Microsoft hat gerade seine "souveräne Cloud" für europäische Kunden angekündigt. Diese sollen Azure in eigenen Rechenzentren hosten können. Damit soll Bestrebungen Europas im Hinblick auf eine digitale Unabhängigkeit von US-Firmen bei Cloud-Angeboten begegnet werden. Hier ein Blick auf den Sachverhalt.
Microsofts "souveräne Cloud"
Zum 16. Juni 2025 hat Microsoft in seinem Blog-Beitrag Announcing comprehensive sovereign solutions empowering European organizations seine Lösung "Microsoft 365 Local" zur Stärkung seiner europäischen Geschäftstätigkeiten angekündigt.
Hintergrund ist, dass in Europa eine Diskussion über die digitale Souveränität entbrannt ist und Behörden einen Exit von Microsoft 365 und der Azure-Cloud andenken bzw. sogar umsetzen. Ich hatte beispielsweise im Beitrag Digitale Souveränität: EU-Cloud; Microsoft Exit in dänischem Digitalministerium; wahre Kosten von Windows 11 darüber berichtet. Die digitale Abhängigkeit von Microsoft soll reduziert werden. Dort habe ich auch die Kontroverse, die der SAP-CEO Christian Klein, bezüglich europäischer Cloud-Lösungen (die er als Unsinn ansieht) angesprochen. Klein hat dabei natürlich die Delos-Cloud seiner gleichnamigen SAP-Tochter Delos, die auf der Microsoft Cloud basiert, im Hinterkopf.
Getriggert wurde diese Entwicklung in Europa durch die schon lange schwelende Diskussion um Datenschutz und Datensicherheit. Das EU-US-Abkommen Transatlantic Data Transfer Privacy Agreement, von Ex-US-Präsident Biden per Erlass aufgestellt, steht ja unter Präsident Donald Trump unter Beschuss und könnte durch den EuGH fallen. Dann wäre der Datentransfer in die US-Cloud durch EU-Organisationen und -Firmen unzulässig.
Die Microsoft Sovereign Cloud
Die Microsoft Sovereign Cloud ist eine Antwort auf die obigen Probleme. Europäischen Kunden werden Unternehmensdienste wie Microsoft Azure, Microsoft 365, Microsoft Security und Power Platform, gehostet in allen bestehenden europäischen Rechenzentrumsregionen angeboten.
Die Sovereign Public Cloud stellt laut Microsoft sicher, dass die Daten der Kunden in Europa bleiben, dem europäischen Recht unterliegen, der Betrieb und der Zugriff durch europäisches Personal kontrolliert werden und die Verschlüsselung unter der vollen Kontrolle der Kunden steht. Dies ist für alle Kunden-Workloads möglich, die in unseren europäischen Rechenzentrumsregionen laufen und keine Migration erfordern.
Dazu hat man ein schönes Bildchen gemalt (siehe obige Abbildung), das die einzelnen Varianten der Microsoft Sovereign Cloud zeigt. Es gibt eine Sovereign Public Cloud und eine Sovereign Private Cloud, sowie nationale Souveign Clouds (z.B. Delos von der SAP-Tochter).
Gleichzeitig kündigt Microsoft mit diesem Angebot noch den Data Guardian für den europäischen Betrieb, ein External Key Management für kundengesteuerte Verschlüsselung, ein Regulated Environment Management für eine vereinfachte Konfiguration und Microsoft 365 Local für wichtige Produktivitätsdienste in privaten Cloud-Umgebungen an. In obigem Tweet liest man, dass Kunden nun Exchange Server und SharePoint Server in einer privaten Cloud in europäischen Rechenzentren hosten können sollen. Die Details des Angebots und der Neuerungen lassen sich im Microsoft Blog-Beitrag Announcing comprehensive sovereign solutions empowering European organizations nachlesen.
Alles echt, oder viel "weiße Salbe"?
Die Zusicherungen und Aktivitäten Microsofts zeigen, dass das Unternehmen nervös wird, weil die Felle weg schwimmen. Druck scheint also zu wirken. Allerdings ist die Gretchenfrage, was diese ganzen Zusicherungen auf dem Papier wert sind, wenn die US-Regierung den Cloud Act zieht oder ein Embargo gegen Ländern verhängt und in Europa die Lichter ausgehen.
Von Benjamin Schilz, CEO von Wire, einer sicherem Kommunikationsplattform für Organisationen, die eine vollständige Suite an Messaging-, Audio-, Video- und Filesharing-Funktionen für Teams jeder Größe bietet, ist mir dazu folgendes Statement zugegangen:
Microsoft verfügt über keinen Freifahrtschein vom US-Überwachungsrecht. Die versprochene souveräne Private Cloud gibt Zusagen, die sich rechtlich nicht einlösen lassen. Es geht nicht um gute Absichten, sondern um eine einfache Tatsache: Jeder US-Softwareanbieter kann gesetzlich dazu verpflichtet werden, Überwachungsmaßnahmen durchzuführen oder den Zugriff auf Dienste willkürlich zu unterbinden.
Der Quellcode von Microsoft ist nicht offen. Es gibt keine rechtliche Hürde, die die US-Regierung daran hindern würde, von Microsoft beispielsweise den Einbau von Hintertüren zu verlangen, über die kryptografische Schlüssel, Kundendaten oder Metadaten abgegriffen werden können. Dass Microsoft bereits gezwungen wurde, Kunden auf staatliche Anweisung den Zugang zu verweigern, ist belegt – das ist kein theoretisches Szenario.
Diese Vorstellung ist realitätsfern. Und Unternehmen, die solche Versprechen trotz der bekannten Rechtslage akzeptieren, erliegen letztlich einer Illusion.
Dieser Einschätzung ist wenig hinzuzufügen.
MVP: 2013 – 2016
Da gab es doch schon mal sowas mit der Telekom, das wurde auf Anweisung der US-Behörden recht schnell wieder eingestellt.
gibts da eine Quelle?
ich weiß nur, dass Microsoft die Server bzw. Cloud in Eigenregie hosten möchte
https://www.computerwoche.de/article/2779226/aus-fuer-microsoft-cloud-deutschland.html
dass es durch die US-Regierung selbst kam, davon les ich nirgends
Nö. Gibt natürlich keine Quelle für den Bullshit! Die nationale, von der Telekom betriebene 'MicrosoftCloud-Lösung' war vollständig Datenschutzkonform gemäß DSGVO, weil jeder 'externe' Zugriff unter Richtervorbehalt und Gegenprüfung seitens der Telekom stand. Jede sonstige und bei 'US-Clouds' normalerweise erlaubte Datenabfrage von US-Strafverfoldungsbehörden (s. 'Cloud Act') wurde technisch unterbunden. Hosting in Deutschland ist/war aber deutlich teurer, weshalb das Interesse wohl extrem gering war. Man konnte bei Buchung über die Telekom beides auswählen und ich meine die 'Deutschland Cloud' war knapp 80% teurer bin aber nicht sicher dabei!
Das ist in etwa das, was ich zu dem Thema noch im Kopf habe.
bildlich gesagt: Wenn der Wolf zur Großmutter sagt: "Ich fresse dich später wenn du mir all dein Geld gibst."
… ach alles cool 💊🩹🤩
Das wird mindestens die beste Erfindung seit geschnitten Brot und dem Release von Microsoft Bob!!!
Hier wird bestümmt "Datenschutz Geschichte" geschrieben 🥳 …
—Grüße—
Wenn man befürchtet, dass Microsoft von der US-Regierung gezwungen werden könnte, Hintertüren in ihre Software einzubauen, wäre konsequentweise nicht nur die Nutzung von Microsoft 365 (in welcher Form auch immer), sondern auch der Einsatz von Windows oder jeder anderen Closed Source-Software von US-Herstellern mangels Einsicht in den Quellcode nicht mehr vertretbar.
So ist es ja auch. Den Konjunktiv kannst du weg lassen. Traut sich nur kaum keiner umzusteigen.
Hast du Ersatz für *alle* Software aus den USA? Einschließlich Linux? Schließlich stammen einige der etablierten Distributionen wie Redhat auch aus den USA, auch Linus T. lebt in den USA, und in aller letzter Konsenz werden auch die sich amerikanischem Recht beugen müssen.
Dann nimmt man eben keine Distribution, hinter der ein Unternehmen steht. Was ändert fehlender, adäquater Ersatz am Cloud Act?
Ich gebe dir ja recht, dass man nicht mal eben so alles über den Haufen werfen und umsteigen kann. Aber mit den Schultern zucken und "Kann man nix machen" sagen ist auch keine Lösung.
Wie steht es denn um die Hardware samt lückenloser Lieferkette aus Deutschland / der EU?
Selbst wenn in der (US) Hardware keine Hintertüren drin sind, was wollen wir denn machen, wenn bspw. Intel und AMD nichts mehr in die EU liefern?
Debian läuft auf so ziemlich allem, auch schon deswegen ist OpenSource gut wenn man dann auch die Hardware wechseln muss kennt man zumindest schon die Software!
"So ziemlich alles" kommt genau wo her? Können wir bspw. den asiatischen Regionen (blind) vertrauen?
Es läuft auf so ziemlich jeder Plattform nicht nur x86. Ich habe Debian noch auf einer SUN Sparcstation 5 kennengelernt :)
Ja, genau wir benutzen dann chinesische Zhaoxin oder Loongson CPUs. Da ist dann das chinesisiche Scoringsystem schon im Risc-Befehlssatz verankert.
"Dieser Einschätzung ist wenig hinzuzufügen."
So ist es. Das Transatlantic Data Transfer Privacy Agreement dient nur dazu, damit sich Entscheidungsträger innerhalb der EU rechtlich (nicht technisch!) abgesichert wähnen können, um keine großen Software-Umstürze durchführen oder -Verzichte erleiden zu müssen. Ist halt schön bequem, kann man sagen "Die USA haben uns die Sicherheit unserer EU-Daten ja zugesichert" und alles läuft weiter wie bisher.
Es gilt auch für Microsoft der Cloud Act.
Und der sagt eindeutig, das den US-Behörden auf Verlangen Zugang zu den Daten zu verschaffen ist, unabhängig davon, wo auf der Welt der Server steht.
Daher ist das Microsoft-Angebot nichts weiter als eine Nebelkerze.
Es ist rechtlich schlicht unmöglich für Microsoft, eine Cloudinfrastruktur zu betreiben, die nicht dem Cloud Act unterliegt bzw. müsste Microsoft dafür die USA verlassen und in den USA selbst geschäftlich nicht mehr aktiv sein.
Bevor das geschieht fallen eher Weihnachten und Ostern auf den gleichen Tag.
Und der Cloud Act gilt nicht nur für US-Firmen, sondern auch für ausländische Firmen, die eine Filiale in den USA haben!
Ein Cloudanbieter darf also in den USA nicht tätig sein, um sich dem Cloud Act zu entziehen.
Genau wenn ich eine Daten Souveränität erlangen möchte, dann nutze ich doch ganz bestimmt keine Microsoft Cloud egal in welchen Land, sondern nehme auch irgendein Europäischen Dienst oder eins, was zumindest in Europa liegt.
Wie wäre es z.b. mit pCloud als Beispiel.
Der Ami veräppelt uns mit seiner Software und die EU veräppelt uns mit dem neuen DNS-Dienst:
https://www.golem.de/news/datenschutz-wie-viel-eu-steckt-in-dns4eu-2506-197213.html
"Wenn man also DNS4EU benutzt, geht im Prinzip der gesamte Traffic durch Netze einer Firma außerhalb der EU. "
Ich sehe in Europa nicht ein trojanisches Pferd, sondern bald eine ganze Herde.
Das ist schlicht falsch! Die Server werden bei einem Hoster gehostet der wiederrum seinen Sitz in UK hat. Der Angemessenheitsbeschluss der EU für UK wurde übrigens gerade erst verlängert. Aus Sicht der DSGVO passt also auch alles.!Ich nutze DNS4Eu seit einer Woche und habe merfach Tests und Traces gemacht. Mittels DNS leak test kann man sogar sehen wo sich der eigentliche Resolver befindet der dann wirklich die Auflösung macht und der befindet sich in meinem Fall in Deutschland die Anycast Instanz die für mich als DNS-Server dient scheint in Frankfurt zu sein.
Ist auch so typisch deutsch, da macht die EU mal was das tatsächlich läuft aber in Deutschland alle nur so ist doch Mist. Ich habe in den letzten Monaten viele DNS-Dienste getestet und DNS4EU bringt bei mir konstant gute Ergebisse. Keine Probleme mit CDNs, Websites laden flott und Online Gaming läuft besser den je!
Vielleicht hast du Recht, ich bin Laie.
Angemessenheitsbeschluss mit einem Five-Eyes-Staat hat trotzdem für mich ein Geschmäckle.
Über UK gehen alle Daten an die "Five Eyes" https://en.wikipedia.org/wiki/Five_Eyes
"Cloud Act" – damit ist alles gesagt…
Pass auf, dass es nicht Popcorn aus der Wolke regnet.
Weiterbildung: https://de.wikipedia.org/wiki/CLOUD_Act
Mal die Frage in die Runde, wie bekommt man deutsche Behörden zum Umdenken? Was muss passieren, dass der Groschen bei den Entscheidern endlich fällt?
Beispiel: Das Land Niedersachsen hat eine Datenschutzvereinbarung mit Microsoft, die besagt, dass der Einsatz von MS Teams in Landesverwaltungen datenschutzkonform erfolgen kann. Es wird also auf dem Papier etwas behauptet, was in der Praxis überhaupt nicht haltbar ist. Alles was in diesem Papier steht sind leere Versprechungen und eigentlich das Papier nicht wert auf dem sie gedruckt wurden.
Aber die Entscheider wollen MS Teams, M365 und Cloud, weil es jeder macht, man möchte den Anschluss nicht verlieren, man möchte modern sein. Und ja klar, digitale Souveränität ist nicht einfach und erfordert es viele extra Wege zu gehen. Aber wie genau bekommt man die Entscheider zu diesem Punkt?
Indem man sie zum Teufel jagt und Leute in Entscheider Positionen setzt die Ahnung haben! Dreimal darfst du raten warum das nicht passieren wird.
Das Schlimme ist das Teams ja nichtmal wirklich gut ist. Wir habe m.E. den besten Anbieter einer Videokonferenz Software sogar in Deutschland aber den kennt halt niemand :(
der ist so unbekannt, dass sein Name nicht mal in deinem Posting steht
Für Behörden wird doch M365 schon längst in deutschen/euopäischen Cloud-Cooperationen gehostet. Bei meinem alten Arbeitsgeber (ein bekannter IT-Dienstleister) war ich in Auswahl, im Betrieb dieser Bundescloud eingesetzt zu werden. Hab aber dann ein besseres Angebot extern bekommen.
https://dip.bundestag.de/vorgang/vereinbarung-mit-microsoft-f%C3%BCr-den-testbetrieb-der-sog-bundescloud/275552?f.deskriptor=Microsoft&rows=25&pos=11
Und der "Cloud Act" gilt trotzdem…
Passiert doch gerade.
Schleswig Holstein steigt auf Linux und Open Source Software um.
klingt doch alles super und wieso sollte der Cloud-Act für lokale Instanzen gelten? das leuchtet mir nicht ein.
Ob Azure lokal oder olle Windows Sever lokal: wer Paranoia hat, kontrolliert lückenlos Internetzugriffe bzw. segmentiert. Weder kann MS von außen auf die Server zugreifen, noch fließen da Daten außer Telemetrie Infos ab (auch die kann man unterbinden).
Man muss dann auch mal die Kirche im Dorf lassen und das genauer unter die Lupe nehmen. "Private Cloud" heißt nichts anderes, als lokale Server und Dienste, da ist gar nix cloud.
Der Gau IMHO ist M365 und Hybrid Cloud, noch schlimmer Multicloud: viel Rauch und noch mehr Arbeit für Gadgets und Dienste, die man nur teilweise benötigt, dafür umso mehr Geld und Verlust der Datenhoheit.
In die Cloud migrierte Date gelten als gelöscht, meine Meinung.
Nennt man eine "Microsoft Sovereign Cloud" auf eigener Hardware dann "On-Premise"? Ich habe irgendwie ein Deja-Vu …
Nein, denn es heißt "On-Premises". Mit einem s am Ende. (Klugscheißmodus aus)
Microsoft hat mit "Microsoft 365, betrieben von 21Vianet" schon mal so eine Kröte geschluckt. Hier ist davon auszugehen, daß die Server in China stehen und (im Gegensatz zur chinesischen Regierung) Microsoft allenfalls genug Einblick hat, um die Lizenzierung zu überprüfen und Fehler zu beheben, aber eben nicht an die Daten der Tenants herankommt.
Mit der amerikanischen "Office 365 Government Umgebung" dürfte es ähnlich sein.
Was genau Microsoft hier beabsichtigt ist unklar (neben der Telekom war ja auch schon mal von dem Konglomerat um SAP bzw Oracle als Betreiber die Rede), technisch unmöglich ist es aber nicht.
Es ist davon auszugehen, dass Microsoft dem Cloud Act unterliegt und entspr. Wege zu den Daten bereitstellt.
https://learn.microsoft.com/de-de/office365/servicedescriptions/office-365-platform-service-description/microsoft-365-operated-by-21vianet
"Die Von 21Vianet betriebene Microsoft 365-Version von Microsoft 365 ist spezifisch für China. Microsoft betreibt den Dienst nicht selbst. 21ViaNet ist für den Betrieb, die Bereitstellung und die Verwaltung des Dienstes verantwortlich. 21Vianet ist der größte Carrier-neutrale Anbieter von Internet-Rechenzentrumsdienstleistungen in China, der Hosting, verwaltete Netzwerkdienste und Cloud-Computing-Infrastrukturdienste anbietet. Durch die Lizenzierung von Microsoft-Technologien betreibt 21Vianet lokale Microsoft 365-Rechenzentren, um die Möglichkeit zu bieten, Microsoft 365-Dienste zu nutzen und gleichzeitig Daten in China zu speichern. 21Vianet bietet auch Abonnement- und Abrechnungsdienste sowie Support."
Ich denke, Trump kann mit seinem Cloud Act auf den Boden stampfen wie ein trotziges Kind, wenn es keine technische Möglichkeit gibt, wird er (ohne einen Einmarsch in China) an die Daten eben nicht herankommen.
"Diese Dienste unterliegen den chinesischen Gesetzen.
Aufgrund der einzigartigen Natur der China-Dienste, die von einem Partner aus Rechenzentren innerhalb Chinas betrieben werden, gibt es einige Features, die noch nicht aktiviert wurden."
Zu den nicht verfügbaren Features gehört im Prinzip alles, was gegenseitige Authentifizierung von Tenants untereinander erfordert, etwa "Microsoft Bookings, Microsoft Forms, Microsoft MyAnalytics, Microsoft Planner, Microsoft StaffHub (eingestellt), Microsoft Stream, Microsoft Sway, Office Delve, OneNote-Kursnotizbuch" und die Fremdverwaltung von Konten.
Das läßt mich vermuten, daß es schlicht keine Datenverbindung zwischen den Clouds gibt. Das Teil ist eine Insel.
Natürlich muß die "deutsche" Cloud nicht genauso gebaut sein, hierzulande würde ich natürlich mit Hintertüren rechnen.
Und die Office 365 usw. in diesen "Insel" Rechenzentren bekommen keine Updates von Microsoft? Und keine Backdoors? Wie naiv will man sein?
Wie man Updates auch in AIR-gapped Systeme einspielt ist seit Jahren dokumentiert, aber das ist eine Einbahnstraße.
China hat in den letzten Jahren viel gelernt und betreibt diese Rechenzentren bestimmt nicht mit Raubkopien, sondern offiziell lizenziert, bezahlt und im Bedarfsfall auch supported von Microsoft.
Aber nochmal: Um in größeren Mengen Daten da herauszuholen (egal ob über eine offizielle Schnittstelle oder eine "Backdoor" muß man erst mal in diesem Rechenzentrum stehen. Über einen amerikanischen Durchsuchungsbeschluß werden die Chinesen vermutlich nur lachen.
Spannender finde ich den Umgang Microsofts mit Rußland. Wie gerade erst zu lesen war (https://www.borncity.com/blog/2025/06/03/microsoft-ableger-in-russland-in-insolvenz/) scheint man ja bis Juni, also nach 3 Jahren "Spezialoperation" am Cloud-Geschäft immer noch verdient zu haben, abgeschaltet sind die Systeme vermutlich bis heute nicht.
Aber auch da wäre ich gespannt, wie die USA den von Dir so hochgehaltenen Cloud Act durchsetzen wollen.
@Fritz: Bzgl. Russland betrifft das Abschalten wohl nur Unternehmen mit Sitz in Russland. Deutsche Firmen, die Tochterfirmen in Russland haben und dort weiterhin ihre Mitarbeiter auf ihren (nicht-russischen) Tenant zugreifen lassen, sind wohl nicht betroffen. Weiß hier jemand Genaueres?
immer noch oder schon wieder?
>> . Allerdings ist die Gretchenfrage, was diese ganzen Zusicherungen auf dem Papier wert sind, wenn die US-Regierung den Cloud Act zieht oder ein Embargo gegen Ländern verhängt und in Europa die Lichter ausgehen. <<
Eine weitere Gretchenfrage:
Was sind Zusicherungen auf dem Papier Wert, wenn Microsoft fortlaufend seine Anwender gängelt und haarscharf an der Legalität vorbei übergriffig ist?
Warum sollte man solch einem Unternehmen vertrauen, wenn es für morgen etwas verspricht, das sie eigentlich nur aus Druck heraus umsetzen?
Und NICHT z.B. Onedrive nutzen!
Lt. AGB sichert man Microsoft das Nutzungsrecht an allen nach Onedrive hochgeladenen Dateien zu!
Immer diese pauschale Panikmache. Ein Blick in den Servicevertrag hilft hier weiter, was hier genau mit "Nutzungsrecht" gemeint ist; nämlich das, was im Grunde jeder Cloud-Anbieter tun muss, um hochgeladene Daten rechtskonform zu verarbeiten:
"Soweit dies notwendig ist, um Ihnen und anderen die Dienste bereitzustellen (z. B. durch das Ändern von Größe, Form oder Format Ihrer Inhalte zur besseren Speicherung oder Anzeige), um Sie und die Dienste zu schützen und um die Produkte und Dienste von Microsoft zu verbessern, gewähren Sie Microsoft eine weltweite und gebührenfreie Lizenz für geistiges Eigentum zur Verwendung Ihrer Inhalte, z. B. um Kopien Ihrer Inhalte zu erstellen oder Ihre Inhalte aufzubewahren, zu übertragen, neu zu formatieren, mithilfe von Kommunikationswerkzeugen zu verteilen und über die Dienste anzuzeigen. Falls Sie Ihre Inhalte in Bereichen eines Diensts veröffentlichen, in denen sie öffentlich oder ohne Einschränkungen online verfügbar gemacht werden, können Ihre Inhalte in Demonstrationen oder Materialien zur Bewerbung des Diensts erscheinen".
Wenn man das nicht möchte, sollte man natürlich kein Microsoft 365 oder vergleichbare Plattformen nutzen.
Ich kann das Heilsversprechen souveräner Cloud-Dienste powered by Microsoft, Amazon oder Google nicht ganz glauben. Eine gute Variante wäre sicher mehr Open Source um Abhängigkeiten zu reduzieren. Das kann aber immer nur der Anfang sein, denn wirkliche Souveränität heißt auch mitgestalten und Fachleute beschäftigten die Code betreuen und mitgestalten. Vielleicht nach WWIII 🫣