Vorab in eigener Sache, weil dieser Artikel sonst unglaubwürdig wäre: Wir bei HostSpezial nutzen selbst Microsoft 365, mit Microsoft Ireland als Sub-Auftragsverarbeiter — transparent gelistet in unserer AVV. Gleichzeitig betreiben wir Kundensysteme in deutschen Rechenzentren, ISO/IEC 27001:2022-zertifiziert. Wir sind also weder Microsoft-Gegner noch Cloud-Evangelisten. Genau aus dieser Position heraus lässt sich die Souveränitätsdebatte am ehrlichsten führen: Es geht nicht darum, ob man US-Cloud-Dienste nutzt. Es geht darum, ob man seine Abhängigkeiten kennt, ob man im Ernstfall handlungsfähig wäre — und ob man für die Workloads, bei denen es wirklich zählt, eine souveräne Alternative hat.
Warum das Thema 2026 im Mittelstand angekommen ist
Digitale Souveränität war jahrelang ein Verwaltungsthema: Gaia-X-Konferenzen, Behörden-Pilotprojekte, Sonntagsreden. Das hat sich geändert — messbar. Der Bitkom Cloud Report 2026 zeigt den Umschwung in Zahlen: 85 Prozent der Verantwortlichen in deutschen Unternehmen halten Deutschland bei Cloud-Technologien für zu abhängig von US-Anbietern (Vorjahr: 78 Prozent). 64 Prozent der Cloud-nutzenden Unternehmen fühlen sich durch die Politik der US-Regierung gezwungen, ihre Cloud-Strategie zu überdenken — nach 50 Prozent im Vorjahr. Und 37 Prozent würden inzwischen eine Cloud-Lösung wählen, die Daten ausschließlich in Deutschland verarbeitet, selbst wenn das mehr kostet oder weniger Funktionen bietet (Vorjahr: 27 Prozent).
Die vielleicht ehrlichste Zahl aus derselben Erhebung: 71 Prozent der deutschen Unternehmen beziehen Cloud-Angebote aus den USA — bevorzugen würden diese Herkunft nur 8 Prozent. Diese Lücke zwischen Präferenz und Praxis ist keine Bequemlichkeit, sondern Marktrealität: Für viele Workloads gibt es schlicht kein funktional gleichwertiges europäisches Angebot. Aber die Lücke ist auch das Symptom eines Versäumnisses, das 2026 zum ersten Mal ernsthaft wehtut: Die wenigsten Unternehmen könnten heute beziffern, was ein erzwungener Anbieterwechsel kosten und wie lange er dauern würde.
Was den Umschwung ausgelöst hat, ist keine einzelne Katastrophe, sondern die Summe aus geopolitischer Unsicherheit, Zoll- und Handelskonflikten, einer US-Regierung, die Technologie offen als Druckmittel einsetzt, und ein paar sehr konkreten juristischen Entwicklungen, auf die wir gleich kommen. Der Mittelstand hat gelernt: Lieferketten für Vorprodukte hat man nach 2020 diversifiziert — die digitale Lieferkette dagegen läuft bei den meisten Unternehmen weiterhin über einen einzigen Konzern, meist über ein einziges Vertragskonstrukt.
Die Rechtslage 2026: CLOUD Act, FISA 702 und das wacklige Data Privacy Framework
Nüchtern sortiert, ohne Panik — denn die Rechtslage ist unbequem, aber sie ist seit Jahren im Kern dieselbe:
US CLOUD Act: Zugriff folgt der Jurisdiktion, nicht dem Serverstandort
Der CLOUD Act von 2018 verpflichtet Unternehmen unter US-Jurisdiktion, auf behördliche Anordnung Daten herauszugeben — unabhängig davon, wo diese Daten gespeichert sind. Ein Rechenzentrum in Frankfurt ändert daran nichts, solange der Betreiber ein US-Konzern oder dessen Tochter ist. Das ist keine Verschwörungstheorie, sondern der Gesetzestext. Wie real der Konflikt ist, zeigte im Juni 2025 eine Anhörung im französischen Senat: Auf die Frage, ob Microsoft garantieren könne, dass Daten französischer Bürger nicht an US-Behörden übermittelt werden, antwortete der Chefjustiziar von Microsoft Frankreich unter Eid: „Nein, das kann ich nicht garantieren." Das war kein Skandal-Ausrutscher, sondern eine juristisch korrekte Antwort — und genau deshalb bemerkenswert.
FISA Section 702: Ausgelaufen, aber nicht weg
Section 702 des Foreign Intelligence Surveillance Act — die Rechtsgrundlage, auf der US-Dienste Kommunikationsdaten von Nicht-US-Bürgern bei US-Providern abgreifen — sollte im April 2026 auslaufen. Es folgten Kurzverlängerungen, dann ließ der Kongress die Befugnis im Juni 2026 tatsächlich verstreichen, während die Verhandlungen über eine Reform weiterlaufen. Klingt nach Entspannung, ist es aber nicht: Bestehende Anordnungen wirken nach, und dass die USA dauerhaft auf das Instrument verzichten, erwartet in Washington niemand. Für die europäische Bewertung relevanter ist ohnehin die Frage, welche Kontrollmechanismen eine Neufassung enthält — daran hängt der nächste Punkt.
Data Privacy Framework: gültig, aber auf Bewährung
Das EU-US Data Privacy Framework (DPF), seit Juli 2023 die Rechtsgrundlage für Datentransfers in die USA, ist Stand Sommer 2026 in Kraft. Das EuG hat die Klage des französischen Abgeordneten Latombe im September 2025 abgewiesen; die Berufung liegt beim EuGH (Rechtssache C-703/25 P), ein Termin steht aus. Parallel hat die Datenschutzorganisation noyb um Max Schrems im Juni 2026 die EU-Kommission formal aufgefordert, das DPF geordnet zurückzuziehen, und weitere Klagen angekündigt — „Schrems III" ist damit offiziell eröffnet. Das Kernargument: Die US-Schutzmechanismen beruhen auf einer Executive Order, die jede US-Regierung ohne Kongress ändern oder aufheben kann. Beobachter rechnen mit einer ersten EuGH-Positionierung frühestens Ende 2026 oder 2027.
Nüchterne Einordnung: Nichts davon bedeutet, dass M365 oder Azure morgen illegal werden. Es bedeutet: Die Rechtsgrundlage für US-Datentransfers ist zum dritten Mal in Folge vor Gericht (nach Safe Harbor 2015 und Privacy Shield 2020 — beide gekippt), und die DSGVO-Konformität Ihres Cloud-Stacks hängt an Entscheidungen, die weder Sie noch Ihr Anbieter kontrollieren. Genau das ist die Definition eines Klumpenrisikos — und Klumpenrisiken behandelt man mit Versicherungen, nicht mit Hoffnung.
Microsofts Sovereign Cloud: Was sie leistet — und was nicht
Microsoft hat das Problem verstanden — kommerziell wie politisch — und seit Juni 2025 eine ganze „Sovereign Cloud"-Palette ausgerollt, im November 2025 nochmals erweitert. Die Bausteine, sachlich betrachtet:
- Sovereign Public Cloud: Daten bleiben in europäischen Regionen, Betrieb und Support-Zugriffe durch Personal in Europa, Kundenkontrolle über Schlüssel (Customer-Managed Keys, External Key Management). Kein separates Produkt, sondern Konfiguration der bestehenden Azure-/M365-Plattform — seit 2025 verfügbar, weitere Regionen 2026.
- Sovereign Private Cloud / Microsoft 365 Local: Exchange Server, SharePoint Server und Co. auf Azure Local im eigenen Rechenzentrum oder bei einem Partner — inklusive einer „disconnected" Betriebsoption für vollständige Isolation. Das ist faktisch das Eingeständnis, dass es Szenarien gibt, in denen nur On-Premise genügt.
- Data-Residency- und Transparenz-Zusagen: EU Data Boundary, Verpflichtung, EU-Daten in der EU zu verarbeiten, Benachrichtigung bei Behördenanfragen „soweit rechtlich zulässig".
Das ist substanziell mehr als Marketing — technisch sind Data Residency, europäisches Betriebspersonal und kundenkontrollierte Schlüssel echte Fortschritte, die reale Angriffsflächen verkleinern. Aber die Grenze des Modells ist strukturell und lässt sich nicht wegkonfigurieren: Der Betreiber bleibt ein US-Konzern unter US-Jurisdiktion. Der CLOUD Act fragt nicht, in welcher Azure-Region die Daten liegen und welchen Pass der Administrator hat. Solange die Muttergesellschaft dem US-Recht unterliegt, kann Microsoft die Herausgabe im Konfliktfall nicht kategorisch verweigern — siehe die Senatsaussage oben. Branchenanalysten nennen die Souveränitätsversprechen deshalb teils offen eine „Illusion". Das muss man nicht so scharf formulieren, aber der Kern stimmt: Sovereign Cloud von US-Anbietern ist Risikominimierung, nicht Souveränität. Für viele Workloads reicht Risikominimierung völlig. Man sollte nur wissen, was man gekauft hat.
Reale Umstiege: Schleswig-Holstein und openDesk — was der Stand 2026 wirklich zeigt
Die Gegenprobe: Geht ein vollständiger Exit überhaupt? Schleswig-Holstein liefert dazu das größte deutsche Realexperiment. Die Landesverwaltung migriert seit 2024 rund 30.000 Arbeitsplätze weg von Microsoft — LibreOffice statt MS Office, Linux statt Windows, Nextcloud als Kollaborationsplattform, Open-Xchange und Thunderbird statt Exchange/Outlook. Stand Dezember 2025 waren laut Landesregierung knapp 80 Prozent der Arbeitsplätze (außerhalb der Steuerverwaltung) auf LibreOffice umgestellt; der Umstieg auf Linux soll bis Ende 2026 abgeschlossen sein. Das Land beziffert die eingesparten Lizenzkosten auf über 15 Millionen Euro — bei rund 9 Millionen Euro einmaliger Investitionen für Migration und Weiterentwicklung im Jahr 2026. Parallel wächst openDesk, der souveräne Arbeitsplatz des Bundes (entwickelt unter dem Dach des ZenDiS), auf rund 100.000 Nutzer in Behörden.
Ehrlich gelesen zeigt das Beispiel beides. Erstens: Ein Exit ist machbar, auch in großem Maßstab, und er kann sich rechnen. Zweitens: Er ist ein Mehrjahresprojekt mit politischem Rückenwind, eigener Projektorganisation und erheblichen Einmalkosten — und selbst dann bleiben 20 Prozent der Arbeitsplätze vorerst auf Microsoft, weil Fachverfahren technische Abhängigkeiten erzeugen. Ein 80-Personen-Maschinenbauer hat weder die Projektorganisation noch den politischen Auftrag eines Bundeslandes. Die Lehre für den Mittelstand ist deshalb nicht „macht es wie Kiel", sondern: Die Abhängigkeit steckt selten in der Office-Suite — sie steckt in den Fachverfahren, den Schnittstellen und der Identität. Genau dort muss die Analyse ansetzen.
Risikoanalyse für KMU: Welche Workloads wirklich kritisch abhängig sind
Nicht jede Cloud-Abhängigkeit ist gleich gefährlich. Eine brauchbare Exit-Strategie beginnt damit, die Workloads nach zwei Fragen zu sortieren: Wie tief ist die Verflechtung (Lock-in), und wie schwer träfe ein erzwungener Wechsel das Geschäft? Unsere Einschätzung aus der Projektpraxis:
| Workload | Typische Abhängigkeit | Exit-Aufwand | Nüchterne Einordnung |
|---|---|---|---|
| Identität (Entra ID) |
Sehr hoch — SSO, MFA, Conditional Access, Geräteverwaltung hängen daran; jede SaaS-Anbindung vertieft den Lock-in | Sehr hoch (6–18 Monate) |
Der kritischste Punkt im ganzen Stack. Wer Entra ID verliert, verliert den Zugang zu allem. Mindestens: Break-Glass-Konten, dokumentierte App-Registrierungen, Notfall-Authentifizierungspfad |
| Mail & Kalender (Exchange Online) |
Hoch — Postfächer, Regeln, Freigaben, Archiv-Compliance | Mittel (2–6 Monate) |
Migrierbar (Open-Xchange, Zimbra, eigener Mailstack), aber schmerzhaft. Wichtigste Sofortmaßnahme: Backup der Postfächer außerhalb von M365 |
| Files & Kollaboration (SharePoint/OneDrive/Teams) |
Mittel — Daten liegen in proprietären Strukturen, aber Formate sind exportierbar | Mittel (2–4 Monate) |
Der dankbarste Kandidat für eine hybride Lösung: Nextcloud parallel betreiben, sensible Ablagen dorthin — läuft in der Praxis am reibungslosesten |
| ERP & Fachanwendungen | Sehr hoch bei SaaS-only-Produkten — Datenmodell, Prozesse, Schnittstellen, oft ohne vollwertigen Export | Sehr hoch (12+ Monate) |
Hier entscheidet die Vertragsgestaltung: Exportformate, Datenherausgabe bei Kündigung und Escrow-Klauseln gehören vor der Unterschrift verhandelt, danach ist es zu spät |
| KI-Dienste (Copilot, Cloud-LLMs) |
Noch niedrig — aber am schnellsten wachsend; Prompts und angebundene Datenquellen sind das Risiko | Niedrig (Wochen) |
Die einzige Stelle, an der man Souveränität heute günstig von Anfang an haben kann: On-Premise-KI für sensible Daten, Cloud-KI für den Rest |
Die Tabelle macht sichtbar, warum pauschale „Cloud raus"-Forderungen an der Realität vorbeigehen: Der Aufwand verteilt sich extrem ungleich. Ein vollständiger Identitäts- und ERP-Exit ist für die meisten KMU auf absehbare Zeit unrealistisch. Ein Datei-, Backup- und KI-Exit dagegen ist mit überschaubarem Aufwand machbar — und deckt bereits einen Großteil der wirklich sensiblen Daten ab.
Exit-Strategie als Versicherung, nicht als Dogma
Eine Cloud-Exit-Strategie ist kein Migrationsplan mit Startdatum. Sie ist das dokumentierte, geprüfte Wissen, dass ein Wechsel möglich wäre — zu bekannten Kosten, in bekannter Zeit. Wie eine Gebäudeversicherung: Man schließt sie nicht ab, weil man mit dem Brand rechnet, sondern weil der Schaden existenzbedrohend wäre. Die vier Bausteine:
- Daten-Portabilität: Regelmäßige, getestete Exporte aller kritischen Daten in anbieterunabhängige Ablagen — M365-Backup auf eigenem oder deutschem S3-Storage, Postfach-Archive, Export der Entra-Konfiguration. Ein Export, der nie geprobt wurde, ist keiner.
- Offene Formate und Standards: Wo möglich ODF/PDF-A statt proprietärer Formate für Langzeitablage, offene Protokolle (IMAP, CalDAV, S3, OIDC/SAML) statt anbietergebundener APIs. Jede offene Schnittstelle ist eine offene Tür nach draußen.
- AVV- und Sub-Prozessor-Transparenz: Wissen, welcher Dienstleister welche Daten wohin gibt. Klingt banal — aber wer die Sub-Prozessor-Listen seiner zehn wichtigsten SaaS-Verträge noch nie gelesen hat, kennt seine US-Abhängigkeit schlicht nicht. (Auch bei uns steht Microsoft Ireland in der Liste. Der Unterschied ist: Es steht drin, und unsere Kunden wissen es.)
- Hybride Architektur: Souveräne Komponenten parallel zur Cloud betreiben statt als Big-Bang-Ersatz — Nextcloud neben M365 für sensible Ablagen und externen Datenaustausch, On-Premise-KI statt Cloud-Copilot für Konstruktionsdaten, Verträge und Personaldaten, Backup und Archiv grundsätzlich außerhalb des primären Cloud-Anbieters. Eine Hybrid-Cloud-Architektur ist dabei kein Kompromiss, sondern der Punkt, an dem Exit-Fähigkeit vom Papier in die Infrastruktur wandert.
In der Praxis hat der Parallelbetrieb einen unterschätzten Nebeneffekt: Er verändert die Verhandlungsposition. Wer nachweislich binnen Monaten wechseln könnte, verhandelt Lizenzverlängerungen und Preiserhöhungen anders als jemand, der es nicht kann. Exit-Fähigkeit zahlt sich aus, auch wenn der Exit nie stattfindet — das ist bei Versicherungen selten der Fall.
Das Stufenmodell: Von Transparenz bis zum souveränen Kernstack
Damit aus dem Thema kein diffuses Dauerprojekt wird, empfehlen wir ein Stufenmodell. Jede Stufe ist für sich abgeschlossen und liefert eigenständigen Nutzen — niemand muss Stufe 4 erreichen, aber jedes Unternehmen sollte wissen, auf welcher Stufe es stehen will:
| Stufe | Maßnahmen | Aufwand |
|---|---|---|
| 1 — Transparenz schaffen | Cloud- und SaaS-Inventur, AVV- und Sub-Prozessor-Review, Datenklassifizierung (Was ist wirklich sensibel?), Abhängigkeits-Matrix wie oben erstellen | Wenige Personentage; interne Arbeit plus ggf. ein Beratungsworkshop im niedrigen vierstelligen Bereich |
| 2 — Portabilität sichern | M365-/SaaS-Backup außerhalb des Anbieters, offene Exportformate etablieren, Restore- und Export-Tests, Break-Glass-Zugänge für die Identität, Exit-Klauseln in neue Verträge | Wochen; laufende Kosten für Backup-Storage und -Betrieb, typisch ab einem niedrigen dreistelligen Betrag pro Monat |
| 3 — Hybride Architektur | Nextcloud parallel zu M365 für sensible Daten und externen Austausch, On-Premise-KI für vertrauliche Auswertungen, zweiter Authentifizierungspfad, Archiv/DMS auf souveräner Infrastruktur | Monate; Parallelbetrieb bedeutet ehrlicherweise doppelte Kosten für die betroffene Schicht — Managed-Betrieb typisch im mittleren dreistelligen bis vierstelligen Bereich pro Monat, je nach Nutzerzahl |
| 4 — Souveräner Kernstack | Kritische Workloads (Files, Mail, Fachverfahren, KI) vollständig auf eigene oder deutsche Infrastruktur — Managed Hosting oder Colocation im deutschen Rechenzentrum; US-Cloud nur noch für Unkritisches | 12+ Monate Projektlaufzeit; Investition je nach Umgebung fünf- bis sechsstellig — dafür entfallen laufende Cloud-Lizenzen weitgehend (vgl. Schleswig-Holstein: 9 Mio. € Einmalinvest gegen 15 Mio. € jährliche Lizenzersparnis — bei 30.000 Arbeitsplätzen) |
Unsere ehrliche Einschätzung: Für die meisten KMU ist Stufe 2 Pflicht und Stufe 3 die richtige Zielmarke. Stufe 1 kostet fast nichts und ist überfällig — ohne sie ist jede Souveränitätsdiskussion Bauchgefühl. Stufe 4 lohnt sich dort, wo regulatorischer Druck (Berufsgeheimnisträger, kritische Zulieferer, Verschlusssachen-Nähe) oder Kundenanforderungen sie erzwingen, oder wo die Cloud-Rechnung bei stabilen Workloads ohnehin aus dem Ruder läuft.
Kostenwahrheit: Was Souveränität wirklich kostet
Zum Schluss der unbequemste Teil, denn hier wird in der Debatte am meisten geschummelt — in beide Richtungen. Souveränitäts-Befürworter rechnen gern nur die eingesparten Lizenzen, Cloud-Verteidiger nur die Migrationskosten. Die ehrliche Rechnung hat drei Posten:
- Einmalkosten: Migration, Schulung, Schnittstellenanpassung. Schleswig-Holstein plant 9 Mio. € Einmalinvest für 30.000 Arbeitsplätze — grob 300 € pro Arbeitsplatz, wobei Landesverwaltungen Skaleneffekte haben, die ein 50-Personen-Betrieb nicht hat. Für KMU-Projekte kalkulieren wir in der Praxis eher das Doppelte bis Vierfache pro Arbeitsplatz, je nach Fachverfahrens-Verflechtung.
- Laufende Mehrkosten des Parallelbetriebs: Wer Stufe 3 fährt, bezahlt die Kollaborationsschicht doppelt — M365-Lizenzen laufen weiter, die Nextcloud-Instanz kommt dazu. Das ist der Preis der Versicherung, und er ist planbar: Eine Open-Source-Schicht kostet pro Nutzer typischerweise deutlich weniger als die M365-Lizenz, aber sie kostet.
- Betriebsverantwortung: Souveräne Infrastruktur muss jemand betreiben, patchen, überwachen und sichern. Das kann das eigene Team (Fachkräftemangel eingepreist?) oder ein Managed-Service-Partner — dann steht der Aufwand als monatliche Position im Vertrag statt als verstecktes Risiko im Kalender.
Dagegen steht, was die reine Cloud-Rechnung gern unterschlägt: Cloud-Lizenzkosten sind keine Konstante. Microsoft hat die M365-Preise in den letzten Jahren mehrfach angehoben und koppelt neue Funktionen zunehmend an teurere Lizenz- und Copilot-Stufen — bei voller Abhängigkeit verhandelt man solche Erhöhungen nicht, man bezahlt sie. Über einen Fünfjahreshorizont gerechnet ist der Abstand zwischen „souverän betrieben" und „Cloud-only" deshalb oft deutlich kleiner, als die Monatsrechnung suggeriert. Aber er existiert. Wer Ihnen Souveränität zum Nulltarif verspricht, verkauft Ihnen etwas.
Fazit: Abhängigkeit kennen, Exit-Fähigkeit herstellen, souverän dort, wo es zählt
Braucht Ihr Unternehmen also eine Cloud-Exit-Strategie? Unsere Antwort: Eine Exit-Strategie ja — einen Exit wahrscheinlich nicht. Die Rechtslage um CLOUD Act, FISA 702 und das Data Privacy Framework rechtfertigt keine Panik, aber sie verbietet Naivität: Die Grundlage, auf der Ihre US-Cloud-Nutzung DSGVO-konform ist, steht zum dritten Mal vor Gericht, und selbst Microsofts beste Sovereign-Cloud-Angebote ändern nichts an der Jurisdiktion des Betreibers. Gleichzeitig zeigt Schleswig-Holstein, dass ein Exit machbar, aber ein Mehrjahresprojekt ist — nichts, was man im Krisenfall improvisiert.
Genau deshalb ist Timing der Kern des Themas: Eine Versicherung schließt man ab, bevor es brennt. Stufe 1 und 2 — Transparenz und Portabilität — kosten wenig und sollten 2026 in jedem Unternehmen stehen. Stufe 3, die hybride Architektur mit souveränen Komponenten für die wirklich sensiblen Daten, ist für die meisten KMU der Punkt, an dem Aufwand und Risikoreduktion im besten Verhältnis stehen. Wir helfen bei allen drei Stufen — mit Nextcloud, Infrastruktur und KI aus deutschen Rechenzentren, und mit einer Beratung, die Ihnen auch sagt, wo M365 schlicht die richtige Wahl bleibt. Denn das gehört zur Souveränität dazu: die Freiheit, sich bewusst für einen Anbieter zu entscheiden — statt keine Wahl zu haben.