitere Verbreitung seiner Kern-Produkte in deutschen und europäischen Behörden voranzutreiben.

openDesk ist eine quelloffene Office- und Kollaborations-Suite, speziell für die öffentliche Verwaltung entwickelt – als DSGVO-konforme Alternative zu Microsoft 365. Bis Oktober 2028 soll die Bundesverwaltung über eine digital souveräne Alternative zum proprietären Arbeitsplatz verfügen.

openCode ist die geteilte Plattform der öffentlichen Verwaltung für den Austausch von Open-Source-Software, ein Baustein für eine souveräne digitale Infrastruktur.

Auf dem Tag der offenen Tür der Bundesregierung 2026 haben das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) und ZenDiS einen mobilen openDesk-Showroom präsentiert. Für Video-Anbieter, die in den deutschen öffentlichen Sektor verkaufen wollen, ist openDesk-Kompatibilität (Single Sign-On, Kalender-Integration, Dokument-Workflows) zunehmend relevant.

Schleswig-Holstein – die Migration, die Schule macht

Das Bundesland Schleswig-Holstein migriert 30.000 bis 60.000 PCs auf Linux und LibreOffice. Die Zahlen Stand Dezember 2025: rund 80 Prozent der Arbeitsplätze außerhalb der Steuerverwaltung arbeiten bereits mit LibreOffice; Microsoft Office und Outlook sind deinstalliert oder werden gerade deinstalliert. 44.000 Postfächer und 110 Millionen Kalendereinträge wandern auf Open-Xchange. Standard-Dateiformate wechseln von Microsoft XML auf OpenDocument Format (ODF).

Wirtschaftlich überzeugt das Modell: Schleswig-Holstein spart über 15 Millionen Euro Lizenz-Kosten jährlich, bei einmaligen Investitionen von rund 9 Millionen Euro für Migration und Weiterentwicklung 2026. Ministerpräsident Daniel Günther verbindet die Migration explizit mit dem Ziel, den Datenschutz zu stärken und die Abhängigkeit von US-Konzernen zu beenden.

Was das für Video-Beschaffung heißt: Schleswig-Holsteins Verwaltung sucht Video-Plattformen, die mit der neuen Linux/LibreOffice-Welt sauber zusammenspielen. Browser-basierte Video-Plattformen mit EU-Hosting passen perfekt. Klassische Windows-only-Desktop-Clients fallen durch.

Sovereign Tech Fund (Berlin)

Der Sovereign Tech Fund ist eine öffentliche Investitions-Initiative des Bundeswirtschaftsministeriums, umgesetzt durch die Sovereign Tech Agency GmbH (Tochter von SPRIND, der Bundesagentur für Sprunginnovationen). Das Budget ist von 3,5 Millionen Euro (2022) auf rund 17 Millionen Euro (2025) gewachsen. Insgesamt wurden Verträge mit 60 kritischen Tech-Projekten im Volumen von rund 23,5 Millionen Euro vergeben.

Der Sovereign Tech Fund finanziert die Pflege von Open-Source-Basis-Technologien – Bibliotheken, Protokolle, Entwicklungs-Tools, die quer durch die Wirtschaft verwendet werden, aber oft strukturell unterfinanziert sind. Für Video-Infrastruktur sind viele dieser Komponenten relevant: Codecs, WebRTC-Bibliotheken, Container-Tools, Verschlüsselungs-Bibliotheken.

Das deutsche Modell ist Vorbild für das EU Open Source Maintenance Instrument, das die EU-Strategie vorschlägt.

GAIA-X und souveräne Cloud

Parallel läuft das deutsch-französische GAIA-X-Projekt für eine föderierte europäische Daten-Infrastruktur. Während GAIA-X strategisch noch in Aufbauphase ist, haben die BSI-Standards C5:2026 und C3A (Cloud Computing Autonomy, April 2026) bereits konkrete Beschaffungs-Wirkung. Wer als Cloud-Anbieter in den deutschen öffentlichen Sektor verkauft, braucht C5-Testat. Wer Souveränitäts-Anspruch erhebt, sollte C3A im Blick haben.

Öffentliche Beschaffung als Anker: was sich für Käufer ändert

Die EU-Strategie positioniert öffentliche Verwaltungen explizit als Ankernutzer und Beitragende des Open-Source-Ökosystems. Sie sollen Offenheit und Souveränitäts-by-Design in digitale Investitions-Entscheidungen einbetten. Neue Beschaffungs-Leitlinien und open-source-freundliche Ausschreibungen werden beeinflussen, wie Video-Plattform-Verträge EU-weit gestaltet, bewertet und auditiert werden – auch wenn verbindliche Pflichten von CADA und implementierenden Verordnungen abhängen.

Für einen Käufer, der heute souveräne Video-Infrastruktur bewertet, schafft das einen praktischen Grund, über die Lizenz hinaus zu schauen. Ein Anbieter kann ehrlich auf ein öffentliches Repository verweisen und gleichzeitig den Dienst auf einer Infrastruktur betreiben, die kein CADA-Stufe-2-Assessment bestünde (das demonstrierte Unabhängigkeit von Drittstaaten-Infrastruktur verlangt). Vergabe-Verantwortliche müssen Fragen über alle drei Schichten stellen.

In der Praxis heißt das: Vor Vertrags-Abschluss müssen Anbieter folgende Punkte nachweisen:

• Welche Komponenten sind Open Source, und unter welchen konkreten Lizenzen?
• Wo werden Medien in einer Live-Session verarbeitet, und wo werden Metadaten und Aufzeichnungs-Daten gespeichert?
• Wer betreibt den Dienst, in welcher Jurisdiktion ist er eingetragen, und welchem rechtlichen Zugriffs-Regime unterliegt er?
• Gibt es echte Portabilität und Exit-Fähigkeit, oder verbirgt eine offene Code-Schicht eine geschlossene operative Abhängigkeit?

Die Konsultation zu Open-Source-Ökosystemen wird die granulare Umsetzung der Beschaffungs-Leitlinien in den nächsten 12 bis 18 Monaten formen. Käufer, die 2027 Ausschreibungen verfassen, sollten die Outputs über die Digital-Strategie-Seite der Kommission und das Interoperable-Europe-Portal verfolgen.

Self-hosted vs. managed souveränes Video

Die Strategie unterstützt Open-Source-Bausteine und validiert damit ein Modell, das seit einiger Zeit existiert: selbst-gehostete Plattformen, bei denen eine Organisation Video-Infrastruktur unter eigenen Bedingungen deployt und betreibt.

Zwei Kategorien selbst-gehosteter Optionen lohnen die Unterscheidung:

Für Organisationen mit eigener Infrastruktur-Engineering-Kapazität geben Open-Source-Komponenten (WebRTC-Bibliotheken, Medien-Server) maximale Kontrolle. Eigenbau aus den Komponenten ist möglich, verlangt aber tiefes Engineering-Know-how.

Für solche, die eine vollständigere Off-the-Shelf-Basis wollen, sind reife und aktiv gepflegte Open-Source-Video-Plattformen wie Jitsi Meet und BigBlueButton längst weit im europäischen öffentlichen Sektor verbreitet. Deployt auf EU-Infrastruktur unter EU-betriebener Kette, erfüllt jede der beiden alle drei Souveränitäts-Schichten ohne kommerzielle Abhängigkeit von einem Managed-Service-Anbieter.

Für Käufer mit echten Air-Gap-Anforderungen ist Self-Hosting ohnehin die einzige Option: ein gemanagter Cloud-Dienst verlangt definitionsgemäß ständige Netzwerk-Verbindung zum Anbieter und kann diese Einschränkung nicht erfüllen.

Self-Hosting trägt aber die volle operative Last: Security-Patching, SFU-Konfiguration, Codec-Management, Verfügbarkeit, Compliance-Nachweise, DSGVO-Audit-Trails – all das fällt dem Betriebs-Team zu. Die Strategie entlastet hier nicht; sie stellt nur sicher, dass die zugrundeliegenden Komponenten verfügbar sind und nachhaltig gepflegt werden. Ob diese Last eine Hürde ist, hängt von der Personal-Stärke und der internen Infrastruktur-Kapazität der Organisation ab.

Ein dritter Weg: ein embedded oder API-programmierbarer Video-Dienst, deployt auf EU-Infrastruktur, betrieben von einer EU-eingetragenen Einheit unter EU-rechtlich gestalteter operativer Kette. Dieses Modell erfüllt Schichten 2 und 3, lagert aber Engineering-Aufwand an den Anbieter aus. Zur Klarstellung: ein SDK, das in eine bestehende Anwendung integriert wird, kann vollständig API-programmierbar sein, sodass das Integrations-Modell nicht den Souveränitäts-Status bestimmt. Was den Souveränitäts-Status bestimmt, ist die Hosting- und operative Kette dahinter.

Ein Managed-Service tauscht die Self-Hosting-Operativ-Last gegen eine andere Form von Abhängigkeit: nicht juristisch, sondern kommerziell und operativ. Wenn der Anbieter Preise ändert, übernommen wird oder den Geschäftsbetrieb einstellt, hängt die Kontinuität des Käufers vollständig von vertraglichen Portabilitäts-Garantien und realen Migrations-Pfaden ab. Käufer sollten diese Garantien vor Vertrags-Abschluss schriftlich verlangen, nicht einfach als Checkliste abhaken.

Was das speziell für Echtzeit-Video bedeutet

Echtzeit-Video ist schwerer auf Souveränität zu bewerten als eine statische SaaS-Anwendung. Medien-Routing, Codec-Verarbeitung und Aufzeichnung berühren Daten jeweils unterschiedlich und werfen je eigene Souveränitäts-Fragen auf. Die generischen Beschaffungs-Prinzipien der EU-Strategie brauchen eine Übersetzung in Video-spezifische technische Anforderungen.

Ein Medien-Stream, der durch eine SFU läuft und nur verschlüsselte Pakete weiterleitet, hat einen sehr anderen Daten-Verarbeitungs-Fußabdruck (rechtlich und architektonisch) als einer, der am Server dekodiert, gemischt oder analysiert wird. Aufzeichnungs-Pipelines werfen zusätzliche Fragen auf: Wo wird die Aufzeichnung gespeichert, wer hält die Entschlüsselungs-Schlüssel, und unter welchem Recht werden Aufbewahrungs-Pflichten durchgesetzt?

KI-basierte Video-Funktionen werfen eine eigene Kategorie von Fragen auf. Transkription, Geräusch-Unterdrückung und Echtzeit-Übersetzung werden üblicherweise serverseitig verarbeitet, und manchmal über Dritt-Modell-Anbieter. Wo diese Verarbeitung passiert und unter welcher Infrastruktur und welchem Recht, ist eine echte Souveränitäts-Frage, die Beschaffungs-Spezifikationen selten adressieren.

Konkretes Beispiel von uns: unsere Infrastruktur ist EU-gehostet (Leaseweb Niederlande, Scaleway), mit Sub-Auftragsverarbeitern in der EU und DSGVO-adäquaten Jurisdiktionen. Die SFU leitet verschlüsselte Streams weiter, ohne sie zu dekodieren oder zu mischen, was die Daten-Verarbeitungs-Oberfläche und die zugehörige rechtliche Exposition minimiert. Das embedded SDK steht unter BSD-2-Clause-Lizenz – einer permissiven offenen Lizenz, die Nutzungs-, Modifikations- und Integrations-Rechte ohne Einschränkung gewährt. Das liefert die Art von No-Lock-in-Code-Zugang, die die Strategie verlangt, ohne den vollen Managed-Service zu Unrecht als „Open Source" zu etikettieren.

Praktische Souveränitäts-Checkliste für Video-Beschaffung

Das Drei-Schichten-Modell übersetzt sich in konkrete Fragen für jeden Video-Beschaffungs-Prozess. Diese Checkliste ist dafür ausgelegt, in Ausschreibungs-Spezifikationen und Anbieter-Bewertungen wiederverwendbar zu sein.

Schicht 1: Code und Lizenz

• Welche Komponenten sind Open Source, und unter welchen konkreten Lizenzen (Apache 2.0, BSD-2-Clause, AGPL etc.)?
• Ist das SDK oder die Integrations-Schicht verfügbar zur Inspektion, Modifikation und Weiter-Verteilung, ohne Anbieter-Erlaubnis?
• Sind kritische Komponenten durch den deutschen Sovereign Tech Fund oder das geplante EU Open Source Maintenance Instrument gefördert (Indikator für langfristige Pflege)?

Schicht 2: Infrastruktur und Daten-Ort

• Wo werden Live-Medien während einer Session verarbeitet? In welchem Land, auf welcher Infrastruktur?
• Wo werden Metadaten, Nutzer-Daten und Aufzeichnungs-Daten ruhend gespeichert?
• Hat der Anbieter ein BSI-C5-Testat? Welche C3A-Stufe wird erfüllt?
• Unterliegt die Infrastruktur einem Extra-EU-Rechts-Zugriff (CLOUD Act, FISA, etc.)?

Schicht 3: Operative Kette und Jurisdiktion

• Wer betreibt den Dienst? Wo ist die betreibende Einheit eingetragen?
• Welche Sub-Auftragsverarbeiter sind in Medien- oder Daten-Verarbeitung involviert, und wo sitzen sie?
• Kann der Anbieter eine Zuordnung gegen CADA-Stufen liefern?
• Gibt es einen definierten Exit- und Portabilitäts-Prozess, falls die Organisation zu einem anderen Anbieter wechseln oder selbst hosten möchte?

Häufige Fragen (FAQ)

Was ist die EU-Open-Source-Strategie 2026?

Die EU-Open-Source-Strategie ist einer von vier Bausteinen des am 3. Juni 2026 veröffentlichten Tech-Souveränitäts-Pakets der Europäischen Kommission, neben Cloud and AI Development Act (CADA), Chips Act 2.0 und der Energie-Digitalisierungs-Roadmap. Sie stellt Open Source ins Zentrum der EU-Technologie-Souveränität, fördert europäische offene Alternativen in kritischen Technologie-Bereichen, macht öffentliche Verwaltungen zu Ankernutzern und Beitragenden und etabliert ein langfristiges Pflege- und Nachhaltigkeits-Framework für kritische Open-Source-Komponenten. Die Strategie ist eine unverbindliche Mitteilung; die verbindlichen Beschaffungs-Pflichten, die sie antizipiert, hängen von CADA und implementierenden Verordnungen ab.

Macht Open-Source-Software eine Video-Plattform souverän?

Nicht allein. Open Source adressiert eine von drei Schichten der Souveränität: die Code- und Lizenz-Schicht, die sicherstellt, dass du die Software ohne Erlaubnis eines einzelnen Anbieters lesen, modifizieren und betreiben kannst. Souveränität verlangt zusätzlich, dass Daten auf Infrastruktur verarbeitet werden, die keinem Extra-EU-Rechts-Zugriff unterliegt, und dass die Einheiten in der operativen Kette (Betreiber, Support, Patching) in der EU eingetragen und governiert sind.

Was ist der Unterschied zwischen Open Source und digitaler Souveränität?

Open Source ist ein Lizenz- und Entwicklungs-Modell, das Nutzern das Recht gibt, Software zu inspizieren, zu modifizieren und weiterzuverteilen. Digitale Souveränität ist ein breiteres Konzept und umfasst rechtliche, operative und infrastrukturelle Kontrolle über Daten und Systeme. Open Source trägt zur Souveränität bei, indem es Lizenz-Abhängigkeiten beseitigt, aber bestimmt nicht, wo Daten verarbeitet werden, wer das System betreibt oder welches Recht den Zugriff auf diese Daten regelt. Souveränität verlangt, dass alle drei Schichten adressiert sind.

Ist selbst-gehostetes Video souveräner als ein gemanagter Dienst?

Selbst-gehostetes Open-Source-Video kann volle Souveränität erreichen, wenn es auf EU-Infrastruktur außerhalb der Reichweite von Extra-EU-Zugriffs-Regimen läuft. Plattformen wie Jitsi Meet und BigBlueButton sind aktiv gepflegt und im europäischen öffentlichen Sektor weit verbreitet. Korrekt auf EU-Infrastruktur deployt, erfüllen sie alle drei Souveränitäts-Schichten. Self-Hosting ist außerdem die einzige Option für Käufer mit echten Air-Gap-Anforderungen, weil ein gemanagter Cloud-Dienst Netzwerk-Verbindung zum Anbieter voraussetzt. Self-Hosting trägt aber erheblichen operativen Aufwand: Security-Patching, SFU-Management, Verfügbarkeit, Skalierung und Compliance-Nachweise gehen aufs Betriebs-Team. Ein gemanagter Dienst auf EU-Infrastruktur, betrieben von einer EU-eingetragenen Einheit, erreicht für die meisten Käufer gleichwertige Souveränitäts-Garantien bei deutlich weniger operativem Aufwand – vorausgesetzt, der Käufer verifiziert alle drei Schichten und sichert vertragliche Exit- und Portabilitäts-Klauseln.

Was sollten EU-Käufer Anbieter fragen, um Video-Souveränität zu verifizieren?

Käufer sollten Nachweise über drei Schichten verlangen: (1) Welche Komponenten sind Open Source und unter welchen Lizenzen; (2) wo werden Live-Medien, Metadaten und Aufzeichnungen verarbeitet und gespeichert, und unterliegt diese Infrastruktur einem Extra-EU-Rechts-Zugriff; (3) wer betreibt den Dienst und wo ist er eingetragen, welche Sub-Auftragsverarbeiter sind involviert, und welche Portabilitäts- und Exit-Klauseln sind verfügbar. CADAs vorgeschlagene Souveränitäts-Stufen (1 bis 4) sind ein nützlicher Referenz-Rahmen für die Strukturierung dieser Fragen, auch wenn die finalen Kriterien sich vor Verabschiedung der Verordnung noch ändern können.

Verlangt EU-Daten-Souveränität, dass Daten in der EU gehostet werden?

EU-Daten-Souveränität verlangt mehr als physischen Standort allein. Daten müssen auf Infrastruktur gehostet sein, die keinem Extra-EU-Zugriffs-Recht unterliegt. Ein physischer EU-Standort auf einer US-kontrollierten Plattform erfüllt diese Anforderung nicht, wenn diese Plattform rechtlich verpflichtet ist, auf Nicht-EU-Zugriffs-Forderungen zu reagieren. Echte Souveränität verlangt EU-lokalisierte, EU-betriebene Infrastruktur, bei der die kontrollierende Einheit in der EU eingetragen und governiert ist, sodass rechtliche Zugriffs-Pflichten durch EU-Recht und nicht durch ein Drittstaaten-Regime bestimmt sind.

Welche Rolle spielen ZenDiS und openDesk für Video-Anbieter im DACH-Markt?

ZenDiS ist die operative Drehscheibe der digitalen Souveränität in der deutschen öffentlichen Verwaltung. Bis Oktober 2028 soll die Bundesverwaltung über digital souveräne Alternativen zu proprietären IT-Arbeitsplätzen verfügen. openDesk ist die zentrale Office- und Kollaborations-Suite dafür. Für Video-Anbieter heißt das: Integration mit openDesk-Stack (Single Sign-On, Kalender, Dokumenten-Workflows) wird zum Wettbewerbs-Vorteil in deutschen Behörden-Vergaben.

Fazit

Die im Juni 2026 veröffentlichte EU-Open-Source-Strategie ist ein wichtiges Dokument für alle, die Video-Infrastruktur in Europa beschaffen oder bauen. Sie identifiziert Open-Source-Bausteine korrekt als notwendige Zutat digitaler Souveränität und unterlegt diese Position mit Beschaffungs-Leitlinien, Förder-Mechanismen und einem langfristigen Pflege-Framework. Die Strategie ist noch nicht verbindliches Recht, und CADA ist ein Vorschlag, der noch durch Parlament und Rat geht. Aber beide Dokumente signalisieren klar die Richtung der EU-Beschaffungs-Politik.

Im DACH-Raum ist diese Richtung bereits operative Realität. Schleswig-Holsteins Migration zu Linux und LibreOffice, ZenDiS mit openDesk und openCode, der Sovereign Tech Fund in Berlin, das BSI mit C5:2026 und C3A – das alles existiert nicht als Vision, sondern als laufende Praxis. Wer 2026 Video-Infrastruktur für deutsche Behörden, KRITIS-Betreiber oder DAX-Konzerne einkauft, bewegt sich in einem Markt, der die Drei-Schichten-Logik bereits anwendet.

Käufer, die beim Lizenz-Check aufhören, kaufen falsch ein. Souveränität für Video-Infrastruktur ist das Produkt dreier Schichten in Kombination: offene Bausteine, EU-gehostete Infrastruktur und eine EU-betriebene Kette, die keinen Extra-EU-Zugriffs-Regimen unterliegt. CADA wird diesen Drei-Schichten-Test zunehmend explizit ins Recht überführen, auch wenn die konkreten Stufen-Anforderungen noch durch das Verfahren wandern. Beschaffungs-Prozesse, die diesen Test anwenden, sind besser aufgestellt und unter Audit verteidigungsfähiger als jene, die ein öffentliches Repository als Souveränitäts-Garantie behandeln.

Mehr darüber, wie wir bei Digital Samba Daten-Sicherheit, Infrastruktur-Transparenz und Sub-Auftragsverarbeiter-Verantwortung handhaben, findest du in unserem Security Whitepaper. Wenn du verstehen willst, wie die Integration in der Praxis aussieht und wie die Infrastruktur unter dem Drei-Schichten-Modell aufgestellt ist, sprich mit unserem Team.