Europa redet von Unabhängigkeit? 15.000 Kommunen analysiert: Die unsichtbare Macht von Microsoft in unseren Verwaltungen

Brisante Studie zeigt: Österreichs Kommunen hängen am Microsoft-Tropf

Das Märchen von der Unabhängigkeit: Warum die digitale Souveränität schon im Postfach scheitert

E-Mail-Kommunikation wirkt im Jahr 2026 beinahe wie eine langweilige Basistechnologie. Doch genau dort, im unscheinbaren Postfach unserer Kommunalverwaltungen, entscheidet sich eine der brisantesten strategischen Fragen unserer Zeit: die digitale Souveränität Europas. Während auf politischer Bühne wortreich die technologische Unabhängigkeit beschworen wird, offenbart eine großangelegte Untersuchung des MXmap-Projekts von über 15.000 kommunalen E-Mail-Infrastrukturen in der DACH-Region eine drastische Realität. Die Ergebnisse zeigen eine eklatante Abhängigkeit von US-Konzernen – allen voran Microsoft.

Doch das Bild ist keineswegs einheitlich: Während Deutschland mit einem erstaunlich geringen US-Anteil von nur 7,2 Prozent überrascht, hängen Österreich (67 Prozent) und die Schweiz (53,3 Prozent) massiv am Tropf des Tech-Giganten. Was auf den ersten Blick wie eine rein technische Beschaffungsfrage klingt, birgt in Wahrheit enorme wirtschaftliche, datenschutzrechtliche und geopolitische Risiken. Denn wer die digitale Infrastruktur kontrolliert, lenkt auch die sensiblen Metadaten von Verwaltungen, Bürgern und Unternehmen. Lesen Sie, warum ein amerikanischer Provider nicht automatisch unsicher ist, wieso echte Souveränität auf Wahlfreiheit statt auf Autarkie basieren muss – und weshalb der wahre Preis einer digitalen Monokultur nicht auf der Lizenzrechnung steht.

Digitale Souveränität beginnt im kommunalen Postfach: Eine unscheinbare Infrastrukturfrage mit politischer Sprengkraft

E-Mail wirkt im Jahr 2026 beinahe wie eine langweilige Basistechnologie. Gerade deshalb wird ihre strategische Bedeutung leicht unterschätzt. In Kommunalverwaltungen ist sie nicht nur ein Kommunikationskanal unter vielen, sondern ein verbindendes Element zwischen Fachämtern, Bürgern, Unternehmen, politischen Gremien, Landesbehörden und externen Dienstleistern. Über kommunale Postfächer laufen Terminabsprachen, Personalangelegenheiten, Vergabeunterlagen, soziale Anliegen, Bau- und Gewerbeinformationen, interne Lagebilder sowie Hinweise auf Verwaltungsverfahren. Selbst wenn besonders schützenswerte Daten nicht unverschlüsselt per E-Mail versendet werden sollten, entstehen schon durch Absender, Empfänger, Zeitpunkte, Betreffzeilen, Anhänge und Kommunikationshäufigkeiten aussagekräftige Metadaten.

Vor diesem Hintergrund besitzen die veröffentlichten Ergebnisse des MXmap-Projekts erhebliche wirtschaftliche und staatspolitische Relevanz. Untersucht wurden nach Angaben des Projekts 15.331 kommunale E-Mail-Infrastrukturen in Deutschland, Österreich und der Schweiz. Der ausgewiesene Anteil US-amerikanischer Provider liegt in Deutschland bei lediglich 7,2 Prozent, in der Schweiz bei 53,3 Prozent und in Österreich bei 67 Prozent. Hinter der Kategorie US-Provider steht demnach fast ausschließlich Microsoft. Der eigentliche Befund ist deshalb nicht nur eine Abhängigkeit von einem außereuropäischen Rechtsraum. Er zeigt zugleich eine außergewöhnlich starke Konzentration auf einen einzigen Konzern.

Die Unterschiede sind so groß, dass sie kaum als zufällige Schwankungen abgetan werden können. Österreichs Quote liegt mehr als neunmal so hoch wie die deutsche, die schweizerische gut siebenmal so hoch. Umgekehrt bedeutet das: Rund 92,8 Prozent der untersuchten deutschen kommunalen Infrastrukturen werden nicht als US-Anbieter klassifiziert, während dieser Anteil in der Schweiz nur 46,7 Prozent und in Österreich 33 Prozent beträgt. Diese Verteilung macht Deutschland nicht automatisch digital souverän und Österreich nicht automatisch unsicher. Sie belegt aber, dass drei wirtschaftlich eng verflochtene Länder mit ähnlichen Verwaltungsaufgaben zu grundlegend verschiedenen Beschaffungs- und Infrastrukturentscheidungen gelangt sind.

Damit liefert die Untersuchung etwas, das der Debatte über digitale Souveränität häufig fehlt: eine empirisch sichtbare Struktur. Der Begriff wird politisch gern verwendet, bleibt aber oft abstrakt. Eine Karte kommunaler E-Mail-Provider übersetzt ihn in konkrete Abhängigkeiten, regionale Muster und institutionelle Entscheidungen. Sie zeigt nicht, wer die besseren Sonntagsreden hält, sondern welche Anbieter tatsächlich in den alltäglichen Kommunikationswegen der Verwaltung verankert sind.

Was die Zahlen tatsächlich messen

Eine belastbare Analyse muss zunächst zwischen E-Mail-Domain, E-Mail-Routing, Providerzuordnung, Datenverarbeitung und physischem Speicherort unterscheiden. Das Projekt sammelt kommunale Domains aus amtlichen Verzeichnissen und weiteren öffentlich zugänglichen Quellen, ermittelt E-Mail-Adressen, prüft DNS- und MX-Einträge und ergänzt diese Signale unter anderem durch SPF-Daten, Autodiscover-Informationen, SMTP-Merkmale und Zuordnungen zu autonomen Netzwerken. Anschließend wird aus mehreren technischen Indizien abgeleitet, welcher Anbieter den E-Mail-Dienst wahrscheinlich betreibt. Zusätzlich sieht die Methodik Prüfungen von Sicherheitsmerkmalen wie SPF, DMARC, DNSSEC und DANE vor.

Das ist deutlich aussagekräftiger als eine bloße Betrachtung eines einzelnen MX-Eintrags. Sicherheits-Gateways können den dahinterliegenden Maildienst verdecken, Weiterleitungen können falsche Eindrücke erzeugen und historische Einträge können noch vorhanden sein, obwohl ein Dienst praktisch nicht mehr genutzt wird. Die Kombination mehrerer Indikatoren und eine Validierung anhand von Rückläufermeldungen verbessern deshalb die Zuverlässigkeit der Zuordnung. Die offene Veröffentlichung von Pipeline, Daten und Karten erhöht zudem die Nachprüfbarkeit und ermöglicht Korrekturen.

Trotzdem dürfen die Ergebnisse nicht überinterpretiert werden. Öffentliche DNS-Signale zeigen vor allem, wohin E-Mails zugestellt werden dürfen und welche Systeme als legitime Versender auftreten. Sie beweisen nicht in jedem Einzelfall, an welchem Ort sämtliche Nachrichten, Sicherungskopien, Protokolle und Metadaten gespeichert werden. Ebenso wenig lässt sich allein daraus erkennen, welche Vertragsvariante eine Kommune nutzt, ob eine besondere Mandantenverschlüsselung eingerichtet wurde, wer die Schlüssel kontrolliert oder welche Unterauftragnehmer eingebunden sind. Auch der Begriff Server kann missverständlich sein, weil eine einzelne Kommune mehrere technische Endpunkte nutzen kann und umgekehrt viele Kommunen über eine gemeinsame Plattform bedient werden können.

Die richtige Interpretation lautet daher nicht, dass bei 67 Prozent der österreichischen Kommunen sämtliche sensiblen Daten nachweislich auf physischen Servern in den Vereinigten Staaten liegen. Belastbar ist vielmehr, dass bei einem sehr hohen Anteil der untersuchten österreichischen Kommunen die öffentlich erkennbare Mailinfrastruktur einem US-amerikanischen Anbieter, überwiegend Microsoft, zugeordnet wird. Schon diese provider- und jurisdiktionsbezogene Abhängigkeit ist wirtschaftlich relevant, selbst wenn die Daten in einem europäischen Rechenzentrum gespeichert werden.

Auch die Grundgesamtheit verdient Aufmerksamkeit. Kommunale Strukturen ändern sich durch Fusionen, Verwaltungsverbände und gemeinsam genutzte Domains. Eine technische Untersuchung kann mehrere Domains einer Gebietskörperschaft erfassen oder umgekehrt mehrere Gebietskörperschaften einer gemeinsamen Infrastruktur zuordnen. Prozentangaben sollten deshalb immer gemeinsam mit Stichtag, Definition der untersuchten Einheit, Klassifikationsregeln, Konfidenzwerten und dem Anteil nicht eindeutig zuordenbarer Fälle veröffentlicht werden. Die große Stichprobe macht das Gesamtmuster überzeugend, ersetzt aber keine Transparenz über diese methodischen Details.

Souveränität ist Wahlfähigkeit und keine digitale Autarkie

Digitale Souveränität wird häufig fälschlicherweise mit vollständiger technologischer Selbstversorgung gleichgesetzt. Eine solche Autarkie wäre für einzelne Kommunen weder realistisch noch ökonomisch sinnvoll. Kein Rathaus muss eigene Prozessoren entwickeln, ein eigenes Betriebssystem programmieren und ein Rechenzentrum allein betreiben. Souveränität bedeutet vielmehr, kritische Entscheidungen unter vertretbaren Kosten selbst treffen und im Bedarfsfall korrigieren zu können. Dazu gehören die Kontrolle über Daten, Identitäten, Schlüssel, Schnittstellen, Vertragsbedingungen, Betriebsprozesse und Ausstiegsmöglichkeiten.

Entscheidend ist somit nicht die Herkunft eines Produkts allein, sondern die Kombination aus Rechtsraum, technischer Kontrolle, wirtschaftlicher Ersetzbarkeit und betrieblicher Handlungsfähigkeit. Ein europäischer Anbieter mit proprietären Formaten, schwachen Sicherheitsprozessen und fehlender Portabilität kann eine Kommune ebenfalls abhängig machen. Umgekehrt kann ein US-Anbieter technisch hervorragende Dienste, hohe Verfügbarkeit, starke Abwehrmechanismen und vertraglich begrenzte Datenflüsse bereitstellen. Die Herkunft bleibt dennoch relevant, weil Eigentumsstruktur und Konzernsitz bestimmen, welchen extraterritorialen Gesetzen und staatlichen Anordnungen ein Anbieter ausgesetzt sein kann.

Souveränität lässt sich daher als strategische Option verstehen. Eine Kommune ist umso souveräner, je glaubwürdiger sie zwischen Anbietern wechseln, einzelne Dienste ersetzen, Daten vollständig exportieren, Schlüssel selbst kontrollieren und bei geopolitischen oder rechtlichen Veränderungen weiterarbeiten kann. Eine theoretische Wahlmöglichkeit genügt nicht. Wenn ein Wechsel zwar vertraglich erlaubt, technisch aber jahrelang dauert, personell nicht bewältigt werden kann oder durch proprietäre Integrationen unbezahlbar wird, besteht faktisch keine Wahlfreiheit.

Aus ökonomischer Sicht ähnelt digitale Souveränität einer Versicherung gegen seltene, aber potenziell gravierende Ereignisse. Im normalen Betrieb erscheint Redundanz teurer als eine einheitliche Plattform. In einer Krise zeigt sich jedoch der Wert alternativer Betriebswege, portabler Daten und unabhängiger Kompetenzen. Die Schwierigkeit liegt darin, dass der Nutzen dieser Vorsorge nicht jedes Jahr sichtbar wird, während Lizenz- und Migrationskosten sofort im Haushalt stehen. Beschaffungssysteme, die ausschließlich kurzfristige Preise vergleichen, unterschätzen deshalb strukturelle Risiken.

Warum Microsoft wirtschaftlich so attraktiv ist

Die hohe Verbreitung von Microsoft ist nicht allein das Ergebnis politischer Nachlässigkeit. Sie folgt einer starken ökonomischen Logik. Microsoft 365 verbindet E-Mail, Kalender, Verzeichnisdienste, Office-Anwendungen, Videokonferenzen, Dokumentenablage, Kollaboration, Geräteverwaltung, Sicherheitsfunktionen und zunehmend künstliche Intelligenz in einem integrierten System. Für eine Kommune mit knappen IT-Ressourcen kann ein solches Bündel attraktiver sein als die Koordination zahlreicher Einzellösungen verschiedener Anbieter.

Hinzu kommen Skaleneffekte. Ein globaler Hyperscaler verteilt Investitionen in Rechenzentren, Netzwerke, Spamfilter, Bedrohungsanalyse, Hochverfügbarkeit und Softwareentwicklung auf Millionen Kunden. Kleinere Anbieter können in einzelnen Bereichen sehr leistungsfähig sein, erreichen aber selten dieselbe globale Forschungs- und Investitionskapazität. Auch der Arbeitsmarkt begünstigt etablierte Systeme: Für Microsoft-Produkte existieren viele Administratoren, Beratungsunternehmen, Schulungsangebote und standardisierte Zertifizierungen. Kommunen können Personal und Dienstleister leichter finden, wenn sie verbreitete Technologien einsetzen.

Ein weiterer Faktor ist die Bündelung. Wird eine Office-Suite ohnehin genutzt, erscheint die zusätzliche Nutzung von Exchange Online oft preislich günstig. Die betriebswirtschaftliche Kalkulation kann jedoch verzerrt sein, wenn rabattierte Pakete den Wettbewerb zwischen einzelnen Diensten verdrängen. Ein scheinbar preiswertes Gesamtpaket kann langfristig höhere Wechselkosten erzeugen, weil E-Mail, Identitätsmanagement, Dokumente, Gruppenrichtlinien, Videokonferenzen und Fachanwendungen immer enger miteinander verknüpft werden. Je mehr Komponenten auf einem gemeinsamen Verzeichnis und proprietären Schnittstellen beruhen, desto teurer wird die spätere Trennung.

Netzwerkeffekte verstärken diese Dynamik. Wenn Nachbarkommunen, Landesbehörden, Beratungsunternehmen und externe Partner dieselben Werkzeuge einsetzen, sinken Koordinationskosten. Dateien lassen sich ohne Formatprobleme austauschen, Besprechungen können über bekannte Plattformen organisiert werden und vorhandene Vorlagen bleiben nutzbar. Jede weitere Organisation, die dem Ökosystem beitritt, erhöht dessen Nutzen für bestehende Teilnehmer. Gleichzeitig wird der Markt für Alternativen kleiner, wodurch diese weniger investieren können und wiederum weniger attraktiv erscheinen.

Die Entscheidung für Microsoft kann auf Ebene einer einzelnen Kommune daher rational sein, während das Gesamtergebnis volkswirtschaftlich problematisch wird. Dieser Unterschied zwischen einzelwirtschaftlichem Nutzen und kollektivem Risiko ist zentral. Keine Gemeinde trägt allein die Verantwortung für Europas technologische Wettbewerbsfähigkeit. Entscheiden jedoch Tausende öffentliche Stellen nach derselben kurzfristigen Logik, entsteht eine Konzentration, deren geopolitische und wettbewerbliche Kosten von der Allgemeinheit getragen werden.

Österreichs Widerspruch zwischen Anspruch und Beschaffung

Österreich hat die europäische Erklärung zur digitalen Souveränität maßgeblich angestoßen. Die Initiative zielte darauf ab, Europas Fähigkeit zu stärken, digitale Infrastruktur, Daten und Technologien eigenständig zu regulieren und über ihre Nutzung ohne übermäßige Abhängigkeit von externen Akteuren zu entscheiden. Wenn gleichzeitig 67 Prozent der untersuchten kommunalen E-Mail-Infrastrukturen US-Anbietern zugeordnet werden, entsteht ein sichtbarer Widerspruch zwischen politischem Anspruch und operativer Realität.

Dieser Widerspruch ist nicht bloß rhetorisch. Er verweist auf ein typisches Umsetzungsproblem der Digitalpolitik. Strategien werden auf Bundes- und europäischer Ebene beschlossen, während konkrete IT-Entscheidungen dezentral in Gemeinden, Gemeindeverbänden, Ländern und öffentlichen Unternehmen fallen. Zuständigkeiten, Haushalte, bestehende Verträge und personelle Fähigkeiten sind über viele Ebenen verteilt. Eine Erklärung kann Ziele formulieren, verändert aber nicht automatisch laufende Lizenzverträge, technische Schnittstellen und eingespielte Verwaltungsabläufe.

Die hohe österreichische Quote könnte mehrere strukturelle Ursachen haben. Denkbar sind landesweite Beschaffungsrahmen, starke regionale IT-Dienstleister mit Microsoft-Schwerpunkt, eine hohe Verbreitung der Microsoft-Arbeitsplatzumgebung, standardisierte Beratungsangebote und der Wunsch kleiner Gemeinden, Betrieb und Sicherheit weitgehend auszulagern. Auch erfolgreiche Empfehlungen verbreiten sich innerhalb regionaler Netzwerke. Hat sich eine Plattform in einem Bundesland etabliert, wird sie zur vermeintlich risikoarmen Standardwahl. Die Karte mit ihren regionalen Clustern passt zu dieser Erklärung, beweist aber nicht, welcher Faktor im Einzelfall ausschlaggebend war.

Gerade kleine Gemeinden stehen vor einem echten Dilemma. Ein eigener Mailserver ist kein Symbol von Souveränität, wenn Updates verspätet eingespielt werden, Fachpersonal fehlt, keine Rund-um-die-Uhr-Überwachung vorhanden ist und Wiederanlaufpläne nur auf dem Papier bestehen. Der Wechsel zu einem professionell betriebenen Cloud-Dienst kann die operative Sicherheit deutlich erhöhen. Eine seriöse Kritik darf deshalb nicht verlangen, dass jede Gemeinde ihre Systeme wieder im Rathauskeller betreibt.

Problematisch ist vielmehr die fehlende Vielfalt. Würden österreichische Kommunen verschiedene leistungsfähige europäische, nationale und internationale Lösungen nutzen, wäre die Abhängigkeit besser verteilt. Bei einer Konzentration auf Microsoft entstehen dagegen gemeinsame Fehlerquellen, einheitliche Angriffspfade, gebündelte Preissetzungsmacht und ein großer Hebel für politische oder rechtliche Veränderungen. Souveränitätspolitik muss deshalb Alternativen wettbewerbsfähig machen, statt Kommunen für nachvollziehbare Entscheidungen zu kritisieren.

Deutschlands niedrige Quote ist Stärke und Warnsignal zugleich

Deutschland fällt mit 7,2 Prozent US-Anteil deutlich aus dem DACH-Muster heraus. Eine plausible Erklärung liegt in der historisch dezentralen Struktur der kommunalen IT. Kommunale Rechenzentren, Zweckverbände, regionale Provider, öffentlich getragene IT-Dienstleister und mittelständische Hostingunternehmen haben vielerorts eigene Infrastrukturen aufgebaut. Der deutsche Föderalismus, häufig als Digitalisierungshemmnis kritisiert, kann in diesem Fall als Diversifizierungsmechanismus wirken. Unterschiedliche Länder und Regionen treffen unterschiedliche Entscheidungen, wodurch kein einzelner Anbieter automatisch den gesamten Markt erfasst.

Diese Dezentralität kann wirtschaftliche Resilienz schaffen. Regionale Anbieter halten Wertschöpfung, Fachkräfte, Steuerzahlungen und technisches Wissen im Land. Sie kennen kommunale Fachverfahren, landesspezifische Rechtslagen und Verwaltungsprozesse. Kurze Wege zu Rechenzentren und Ansprechpartnern können bei Störungen vorteilhaft sein. Außerdem begrenzt eine vielfältige Anbieterlandschaft die Marktmacht einzelner Konzerne.

Doch die niedrige US-Quote ist kein Beweis für hohe Qualität. Ein lokal betriebener Dienst kann auf veralteter Software beruhen, unzureichend abgesichert sein oder indirekt zahlreiche außereuropäische Komponenten nutzen. Auch europäische Provider setzen teilweise auf Microsoft-Lizenzen, US-amerikanische Sicherheitsprodukte, globale Content-Delivery-Netzwerke oder Cloud-Unterinfrastruktur. Die sichtbare Mailzustellung bildet nur eine Schicht des technischen Stapels ab.

Zudem hat Dezentralität Kosten. Viele kleine Plattformen können Investitionen doppelt durchführen, unterschiedliche Standards verwenden und Sicherheitsmaßnahmen uneinheitlich umsetzen. Fehlen gemeinsame Mindestanforderungen, entstehen schwache Glieder in der Kette. Der Angriff auf einen kommunalen IT-Dienstleister kann gleichzeitig Dutzende Verwaltungen treffen. Konzentration existiert also auch bei regionalen Dienstleistern, nur in kleinerem geografischem Maßstab.

Deutschlands Position ist deshalb am stärksten, wenn die vorhandene Vielfalt mit verbindlichen Sicherheitsstandards, gemeinsamer Beschaffung, interoperablen Schnittstellen und professionellen Betriebsmodellen verbunden wird. Die Lehre lautet nicht, jede lokale Lösung zu bewahren. Sie lautet, leistungsfähige föderale Strukturen so zu bündeln, dass sie Skaleneffekte erzielen, ohne einen neuen zentralen Monopolpunkt zu schaffen.

Branchenschwerpunkte: B2B, Digitalisierung (von KI bis XR), Maschinenbau, Logistik, Erneuerbare Energien und Industrie

Mehr dazu hier:

• Xpert Wirtschaft Hub

Ein Themenhub mit Einblicken und Fachwissen:

• Wissensplattform rund um die globale wie regionale Wirtschaft, Innovation und branchenspezifische Trends
• Sammlung von Analysen, Impulsen und Hintergründen aus unseren Schwerpunktbereichen
• Ein Ort für Expertise und Informationen zu aktuellen Entwicklungen in Wirtschaft und Technologie
• Themenhub für Unternehmen, die sich zu Märkten, Digitalisierung und Brancheninnovationen informieren möchten

Die Schweiz zwischen Datenschutztradition und Plattformökonomie

Mit 53,3 Prozent liegt die Schweiz zwischen Deutschland und Österreich, aber deutlich näher am österreichischen Modell. Das ist bemerkenswert, weil die Schweiz über eine ausgeprägte Datenschutzkultur, leistungsfähige Rechenzentren, eine starke Telekommunikationswirtschaft und zahlreiche lokale IT-Anbieter verfügt. Die Zahlen zeigen, dass ein attraktiver heimischer Hostingmarkt allein nicht genügt, um die Durchsetzungskraft integrierter globaler Plattformen zu begrenzen.

Die Schweiz befindet sich zudem außerhalb der Europäischen Union und besitzt einen eigenen Rechtsrahmen. Dennoch ist sie wirtschaftlich eng mit dem europäischen Datenraum verbunden. Für Schweizer Kommunen zählen nicht nur nationale Datenschutzanforderungen, sondern auch Kompatibilität mit Unternehmen, Bürgern und Behörden im europäischen Umfeld. Microsoft bietet für diese grenzüberschreitende Zusammenarbeit ein etabliertes Ökosystem.

Der Schweizer Befund verdeutlicht, dass Datenlokalisierung und Anbieterkontrolle getrennt bewertet werden müssen. Ein Rechenzentrum auf Schweizer Boden kann kurze Latenzen und lokale Betriebsanforderungen erfüllen. Wenn die entscheidenden Software-, Identitäts- und Administrationsschichten von einem ausländischen Konzern kontrolliert werden, bleibt jedoch eine strategische Abhängigkeit bestehen. Umgekehrt ist ein Schweizer Anbieter nicht automatisch souverän, wenn er vollständig auf einer US-Cloud aufsetzt und keine tragfähige Ausstiegsarchitektur besitzt.

Für die Schweiz ist daher besonders wichtig, die gesamte Lieferkette zu betrachten. Dazu gehören Eigentum, Konzernsitz, Unterauftragnehmer, Schlüsselverwaltung, Quellcodezugang, Updatekontrolle, Supportprozesse, Datenexport und Notbetrieb. Die Kennzeichnung „Swiss hosted“ beschreibt nur einen Teil der tatsächlichen Kontrolle.

Wo Daten liegen und wer darüber verfügen kann

Die öffentliche Debatte verkürzt Souveränität oft auf den Standort des Rechenzentrums. Dieser ist wichtig, aber nicht ausreichend. Microsoft hat seine europäische Datengrenze ausgebaut, sodass Kundendaten, pseudonymisierte personenbezogene Daten und bestimmte Supportdaten zentraler Cloud-Dienste innerhalb der EU- und EFTA-Region gespeichert und verarbeitet werden können. Für öffentliche Auftraggeber reduziert das reale Datenschutz- und Compliance-Risiken.

Die juristische Kernfrage verschwindet dadurch jedoch nicht vollständig. Ein US-amerikanischer Konzern bleibt grundsätzlich US-amerikanischem Recht unterworfen. Der CLOUD Act ermöglicht es amerikanischen Behörden unter bestimmten Voraussetzungen, von erfassten Dienstleistern die Herausgabe von Daten zu verlangen, auch wenn diese außerhalb der Vereinigten Staaten gespeichert werden. Dabei bestehen rechtliche Prüf- und Anfechtungsmöglichkeiten; es handelt sich nicht um einen pauschalen, jederzeitigen Zugriff. Dennoch unterscheidet sich die Risikolage von einem Anbieter, der ausschließlich europäischem Recht und europäischer Kontrolle unterliegt.

Ebenso wichtig ist der aktuelle europäische Rechtsrahmen für transatlantische Datenübermittlungen. Das EU-US Data Privacy Framework ermöglicht Übermittlungen an zertifizierte US-Organisationen auf Grundlage eines Angemessenheitsbeschlusses. Es schafft damit eine rechtliche Basis, beseitigt aber nicht jede politische Unsicherheit. Frühere Abkommen wurden gerichtlich aufgehoben, und institutionelle Veränderungen in den Vereinigten Staaten können neue Prüfungen auslösen. Langfristige öffentliche IT-Strategien sollten deshalb nicht darauf beruhen, dass der heutige Rechtsrahmen über die gesamte Vertragslaufzeit unverändert bleibt.

Der Fall der Europäischen Kommission zeigt zugleich, dass Microsoft 365 nicht grundsätzlich rechtswidrig ist. Der Europäische Datenschutzbeauftragte beanstandete 2024 unter anderem unzureichend bestimmte Verarbeitungszwecke und Schutzmaßnahmen bei Drittlandtransfers. Nach vertraglichen, technischen und organisatorischen Anpassungen stellte die Aufsicht 2025 fest, dass die beanstandeten Verstöße behoben worden waren. Daraus folgt weder ein Freibrief noch ein generelles Verbot. Entscheidend sind konkrete Konfigurationen, Vertragsbedingungen, Datenflüsse und Kontrollmaßnahmen.

Für Kommunen bedeutet das: Der Name des Providers ersetzt keine Datenschutz-Folgenabschätzung. Ebenso wenig darf ein europäischer Firmensitz als automatische Konformitätsgarantie gelten. Notwendig ist eine dokumentierte Betrachtung des tatsächlichen Dienstes, der verarbeiteten Datenkategorien, der Administrationszugriffe, der Telemetrie, der Supportwege und der eingesetzten Verschlüsselung.

Das ökonomische Risiko der digitalen Monokultur

Eine hohe Anbieterquote ist nicht nur ein Datenschutzthema, sondern ein Wettbewerbs- und Resilienzproblem. Bei einer digitalen Monokultur steigt die Abhängigkeit von Preisentscheidungen, Produktänderungen, Lizenzmodellen und Entwicklungsprioritäten eines einzelnen Unternehmens. Kommunen können Kostensteigerungen nur begrenzt ausweichen, wenn wesentliche Prozesse, Dateien, Identitäten und Schnittstellen an dasselbe Ökosystem gebunden sind.

Diese Abhängigkeit wächst oft schleichend. Zunächst wird nur E-Mail migriert, anschließend folgen Kalender, Videokonferenzen, Dokumentenablage, Geräteverwaltung und Sicherheitswerkzeuge. Später werden Fachverfahren über die zentrale Identität angebunden und Arbeitsabläufe mit proprietären Automatisierungsdiensten erstellt. Jede zusätzliche Integration verbessert kurzfristig den Komfort, erhöht aber die kumulierten Wechselkosten. Am Ende besteht Lock-in nicht primär wegen einer Vertragsklausel, sondern weil tausende technische und organisatorische Abhängigkeiten entstanden sind.

Konzentration erzeugt außerdem systemische Risiken. Eine größere Störung, fehlerhafte Aktualisierung, Identitätskompromittierung oder administrative Fehlkonfiguration kann gleichzeitig viele Organisationen treffen. Große Plattformen investieren zwar erheblich in Ausfallsicherheit, doch ihre Größe macht sie zu besonders attraktiven Angriffszielen. Das Risiko eines einzelnen Kunden kann sinken, während der potenzielle gesamtgesellschaftliche Schaden eines seltenen Plattformausfalls steigt.

Auch die Verhandlungsmacht verschiebt sich. Eine kleine Kommune kann individuelle Vertragsbedingungen gegenüber einem globalen Konzern kaum durchsetzen. Gemeinsame Rahmenverträge verbessern ihre Position, können aber zugleich die flächendeckende Standardisierung auf einen Anbieter beschleunigen. Was kurzfristig bessere Preise bringt, kann langfristig den Markt für Alternativen verkleinern.

Volkswirtschaftlich verliert Europa bei dauerhafter Abhängigkeit einen Teil der Wertschöpfung. Lizenzzahlungen fließen an außereuropäische Konzerne, während strategische Produktentwicklung, geistiges Eigentum und hochskalierbare Plattformgewinne überwiegend außerhalb Europas entstehen. Lokale Partner verdienen weiterhin an Beratung und Integration, bleiben aber häufig in einer nachgelagerten Rolle. Die entscheidenden Standards und Produktfahrpläne werden anderswo festgelegt.

Sicherheit und Souveränität dürfen nicht verwechselt werden

Die stärkste Gegenposition zur Souveränitätskritik lautet, dass globale Cloud-Anbieter oft sicherer arbeiten als kleine kommunale IT-Abteilungen. Dieses Argument ist ernst zu nehmen. Microsoft und andere Hyperscaler verfügen über große Sicherheitsteams, weltweite Telemetrie, automatisierte Angriffserkennung, redundante Rechenzentren und schnelle Aktualisierungsprozesse. Eine schlecht gepflegte lokale Exchange-Installation kann ein erheblich höheres unmittelbares Risiko darstellen als ein professionell betriebener Cloud-Dienst.

Sicherheit und Souveränität sind jedoch verschiedene Achsen. Sicherheit beschreibt unter anderem Vertraulichkeit, Integrität, Verfügbarkeit und Widerstandsfähigkeit gegen Angriffe. Souveränität beschreibt Kontrolle, Rechtsraum, Austauschbarkeit und selbstbestimmte Handlungsfähigkeit. Eine Lösung kann sehr sicher, aber stark abhängig machen. Sie kann umgekehrt formal souverän, aber technisch unsicher sein. Gute öffentliche IT muss beide Ziele gleichzeitig erfüllen.

Die Bedrohungslage rechtfertigt hohe Anforderungen. Öffentliche Verwaltungen gehören zu den bevorzugten Zielen von Cyberangriffen, und Kommunen sind wegen knapper Ressourcen besonders verwundbar. E-Mail bleibt ein zentraler Angriffsweg für Phishing, Schadsoftware, Kontoübernahmen und Identitätsbetrug. Ein Providerwechsel allein löst diese Probleme nicht. Notwendig sind Mehrfaktor-Authentifizierung, sichere Administrationskonten, konsequente Patchprozesse, Wiederherstellungstests, Netzsegmentierung, Protokollauswertung, Mitarbeiterschulungen sowie korrekt konfigurierte Verfahren wie SPF, DKIM und DMARC.

Ebenso wichtig ist die Frage, wer einen Sicherheitsvorfall beherrschen kann. Verfügt die Kommune über eigene Protokolldaten? Kann sie kompromittierte Konten unabhängig sperren? Sind Sicherungen außerhalb der primären Plattform vorhanden? Gibt es einen getesteten Kommunikationskanal für den Fall, dass E-Mail und Identitätsdienst gleichzeitig ausfallen? Eine vollständig integrierte Suite kann die Verwaltung vereinfachen, aber auch mehrere Funktionen an dieselbe Vertrauenskette binden.

Die regionalen Muster sind wichtiger als der Durchschnitt

Die interaktive Karte offenbart einen Flickenteppich. Dieser Begriff wird im Verwaltungsdiskurs meist negativ verwendet, doch analytisch ist er wertvoll. Regionale Cluster zeigen, dass Beschaffungsentscheidungen nicht nur von technischen Eigenschaften bestimmt werden. Landespolitische Vorgaben, kommunale Rechenzentren, Rahmenverträge, historische Partnerschaften, Beratungsnetzwerke und regionale IT-Kompetenzen prägen den Markt.

Ein Bundesland oder Landkreis mit auffällig hoher Konzentration kann dadurch gezielt untersucht werden. Welche Verträge gelten dort? Welche Alternativen wurden geprüft? Welche Migrationskosten wurden angesetzt? Gibt es kommunale Dienstleister, die mehrere Gemeinden gemeinsam betreuen? Wurden offene Standards und Exit-Klauseln gefordert? Solche Fragen sind produktiver als eine pauschale nationale Schuldzuweisung.

Die regionale Ebene eröffnet auch wirtschaftspolitische Handlungsmöglichkeiten. Mehrere Kommunen können Nachfrage bündeln, ohne sich dauerhaft an einen einzelnen Hersteller zu binden. Sie können gemeinsame Sicherheitszentren, standardisierte Schnittstellen, geteilte Administrationsdienste und portable Plattformen finanzieren. Dadurch entstehen Skaleneffekte, die kleine europäische Anbieter allein nicht erreichen würden.

Gleichzeitig sollte Vielfalt nicht mit Beliebigkeit verwechselt werden. Wenn jede Kommune andere Formate, Sicherheitsstufen und Betriebsprozesse nutzt, steigen Integrationskosten und Fehlerwahrscheinlichkeit. Das Ziel muss koordinierte Vielfalt sein: mehrere austauschbare Anbieter auf Basis gemeinsamer Standards, gemeinsamer Mindestanforderungen und getesteter Wechselprozesse.

Der wahre Preis steht nicht auf der Lizenzrechnung

Öffentliche Beschaffung vergleicht häufig sichtbare Kosten: Lizenzen, Migration, Betrieb, Support und Schulung. Für eine souveräne Wirtschaftlichkeitsrechnung reicht das nicht. Ein vollständiges Modell muss auch Ausstiegs-, Konzentrations-, Rechts- und Ausfallrisiken bewerten. Dazu gehören Kosten für Datenexport, Formatumwandlung, Neuentwicklung von Schnittstellen, Umschulung, parallelen Betrieb, Wiederherstellung und die Ablösung gekoppelter Dienste.

Besonders problematisch ist eine asymmetrische Zeitrechnung. Der Nutzen einer Bündellösung erscheint sofort, während Lock-in-Kosten erst bei einer späteren Migration sichtbar werden. Entscheidungsträger, Haushaltsperioden und Verträge wechseln jedoch früher. Dadurch besteht ein Anreiz, heutige Einsparungen zu realisieren und künftige Wechselkosten auf Nachfolger zu verlagern. Eine ehrliche Total-Cost-of-Ownership-Berechnung muss deshalb den gesamten Lebenszyklus einschließlich eines realistischen Exit-Szenarios betrachten.

Auch Opportunitätskosten gehören in die Rechnung. Wenn Ausschreibungen faktisch ein bestimmtes Produkt voraussetzen, können innovative Anbieter nicht konkurrieren. Der öffentliche Sektor verliert mögliche Preis- und Qualitätsvorteile. Gleichzeitig fehlt europäischen Unternehmen ein verlässlicher Heimatmarkt, auf dem sie Referenzen und Skalierung aufbauen könnten. Souveräne Beschaffung ist deshalb nicht nur Risikovorsorge, sondern Industriepolitik über Nachfrage.

Das bedeutet nicht, dass europäische Anbieter einen pauschalen Preisaufschlag erhalten sollten. Dauerhafter Schutz ohne Leistungsdruck würde ineffiziente Strukturen konservieren. Sinnvoller sind funktionale Ausschreibungen, offene Formate, standardisierte Programmierschnittstellen, getrennte Lose und messbare Portabilität. Wettbewerb soll nicht durch Nationalität ersetzt, sondern durch echte Austauschbarkeit wiederhergestellt werden.

Vom politischen Bekenntnis zur messbaren Steuerung

Kommunen benötigen ein differenziertes Steuerungsmodell statt eines pauschalen Verbots. Zunächst sollten Daten und Kommunikationsvorgänge nach Schutzbedarf klassifiziert werden. Allgemeine Bürgerinformationen, interne Personalvorgänge, Sozialdaten, Sicherheitskommunikation und Krisenstäbe haben unterschiedliche Anforderungen. Nicht jeder Dienst benötigt dieselbe Souveränitätsstufe.

Danach ist die Abhängigkeit über den gesamten technischen Stapel zu erfassen. Neben dem Mailprovider zählen Identitätsdienst, Endgeräteverwaltung, Verschlüsselung, Schlüsselbesitz, Backup, Archivierung, Spamfilter, Domainverwaltung, Netzwerk, Support und Unterauftragnehmer. Eine Kommune, die nur den sichtbaren Provider betrachtet, übersieht möglicherweise kritischere Abhängigkeiten in anderen Schichten.

Jede größere Beschaffung sollte einen belastbaren Exit-Plan enthalten. Dieser muss Datenformate, Exportdauer, Schnittstellen, Löschbestätigungen, Kosten, Verantwortlichkeiten und einen maximal tolerierbaren Betriebsunterbruch definieren. Entscheidend ist ein praktischer Test. Ein ungetesteter Exit-Plan ist ähnlich wertlos wie eine Datensicherung, die nie wiederhergestellt wurde.

Messbare Kennzahlen könnten den Anteil exportierbarer Daten, die Zahl proprietärer Schnittstellen, die Dauer eines Identitätswechsels, den Anteil selbst kontrollierter Schlüssel, die Wiederanlaufzeit, die Abhängigkeit von einzelnen Unterauftragnehmern und den Anteil von Verträgen mit geprüften Ausstiegsklauseln abbilden. Dadurch würde digitale Souveränität vom Schlagwort zur steuerbaren Eigenschaft.

Auf Landes- oder Bundesebene sollten gemeinsame Referenzarchitekturen entstehen. Kommunen brauchen geprüfte Alternativen, Migrationswerkzeuge, Musterverträge, Sicherheitsprofile und verlässliche Betriebsmodelle. Ohne solche Unterstützung bleibt die Entscheidung zwischen einem komfortablen Hyperscaler-Angebot und einer organisatorisch anspruchsvollen Eigenlösung unfair. Souveränität kann nicht allein auf kleine Verwaltungen abgewälzt werden.

Ein realistischer Weg zu mehr europäischer Handlungsfreiheit

Der erste Schritt ist Transparenz. Projekte wie MXmap sollten regelmäßig aktualisiert, methodisch dokumentiert und um weitere Infrastrukturkomponenten ergänzt werden. Neben E-Mail wären Identitätsdienste, Kollaborationsplattformen, DNS, Webhosting, Videokonferenzen, Dokumentenspeicher und kommunale Fachverfahren relevant. Nur messbare Abhängigkeiten können politisch gesteuert werden.

Der zweite Schritt ist eine risikobasierte Diversifizierung. Besonders schützenswerte oder systemkritische Prozesse sollten bevorzugt auf Infrastrukturen laufen, bei denen europäische Stellen Rechtsraum, Schlüssel und Betrieb wirksam kontrollieren können. Für weniger kritische Dienste können globale Anbieter weiterhin wirtschaftlich sinnvoll sein. Entscheidend ist, dass nicht automatisch alle Funktionen in dasselbe Ökosystem wandern.

Der dritte Schritt ist die Stärkung gemeinsamer europäischer Nachfrage. Einzelne Kommunen sind zu klein, um Plattformmärkte zu beeinflussen. Bund, Länder, Kantone, Gemeinden und europäische Institutionen können jedoch gemeinsame Anforderungen an Interoperabilität, Sicherheit und Portabilität definieren. Langfristige Rahmenverträge sollten mehrere Anbieter zulassen und Wechsel nicht nur rechtlich, sondern technisch ermöglichen.

Der vierte Schritt ist die Investition in Kompetenzen. Wer sämtliche Architekturkenntnisse auslagert, verliert auch bei einem europäischen Provider die Kontrolle. Verwaltungen benötigen genügend eigenes Personal, um Risiken zu bewerten, Verträge zu steuern, Konfigurationen zu prüfen und im Notfall Entscheidungen zu treffen. Souveränität entsteht nicht durch ein Herkunftssiegel, sondern durch institutionelle Fähigkeit.

Der fünfte Schritt ist eine europäische Anbieterpolitik, die Leistung belohnt. Europa braucht keine Kopie jedes US-Dienstes, wohl aber wettbewerbsfähige Angebote für sichere E-Mail, Identität, Kollaboration, Cloud-Infrastruktur und Verwaltungslösungen. Öffentliche Beschaffung kann hierfür einen verlässlichen Markt schaffen, wenn sie offene Standards verlangt und kleineren Anbietern den Zugang ermöglicht. Gleichzeitig müssen europäische Anbieter bei Bedienbarkeit, Skalierbarkeit, Integration und Sicherheit mit globalen Plattformen konkurrieren können.

Die entscheidende Lehre aus 15.331 untersuchten Infrastrukturen

Die MXmap-Ergebnisse widerlegen zwei bequeme Erzählungen. Erstens ist die Dominanz US-amerikanischer Anbieter kein unveränderliches Naturgesetz. Deutschland zeigt, dass eine große kommunale Landschaft mit einem deutlich geringeren US-Anteil möglich ist. Zweitens garantiert politische Rhetorik keine operative Souveränität. Österreichs hohe Quote belegt, wie weit Anspruch und Beschaffungsrealität auseinanderliegen können.

Die Zahlen rechtfertigen weder Alarmismus noch Selbstzufriedenheit. Ein Microsoft-Dienst ist nicht automatisch unsicher oder rechtswidrig, ein deutscher oder europäischer Provider nicht automatisch souverän und sicher. Dennoch ist eine Konzentration von 67 Prozent auf US-Anbieter, überwiegend auf einen einzigen Konzern, ein strategisches Warnsignal. Sie verringert Wahlmöglichkeiten, bündelt Risiken und schwächt die europäische Verhandlungsmacht.

Die wirtschaftlich vernünftige Antwort ist kein übereilter Komplettausstieg. Er könnte Kosten erhöhen, Sicherheitslücken erzeugen und Verwaltungen überfordern. Notwendig ist eine schrittweise Strategie aus Transparenz, Schutzbedarfsklassen, offenen Standards, getesteter Portabilität, diversifizierten Anbietern und eigener technischer Kompetenz. Bestehende Microsoft-Umgebungen sollten so konfiguriert und vertraglich gestaltet werden, dass Datenflüsse begrenzt, Schlüssel besser kontrolliert und spätere Wechsel realistisch bleiben. Neue Beschaffungen dürfen Abhängigkeiten nicht weiter vertiefen, ohne deren langfristige Kosten auszuweisen.

Digitale Souveränität beginnt deshalb nicht mit dem Bau eines europäischen Hyperscalers und endet nicht bei einer politischen Erklärung. Sie beginnt bei scheinbar banalen Entscheidungen darüber, wer kommunale E-Mails zustellt, Identitäten verwaltet, Schlüssel kontrolliert und Daten exportieren kann. Das Postfach im Rathaus ist keine technische Nebensache. Es ist ein kleiner, täglich genutzter Teil staatlicher Handlungsfähigkeit.

Die provokative Zuspitzung bleibt damit berechtigt: Wer europäische Souveränität fordert, aber bei kritischer Verwaltungsinfrastruktur keine überprüfbare Ausstiegsfähigkeit schafft, betreibt vor allem Symbolpolitik. Glaubwürdig wird der Anspruch erst, wenn Kommunen nicht zu europäischen Lösungen gezwungen werden, sondern zwischen leistungsfähigen, sicheren und tatsächlich austauschbaren Angeboten wählen können. Die eigentliche Messgröße ist nicht die Nationalität des Logos, sondern die Freiheit, bei veränderten wirtschaftlichen, rechtlichen oder geopolitischen Bedingungen handlungsfähig zu bleiben.

Xpert.Digital ist ein von Konrad Wolfenstein geführter, datengetriebener B2B-Industry-Hub. Das Unternehmen agiert als externe Quasi-Inhouse-Lösung für Industriepartner und schließt operative Lücken in Marketing, Content und Vertrieb – ohne zusätzlichen Ressourcenaufbau auf Kundenseite.

Mehr dazu hier:

• Die Quasi-Inhouse-Lösung: Wie Xpert.Digital operative Lücken in B2B-Marketing und Vertrieb schließt – Smart Content-Driven Business

☑️ Unsere Geschäftssprache ist Englisch oder Deutsch

☑️ NEU: Schriftverkehr in Ihrer Landessprache!

 

Gerne stehe ich Ihnen und mein Team als persönlicher Berater zur Verfügung.

Sie können mit mir Kontakt aufnehmen, indem Sie hier das Kontaktformular ausfüllen oder rufen Sie mich einfach unter +49 7348 4088 965 an. Meine E-Mail Adresse lautet: wolfenstein∂xpert.digital

Ich freue mich auf unser gemeinsames Projekt.

 

 

☑️ KMU Support in der Strategie, Beratung, Planung und Umsetzung

☑️ Erstellung oder Neuausrichtung der Digitalstrategie und Digitalisierung

☑️ Ausbau und Optimierung der internationalen Vertriebsprozesse

☑️ Globale & Digitale B2B-Handelsplattformen

☑️ Pioneer Business Development / Marketing / PR / Messen