Datenkonflikt zwischen Europa und Amerika Microsoft-Vertreter bestätigt unter Eid Risiko für europäische Daten

Anbieter zum Thema

Fsas Technologies GmbH

Heidelberg iT Management GmbH & Co. KG

Impossible Cloud GmbH

Ein Microsoft-Manager räumte unter Eid ein: Auch Daten in europäischen Rechenzentren sind nicht vor US-Zugriff sicher. Die Anhörung im französischen Senat wirft Grundsatzfragen zur behördlichen Beschaffung von IT und Digitalen Souveränität in Europa auf.

Im März 2025 hat der französische Senat die „Enquete-Kommission zu öffentlicher Beschaffung und digitaler Souveränität“ eingesetzt, um den Einfluss öffentlicher IT-Beschaffung auf die Digi­tale Souveränität Europas zu untersuchen. Auslöser war die Vergabe eines Hostingauftrags sensibler Gesund­heits­daten an den US-Konzern Microsoft im Jahr 2019 – ein Schritt, der nun unter politischer und juristischer Prüfung stand.

Microsoft räumt Zugriffsmöglichkeiten durch US-Behörden ein

In der öffentlichen Anhörung am 10. Juni 2025 musste sich Microsoft France den Fragen der Kommission stellen. Dabei sorgte vor allem die Aussage des Microsoft-Vertreters Anton Carniaux, General Manager und Leiter für externe und rechtliche Unternehmens­ange­legen­heiten, für Unruhe. Er sagte unter Eid aus, er könne nicht garantieren, dass französische Daten – selbst wenn sie ausschließlich in europäischen Rechenzentren gespeichert seien – nicht Gegenstand von Anfragen US-amerikanischer Behörden werden könnten.

Die Aussage fiel im Zusammenhang mit Fragen nach der Wirksamkeit technischer und juris­tischer Schutzmaßnahmen wie Verschlüsselung und lokaler Speicherung. In Frankreich ist das Thema Digitale Souveränität ebenso wie in Deutschland brandaktuell. Unter dem Begriff „Cloud de Confiance“ werden Cloud-Anbieter gesammelt, die zertifizierte Dienste für französische Behörden und kritische Infrastrukturen bereitstellen. Zwar betonte Carniaux, dass Microsoft sich bemühe, Zugriffsersuche durch US-Behörden rechtlich anzufechten, am Ende stehe man jedoch unter dem Geltungsbereich des US-Rechts. Damit gemeint ist vor allem der US Cloud Act. Dieser wurde 2018 verabschiedet und ermöglicht es US-Behörden, zum Beispiel im Sinne der Strafverfolgung, auf Daten zuzugreifen, die von US-Unternehmen gespeichert oder ver­ar­beitet werden. Das Gesetz gilt, unabhängig davon, wo auf der Welt diese Daten physisch abliegen. In der Kritik steht hierbei, dass der Cloud Act lokale Datenschutzgesetze der EU untergraben will.

Microsoft zwischen Datensicherheit und US-Recht

Dany Wattebled, Berichterstatter der Untersuchungskommission, sprach Carniaux auf einen konkreten Vorfall an, der sich im Februar 2025 ereignet haben soll. Damals wurde international berichtet, dass Microsoft den Zugriff des Internationalen Strafgerichtshofs in Den Haag (IStGH) auf bestimmte Cloud-E-Mail-Dienste vorübergehend eingeschränkt oder unterbrochen habe. Auslöser waren Sanktionen der USA gegen den Chefankläger des IStGH, nachdem dieser mut­maßliche Kriegsverbrechen durch US-Verbündete untersucht hatte. Internationalen Medien­berichten zufolge habe Microsoft infolgedessen Maßnahmen ergriffen,um den Zugriff auf die betroffene E-Mail-Infrastruktur einzuschränken – und dies, obwohl sich diese Infra­struktur auf europäischem Boden befindet und nach Auffassung vieler EU-Juristen eigentlich durch europäisches Datenschutzrecht vor Zugriffen durch Drittstaaten geschützt sein sollte.

Wattebled argumentierte, dass Microsoft mit dieser Handlung den IStGH als internationale Institution mit Sitz in Europa gelähmt habe. Carniaux widerspricht. Microsoft habe den Zugang zur E-Mail-Infrastruktur des Strafgerichtshofs niemals blockiert, sondern habe von Anfang an im Dialog mit dem IStGH gestanden.

Schlussfolgerungen der Untersuchungskommission

Nach 51 Anhörungen, drei Reisen innerhalb Frankreichs und ins Ausland, an denen Ministerien, IT-Experten, Anwälte, Ökonomen, öffentliche Auftraggeber und Vertreter des Gesundheits­sektors beteiligt waren, kam die Untersuchungskommission am 9. Juli 2025 zu einem Fazit.

Die Untersuchungskommission stellte fest, dass die öffentliche Beschaffung, die jährlich 400 Milliarden Euro ausmacht, unter mangelnder politischer Führung leide. Die Beteiligten beto­nten außerdem die Defizite der französischen Regierung hinsichtlich des Schutzes online gespeicherter öffentlicher Daten sowie der Umsetzung von Bestimmungen zur Förderung einer verantwortungsvollen öffentlicher Beschaffung. Auch die teils übermäßig hohen Auflagen für öffentliche Auftraggeber wurden kritisiert.

Die öffentliche Beschaffung von IT und IT-Services müsse ein Instrument zur „Förderung der französischen und europäischen wirtschaftlichen, landwirtschaftlichen, industriellen und Digitalen Souveränität“ sein. Daher formulierte die Untersuchungskommission insgesamt 67 Empfehlungen für die Regierung, um dieses Ziel zu erreichen. Konkret schlägt sie die Einfüh­rung eines europäischen Präferenzprinzips und die weitere Umsetzung des europäischen „Small Business Act“ (SBA) vor. Dabei handelt es sich um ein europäisches Konzept, welches bereits 2008 von der EU-Kommission eingeführt wurde. Sein Ziel ist es, kleine und mittlere Unternehmen (KMU) systematisch zu fördern, insbesondere im Hinblick auf

• Zugang zu öffentlichen Ausschreibungen,

• Innovationsförderung,

• faire Wettbewerbsbedingungen und

• und Bürokratieabbau.

Zwar wurde des SBA in Frankreich bereits teilweise umgesetzt, aus Sicht des Senats jedoch unzureichend. Er fordert, bei der Beschaffung mehr auf europäische Anbieter und ihre technologisch wettbewerbsfähigen Lösungen, die oftmals sogar besser europäische Datenschutzstandards angepasst sind, zu achten.

Was bedeutet die Untersuchung für Deutschland?

Auch für Deutschland haben die Ergebnisse der französischen Untersuchung eine hohe Rele­vanz. Insbesondere in Bezug auf Cloud-Strategien im öffentlichen Sektor, die Beschaffungs­praxis für sicherheitskritische IT und den Stellenwert europäischer Anbieter und KMU im Vergabeprozess. Da Deutschland vor denselben Herausforderungen hinsichtlich seiner Digitalen Souveränität steht wie Frankreich, könnten die Schlussfolgerungen der Unter­suchungs­kommission eine Signalwirkung hierzulande haben. So könnten – und sollten – verbindliche Vergabekriterien wie DSGVO-Konformität, EU-Datenlokalisierung und Zertifi­zierungen, Souveränitätsklauseln in Ausschreibungen und ein gezielter Marktzugang für europäische Provider folgen.

Auch in Deutschland ist der SBA nicht gesetzlich verpflichtend, sondern gilt als Orien­tierungs­rahmen, um KMU bei der Vergabe von öffentlichen Aufträgen angemessen zu beteiligen. Oftmals sieht die Realität jedoch anders aus und Projekte werden an Hyperscaler vergeben, was bereits zu viel Kritik führte, wie beispielsweise zuletzt im Falle der Zusammenarbeit des BSI und Google. Somit zeigt die französische Untersuchung, dass Digitale Souveränität nicht nur eine technische, sondern vor allem eine strategische und politische Entscheidung ist – und sie sendet damit ein deutliches Signal auch nach Deutschland: Wer Kontrolle über Daten behalten will, muss Beschaffung neu denken.

(ID:50494058)