Digitale Souveränität ist zu einem Verkaufsargument geworden. Europäische Unternehmen wollen wissen, wer auf ihre Daten zugreifen kann, unter welchen Bedingungen ihre IT weiterläuft und welche Folgen politische Konflikte für ihren Geschäftsbetrieb haben könnten. Microsoft reagiert darauf mit zusätzlichen Sicherheitsfunktionen, Kontrollmöglichkeiten und lokalen Betriebsmodellen. Doch zwischen sicherer Nutzung und unternehmerischer Unabhängigkeit liegt ein erheblicher Unterschied.

Was Microsoft anbietet

In seiner Pressemitteilung vom 20. Oktober 2026 kündigt Microsoft weitere Angebote für die Souveränitätsbedürfnisse seiner Kunden an. Ein „Sovereign Control Panel“ soll Einstellungen und Informationen im Azure-Portal zusammenführen und Unternehmen bei der Risikobewertung sowie der Notfallplanung unterstützen. Weitere Bausteine betreffen die Verwaltung von Verschlüsselungsschlüsseln, geschützte Datenverarbeitung und zusätzliche Kontrollen für Zugriffe durch Microsoft.

„Azure Confidential Computing“ soll Daten während ihrer Verarbeitung schützen. „Confidential Clean Rooms“ sollen gemeinsame Analysen sensibler Daten ermöglichen, ohne dass die Beteiligten ihre Ausgangsdaten gegenseitig offenlegen müssen. Für „Azure Local“ kündigt Microsoft zusätzliche Anwendungen und Dienste auf eigener Infrastruktur an, darunter DocumentDB, GitHub Enterprise Local und Foundry Local. Die Mitteilung nennt dabei sowohl mit dem Internet verbundene als auch getrennte Betriebsmodelle.

Ein wichtiger Baustein ist das externe Schlüsselmanagement. Dabei muss zwischen dem bestehenden Cloudangebot Azure Managed HSM und dessen Erweiterung um externe Schlüsselverwaltung unterschieden werden. Microsofts technische Dokumentation bestätigt: Bei der externen Variante kann der maßgebliche Verschlüsselungsschlüssel in einem Hardware-Sicherheitsmodul außerhalb der Microsoft-Infrastruktur verbleiben. Das gilt für kompatible Azure-Dienste und deren Verschlüsselung gespeicherter Daten. Es ist kein pauschales Schutzversprechen für sämtliche Daten und Anwendungen.

Solche Funktionen verdienen eine sachliche Bewertung. Wer sensible Konstruktionsunterlagen, Kundendaten oder Geschäftsgeheimnisse verarbeitet, kann von zusätzlichen Schutzmaßnahmen profitieren. Ihr Nutzen beantwortet allerdings noch nicht die Frage, wie frei ein Unternehmen über seine gesamte IT entscheiden kann.

Mehr Sicherheit bedeutet noch keine Unabhängigkeit

Ein Unternehmen kann seine Daten sorgfältig verschlüsseln und trotzdem an eine Plattform gebunden bleiben. Es kann Zugriffe protokollieren, ohne seine Anwendungen kurzfristig anderswo betreiben zu können. Und es kann Software auf eigenen Rechnern einsetzen, deren Nutzbarkeit weiterhin von bestimmten Lizenzen, Verwaltungsdiensten oder Herstellerleistungen abhängt. Ob und in welchem Umfang solche Bindungen bestehen, muss für das jeweilige Angebot geprüft werden.

Deshalb müssen drei Fragen getrennt beantwortet werden: Wie gut sind die Daten geschützt? Wie eigenständig lässt sich der Betrieb aufrechterhalten? Und wie aufwendig wäre ein Anbieterwechsel? Erst die gemeinsame Betrachtung zeigt, welchen Handlungsspielraum ein Unternehmen tatsächlich besitzt.

Auch zusätzliche Zugangskontrollen haben einen definierten Anwendungsbereich. Microsofts „Customer Lockbox“ ermöglicht Kunden, bestimmte Zugriffe auf ihre Daten zu genehmigen oder abzulehnen. Die Azure-Dokumentation nennt jedoch ausdrücklich Ausnahmen, etwa für bestimmte Notfallsituationen. Daraus lässt sich kein uneingeschränktes Vetorecht gegen jeden Zugriff ableiten. Entscheidend sind die unterstützten Dienste, die konkreten Bedingungen und die verbleibenden Ausnahmen.

Souveränitätswashing als berechtigte Frage

Hier setzt die kritische Frage nach einem möglichen „Souveränitätswashing“ an: Wird ein weitreichender Begriff verwendet, obwohl vor allem einzelne Schutz- und Kontrollfunktionen verbessert werden? Der Vorwurf wäre zu pauschal, wenn er den technischen Nutzen dieser Maßnahmen bestreiten würde. Berechtigt ist dagegen die Prüfung, ob das politische und wirtschaftliche Versprechen über ihre tatsächliche Reichweite hinausgeht.

Ein Kontrollpanel schafft Übersicht. Ob daraus Unabhängigkeit entsteht, entscheidet sich an den Handlungsmöglichkeiten außerhalb der Plattform. Zusätzliche Sicherheitsfunktionen können den Betrieb innerhalb eines bestehenden Systems verbessern und zugleich dessen Attraktivität erhöhen. Daraus folgt noch nicht, dass sie auch die Bindung an dieses System verringern.

Microsoft hatte bereits 2025 zugesagt, gegen staatlich angeordnete Unterbrechungen seiner europäischen Cloudangebote juristisch vorzugehen und europäische Partner für einen möglichen Weiterbetrieb einzubinden. Das sind relevante Vorkehrungen. Ihre Wirksamkeit bleibt jedoch von rechtlichen, vertraglichen und organisatorischen Bedingungen abhängig. Für die Unternehmensführung lautet die Frage daher: Welche Abhängigkeiten werden tatsächlich beseitigt, welche nur abgesichert – und welche bleiben bestehen?

Warum sich die Frage nach Linux trotzdem stellt

Angesichts der Verbreitung von Microsoft erscheint ein Wechsel vielen Betrieben kaum vorstellbar. Beschäftigte kennen die Programme, Geschäftspartner arbeiten mit entsprechenden Dokumenten, Fachanwendungen sind auf bestimmte Umgebungen zugeschnitten. Schulung, Anpassung und mögliche Betriebsunterbrechungen verursachen Kosten. Für einen Mittelständler sind das reale wirtschaftliche Hürden.

Gerade diese Hürden machen die Alternativenfrage wichtig. Wenn ein Wechsel praktisch nicht mehr möglich erscheint, schrumpft der Spielraum gegenüber dem bisherigen Anbieter. Eine weit verbreitete Plattform kann bequem und leistungsfähig sein. Ihre Verbreitung darf aber nicht dazu führen, dass die Prüfung anderer Lösungen von vornherein unterbleibt.

Linux gehört deshalb in die Debatte. Der Austausch des Betriebssystems allein löst allerdings weder die Bindung an komplexe Excel-Makros noch an Fachsoftware, Kommunikationsplattformen oder Cloudanwendungen. Umgekehrt kann ein Betrieb Windows weiterverwenden und bei einzelnen Anwendungen, Dateiformaten oder der Datenhaltung zusätzliche Wahlmöglichkeiten schaffen.

Entscheidend ist, welche Komponenten sich mit vertretbarem Aufwand ersetzen lassen und wo eine Bindung aus betrieblichen Gründen zunächst bestehen bleiben muss. Auch offene Software benötigt Wartung, Fachwissen und verlässlichen Support. Ein europäischer Anbieter muss sich ebenfalls an überprüfbaren Leistungen und praktikablen Ausstiegsmöglichkeiten messen lassen. Herkunft und Lizenzmodell allein ersetzen keine sorgfältige Prüfung.

Unternehmerische Freiheit braucht praktische Wahlmöglichkeiten

Für mittelständische Unternehmen muss digitale Souveränität weder vollständige technische Selbstversorgung noch einen sofortigen Komplettumstieg bedeuten. Ein sinnvoller Weg kann darin bestehen, vermeidbare Abhängigkeiten schrittweise abzubauen. Dafür müssen Unternehmen zunächst wissen, an welchen Stellen sie gebunden sind: beim Betriebssystem, bei Fachanwendungen, bei der Benutzerverwaltung, bei der Datenspeicherung oder bei der Zusammenarbeit mit Kunden und Lieferanten.

Wer diese Bindungen kennt, kann Prioritäten setzen. Eine weniger kritische Anwendung lässt sich möglicherweise frühzeitig ersetzen. Bei einer zentralen Fachsoftware kann zunächst ein belastbarer Datenexport wichtiger sein. Für besonders sensible Informationen können getrennte Betriebsmodelle oder eine eigenständig kontrollierte Schlüsselverwaltung infrage kommen. Welche Lösung passt, hängt vom Schutzbedarf, den verfügbaren Fähigkeiten und den Gesamtkosten ab.

Was Mittelständler vor einer Entscheidung prüfen sollten

Am Anfang steht eine Bestandsaufnahme der geschäftskritischen Anwendungen. Welche benötigen eine dauerhafte Verbindung zum Anbieter? Welche Funktionen bleiben bei einer Unterbrechung verfügbar? Wer kontrolliert Benutzerkonten, Zugriffsrechte und Schlüssel? Welche Daten lassen sich vollständig exportieren? Und bleiben Dokumentstrukturen, Berechtigungen und Arbeitsabläufe bei einem Wechsel nutzbar?

Ein Datenexport allein reicht als Nachweis der Wechselfähigkeit nicht aus. Ein Unternehmen muss die exportierten Informationen auch sinnvoll weiterverwenden können. Ebenso sollte ein Notfallkonzept durch einen praktischen Wiederanlaufversuch überprüft werden. Bei externer Schlüsselverwaltung gehört dazu auch die Frage, was bei einem Ausfall der eigenen Schlüsseltechnik geschieht. Microsoft weist darauf hin, dass solche Ausfälle abhängige Azure-Anwendungen unterbrechen können und nicht vollständig von den Verfügbarkeitszusagen seiner Dienste erfasst werden.

Bei neuen Investitionen gehören deshalb offene Schnittstellen, dokumentierte Formate, Kündigungsbedingungen, Unterstützung beim Wechsel und nachvollziehbare Gesamtkosten in die Entscheidung. Eine zunächst bequemere Lösung kann langfristig teuer werden, wenn spätere Veränderungen nur mit erheblichem Aufwand möglich sind. Souveränität muss sich deshalb auch im Vertrag und im praktisch erprobten Ausstiegsweg zeigen.

Fazit: Microsofts Angebot muss sich an der Freiheit seiner Kunden messen lassen

Microsofts zusätzliche Schutzfunktionen können für Mittelständler nützlich sein. Das Unternehmen muss sich jedoch daran messen lassen, ob sein Souveränitätsangebot auch den eigenständigen Weiterbetrieb und den Wechsel zu anderen Lösungen erleichtert. Mehr Kontrolle innerhalb einer Plattform ist ein Fortschritt, aber noch kein ausreichender Beleg für digitale Unabhängigkeit.

Unternehmerische Freiheit verlangt, dass Abhängigkeiten erkennbar, begrenzt und veränderbar bleiben. Wer seinen Anbieter nur theoretisch verlassen kann, besitzt einen entsprechend kleinen Verhandlungsspielraum. Digitale Souveränität beginnt deshalb mit der Möglichkeit, Nein zu sagen. Wie glaubwürdig Microsofts Angebot ist, entscheidet sich auch daran, wie gut ein Kunde ohne Microsoft weiterarbeiten könnte.

Quelle: Microsoft, Pressemitteilung vom 20. Oktober 2026; ergänzend Microsofts technische Dokumentation zu Azure Managed HSM und externem Schlüsselmanagement, zu Customer Lockbox für Azure sowie die European Digital Commitments vom 30. April 2025. Einordnung und Bewertung: Mittelstandsjournal.