Die grosse Scheidung

Teil 1 von 3 

An einem Morgen im April 2024 kamen Beamte im norddeutschen Bundesland Schleswig-Holstein an ihren Schreibtischen an und fanden etwas Ungewöhnliches vor: Word, Excel, Outlook und Teams waren verschwunden. An ihrer Stelle befanden sich LibreOffice, Open-Xchange und Thunderbird. Das Bundesland hatte parteiübergreifend und ganz bewusst entschieden, als erste Regierung in Europa vollständig aus dem Microsoft-Ökosystem auszusteigen. Sechzigtausend Beamte und dreissigtausend Lehrer würden in den folgenden Monaten lernen, ohne die Werkzeuge zu arbeiten, die das Büroarbeit für eine ganze Generation geprägt hatten.¹ 

Der Schritt hatte ein unmissverständliches politisches Gewicht. In ganz Europa schauten andere genau hin. 

Ein Kontinent überdenkt 

Im Sommer 2025 kündigte das dänische Digitalisierungsministerium eine ähnliche Umstellung an und ersetzte Microsoft Office 365 für seine gesamte Belegschaft durch LibreOffice. Die dänische Digitalisierungsministerin, Caroline Stage Olsen, brachte es auf den Punkt: "Wir dürfen uns niemals so abhängig von so wenigen machen, dass wir nicht mehr frei handeln können."²  

In der Schweiz verabschiedete privatim, die Konferenz der schweizerischen kantonalen Datenschutzbeauftragten, im November 2025 eine formelle Resolution, in der sie feststellte, dass die Auslagerung sensibler Personendaten an internationale Cloud-Anbieter für öffentliche Stellen in den meisten Fällen rechtswidrig ist. Sie forderte diese auf, für Daten, die dem Berufsgeheimnis unterliegen – wie medizinische Akten, Steuerdaten, Gerichtsakten und Informationen der Sozialdienste –, US-amerikanische Cloud-Dienste zu meiden.³ Die Beauftragten kamen zum Schluss, dass Datenhoheit nicht allein durch den Serverstandort erreicht werden kann: Entscheidend ist, wer die Infrastruktur kontrolliert und die Verschlüsselungsschlüssel innehat. Die Schweizer Bundesregierung ging noch weiter und lancierte das Projekt Swiss Government Cloud, eine 319 Millionen Franken schwere Initiative, die von 2025 bis 2032 läuft und den Aufbau einer souveränen Infrastruktur auf Bundesebene zum Ziel hat.⁴  

Frankreich ist schrittweise vorangegangen, von der Gesetzgebung bis zur operativen Planung. Das SREN-Gesetz schreibt bereits vor, dass sensible Regierungsdaten zu Cloud-Anbietern migriert werden müssen, die nach SecNumCloud zertifiziert sind – einem Standard, der Anbieter, die extraterritorialen Gesetzen wie dem CLOUD Act ausgesetzt sind, strukturell ausschliesst.⁵ Am 8. April 2026 berief die französische Digitalagentur DINUM ein interministerielles Seminar ein, bei dem konkrete Zeitpläne für den Ersatz ausländischer IT-Systeme in allen Ministerien festgelegt wurden. Die DINUM kündigte an, Windows auf ihren eigenen Arbeitsstationen durch Linux zu ersetzen, während die nationale Krankenversicherung Caisse nationale d'Assurance maladie ihre rund 80'000 Mitarbeitenden auf staatlich betriebene Tools umstellt: den Messenger Tchap, Visio für Videokonferenzen und FranceTransfert für den Dateiaustausch. Jedes Ministerium, einschliesslich der nachgeordneten Behörden, muss bis Herbst 2026 einen eigenen Migrationsfahrplan vorlegen, der Betriebssysteme, Kollaborations-Tools, KI-Systeme und Netzwerkinfrastrukturen abdeckt. Budgetminister David Amiel formulierte das Ziel klipp und klar: "Der Staat kann sich nicht mehr damit begnügen, seine Abhängigkeit nur festzustellen. Er muss sie überwinden."5 

In Berlin überdenkt der Bundestag seine digitale Architektur. Eine parteiübergreifende Kommission unter der Leitung der Vizepräsidentin des Deutschen Bundestages Andrea Lindholz (CSU) befasst sich mit den Auswirkungen eines Parlaments, das an über zehntausend Arbeitsplätzen mit Microsoft 365 arbeitet. Die Kommission soll im Mai 2026 ihre vollständige Digitalstrategie vorlegen. Die Grünen-Abgeordnete Anna Lührmann formulierte es so: Die Arbeitsfähigkeit des Deutschen Bundestages dürfe nicht vollständig von der Infrastruktur weniger ausländischer Konzerne abhängen.⁶ 

Das Risiko wird sichtbar 

Die Sorge, die all diesen Entscheidungen zugrunde liegt, kann abstrakt wirken – bis sie es plötzlich nicht mehr ist. Der Internationale Strafgerichtshof (IStGH) musste erfahren, wie das in der Praxis aussieht. Im Februar 2025 verhängte die Trump-Administration Sanktionen gegen IStGH-Mitarbeiter. Ziel war es, die Bemühungen des Gerichts zu torpedieren, den israelischen Premierminister Benjamin Netanjahu wegen mutmasslicher Kriegsverbrechen im Gazastreifen strafrechtlich zu verfolgen. Daraufhin machten Berichte die Runde, wonach Karim Khan, der Chefankläger des IStGH, infolgedessen den Zugriff auf sein Microsoft-Outlook-Konto verloren habe. Diese Berichte und ihre Implikationen lösten internationale Empörung aus: Es stand die Möglichkeit im Raum, dass ein amerikanischer Technologiekonzern auf Geheiss Washingtons den Chefankläger eines internationalen Gerichts von seiner eigenen institutionellen Infrastruktur abgeschnitten hatte.7 

Drei Monate später, im August 2025, griff dieselbe Logik noch weiter. Richter Nicolas Guillou, ein französischer Richter an der Vorverfahrenskammer des IStGH, wurde wegen seiner Rolle bei der Genehmigung von Haftbefehlen gegen den israelischen Premierminister Benjamin Netanjahu auf die US-Sanktionsliste gesetzt. Innerhalb weniger Tage funktionierte seine Visa-Karte nicht mehr. Seine Konten bei Amazon, Airbnb und PayPal wurden geschlossen. Eine über Expedia vorgenommene Hotelbuchung wurde per E-Mail unter Verweis auf die Sanktionen storniert. Ein Richter eines internationalen Gerichts mit Sitz in Den Haag, der ein ihm von 125 Mitgliedstaaten übertragenes Mandat ausübte, war zu einem digitalen Aussätzigen gemacht worden – nicht durch eine europäische Behörde, sondern durch eine Entscheidung in Washington, die über amerikanische Technologie- und Zahlungsunternehmen vollstreckt wurde. Guillou beschrieb seine Situation gegenüber der Zeitung Le Monde als eine Form von "bürgerlichem Tod". Er warnte europäische Beamte in Brüssel, dass jedem von ihnen das gleiche Schicksal drohen könnte.8 Der IStGH kündigte daraufhin an, Microsoft 365 durch openDesk zu ersetzen, eine europäische Open-Source-Suite, die von der deutschen Bundes-Arbeitsgemeinschaft Zendis zusammengestellt wurde.9 

Das rechtliche Fundament 

Was all diese Entscheidungen verbindet, ist eine einzige, unangenehme Frage, die europäische Institutionen seit dem Inkrafttreten des Clarifying Lawful Overseas Use of Data Act (besser bekannt als CLOUD Act) im März 2018 mit einigem Erfolg verdrängt haben: Was bedeutet es eigentlich, seine Daten über die Infrastruktur eines US-amerikanischen Unternehmens zu speichern, zu übertragen oder zu verarbeiten? 

Unter dem CLOUD Act können US-Behörden unter bestimmten Bedingungen (die Teil 2 dieser Reihe im Detail untersucht) das amerikanische Unternehmen, das Ihre Cloud-Infrastruktur kontrolliert, dazu zwingen, Ihre Daten herauszugeben. Nicht die in den amerikanischen Büros gespeicherten Daten. Nicht die von US-Nutzern erzeugten Daten. Ihre Daten, egal ob sie auf einem Server in Frankfurt liegen, bei einem Videoanruf über ein Rechenzentrum in Dublin geleitet oder in Echtzeit von einer cloudbasierten Anwendung in Paris verarbeitet werden – weil das Unternehmen, das die Infrastruktur kontrolliert, seinen Hauptsitz in den USA hat. Speicherung ist nur ein Teil der Geschichte. Jedes Dokument, das ein US-kontrolliertes System durchquert, jede Anfrage, die an eine Cloud-Anwendung gesendet wird, läuft über eine Infrastruktur, die derselben rechtlichen Pflicht zur Herausgabe unterliegt. Über diesen Punkt lohnt es sich nachzudenken: Wenn wir uns im abschliessenden Teil dieser Serie den KI-Tools zuwenden, wird dies im Zentrum der Argumentation stehen. 

Sieben Jahre des Wegschauens 

Der CLOUD Act ist acht Jahre alt. Das Urteil "Schrems II", das den EU-US Privacy Shield für ungültig erklärte, weil das US-Überwachungsrecht mit den europäischen Datenschutzstandards unvereinbar war, ist fünf Jahre alt. Doch während sich das rechtliche Risiko nicht verändert hat, ist die politische Toleranz, es zu ignorieren, in sich zusammengebrochen. Die Auswirkungen waren nicht unbekannt: Sie wurden seit Jahren in wissenschaftlichen Arbeiten und auf Datenschutzkonferenzen thematisiert. Was fehlte, war nicht die Analyse, sondern die Dringlichkeit. 

Ein wesentlicher Katalysator war die Rückkehr von Donald Trump ins Weisse Haus im Januar 2025. Was folgte, war ein so abrupter Wandel des geopolitischen Klimas, dass Risiken, die zuvor theoretisch erschienen, plötzlich unmittelbar greifbar wurden. Der Fall des IStGH war ein frühes Beispiel. In Deutschland beauftragte das Bundesministerium des Innern Wissenschaftler der Universität zu Köln, die rechtliche Frage gutachterlich zu klären. Ihr unmissverständliches Gutachten, das im Dezember 2025 nach einer Anfrage auf Basis des Informationsfreiheitsgesetzes veröffentlicht wurde, kam zum Schluss, dass US-Behörden auf in Europa gespeicherte Cloud-Daten zugreifen können.10 Das deutsche Innenministerium wiederum passte seine Geheimschutzregeln unmittelbar nach Erhalt des Kölner Gutachtens an und räumte damit faktisch ein, dass Verschlusssachen nicht auf US-kontrollierter Infrastruktur verarbeitet werden dürfen. 11 

“Nein, das kann ich nicht garantieren.”

Und im Juni 2025 wurde Anton Carniaux, damals Associate General Counsel bei Microsoft Frankreich, vor einem Untersuchungsausschuss des französischen Senats zu öffentlicher Auftragsvergabe und digitaler Souveränität unter Eid gefragt, ob er garantieren könne, dass die auf europäischen Servern von Microsoft gespeicherten Daten französischer Bürger niemals ohne Zustimmung der französischen Regierung an US-Behörden übermittelt würden. Seine Antwort war präzise und für viele niederschmetternd: "Nein, das kann ich nicht garantieren."12 

Ein Satz, von dem europäische Entscheidungsträger schon immer wussten, dass er wahr ist, war nun aktenkundig. Unter Eid ausgesprochen, vom Unternehmen selbst. 

Eine Scheidung ist kompliziert – und diese fängt gerade erst an 

Es wurden verschiedene Wege vorgeschlagen: souveräne europäische Cloud-Anbieter, Joint Ventures zwischen US-Hyperscalern und europäischen Partnern, kundenkontrollierte Verschlüsselung und SecNumCloud-zertifizierte Alternativen. Die Frage, ob eine dieser Optionen das zugrunde liegende rechtliche Risiko tatsächlich löst oder es nur neu verpackt, ist der Ausgangspunkt von Teil 2 dieser Serie. 

Die Scheidung läuft. Ob sie vollzogen werden kann, steht auf einem anderen Blatt. 

Sicher ist, dass man in Washington aufmerksam geworden ist. Am 18. Februar 2026 wies ein vom Aussenminister Marco Rubio unterzeichnetes Telegramm des US-Aussenministeriums amerikanische Diplomaten weltweit an, aktiv gegen Gesetze zur Datenhoheit zu lobbyieren, da diese eine Bedrohung für KI-Dienste, den globalen Datenfluss und die bürgerlichen Freiheiten darstellten. Die Diplomaten wurden angewiesen, Vorschläge zu beobachten, die den grenzüberschreitenden Datenverkehr einschränken könnten, und Vorschriften entgegenzuwirken, die als übertrieben erachtet werden. Die DSGVO wurde namentlich als Beispiel für eine "unnötig belastende" Regelung genannt. 13 

Europäische Regierungen, die sich von US-amerikanischer Cloud-Infrastruktur abwenden, treffen, wie sich zeigt, nicht einfach nur eine IT-Beschaffungsentscheidung. Sie sind Akteure in einer geopolitischen Konfrontation, ob sie wollen oder nicht. Die nächsten Monate werden zeigen, wie weit beide Seiten zu gehen bereit sind. Das Drama hat gerade erst begonnen. 

Teil 2 dieser Serie befasst sich mit der rechtlichen Funktionsweise des CLOUD Act und von FISA Section 702, der Fiktion des Begriffs "souveräne Cloud" und den Schlussfolgerungen des Rechtsgutachtens der deutschen Bundesregierung über die Grenzen technischer Lösungen. 

Fussnoten 

1. Schleswig-Holstein begann seine Umstellung im April 2024 und installierte LibreOffice auf 30'000 Arbeitsplätzen mit dem Ziel, bis Oktober 2025 70 % der Microsoft-Office-Installationen zu entfernen und die E-Mail-Infrastruktur vollständig auf Open-Xchange umzustellen. Siehe: "German State Schleswig-Holstein Ditches Microsoft for Open Source Software in 2025," Eagle Eye Technology, September 2025; EuroStack Directory Project, "Schleswig-Holstein's Bold Open Source Leap," März 2025. 

   
   

2. Das dänische Digitalisierungsministerium kündigte seine Umstellung im Sommer 2025 an, wobei die Hälfte der Belegschaft bis August migriert sein sollte und die vollständige Umsetzung bis zum Herbst geplant war. Zitat der dänischen Digitalisierungsministerin Caroline Stage Olsen, ursprünglich auf Dänisch auf ihrer LinkedIn-Seite im Juni 2025 veröffentlicht. Aus dem Dänischen übersetzt; berichtet in verschiedenen Medien, darunter "A Search for Digital Sovereignty: EU Governments Shift from Microsoft to Linux & LibreOffice," 2-data.com, und im Blog der Document Foundation, 7. Juli 2025. 

   
   

3. privatim, "Resolution zur Auslagerung von Datenbearbeitungen in die Cloud," verabschiedet am 18. November 2025, veröffentlicht am 24. November 2025. Privatim ist die Konferenz der schweizerischen kantonalen Datenschutzbeauftragten. Volltext verfügbar unter privatim.ch. Es wird darauf hingewiesen, dass der Kanton Glarus die Resolution nicht unterzeichnet hat. 

   
   

4. Details zum Projekt Swiss Government Cloud (SGC), Bundesamt für Informatik und Telekommunikation (BIT). Gesamtkosten CHF 319,4 Millionen, Laufzeit von 2025 bis 2032. Siehe: bit.admin.ch/de/sgc-de. 

   
   

5. Frankreichs SREN-Gesetz (loi visant à sécuriser et réguler l'espace numérique) und seine SecNumCloud-Zertifizierungsanforderungen. Analyse in "European Digital Sovereignty at Risk: Microsoft's Senate Testimony," Windows Forum, Juli 2025. Interministerielles Seminar vom 8. April 2026: Moritz Förster, "Frankreichs Plan: Weg von Windows, hin zu Linux," heise online, 10. April 2026. Primärquelle: Direction interministérielle du numérique (DINUM), numerique.gouv.fr. 

   
   

6. "Operation Souveränität: Bundestag plant Befreiungsschlag von Microsoft & Co.," heise online / Table.Media, 2. Februar 2026. Zitat von Anna Lührmann (Grüne) ebenda. 

   
   

7. Ob Microsoft den Zugang von Khan als Reaktion auf den Druck durch US-Sanktionen gesperrt hat oder ob der IStGH das Konto präventiv deaktiviert hat, um Microsoft vor einer Haftung wegen Sanktionsverstössen zu schützen, bleibt umstritten. Microsoft bestritt, Dienste suspendiert zu haben, und forderte später das britische Parlament auf, eine Zeugenaussage in dieser Angelegenheit zu korrigieren, da sie eine Ungenauigkeit enthalte. The Register, 18. Februar 2026: https://www.theregister.com/2026/02/18/microsoft_asks_uk_parliament_to_correct_record 

   
   

8. Siehe: "US Sanctions Turn ICC Judge's Daily Life into a Nightmare," Euronews, 18. Februar 2026; Interview von Nicolas Guillou mit Le Monde, berichtet von der Nordic Times, Dezember 2025; Verfassungsblog, "The Sanctioning of Law," Dezember 2025. Präsident Macron forderte Trump in einem Brief formell auf, die Sanktionen aufzuheben, worüber die Anadolu Agency, Politico und La Tribune Dimanche im Februar 2026 berichteten. 

   
   

9. "International Criminal Court Drops Microsoft 365 for European Open-Source Suite Amid Geopolitical Fears," WinBuzzer, 6. November 2025. 

   
   

10. Rechtsgutachten, erstellt von der Universität zu Köln im Auftrag des deutschen Bundesministeriums des Innern (BMI), veröffentlicht über eine Anfrage nach dem Informationsfreiheitsgesetz, Dezember 2025. Berichtet in "Gutachten: US-Behörden können auf europäische Cloud-Daten zugreifen," verschiedene Medien einschliesslich heise online und Tagesspiegel Background, 10.–11. Dezember 2025. 

    
    

11. Benjamin Stiebel, "BMI passt wegen Cloud-Gutachten Geheimschutzregeln an," Tagesspiegel Background, 11. Dezember 2025. https://background.tagesspiegel.de/it-und-cybersicherheit/briefing/bmi-passt-wegen-cloud-gutachten-geheimschutzregeln-an 

    
    

12. Aussage von Anton Carniaux, Direktor für öffentliche und rechtliche Angelegenheiten bei Microsoft Frankreich, vor dem Untersuchungsausschuss des französischen Senats zu öffentlicher Auftragsvergabe und digitaler Souveränität, 10. Juni 2025. Protokoll verfügbar unter senat.fr. Berichtet in "Not Sovereign: Microsoft Cannot Guarantee the Security of EU Data," heise online, Juli 2025; "Microsoft Admits It Cannot Guarantee EU Cloud Data Sovereignty from US Government," WinBuzzer, 25. Juli 2025. 

    
    

13. Telegramm des US-Aussenministeriums vom 18. Februar 2026, unterzeichnet von Aussenminister Marco Rubio, berichtet von Reuters: "Exclusive: US Orders Diplomats to Fight Data Sovereignty Initiatives," 25. Februar 2026. Am selben Tag auch berichtet von TechCrunch und der Japan Times.