Warum das Thema gerade jetzt ankommt
Digitale Souveränität war lange eine Frage für Behörden. Inzwischen stellt sie
sich auch mittelständischen Unternehmen, aus ziemlich nüchternen Gründen:
- Lizenzkosten steigen.
- Kunden fragen in Ausschreibungen nach dem Speicherort.
- Die rechtliche Lage bei US-Anbietern ist seit Jahren ungeklärt.
Dazu kommt ein Zeitfenster, das viele noch nicht auf dem Schirm haben. Der EU
Data Act ist seit dem 12. September 2025 anwendbar. Er zwingt Anbieter dazu,
den Wechsel technisch und vertraglich zu ermöglichen, und schafft die
Wechselentgelte stufenweise ab:
- Bis Anfang 2027 dürfen Anbieter höchstens die tatsächlich entstehenden
Kosten berechnen.
- Ab dem 12. Januar 2027 grundsätzlich gar nichts mehr.
Unberührt bleiben normale Nutzungsentgelte, anteilige Kosten bei vorzeitiger
Kündigung und zusätzlich beauftragte Unterstützung. Wer ohnehin über einen
Wechsel nachdenkt, verhandelt gerade aus einer deutlich besseren Position als
noch vor zwei Jahren.
Was Souveränität praktisch bedeutet
Es geht darum, handlungsfähig zu bleiben, wenn sich Preise, Bedingungen oder
die Rechtslage ändern. Der Preis ist dabei selten der Auslöser. Dafür müssen Sie nicht
alles selbst betreiben und auch nicht alles auf einmal ersetzen. Sie müssen
wissen, worauf Sie sich eingelassen haben, und die Stellen kennen, an denen ein
Ausstieg teuer würde.
Die rechtliche Bewertung im engeren Sinn gehört dabei nicht zu mir, sondern zu
Ihrem Datenschutzbeauftragten oder einem Fachanwalt. Was ich liefere, ist die
technische Grundlage dafür: welche Daten wo liegen, wer darauf zugreifen kann
und welchem Recht der jeweilige Anbieter unterliegt.
Was stimmt, was nicht
Unsere Daten liegen in Frankfurt, also gilt deutsches Recht.
Nur die halbe Antwort
Der Serverstandort ist die eine Hälfte, das anwendbare Recht die andere. Ein US-Unternehmen kann nach dem CLOUD Act zur Herausgabe verpflichtet werden, auch wenn die Daten in einem deutschen Rechenzentrum liegen. Genau diese Hälfte lassen die meisten Anbieterversprechen offen.
Microsoft 365 ist in Deutschland verboten.
Stimmt nicht
Die Datenschutzkonferenz hat am 24. November 2022 festgestellt, dass sich ein datenschutzkonformer Einsatz nach damaligem Stand nicht nachweisen lässt. Das ist eine Positionierung der Aufsichtsbehörden, kein Verbot und keine Rechtsnorm. Microsoft hat seitdem nachgebessert, und einzelne Länder bewerten die Lage unterschiedlich. Was bleibt, ist ein Risiko, das Sie kennen und bewerten sollten, statt es zu erben.
Wir nutzen einen europäischen Anbieter, damit sind wir unabhängig.
Kommt darauf an
Entscheidend ist, ob Sie wieder wegkönnten. Liegen Ihre Daten in einem Format vor, das auch woanders lesbar ist? Wie lange würde ein Umzug dauern, und wer könnte ihn außer dem Anbieter selbst durchführen? Ein Anbieterwechsel, der Sie erneut festsetzt, verschiebt das Problem nur.
Der Umstieg spart uns sofort Lizenzkosten.
Nicht verlässlich
Eine Umstellung kostet zunächst Geld und rechnet sich erst über die Laufzeit, wenn überhaupt. Wo Lizenzkosten wegfallen, wird es günstiger; wo Sie Betriebsverantwortung übernehmen, kann es teurer werden. Wer Ihnen vorab eine Ersparnis verspricht, kennt Ihre Umgebung nicht.
Welche Bereiche wirklich kritisch sind
- Kritisch
Dateiablage
Dort liegen die Arbeitsergebnisse. Ein gesperrter Zugang trifft hier sofort jeden im Betrieb, und der Bestand wächst mit jedem Tag, den Sie warten.
- Kritisch
Kommunikation
E-Mail, Messenger, Videokonferenz. Fällt das aus, steht der Betrieb still, und zwar unabhängig davon, ob die Fachanwendungen noch laufen.
- Kritisch
Identitätsverwaltung
Daran hängt alles andere. Wer die Anmeldung kontrolliert, kontrolliert jeden angeschlossenen Dienst, und deshalb ist dieser Punkt der unangenehmste, wenn er zu spät angefasst wird.
- Meist unkritisch
Fachanwendungen und Randsysteme
Fachanwendungen sind oft weniger kritisch, als sie wirken, und Randsysteme fast nie. Hier zuerst anzufangen kostet viel Aufwand und senkt das Risiko kaum.
Das Stufenmodell
Ein vollständiger Wechsel auf einmal ist teuer, riskant und in den meisten Betrieben unnötig. Jede Stufe ist für sich abgeschlossen, und nach jeder können Sie aufhören. Die Landesverwaltung Schleswig-Holsteins geht diesen Weg gerade für zehntausende Arbeitsplätze; daraus lernen lässt sich weniger die Technik als die Reihenfolge.
- Stufe 1
Transparenz
Sie wissen, wo Sie stehen, ohne dass sich irgendetwas ändert. Welche Dienste laufen, welche Daten liegen dort, welcher Ausfall würde wehtun. Allein das beantwortet die Fragen aus Ausschreibungen.
- Stufe 2
Das Naheliegende verlagern
Dateiablage, Videokonferenzen, Newsletter, Webseite. Hier gibt es reife europäische Alternativen, und die Umstellung merkt die Belegschaft kaum.
- Stufe 3
Der Arbeitsplatz
Office-Dateien, Postfach, Kalender. Das ist der spürbare Schritt, und deshalb der, bei dem Schulung und Zeitplan mehr zählen als Technik. Auf Bundesebene wird dafür openDesk bereitgestellt; seit 2026 gibt es dazu auch ein Partnerprogramm für Unternehmen.
- Stufe 4
Der souveräne Kern
Eigene Identitätsverwaltung, eigene Infrastruktur. Das lohnt sich für die wenigsten, und ich sage es Ihnen, wenn Sie nicht dazugehören.
Was ich übernehme
Abhängigkeitsanalyse
Welche Dienste nutzen Sie, welche Daten liegen dort, welcher Ausfall würde wehtun, und wie schnell könnten Sie wechseln. Das Ergebnis ist eine Liste mit Rangfolge, mit der Sie auch ohne mich weiterarbeiten können.
Umzug in Stufen
Wir fangen mit dem an, was viel bringt und wenig stört: meist Dateiablage, Videokonferenz oder Messenger. Jede Stufe ist für sich abgeschlossen, und nach jeder können Sie aufhören.
Betrieb, ohne dass Sie Betreiber werden
Souverän heißt nicht, dass Sie einen Serverraum brauchen. Zwischen Hyperscaler und Eigenbetrieb liegen europäische Anbieter mit Auftragsverarbeitungsvertrag und deutschem Support.
Belegbare Aussagen für Kunden und Prüfer
Am Ende steht schriftlich, welche Daten wo liegen, wer darauf zugreifen kann und welchem Recht der Anbieter unterliegt. Diese Auskunft brauchen Sie, sobald ein Kunde oder eine Behörde fragt.
Häufige Fragen
Müssen wir Microsoft 365 verlassen?
Nein, und niemand kann Sie dazu zwingen. Die Datenschutzkonferenz hat am 24. November 2022 festgestellt, dass sich ein datenschutzkonformer Einsatz von Microsoft 365 nach damaligem Stand nicht nachweisen lässt. Das ist eine Positionierung der Aufsichtsbehörden und kein Verbot; sie ist rechtlich nicht bindend, und einzelne Länder bewerten es anders. Was bleibt, ist ein Risiko, das Sie kennen und bewerten sollten, statt es zu erben.
Unsere Daten liegen in Frankfurt. Reicht das nicht?
Der Serverstandort beantwortet nur die halbe Frage. Entscheidend ist zusätzlich, welchem Recht der Anbieter unterliegt. Ein US-Unternehmen kann nach dem CLOUD Act zur Herausgabe verpflichtet werden, auch wenn die Daten in einem deutschen Rechenzentrum liegen. Genau das ist der Punkt, den die meisten Anbieterversprechen offenlassen.
Was ändert der EU Data Act für uns?
Er ist seit dem 12. September 2025 anwendbar und verpflichtet Anbieter, den Wechsel technisch und vertraglich zu ermöglichen. Die Entgelte für den Wechsel werden stufenweise abgeschafft: Bis dahin dürfen Anbieter höchstens die tatsächlich entstehenden Kosten berechnen, ab dem 12. Januar 2027 grundsätzlich gar nichts mehr. Nicht betroffen sind normale Nutzungsentgelte, anteilige Kosten bei vorzeitiger Kündigung und zusätzlich beauftragte Unterstützung.
Löst Microsofts Sovereign Cloud das Problem?
Teilweise. Datenhaltung, Betrieb durch europäisches Personal und Verschlüsselung in Ihrer Hand adressieren echte Punkte. Die Konzernzugehörigkeit ändert sie nicht, und die Abhängigkeit von einem einzelnen Anbieter bleibt bestehen. Ob das für Sie reicht, hängt davon ab, wovor Sie sich schützen wollen. Diese Frage beantworte ich mit Ihnen ehrlich, auch wenn die Antwort lautet: bleiben.
Was kostet das?
Bei feststehendem Umfang zum Festpreis, sonst nach Aufwand; als Kleinunternehmer nach § 19 UStG ohne Umsatzsteuer. Die Bestandsaufnahme liegt bei zwei bis fünf Tagen. Was die Umstellung selbst kostet, steht erst danach fest, weil es vorher niemand seriös sagen kann. Laufend wird es häufig günstiger, weil Lizenzkosten entfallen; sicher ist das aber nicht, und ich verspreche es nicht.
Müssen wir dann alles selbst betreiben?
Nein. Das ist das häufigste Missverständnis. Zwischen einem US-Hyperscaler und einem eigenen Serverraum liegen europäische Anbieter, die genauso gemanagt sind. Eigenbetrieb lohnt sich nur in bestimmten Fällen, und wir rechnen das vorher durch.
Wie lange dauert so etwas?
Die erste Stufe meist einige Wochen. Der gesamte Weg ist eher eine Sache von Quartalen als von Wochen, und genau deshalb arbeiten wir in Stufen: Nach jeder haben Sie etwas gewonnen, auch wenn Sie danach pausieren.
Wofür Sie mich nicht buchen sollten
- Rechtliche Bewertung, Folgenabschätzung und Verarbeitungsverzeichnis. Das gehört zu Ihrem Datenschutzbeauftragten oder einem Fachanwalt.
- Zertifizierungen und Testate nach ISO 27001 oder NIS2. Dafür brauchen Sie eine akkreditierte Stelle.
- Umstellungen mit mehreren hundert Arbeitsplätzen im Alleingang. Da hole ich Verstärkung dazu oder sage ab.