In den frühen Morgenstunden des 15. Mai 2025 öffnete Karim Khan, Chefankläger des Internationalen Strafgerichtshofs, ein letztes Mal sein E-Mail-Postfach bei Microsoft und fand eine Fehlermeldung vor, die seine Arbeit abrupt zum Erliegen brachte. Wegen US-Sanktionen gegen seine Person war sein Zugang gesperrt, wichtige Dokumente unzugänglich, Fristen unhaltbar. Konkret hat wohl Donald Trump persönlich die Sanktionen angeordnet, weil die USA den internationalen Strafgerichtshof ohnehin nicht anerkennen und Trump der Haftbefehl gegen den israelischen Premier Netanyahu nicht passte.
Ähnliches passierte diversen Kunden in China, wie der Sun Yat-sen University, deren Microsoft 365-Zugänge mit einer Vorlaufzeit von gerade mal einer Woche (!) gekündigt wurden. Vertragstreue? Fehlanzeige. Rechtsstaatlichkeit? Ach was…
[Hier eine Stimme aus „Der Pate“ vorstellen:] „Schöne Daten haben Sie da. Wäre doch schade, wenn Sie morgen nicht mehr drankämen“.
Diese Beispiele illustrieren eindrucksvoll, wie schnell die Kontrolle über digitale Infrastruktur zur (ökonomischen) Waffe wird: Wer seine Daten der Cloud eines ausländischen Anbieters anvertraut, der möglicherweise noch in einem Land mit fragwürdigen rechtsstaatlichen Prinzipien seinen Sitz hat (die USA zählen mittlerweile ausdrücklich dazu), entzieht sich bewusst der eigenen Autonomie und riskiert im Extremfall, über Nacht handlungsunfähig gemacht zu werden.
Schon lange sind große Technologiekonzerne nicht mehr nur neutraler Dienstleister, sondern mächtige Gatekeeper, die viel mehr Kontrolle über Daten ihrer Kunden und Dritter haben, als gesund sein kann. Ihre Rechenzentren verarbeiten nahezu jeden Aspekt unserer Kommunikation und Datenspeicherung. Von der Buchhaltung über interne Chats bis hin zum Marketing: Ohne Cloud-Services läuft im Unternehmensalltag kaum noch etwas. Genau hier aber lauert eine existentielle Gefahr: Ändert der Plattformbetreiber seine Nutzungsbedingungen, passt er Algorithmen an oder unterliegt er eben dem Durchgriff staatlicher Stellen, hat dies nicht selten und weitgehend ohne Vorwarnung gravierendste Auswirkungen. Aus der fast harmlos als „Vendor Lock-in“ bezeichneten Situation kann schnell digitale Geiselhaft werden.
Digitale Souveränität beschreibt die Fähigkeit von Individuen, Organisationen oder Staaten, ihre Infrastruktur, ihre Prozesse und, vor allem, ihre Daten unter eigener Kontrolle zu halten. Digitale Souveränität bedeutet, auf vermeintlich einfache Black-Box-Lösungen in geschlossenen technischen Ökosystemen beherrschender Akteure (Konzerne etc.) zu verzichten und so zu verhindern, dass die Macht über die eigenen Daten in der Hand Dritter liegt.
Doch die Datenhoheit ist zwar das gravierendste, aber längt nicht das alleinige Problem. Mehr als 40 Jahre lang hat beispielsweise Microsoft recht erfolgreich darauf hingearbeitet, für Unternehmen und Organisationen unumgänglich zu sein. Selbst nachdem der immense öffentliche und politische Druck dafür gesorgt hatte, dass das Unternehmen seine proprietären Dokumentformate (doc, xls, ppt) auf den XML-basierten Office Open XML (OOXML) Standard umstellen musste (docx, xlsx, pptx), ließ das Unternehmen nicht nach, Kunden durch fragwürdige Methoden und „interessante“ Lobbyarbeit an das Unternehmen zu binden. Wie sonst ist es zu erklären, dass in deutschen Schulen mehrheitlich ausschließlich Microsoft Offce Produkte gelehrt werden statt auf offene Standards zu setzen? Das deutsche Bildungssystem „züchtet“ systematisch und kostenfrei neue Microsoft-Kunden heran. Das Ergebnis auch hier: Vendor Lock-In. Zwar gibt es mittlerweile gut funktionierende, auf offenen Standards basierende Produkte, die Microsoft in nichts nachstehen und darüber hinaus oft kostenfrei sind. Dennoch hat sich in den Gehirnen der meisten Anwender offenbar festgesetzt, dass es zu Microsoft keine brauchbaren Alternativen gibt. Die lobbyismusgesteuerte Indoktrination von Kindheit an ist offenbar absolut erfolgreich.
Die ökonomischen Auswirkungen bekommen seit Neuestem gemeinnützige Unternehmen, Organisationen und Vereine deutlich zu spüren. Diese konnten bisher eine gewisse Anzahl Microsoft Lizenzen kostenfrei nutzen. Genau das hat Microsoft nun urplötzlich aufgekündigt. Das Ergebnis: diese Organisationen müssen entweder unter Zeitdruck auf andere Software umstellen, ihre Prozesse anpassen, usw. Eine Riesenmenge Stress, den sich insbesondere gemeinnützige Organisationen nicht so ohne weiteres leisten können. Oder aber sie zahlen einfach zukünftig den von Microsoft festgelegten Preis für ihre Lizenzen, damit sie ihre gewohnte Arbeitsweise beibehalten können.
Diese Methode ist dieselbe, die auch den Drogenhandel weltweit erfolgreich macht. Der erste Schuss ist gratis und wenn der Konsument dann abhängig ist, wird kassiert.
Hätte man von Beginn an auf (real verfügbare und, s.o., oft kostenlose) Open Source Produkte gesetzt, gäbe es das Problem gar nicht.
Vor diesem Hintergrund muss sich mittlerweile auch der letzte Europäer darüber klar werden, dass digitale Souveränität nicht nur eine nerdige Idee ist, sondern über Existenzen entscheidet.
Und als wäre das alles nicht genug, darf OpenAI seit dem 13. Mai 2025 Nutzer-Konversationen mit ChatGPT nicht mehr löschen (hier ein ausführlicher Artikel von Rechtsanwalt Martin Steiger dazu). Ab sofort schwingt also bei der Nutzung von ChatGPT ein beträchlich höheres Risiko mit als bisher, da wirklich alles, was User dort eingeben, dauerhaft gespeichert wird und auf Basis behördlicher oder gerichtlicher Verfügung o.ä. für US-Behörden abrufbar ist. Im Klartext bedeutet dies vor allem, dass sämtliche Produkte und Dienste, die ChatGPT einbinden oder nutzen, in Europa ab sofort nicht mehr ohne Weiteres datenschutzkonform sind.
Was sind konkrete Alternativen
Zunächst ist es unabdingbar, dass Unternehmen und andere Organisationen das Thema Informationssicherheit endlich zur Chefsache machen. Es genügt nicht, sich von einem (i.d.R. von Herstellern abhängigen oder zumindest ökonomisch nicht neutralen) Dienstleister Lösungen verkaufen zu lassen. Ein Grundverständnis innerhalb der Organisation ist zwingend notwendig.
Es gibt in nahezu keinem Bereich die Situation, dass den Produkten großer Hersteller nicht auch alternative Open Source-Produkte oder zumindest Angebote europäischer Anbieter gegenüberstehen. Eine schöne Übersicht bieten hier Websites wie European Alternatives.
Ich selbst habe mich und mein Unternehmen in den letzten Jahren und Monaten Stück für Stück aus der Abhängigkeit „befreit“ und vermisse nichts. Natürlich sind wir nicht zu einsiedlern geworden, die wieder Papier ausdrucken und Leitz-Ordner führen. Natürlich setzen wir weiter auf Cloud Services, dies allerdings sehr kontrolliert und risikobewusst. Statt Microsoft Office nutzen wir LibreOffice und OnlyOffice. Es gibt dabei keinerlei Probleme. Wir suchen mit MetaGer statt Google. Die Adobe Creative Suite wird aktuell durch Affinity ersetzt. Für PDF-Handling gibt es neben PDFsam noch jede Menge weiterer Apps. Für Videokonferenzen nutzen wir gern Zoom. Hier gibt es von der Deutschen Telekom für einen nur minimal höheren Preis das DSGVO-konforme Zoom X. Unsere Websites und jene, die wir für Kunden betreiben, werden schon seit 14 Jahren auschließlich in deutschen Rechenzentren gehostet. E-Mail und Groupware laufen seit zehn Jahren auf Open Source-Basis und werden bei einem deutschen Provider gehostet. Für Collaboration-Funktionen und Content Management nutzen wir Nextcloud und Cryptpad. Unser bevorzugter Passwortmanager ist 1Password (mit Sitz in Kanada), auch da gäbe es verschiedenste, teils auch kostenfreie Alternativen. Eine Strategie verteilter Backups sichert uns gegen mögliche Cloud-Fails ab. Meta-Dienste sind nicht in Benutzung und auch da vermissen wir nichts. Die Twitter Accounts wurden unmittelbar nach der Übernahme durch Elon Musk stillgelegt und ich fühle mich im Fediverse mit Mastodon statt Twitter und Pixelfed statt Instagram mittlerweile „zu Hause“. Private E-Mails laufen über Mailbox.org (das ich aufgrund von Funktionsumfang und Sicherheit insbesondere auch für KMU oder Non-Profit-Organisationen uneingeschränkt empfehle und Posteo. Auch empfehlenswert ist Tuta; mit einer Empfehlung für Proton tue ich mich aufgrund früherer Aussagen des CEO und auch der aktuellen Bestrebungen der Schweizer Regierung zur Überwachung momentan jedoch schwer. Und für Chats sind (ja nach Anwendungsfall) Signal, Threema und Matrix mit der Element App immer die bessere Wahl im Vergleich zu WhatsApp oder Telegram.
Sind wir damit schon am Ziel? Nein, sicher nicht. Digitale Souveränität bedingt vor allem, dass man sich selbst auf dem Laufenden hält und bereit ist, Entscheidungen zu revidieren, wenn die Rahmenbedingungen sich ändern.
Ein Beispiel gefällig? Bis zur Übernahme durch Facebook im Jahr 2014 habe ich wirklich jedem die Nutzung von WhatsApp empfohlen, ja regelrecht dafür geworben, weil Chat-Tools aus meiner Sicht die Revolution der schnellen Textkommunikation schlechthin war (ich glaube, ich lag nicht völlig falsch). Ich wurde dafür als Nerd verlacht, weil es ja für Businesskunden schließlich SMS-Flatrates gab. Als Facebook dann WhatsApp für eine absurde Summe kaufte, war für mich der Zeitpunkt gekommen, meinen WhatsApp Account zu löschen und meine Empfehlungen zu ändern. Sicherlich nicht zum letzten Mal.
Mein Fazit
Es ist absolut machbar und sorgt nicht für Nachteile, sich aus der Abhängigkeit von großen Plattformen und Datenkraken zu befreien. Oder, wie ich mal auf einem Barcamp hörte: „Machen ist wie wollen, nur krasser“.
Sprechen wir miteinander!
Haben Sie Fragen zu Digitalisierung, Cybersicherheit oder Compliance für Ihr Unternehmen? Sind Sie Projektverantwortlicher, betrieblicher Datenschutzbeauftragter oder Compliancebeauftragter und möchten mit einem Sparrings-Partner auf Augenhöhe diskutieren? Und das Ganze am Besten ohne Panikmache und mit einem gesunden Schuss Pragmatismus? Dann sollten wir miteinander sprechen.
Der Autor
Falk Schmidt ist Projektberater für digitale Geschäftsprozesse, Cyber Security sowie zertifizierter Datenschutzbeauftragter und Datenschutz-Auditor Als Lehrbeauftragter an der Technischen Hochschule Mittelhessen (THM) vermittelt er Datenschutz-Themen an Studierende.
Die hier erscheinenden Artikel illustrieren seine private und/oder berufliche Meinung, stellen jedoch keine Rechtsberatung im Sinne des RDG dar.
