Raus aus der Microsoft-Cloud? Was der Exit für den Mittelstand 2026 wirklich bedeutet

Inhalt in Kürze

• Microsoft hat am 10. Juni 2025 vor dem französischen Senat unter Eid bestätigt, dass es einen Zugriff von US-Behörden auf EU-Daten nicht ausschließen kann – der US CLOUD Act sticht die EU-Datengrenze.
• Das EU-US Data Privacy Framework bleibt nach dem EuG-Urteil vom 3. September 2025 vorerst gültig. Das Rechtsmittel zum EuGH läuft, und seit dem Supreme-Court-Urteil Trump v. Slaughter (29. Juni 2026) wackelt eine seiner Säulen – rechtssicher für die Zukunft ist es nicht.
• Schleswig-Holstein hat 2025 sein Verwaltungs-Mailsystem komplett auf Open Source umgestellt und bis Dezember 2025 rund 80 % der Arbeitsplätze auf LibreOffice migriert.
• Für die meisten KMU ist kein Vollexit nötig – sondern konsequente Härtung: Verschlüsselung, sauberer AVV und ein vorbereiteter Plan B, falls das Data Privacy Framework fällt.

Sie haben die Schlagzeilen gesehen: „Microsoft kann EU-Daten nicht vor US-Zugriff schützen.” Die naheliegende Frage im Geschäftsführer-Büro lautet dann: Müssen wir jetzt raus aus der Microsoft-Cloud? Die ehrliche Antwort ist differenzierter als die Panik – und teurer, wenn Sie sie ignorieren.

Warum die Microsoft-Cloud 2026 rechtlich wackelt

Der Auslöser war eine Anhörung vor der französischen Senatskommission am 10. Juni 2025. Dort räumte der Chefjustiziar von Microsoft Frankreich unter Eid ein, dass das Unternehmen keine Garantie geben kann, dass in der EU gespeicherte Daten nie an US-Behörden weitergegeben werden (heise online).

Der Grund ist kein technisches Versagen, sondern ein Gesetzeskonflikt. Der US CLOUD Act verpflichtet US-Unternehmen, Daten unter ihrer Kontrolle auf richterliche Anordnung an US-Behörden herauszugeben – egal, wo auf der Welt sie liegen. Ein Freibrief zum Mitlesen ist das nicht: Nötig ist ein formelles Verfahren, und Microsoft sagt, ein solcher Fall bei europäischen Behördendaten sei bisher nicht eingetreten. Der Konflikt mit Art. 48 DSGVO bleibt trotzdem. Die viel beworbene EU-Datengrenze (EU Data Boundary) hält die Daten zwar physisch in Europa, hebelt diese Herausgabepflicht aber nicht aus. Die Stiftung Datenschutz fasst es deutlich zusammen: Microsoft kann den Zugriff durch US-Behörden nicht ausschließen (stiftungdatenschutz.org).

Das Data Privacy Framework: gültig, aber nicht sicher

Viele verlassen sich auf das EU-US Data Privacy Framework (DPF) – den Angemessenheitsbeschluss, der den Datentransfer in die USA legitimiert. Hier ist die nüchterne Lage 2026:

Das Gericht der Europäischen Union (EuG) hat am 3. September 2025 die Klage des französischen Abgeordneten Latombe gegen das DPF abgewiesen (Rechtssache T-553/23). Der Beschluss bleibt vorerst gültig (dr-datenschutz.de). Latombe hat allerdings Ende Oktober 2025 Rechtsmittel zum EuGH eingelegt; ein Urteil steht noch aus.

Dazu kommt Druck aus den USA. Im Januar 2025 entließ die Trump-Regierung die demokratischen Mitglieder des Privacy and Civil Liberties Oversight Board – eines der Kontrollgremien, auf die das DPF setzt. Am 29. Juni 2026 entschied der US Supreme Court im Fall Trump v. Slaughter, dass der Präsident Mitglieder der Handelsbehörde FTC entlassen darf. Deren Unabhängigkeit ist damit verfassungsrechtlich nicht mehr geschützt – und die EU-Kommission stützt sich im Angemessenheitsbeschluss laut noyb 259-mal auf genau diese „unabhängige“ FTC (dr-datenschutz.de). noyb hat die Kommission am 30. Juni 2026 aufgefordert, den Beschluss zu widerrufen, und rechtliche Schritte angekündigt (noyb).

Das ist der entscheidende Punkt: „vorerst”. Safe Harbor wurde 2015 gekippt, der Privacy Shield 2020. Nach dem Privacy-Shield-Urteil gab es keine Übergangsfrist. Wer seine gesamte IT auf einen Angemessenheitsbeschluss baut, dessen zwei Vorgänger gekippt wurden, geht ein kalkulierbares, aber reales Risiko ein.

Wer schon aussteigt – und was Sie daraus lernen

Der prominenteste Fall in Deutschland ist Schleswig-Holstein. Das Land hat 2025 das Mailsystem seiner Landesverwaltung vollständig auf Open Source umgestellt und bis zum 4. Dezember 2025 rund 80 % der Arbeitsplätze auf LibreOffice migriert (heise online). Nextcloud ersetzt schrittweise weitere Microsoft-Dienste.

Die ehrliche Lektion für KMU: Das war kein Schnellschuss. Hinter dem Exit stehen eine mehrjährige Strategie, ein eigenes IT-Team und ein politischer Auftrag. Was eine Landesverwaltung über Jahre stemmt, kann ein 30-Mann-Betrieb nicht in einem Quartal nachbauen.

Es trifft auch die kleineren Unternehmen, die nicht direkt unter NIS2 fallen – aber aufgrund der Lieferkette ein wichtiger Bestandteil sind.

Nils OehmichenDatenschutzberater bei frag.hugo

Genau deshalb ist die Cloud-Frage längst nicht mehr nur „nice to have”. Wenn Ihr Großkunde aus regulatorischen Gründen souveräne Lieferketten verlangt, wird Ihre Cloud-Strategie zum Vertriebsthema. Mehr dazu in unserer Übersicht zur NIS2-Lieferketten-Compliance.

Lesetipp: Dieses Thema wird in unserem kostenlosen E-Book „CYBER-SICHER — Der Leitfaden für den deutschen Mittelstand” (200 Seiten, Ausgabe 2026) ausführlich behandelt. Jetzt herunterladen →

Vollexit oder Härtung? Die realistischen Optionen für KMU

Zwischen „alles bleibt bei Microsoft” und „wir migrieren komplett” liegen mehrere Stufen. Welche zu Ihnen passt, hängt von Ihren Daten und Ihrem Risikoappetit ab.

Ein Wort zur „souveränen Cloud”: Die Delos Cloud, eine hundertprozentige Tochter von SAP, soll der deutschen Verwaltung eine souveräne Plattform bieten – basiert technisch aber auf Microsoft Azure und Microsoft 365 (Computerwoche). Souveränität ist hier ein Spektrum, kein Schalter.

1. Daten klassifizieren: Welche Daten sind besonders schützenswert (Gesundheit, Beschäftigte, Geschäftsgeheimnisse)? Nur diese brauchen die strengste Behandlung.
2. Risiko bewerten: Solange das Data Privacy Framework gilt und Microsoft zertifiziert ist, schreibt die DSGVO kein Transfer Impact Assessment vor (Art. 45 DSGVO). Fällt das Abkommen, laufen die Transfers über Standardvertragsklauseln – und dann wird es Pflicht. Bereiten Sie diesen Plan B jetzt vor, statt im Ernstfall ohne Übergangsfrist dazustehen. Verträge, Transferbewertung und Verarbeitungsverzeichnis bündeln Sie revisionssicher in der Datenschutz-Plattform Hugo DSB.
3. Härten statt fliehen: Eigene Verschlüsselung (BYOK/Double Key Encryption), Zugriffsbeschränkung, EU-Datengrenze aktivieren, AVV prüfen. Wo Ihre Cloud heute angreifbar ist, zeigt ein strukturierter IT-Sicherheitsaudit.
4. Gezielt migrieren: Nur die kritischsten Dienste auf souveräne Alternativen umziehen – nicht das ganze Haus auf einmal.

Aus der Praxis: Wann sich der Exit wirklich lohnt

Die Entscheidung sollte auf Zahlen beruhen, nicht auf Schlagzeilen. Diese Kriterien sehen wir bei Mandanten als ausschlaggebend:

• Datenart. Verarbeiten Sie besondere Kategorien nach Art. 9 DSGVO (Gesundheit, Biometrie)? Dann steigt der Druck deutlich.
• Kundenanforderung. Verlangt ein wichtiger Auftraggeber nachweisbar souveräne Verarbeitung? Dann ist der Exit ein Geschäftsargument.
• Regulierung. Fallen Sie unter NIS2 oder branchenspezifische Vorgaben mit Souveränitätsanforderungen?
• IT-Ressourcen. Haben Sie das Team, eine Migration zu stemmen und den Betrieb dauerhaft zu sichern?

Wenn Sie bei keinem Punkt klar „ja” sagen, ist die konsequente Härtung für die allermeisten Mittelständler der wirtschaftlich und rechtlich sinnvollere Weg. Genau diese Risikoabwägung – Datenklassifizierung, Plan B für den Drittlandtransfer, AVV-Prüfung – machen wir mit Ihnen im Erstgespräch konkret an Ihrem Fall.

Fazit: Ruhe statt Panik – aber handeln

Sie müssen 2026 nicht aus der Microsoft-Cloud fliehen. Aber Sie dürfen die Lage auch nicht aussitzen. Das CLOUD-Act-Risiko ist real, das DPF wackelt, und „Daten liegen in der EU” reicht als Begründung nicht mehr aus. Wer jetzt seine Daten klassifiziert, einen Plan B für den Wegfall des DPF vorbereitet und die kritischen Dienste absichert, ist auf jedes künftige Urteil vorbereitet – ohne überstürzten Vollexit.

Häufige Fragen (FAQ)

Ist Microsoft 365 in der EU-Datengrenze DSGVO-konform? Die EU-Datengrenze hält Daten technisch in Europa, schließt den US-Zugriff aber nicht aus. Microsoft hat am 10. Juni 2025 vor dem französischen Senat unter Eid bestätigt, dass es keine Garantie gegen einen Zugriff von US-Behörden geben kann. Rechtlich trägt den Datentransfer heute das EU-US Data Privacy Framework, an dem Microsoft teilnimmt. Weil dieses Abkommen wackelt, lohnen sich zusätzliche Maßnahmen wie eigene Verschlüsselung und ein sauber geprüfter Auftragsverarbeitungsvertrag.

Muss mein Unternehmen wegen des CLOUD Act aus der Microsoft-Cloud raus? Nein, nicht zwingend. Für die meisten KMU reicht eine konsequente Härtung: Datenklassifizierung, Verschlüsselung mit eigenen Schlüsseln, ein sauberer Auftragsverarbeitungsvertrag und ein vorbereiteter Plan B für den Fall, dass das Data Privacy Framework fällt. Ein Vollexit lohnt vor allem bei besonders schützenswerten Daten oder regulatorischem Druck.

Welche Behörden steigen aus der Microsoft-Cloud aus? Schleswig-Holstein gilt als Vorreiter: Das Land hat 2025 das Mailsystem der Landesverwaltung vollständig auf Open Source umgestellt und bis Dezember 2025 rund 80 Prozent der Arbeitsplätze auf LibreOffice migriert. Weitere Verwaltungen prüfen ähnliche Schritte.

Gilt das EU-US Data Privacy Framework 2026 noch? Ja, Stand Oktober 2026 gilt es. Das Gericht der EU (EuG) hat am 3. September 2025 die Klage gegen das Data Privacy Framework abgewiesen; das Rechtsmittel zum EuGH ist noch anhängig. Zusätzlich hat der US Supreme Court am 29. Juni 2026 im Fall Trump v. Slaughter entschieden, dass der Präsident Mitglieder der FTC entlassen darf – genau die Behörde, auf deren Unabhängigkeit das Abkommen aufbaut. noyb fordert seitdem den Widerruf. Die Rechtslage kann sich also wie bei Safe Harbor und Privacy Shield kurzfristig ändern.

Was kostet ein Microsoft-Cloud-Exit für ein KMU mit 30 Mitarbeitern? Ein Vollexit verursacht Lizenz-, Migrations- und Schulungskosten und bindet IT-Ressourcen über Monate. Für die meisten Mittelständler ist ein gestuftes Vorgehen wirtschaftlicher: zuerst kritische Daten absichern, dann einzelne Dienste migrieren. Die Entscheidung sollte auf einer dokumentierten Risikoanalyse beruhen, nicht auf Schlagzeilen.

Reicht es, die EU-Datengrenze (EU Data Boundary) zu aktivieren? Nein. Die EU Data Boundary speichert und verarbeitet Daten innerhalb der EU/EFTA, hebt die Herausgabepflicht nach dem US CLOUD Act aber nicht auf. Microsoft selbst hat bestätigt, dass ein Zugriff von US-Behörden nicht ausgeschlossen werden kann. Sie ist ein Baustein, ersetzt aber weder eigene Verschlüsselung noch einen Plan B für den Fall, dass das Data Privacy Framework fällt.