Vertrauenswürdige Cloud, Akt II: von Microsoft 365 bis SecNumCloud — die Rechtsprechung, die die Karten neu mischt

Digitale Souveränität entscheidet sich selten in großen Reden; sie entscheidet sich in Rechtsstreitigkeiten. Zwei Verfahren haben das in diesem Frühjahr in Erinnerung gerufen. In Österreich urteilte die Datenschutzbehörde, dass die Nutzung von Microsoft 365 Education gegen die DSGVO verstößt — insbesondere, weil die Verantwortlichen die Datenflüsse und die Kette der Unterauftragsverarbeiter nicht wirklich beherrschen können. In Frankreich rückte Anfang Juni die Entscheidung der Polytechnique für Microsoft wieder in den Vordergrund; die Fachpresse sah darin einen Präzedenzfall, der die Karten für den gesamten öffentlichen Sektor neu mischen könnte. Zur gleichen Zeit — und das ist das ganze Paradox — wurde der Rahmenvertrag zwischen dem französischen Bildungsministerium und dem amerikanischen Anbieter verlängert.

Was diese Entscheidungen wirklich besagen

Der gemeinsame Nenner dieser Verfahren ist nicht der Antiamerikanismus, den man ihnen bisweilen unterstellt. Es ist eine Frage der effektiven Kontrolle: Wer kann auf die Daten zugreifen, unter welchem Recht, mit welchen durchsetzbaren Garantien? Seit der Schrems-artigen Invalidierung des Privacy Framework beruht jede Transferkonstruktion auf Folgenabschätzungen, die die Behörden inzwischen Zeile für Zeile prüfen. Das amerikanische Recht — FISA 702, CLOUD Act — bleibt auf amerikanische Anbieter anwendbar, egal wo die Daten gehostet sind. Keine Vertragsklausel neutralisiert ein ausländisches Eingriffsrecht: Es ist diese rein juristische Feststellung, die die Regulierer nun bis zum Ende durchdeklinieren.

SecNumCloud: von der Doktrin zum Einkaufskriterium

Auf französischer Seite setzt sich die SecNumCloud-Qualifizierung der ANSSI zunehmend als Trennlinie durch: Über die technischen Anforderungen hinaus verlangt sie ein Kriterium der Immunität gegenüber extraterritorialen Gesetzgebungen — über Bedingungen an Eigentümerstruktur und Governance. Die Doktrin „Cloud au centre“ behält sensible Staatsdaten grundsätzlich qualifizierten Angeboten vor. Was sich 2026 ändert, ist die Ausbreitung über den Staat hinaus: regulierte Betreiber, Gesundheitswesen, Bildung, Gebietskörperschaften — und mittelbar deren Lieferanten. Für einen Softwareanbieter wird die Frage, ob er bei einem qualifizierten Hoster oder on-premise ausrollbar ist, zu einem Verkaufsargument erster Ordnung — nicht zu einem Compliance-Häkchen.

Was IT-Leiter ohne Aufschub tun können

Erstens: nach Kritikalität statt nach Bequemlichkeit kartieren — welche Daten, welche Verarbeitungen erfordern wirklich extraterritoriale Immunität? Die ehrliche Antwort lautet selten „alles“, aber nie „nichts“. Zweitens: Reversibilität schon im Vertrag einfordern — offene Formate, dokumentierter Export, gedeckelte Ausstiegskosten. Drittens: mit selbst kontrollierten Schlüsseln verschlüsseln, wenn der Workload bei einem Hyperscaler bleibt — im Bewusstsein, dass Verschlüsselung die Daten während der Verarbeitung nicht schützt. Viertens: „souveräne Taschen“ aufbauen — statt einer illusorischen Totalmigration die kritischen Anwendungsfälle auf qualifizierten Angeboten oder on-premise isolieren und für den Rest zum Hybridmodell stehen.

Der zweite Akt der vertrauenswürdigen Cloud wird kein großer Umsturz sein. Es wird eine Anhäufung von Entscheidungen, Ausschreibungen und Vertragsverlängerungen sein, in denen die Frage der effektiven Kontrolle Dossier für Dossier etwas schwerer wiegt. Organisationen, die ihre souveränen Taschen vorbereitet haben, werden gelassen entscheiden. Die anderen werden den Zeitplan der Regulierer erleiden.