Infrastruktur & souveräne KI-Bereitstellung

Fast 100 Milliarden US-Dollar fließen 2026 in souveräne KI-Rechenleistung. KI-Infrastruktur, die innerhalb einer kontrollierten Grenze bleibt, ist längst keine Nischenanforderung der Verteidigung mehr – sie wird weltweit zur Standardhaltung für regulierte Unternehmen und Regierungen. Unser Ansatz besteht darin, die Infrastruktur zu entwickeln, die souveräne KI operativ real macht, statt sie nur strategisch zu erklären.

Was Souveränität wirklich bedeutet (und was nicht)

Souveränität ist nicht Datenresidenz. Datenresidenz sagt Ihnen, wo Ihre Daten liegen. Souveränität sagt Ihnen, wer den Stack kontrolliert, auf dem sie laufen. AWS startete im Januar 2026 seine European Sovereign Cloud mit über 90 Diensten in einer deutsch inkorporierten, physisch getrennten Einheit. Das erfüllt die Datenresidenz. Es erfüllt jedoch nicht die strukturelle Souveränität, denn der US CLOUD Act gewährt extraterritorialen Zugriff auf Daten, unabhängig davon, wo sie physisch gespeichert sind.

Ein Callista-Benchmark vom Februar 2026 ergab, dass EU-eigene Anbieter wie Scaleway rund das 4,8-fache an Wert pro Euro im Vergleich zu AWS liefern und dabei echte Layer-3-Unabhängigkeitbieten: EU-Eigentum, EU-Betriebskontrolle und keinerlei Exposition gegenüber dem CLOUD Act.

Unsere Methode beginnt damit, genau zu bestimmen, wo auf dem Souveränitätsspektrum die Anforderungen eines Käufers liegen – ein Ansatz, der in unserer Forschung zur Architektur souveräner Intelligenz für das Post-Trust-Unternehmendetailliert beschrieben ist. Jede nachfolgende Haltung ist eine andere Architektur, eine andere Kostenkurve und ein anderes Compliance-Mapping – und wir konzipieren alle drei:

• Vollständige Air-Gap-Lösung mit Datendioden und ohne jegliche externe Netzwerkverbindung.
• Private Cloud ohne Anbieter mit US-Hauptsitz im Kontrollpfad.
• ITAR-konforme Infrastruktur , bei der KI-Workloads, die kontrollierte technische Daten verarbeiten, innerhalb von Grenzen bleiben, die ausschließlich US-Personen vorbehalten sind.

Das Abhängigkeits-Audit, das sonst niemand durchführt

Die meisten „souveränen“ Bereitstellungen sind nicht souverän. Sie lecken. Einzeln betrachtet ist jedes Leck ein geringfügiges Konfigurationsversehen. Zusammengenommen bedeuten sie, dass Ihre Air-Gap-Bereitstellung nicht wirklich abgeschottet ist. Häufige Übeltäter:

• Das NVIDIA GPU Operator -Standard-Helm-Chart zieht bei jedem Pod-Neustart Container-Images von nvcr.io .
• HashiCorp Vaultenthält seit der Umstellung auf die BSL-Lizenz im Jahr 2023 Endpunkte zur Lizenzvalidierung, die standardmäßig nach Hause telefonieren.
• Standard-Kubernetes-DNS-Konfigurationen lösen gegen vorgelagerte Root-Server auf.
• NTP-Synchronisation zielt auf pool.ntp.org.
• Prometheus-Exporter telefonieren nach Hause, um nach Updates zu suchen.

OpenBao, der Fork der Linux Foundation in Version 2.5.0 (Februar 2026), beseitigt die Vault-Call-Home-Abhängigkeit und fügt gleichzeitig Enterprise-Funktionen wie Namespaces und horizontale Leseskalierbarkeit unter einer MPL-2.0-Lizenz hinzu.

Unsere Praxis besteht darin, ein systematisches Abhängigkeits-Audit durchzuführen, bevor eine Umgebung als souverän deklariert wird – die Disziplin hinter unserer Forschung zu Software-Integrität und resilienten Systemen: jeder DNS-Abfragepfad, jedes NTP-Ziel, jede Provenienzkette von Container-Images, jeder Endpunkt zur Lizenzvalidierung und jedes Telemetrie-Beacon, das in der values.yaml eines Sub-Charts vergraben ist. Ein Engagement erzeugt eine geprüfte Stückliste, in der jede externe Abhängigkeit entweder auf einen internen Dienst gespiegelt oder nachweislich beseitigt ist.

Das ist die Arbeit, die Hardware-Anbieter, Cloud-Provider und Managed-Platform-Unternehmen nicht leisten – weil ihr Geschäftsmodell keinen Anreiz bietet, die letzten 2 % der Lecks zu finden und zu beheben, die Souveränitätsansprüche unter einem Audit zunichtemachen.

Air-Gap-GPU-Infrastruktur, die tatsächlich offline funktioniert

Ein Air-Gap-KI-Cluster ist keine Standard-Kubernetes-Bereitstellung, bei der man einfach das Internetkabel abzieht. Der NVIDIA GPU Operator unterstützt die getrennte Installation über eine lokale Image-Registry, aber das Setup erfordert das Vorab-Bereitstellen jedes Container-Images, Treiberpakets und jeder CRD-Definition.

MIG (Multi-Instance GPU) -Partitionierung bietet Tenant-Isolation auf Hardware-Ebene auf gemeinsam genutzten Knoten, mit 19 unterstützten Mixed-Strategy-Profilen für A100- und H100-GPUs. NVIDIAs KAI Scheduler, 2025 unter Apache 2.0 als Open Source veröffentlicht, ergänzt die fraktionale GPU-Zuweisung und ein topologiebewusstes Scheduling, das die Cluster-Auslastung in Produktions-Benchmarks von 13 % auf 37 % verbesserte.

Unser Ansatz besteht darin, die komplette Offline-Artefakt-Lieferkette zu konzipieren: eine Harbor-Registry mit Schwachstellen-Scanning, gespiegelte Paket-Repositories mit kryptografischer Verifizierung, eine interne Zertifizierungsstelle für gegenseitiges TLS und eine interne NTP-Stratum-Schicht auf Basis von GPS- oder Rubidium-Taktquellen – dieselben Grundlagen wie hinter unserer funktionierenden Demo eines souveränen privaten LLM.

Für klassifizierte Umgebungen integrieren wir unidirektionale Datendioden von Anbietern wie Owl Cyber Defense, die eine physikbasierte Gewährleistung des unidirektionalen Datenflusses mit bis zu 100 Gbit/sbieten. Modellgewichte (ein Modell mit 70 Mrd. Parametern belegt über 130 GB) bewegen sich durch diese Dioden unter einer kryptografischen Chain-of-Custody: signierte Artefakt-Bundles, Prüfsummenverifizierung bei jeder Übergabe und eine Zwei-Personen-Integritätsregel für die Beförderung von Staging in die Produktion.

Confidential Computing auf souveräner Hardware

Die NVIDIA H100 ist die erste GPU mit einer hardwarebasierten Trusted Execution Environment, verankert in einem On-Die-Root-of-Trust. Im Confidential-Computing-Modus bewegt ein verschlüsselter Bounce-Buffer Daten zwischen CPU- und GPU-TEEs und stellt sicher, dass weder der Hypervisor noch das Host-Betriebssystem im Klartext auf Modellgewichte oder Inferenzdaten zugreifen können.

Intel Trust Authority bietet zusammengesetzte Attestierung für Intel-TDX-CPU-TEEs und NVIDIA-H100-GPU-TEEs in einem einzigen Verifizierungs-Workflow. Das ist dort relevant, wo das Bedrohungsmodell auch Insider-Zugriff umfasst: Ein Sysadmin mit Root-Rechten auf dem Host kann in einer Standardbereitstellung GPU-Speicher auslesen – ein Risiko, das wir in unserer Forschung zur Absicherung privater Enterprise-LLMsuntersuchen.

Unsere Methode besteht darin, die vollständige Attestierungskette zu konfigurieren, von der Firmware-Messung bis zur Remote-Attestierung gegenüber einem souveränen Verifizierungsdienst, sodass die Umgebung einen kryptografischen Nachweis erbringen kann, dass Code und Daten nicht manipuliert wurden – selbst nicht durch den Betreiber der Einrichtung.

Exportkontrollen bestimmen, was Sie bauen können und wo

Die GPU-Beschaffung für souveräne KI ist inzwischen ein Exportkontrollproblem. Chips unter ECCN 3A090 und 4A090 (H100, H200, A100, B200, GB200, AMD MI300X) unterliegen Exportlizenzanforderungen, die je nach Zielland variieren. Eine BIS-Regel, die zum 15. Januar 2026 in Kraft trat, verlagerte die H200-Prüfung für China auf eine Einzelfallbasis, doch der chinesische Zoll blockierte die Importe daraufhin eigenständig. Eine Untersuchung vom Dezember 2025 deckte auf, dass Chips unter einer gefälschten Marke „Sandkyan“ verschickt wurden, um Kontrollen zu umgehen.

Für souveräne Käufer außerhalb der USA schafft dies reale architektonische Einschränkungen. Die Beschaffungszeiträume betragen 8 bis 16 Wochen selbst ohne Exportkomplikationen, und Organisationen, die die Beschaffung erst nach Abschluss des Designs beginnen, verlängern sie regelmäßig um zwei bis drei Monate.

Unser Ansatz integriert die Beschaffungsplanung in die Architekturphase: Wir bestimmen, welche Chips unter welchen Lizenzausnahmen verfügbar sind, welches alternative Silizium restriktive Stufen vermeidet, und entwerfen den Software-Stack für Hardware-Portabilität, sodass ein künftiger Chip-Wechsel keine Neuarchitektur erzwingt.

Regulatorisches Mapping ist Architektur, nicht Papierkram

Compliance-Anforderungen prägen grundlegende Architekturentscheidungen; sie werden nicht nachträglich angeschraubt. Jedes Regime lässt sich auf spezifische technische Einschränkungen abbilden:

• GDPR Artikel 44 beschränkt Übermittlungen personenbezogener Daten außerhalb der EU/des EWR und bestimmt damit, wo Trainingsdaten liegen dürfen.
• ITAR behandelt die KI-Verarbeitung kontrollierter technischer Daten auf Nicht-US-Infrastruktur als nicht genehmigten Export und schreibt GovCloud oder Azure Government vor.
• CMMC Level 2 erfordert nach FIPS 140-3 Level 1 validierte Verschlüsselung – und viele kommerzielle KI-Tools erfüllen dies nicht, weil sie Standard-TLS ohne FIPS-validierte Module verwenden.
• Indiens DPDP-Regeln 2025 verfolgen einen Blacklist-Ansatz zur Datenlokalisierung, wobei Sektorregulierer im BFSI-Bereich strengere Vorgaben durchsetzen.
• Die GAIA-X-Label-Zertifizierung Level 3 nimmt das EUCS-High+-Schema vorweg und erfordert vollständigen Schutz vor nicht-europäischer jurisdiktioneller Einflussnahme.

Am Golf treiben Saudi-Arabiens 100 Milliarden US-Dollar schwerer souveräner KI-Fonds und der 5-Gigawatt -KI-Campus der VAE massive Infrastrukturausbauten voran.

Unsere Methode besteht darin, jedes regulatorische Regime auf spezifische Architekturentscheidungen abzubilden: Verschlüsselungsstandards, Grenzen der Datenresidenz, Zugriffskontrollen für Personal, Granularität der Audit-Protokollierung und Verfahren zur Reaktion auf Vorfälle. Dieses Mapping ist so konzipiert, dass es neben dem Infrastructure-as-Code lebt und nicht in einem separaten Compliance-Ordner, der sich von der Realität entfernt.

Das Gespräch über Kosten und Zeitplan

Lenovos TCO-Studie von 2026 ergab, dass lokale KI-Infrastruktur bei hoch ausgelasteten Workloads in weniger als vier Monaten Kostenparität mit der Cloud erreicht, mit einem 18-fachen Kostenvorteil pro Million Token gegenüber MaaS-APIs. Bei typischen Workloads liegt der Break-even zwischen 10 und 15 Monaten.

Die Aufbauzeiten reichen von 3 bis 9 Monaten und erstrecken sich bei Bare-Metal-Aufbauten auf bis zu 12 Monate. Die Anfangskosten betragen 50.000 bis 200.000 US-Dollar für die Einrichtung der LLM-/RAG-Pipeline, plus 75.000 bis 350.000 US-Dollar für die Enterprise-Integration.

Wir sind transparent darüber, wann souveräne Infrastruktur die falsche Antwort ist: bei Workloads mit geringem Volumen unterhalb des TCO-Schnittpunkts, bei Organisationen ohne Platform-Engineering-Kapazität für den laufenden Betrieb und in Situationen, in denen ein Managed-Sovereign-Cloud-Anbieter die regulatorische Anforderung ohne maßgeschneiderte Infrastruktur erfüllt. In diesen Fällen empfehlen wir, den richtigen Anbieter auszuwählen, statt eine Eigenlösung zu bauen.

Warum nicht eine große Beratungsfirma beauftragen

Accenture hat 3 Milliarden US-Dollar in seine KI-Praxis investiert. Deloitte bietet AI Factory as a Service mit NVIDIA an. McKinseys QuantumBlack verfügt über rund 5.000 KI-Experten. Ihre souveränen Engagements dauern 4 bis 10 Monate bis zur ersten Produktionsbereitstellung.

Wir sind Infrastruktur-Ingenieure. Ein Engagement ist darauf ausgelegt, eine funktionierende souveräne Umgebung zu liefern: Infrastructure-as-Code (Terraform, Helm, Ansible), operative Runbooks, Kapazitätsplanungsmodelle, Disaster Recovery mit getesteten Verfahren und Härtungsberichte nach CIS-Benchmark.

Deloitte berichtete, dass 42 % der Unternehmen im Jahr 2025 die meisten KI-Initiativen aufgaben, bei durchschnittlich 7,2 Millionen US-Dollar an versunkenen Kosten pro Projekt. Das Gegenmittel ist ein Engagement, das darauf ausgelegt ist, funktionierende Infrastruktur zu liefern, statt einer weiteren aufgegebenen Initiative.