Die große Scheidung

Teil 1 von 3 

An einem Morgen im April 2024 fanden Beamte im norddeutschen Bundesland Schleswig-Holstein an ihren Schreibtischen etwas Ungewöhnliches vor: Word, Excel, Outlook und Teams waren verschwunden. An ihre Stelle traten LibreOffice, Open-Xchange und Thunderbird. Das Land hatte parteiübergreifend und ganz bewusst die Entscheidung getroffen, als erste Regierung in Europa vollständig aus dem Microsoft-Ökosystem auszusteigen. Sechzigtausend Staatsbedienstete und dreißigtausend Lehrkräfte sollten in den folgenden Monaten lernen, ohne die Werkzeuge zu arbeiten, die das Büroarchiv einer ganzen Generation geprägt hatten.¹ 

Der Schritt hatte unmissverständliches politisches Gewicht. In ganz Europa schauten andere genau hin. 

Ein Kontinent überdenkt seine Position 

Im Sommer 2025 kündigte das dänische Digitalisierungsministerium einen ähnlichen Übergang an und ersetzte Microsoft Office 365 für seine gesamte Belegschaft durch LibreOffice. Die dänische Digitalisierungsministerin Caroline Stage Olsen brachte es auf den Punkt: „Wir dürfen uns niemals so abhängig von so wenigen machen, dass wir nicht mehr frei handeln können.“²  

In der Schweiz verabschiedete privatim, die Konferenz der schweizerischen Datenschutzbeauftragten, im November 2025 eine formelle Resolution, in der sie feststellte, dass die Auslagerung sensibler Personendaten an internationale Cloud-Anbieter für öffentliche Stellen in den meisten Fällen rechtswidrig sei. Sie forderte diese auf, amerikanische Cloud-Dienste für Daten zu meiden, die dem Berufsgeheimnis unterliegen, darunter Krankenakten, Steuerdaten, Gerichtsakten und Informationen der Sozialdienste.³ Die Beauftragten kamen zu dem Schluss, dass Datensouveränität nicht allein durch den Serverstandort erreicht werden kann: Entscheidend sei, wer die Infrastruktur kontrolliert und die Verschlüsselungskey besitzt. Die Schweizer Bundesregierung ging noch einen Schritt weiter und lancierte das Projekt Swiss Government Cloud, eine 319 Millionen Franken schwere Initiative, die von 2025 bis 2032 läuft und darauf ausgelegt ist, eine souveräne Infrastruktur auf Bundesebene aufzubauen.⁴  

Frankreich ist schrittweise vorgegangen, von der Gesetzgebung bis zur operativen Planung. Das SREN-Gesetz schreibt bereits vor, dass sensible Regierungsdaten zu Cloud-Anbietern migrieren müssen, die nach SecNumCloud zertifiziert sind – einem Standard, der Anbieter, die einer extraterritorialen Gesetzgebung wie dem CLOUD Act unterliegen, strukturell ausschließt.⁵ Am 8. April 2026 berief die französische Digitalagentur DINUM ein interministerielles Seminar ein, bei dem konkrete Zeitpläne für den Austausch ausländischer IT-Systeme in allen Ministerien festgelegt wurden. Die DINUM kündigte an, Windows auf den eigenen Arbeitsplätzen durch Linux zu ersetzen, während die nationale Krankenversicherung Caisse nationale d'Assurance maladie ihre rund 80.000 Mitarbeiter auf staatlich betriebene Tools umstellt: den Messenger Tchap, Visio für Videokonferenzen und FranceTransfert für den Dateiaustausch. Jedes Ministerium, einschließlich der nachgeordneten Behörden, muss bis zum Herbst 2026 eine eigene Migrations-Roadmap vorlegen, die Betriebssysteme, Kollaborations-Tools, KI-Systeme und Netzwerkinfrastruktur abdeckt. Budgetminister David Amiel formulierte das Ziel klar: „Der Staat kann sich nicht mehr damit begnügen, seine Abhängigkeit nur festzustellen. Er muss sie überwinden.“5 

In Berlin überdenkt der Bundestag selbst seine digitale Architektur. Eine parteiübergreifende Kommission unter der Leitung der Vizepräsidentin des Deutschen Bundestages Andrea Lindholz (CSU) befasst sich mit den Auswirkungen eines Parlaments, das auf mehr als zehntausend Arbeitsplätzen mit Microsoft 365 arbeitet. Die Kommission soll ihre vollständige Digitalstrategie im Mai 2026 vorlegen. Wie die Grünen-Abgeordnete Anna Lührmann es ausdrückte: Die Arbeitsfähigkeit des Deutschen Bundestages dürfe nicht vollständig von der Infrastruktur einer Handvoll ausländischer Konzerne abhängen.⁶ 

Das Risiko wird sichtbar 

Die Sorge, die all diesen Entscheidungen zugrunde liegt, kann abstrakt wirken, bis sie es plötzlich nicht mehr ist. Der Internationale Strafgerichtshof (IStGH) hat erfahren, wie das in der Praxis aussieht. Im Februar 2025 verhängte die Trump-Administration Sanktionen gegen IStGH-Beamte und zielte damit auf die Bemühungen des Gerichtshofs ab, den israelischen Premierminister Benjamin Netanjahu wegen mutmaßlicher Kriegsverbrechen im Gazastreifen strafrechtlich zu verfolgen. Daraufhin machten Berichte die Runde, dass Karim Khan, der Chefankläger des IStGH, infolgedessen den Zugriff auf sein Microsoft-Outlook-Konto verloren habe. Diese Berichte und das, was sie implizierten, lösten einen internationalen Aufschrei aus: die Möglichkeit, dass ein amerikanischer Technologieanbieter auf Geheiß Washingtons den Chefankläger eines internationalen Gerichts von seiner eigenen institutionellen Infrastruktur abgeschnitten hatte.7 

Drei Monate später, im August 2025, reichte dieselbe Logik noch weiter. Richter Nicolas Guillou, ein französischer Richter in der Vorverfahrenskammer des IStGH, wurde wegen seiner Rolle bei der Genehmigung von Haftbefehlen gegen den israelischen Premierminister Benjamin Netanjahu auf die US-Sanktionsliste gesetzt. Innerhalb weniger Tage funktionierte seine Visa-Karte nicht mehr. Seine Konten bei Amazon, Airbnb und PayPal wurden geschlossen. Eine über Expedia vorgenommene Hotelbuchung wurde per E-Mail unter Berufung auf die Sanktionen storniert. Ein Richter eines internationalen Gerichts mit Sitz in Den Haag, der ein ihm von 125 Mitgliedstaaten übertragenes Mandat ausübte, war zu einem digitalen Paria gemacht worden – nicht durch eine europäische Behörde, sondern durch eine Entscheidung in Washington, die über amerikanische Technologie- und Zahlungsunternehmen weitergegeben wurde. Guillou beschrieb seine Situation gegenüber Le Monde als eine Form des „bürgerlichen Todes“. Er warnte europäische Beamte in Brüssel, dass jedem von ihnen dasselbe Schicksal widerfahren könne.8 Der IStGH kündigte daraufhin an, Microsoft 365 durch openDesk zu ersetzen, eine europäische Open-Source-Suite, die von der deutschen staatseigenen Firma Zendis zusammengestellt wurde.9 

Das rechtliche Fundament 

Was all diese Entscheidungen verbindet, ist eine einzige, unangenehme Frage, der europäische Institutionen seit dem Inkrafttreten des Clarifying Lawful Overseas Use of Data Act (besser bekannt als CLOUD Act) im März 2018 mit einigem Erfolg aus dem Weg gegangen sind: Was bedeutet es eigentlich, seine Daten über die Infrastruktur eines amerikanischen Unternehmens zu speichern, zu übertragen oder zu verarbeiten? 

Unter dem CLOUD Act können US-Behörden unter bestimmten Bedingungen (die Teil 2 dieser Serie im Detail untersucht) jedes amerikanische Unternehmen, das Ihre Cloud-Infrastruktur kontrolliert, dazu zwingen, Ihre Daten herauszugeben. Nicht die in ihren amerikanischen Büros gespeicherten Daten. Nicht die von amerikanischen Nutzern generierten Daten. Ihre Daten, egal ob sie auf einem Server in Frankfurt liegen, während eines Videoanrufs durch ein Rechenzentrum in Dublin geleitet oder in Echtzeit von einer cloudbasierten Anwendung in Paris verarbeitet werden – weil das Unternehmen, das die Infrastruktur kontrolliert, seinen Hauptsitz in den USA hat. Die Speicherung ist nur ein Teil der Geschichte. Jedes Dokument, das ein US-kontrolliertes System durchläuft, jede Anfrage, die an eine Cloud-Anwendung gesendet wird, passiert eine Infrastruktur, die demselben rechtlichen Zwang unterliegt. Dieser Punkt verdient Aufmerksamkeit: Wenn wir uns im abschließenden Teil dieser Serie den KI-Tools zuwenden, wird er im Mittelpunkt der Argumentation stehen. 

Sieben Jahre Wegsehen 

Der CLOUD Act ist acht Jahre alt. Das Schrems-II-Urteil, das den EU-US Privacy Shield mit der Begründung für ungültig erklärte, dass das US-Überwachungsrecht mit den europäischen Datenschutzstandards unvereinbar sei, ist fünf Jahre alt. Doch während sich das rechtliche Risiko nicht geändert hat, ist die politische Toleranz, es zu ignorieren, in sich zusammengebrochen. Seine Auswirkungen waren nicht unbekannt: Sie wurden seit Jahren in wissenschaftlichen Arbeiten und auf Datenschutzkonferenzen thematisiert. Was fehlte, war nicht die Analyse, sondern die Dringlichkeit. 

Ein wesentlicher Katalysator war die Rückkehr von Donald Trump ins Weiße Haus im Jänner 2025. Was folgte, war ein so abrupter Wandel des geopolitischen Klimas, dass sich Risiken, die zuvor theoretisch erschienen waren, plötzlich ganz real anfühlten. Der IStGH-Fall war ein frühes Beispiel dafür. In Deutschland beauftragte das Bundesministerium des Innern Wissenschaftler der Universität zu Köln, die Rechtsfrage offiziell zu prüfen. Ihr eindeutiges Gutachten, das im Dezember 2025 nach einer Anfrage auf Basis des Informationsfreiheitsgesetzes veröffentlicht wurde, kam zu dem Schluss, dass US-Behörden auf in Europa gespeicherte Cloud-Daten zugreifen können.10 Das deutsche Innenministerium wiederum passte seine Geheimschutzregeln unmittelbar nach Erhalt des Kölner Gutachtens an und erkannte damit faktisch an, dass Verschlusssachen nicht auf US-kontrollierter Infrastruktur verarbeitet werden dürfen. 11 

„Nein, das kann ich nicht garantieren.“

Und im Juni 2025 wurde Anton Carniaux, der damalige Associate General Counsel bei Microsoft Frankreich, vor einem Untersuchungsausschuss des französischen Senats zu öffentlicher Auftragsvergabe und digitaler Souveränität unter Eid gefragt, ob er garantieren könne, dass die auf europäischen Servern von Microsoft gespeicherten Daten französischer Bürger niemals ohne Zustimmung der französischen Regierung an US-Behörden übermittelt würden. Seine Antwort war präzise und für viele niederschmetternd: „Nein, das kann ich nicht garantieren.“12 

Ein Satz, von dem europäische Entscheidungsträger schon immer wussten, dass er wahr ist, war nun offiziell aktenkundig. Unter Eid ausgesprochen, vom Unternehmen selbst. 

Eine Scheidung ist kompliziert – und diese steht erst am Anfang 

Es wurden verschiedene Wege vorgeschlagen: souveräne europäische Cloud-Anbieter, Joint Ventures zwischen US-Hyperscalern und europäischen Partnern, kundenkontrollierte Verschlüsselung und SecNumCloud-zertifizierte Alternativen. Die Frage, ob eine dieser Optionen das zugrunde liegende rechtliche Risiko tatsächlich löst oder es nur neu verpackt, ist der Ausgangspunkt von Teil 2 dieser Serie. 

Die Scheidung läuft. Ob sie vollzogen werden kann, ist eine andere Frage. 

Sicher ist, dass Washington aufmerksam geworden ist. Am 18. Februar 2026 wies ein vom Außenminister Marco Rubio unterzeichnetes Telegramm des US-Außenministeriums amerikanische Diplomaten weltweit an, aktiv gegen Gesetze zur Datensouveränität zu lobbyieren, und stellte diese als Bedrohung für KI-Dienste, den globalen Datenfluss und die Bürgerrechte dar. Die Diplomaten wurden angewiesen, Vorschläge zu verfolgen, die den grenzüberschreitenden Datenverkehr einschränken könnten, und Vorschriften entgegenzuwirken, die als übermäßig erachtet werden. Die DSGVO wurde namentlich als Beispiel für eine „unnötig belastende“ Regelung genannt. 13 

Europäische Regierungen, die sich von der US-amerikanischen Cloud-Infrastruktur abwenden, treffen, wie sich zeigt, nicht einfach nur eine IT-Beschaffungsentscheidung. Sie sind Akteure in einer geopolitischen Konfrontation, ob sie es wollen oder nicht. Die nächsten Monate werden zeigen, wie weit jede Seite zu gehen bereit ist. Das Drama hat gerade erst begonnen. 

Teil 2 dieser Serie untersucht die rechtliche Mechanik des CLOUD Act und von FISA Section 702, die Fiktion des Begriffs „souveräne Cloud“ und was das eigene Rechtsgutachten der deutschen Bundesregierung über die Grenzen technischer Lösungen aussagt. 

Fußnoten 

1. Schleswig-Holstein begann seinen Übergang im April 2024 und installierte LibreOffice auf 30.000 Arbeitsplätzen mit dem Ziel, Microsoft Office bis Oktober 2025 zu 70 % zu entfernen und die E-Mail-Migration auf Open-Xchange vollständig abzuschließen. Siehe: „German State Schleswig-Holstein Ditches Microsoft for Open Source Software in 2025“, Eagle Eye Technology, September 2025; EuroStack Directory Project, „Schleswig-Holstein's Bold Open Source Leap“, März 2025. 

   
   

2. Das dänische Digitalisierungsministerium kündigte seinen Übergang im Sommer 2025 an, wobei die Hälfte der Mitarbeiter bis August migriert sein sollte und die vollständige Umsetzung bis Herbst geplant war. Zitat der dänischen Digitalisierungsministerin Caroline Stage Olsen, ursprünglich auf Dänisch auf ihrer LinkedIn-Seite im Juni 2025 veröffentlicht. Aus dem Dänischen übersetzt; berichtet in mehreren Medien, darunter „A Search for Digital Sovereignty: EU Governments Shift from Microsoft to Linux & LibreOffice“, 2-data.com, und im Blog der Document Foundation, 8. Juli 2025. 

   
   

3. privatim, „Resolution zur Auslagerung von Datenbearbeitungen in die Cloud“, verabschiedet am 18. November 2025, veröffentlicht am 24. November 2025. Privatim ist die Konferenz der schweizerischen kantonalen Datenschutzbeauftragten. Volltext verfügbar unter privatim.ch. Beachten Sie, dass der Kanton Glarus die Resolution nicht unterzeichnet hat. 

   
   

4. Projektdetails zur Swiss Government Cloud (SGC), Bundesamt für Informatik und Telekommunikation (BIT). Gesamtkosten 319,4 Millionen CHF, Laufzeit von 2025 bis 2032. Siehe: bit.admin.ch/de/sgc-de. 

   
   

5. Frankreichs SREN-Gesetz (loi visant à sécuriser et réguler l'espace numérique) und seine SecNumCloud-Zertifizierungsanforderungen. Analyse in „European Digital Sovereignty at Risk: Microsoft's Senate Testimony“, Windows Forum, Juli 2025. Interministerielles Seminar vom 8. April 2026: Moritz Förster, „Frankreichs Plan: Weg von Windows, hin zu Linux“, heise online, 10. April 2026. Primärquelle: Direction interministérielle du numérique (DINUM), numerique.gouv.fr. 

   
   

6. „Operation Souveränität: Bundestag plant Befreiungsschlag von Microsoft & Co.“, heise online / Table.Media, 2. Februar 2026. Darin zitiertes Zitat von Anna Lührmann (Grüne). 

   
   

7. Ob Microsoft den Zugang von Khan als Reaktion auf den Druck durch US-Sanktionen sperrte oder ob der IStGH das Konto präventiv deaktivierte, um Microsoft vor einer Haftung durch Sanktionen zu schützen, bleibt umstritten. Microsoft bestritt, die Dienste eingestellt zu haben, und bat später das britische Parlament, eine diesbezügliche Aussage als ungenau zu korrigieren. The Register, 18. Februar 2026: https://www.theregister.com/2026/02/18/microsoft_asks_uk_parliament_to_correct_record 

   
   

8. Siehe: „US Sanctions Turn ICC Judge's Daily Life into a Nightmare“, Euronews, 18. Februar 2026; Interview von Nicolas Guillou mit Le Monde, berichtet von der Nordic Times, Dezember 2025; Verfassungsblog, „The Sanctioning of Law“, Dezember 2025. Präsident Macron forderte Trump in einem Brief formell auf, die Sanktionen aufzuheben, worüber die Anadolu Agency, Politico und La Tribune Dimanche im Februar 2026 berichteten. 

   
   

9. „International Criminal Court Drops Microsoft 365 for European Open-Source Suite Amid Geopolitical Fears“, WinBuzzer, 6. November 2025. 

   
   

10. Rechtsgutachten, erstellt von der Universität zu Köln im Auftrag des deutschen Bundesministeriums des Innern (BMI), veröffentlicht über eine Anfrage nach dem Informationsfreiheitsgesetz, Dezember 2025. Berichtet in „Gutachten: US-Behörden können auf europäische Cloud-Daten zugreifen“, in mehreren Medien, darunter heise online und Tagesspiegel Background, 10.–11. Dezember 2025. 

    
    

11. Benjamin Stiebel, „BMI passt wegen Cloud-Gutachten Geheimschutzregeln an“, Tagesspiegel Background, 11. Dezember 2025. https://background.tagesspiegel.de/it-und-cybersicherheit/briefing/bmi-passt-wegen-cloud-gutachten-geheimschutzregeln-an 

    
    

12. Anhörung von Anton Carniaux, Direktor für öffentliche und rechtliche Angelegenheiten, Microsoft Frankreich, vor dem Untersuchungsausschuss des französischen Senats zu öffentlicher Auftragsvergabe und digitaler Souveränität, 10. Juni 2025. Protokoll verfügbar unter senat.fr. Berichtet in „Not Sovereign: Microsoft Cannot Guarantee the Security of EU Data“, heise online, Juli 2025; „Microsoft Admits It Cannot Guarantee EU Cloud Data Sovereignty from US Government“, WinBuzzer, 25. Juli 2025. 

    
    

13. Telegramm des US-Außenministeriums vom 18. Februar 2026, unterzeichnet von Außenminister Marco Rubio, berichtet von Reuters: „Exclusive: US Orders Diplomats to Fight Data Sovereignty Initiatives“, 25. Februar 2026. Am selben Tag auch von TechCrunch und der Japan Times berichtet.