Lösung · Managed Cloud & Modell-APIs (Cloud-API)
AWS Bedrock (EU, Frankfurt)
Anbieter: Amazon Web Servicesdocs.aws.amazon.com
Multi-Vendor-Marktplatz (Claude, Llama, Mistral, Nova) in EU-Region; AVV, kein Training (Default). Souveräne AWS-EU-Region (DE) seit 01/2026, aber nur Amazon Nova. Cloud-Act-Restrisiko.
AVV · EU-Region · Multi-Modell · Cloud-Act-Risiko
Souveränitäts-Profil
Recht (r)
1
Technik (t)
1
Autonomie (a)
1
Warum nicht höher als Stufe 1: Fremdstaatlicher Zugriff (US Cloud Act u.ä.) bleibt rechtlich möglich · keine Jurisdiktions-Souveränität. Stufe 2 erfordert einen EU-Anbieter ohne US-Mutter.
Datenblatt
- Jurisdiktion
- US
- Betriebsmodell
- Managed Cloud (US-Hyperscaler), EU-Region
- AVV verfügbar
- ja
- Training auf Kundendaten
- nein
- Offene Gewichte
- nein
- Selbst betreibbar
- nein
- Zertifikate
- BSI C5 · ISO 27001 · SOC 2 · ISO 42001
- Zuletzt geprüft
- 2026-08-01
Wofür sie taugt
Ein Marktplatz für Modelle verschiedener Anbieter über eine Schnittstelle, betrieben in einer AWS-Region Ihrer Wahl. Für Häuser, die schon auf AWS laufen, ist es der kürzeste Weg zu mehreren Modellfamilien, ohne mit jedem Modellanbieter einen eigenen Vertrag zu schließen.
Grenzen
Die Trainings-Zusage gilt ausdrücklich auch für die fremden Modelle. AWS schreibt: „No, AWS and the third-party model providers will not use any inputs to or outputs from Amazon Bedrock to train Amazon Nova, Amazon Titan, or any third-party models." Zur Datenhaltung heißt es: „Any customer content processed by Amazon Bedrock is encrypted and stored at rest in the AWS Region where you are using Amazon Bedrock."
Die souveräne AWS-Cloud ist etwas anderes als die Region Frankfurt. Dieser Eintrag beschreibt Bedrock in einer gewöhnlichen EU-Region. Die AWS European Sovereign Cloud ist nach AWS-eigener Beschreibung „a new, independent cloud for Europe", also ein eigener Verbund und kein Zusatz zu eu-central-1. Welche Modelle dort verfügbar sind, ließ sich am 01.08.2026 aus AWS-eigener Dokumentation nicht belegen: die Verfügbarkeitsübersicht von Bedrock führt die Region eusc-de-east-1 überhaupt nicht auf. Die Angabe in unserer Kurz-Einordnung, dort gebe es nur Amazon-eigene Modelle, stammt aus Drittquellen und ist entsprechend zu behandeln. Wer die souveräne Cloud erwägt, lässt sich den Modellkatalog vom Anbieter schriftlich geben.
Zur Einstufung: die EU-Region ändert nichts an der US-Mutter, deshalb Stufe 1.
Restrisiken
- Fremdstaatliche Jurisdiktion: Der US Cloud Act (o.ä.) kann Zugriff erzwingen · auch bei EU-Hosting.
- Daten werden beim Anbieter verarbeitet (Klartext) · kein technischer Schutz gegen Abfluss.
- Proprietär ohne Eigenbetrieb: erhöhte Abhängigkeit / Lock-in, eingeschränkte Exit-Optionen.
Pflichten beim Einsatz
- Auftragsverarbeitungsvertrag (Art. 28 DSGVO) abschließen; ggf. Datenschutz-Folgenabschätzung (Art. 35); Verarbeitung in EU-Region.
- Transfergrundlage sichern (SCC/Angemessenheit), Transfer Impact Assessment durchführen und das Cloud-Act-Restrisiko bewusst dokumentieren.
- KI-VO-Pflichten (Hochrisiko nach Annex III, Transparenz nach Art. 50) hängen vom Anwendungsfall ab · separat prüfen.
- Gilt immer: KI-Kompetenz sicherstellen (Art. 4 KI-VO, seit 2.2.2025) · Mitarbeitende schulen, Nutzungsregeln festlegen, beides dokumentieren.
Weiterführend
Quellen3
- AWS: Häufige Fragen zu Amazon Bedrock (Training auf Kundendaten, Datenhaltung in der Region) anbieter-doku · abgerufen 2026-08-01 · belegt: training
- AWS: European Sovereign Cloud, Beschreibung als eigenständige europäische Cloud anbieter-doku · abgerufen 2026-08-01
- AWS: Amazon Bedrock, regionale Verfügbarkeit der Modelle (ohne eusc-de-east-1) anbieter-doku · abgerufen 2026-08-01
Prüfhistorie
- 2026-08-01 Kürzel-Beleg docs.aws.amazon.com durch drei Quellen ersetzt. Befund: die Trainings- und Residenz-Zusage steht in den häufigen Fragen zu Bedrock, nicht in der Datenschutz-Seite der Dokumentation. Zweiter Befund: die Angabe der Kurz-Einordnung zum Modellkatalog der souveränen AWS-Cloud ist aus AWS-eigener Dokumentation nicht belegbar, die Verfügbarkeitsübersicht kennt die Region eusc-de-east-1 nicht. Das steht jetzt offen in den Grenzen. (aws.amazon.com, docs.aws.amazon.com)
Nächster Schritt
Ob Stufe 1 für Ihr Vorhaben genügt, hängt von Ihren Daten, der Rechtslage und dem Einsatzzweck ab. Die Peilung ermittelt Ihre Mindeststufe in vier Schritten (KI-VO, Daten, Branche, Unabhängigkeit) und zeigt anschließend alle Lösungen, die sie erfüllen.