Cloud-AbhÀngigkeit mit Ansage: Warum sensible Unternehmensdaten nicht mehr in die US-Cloud gehören

Ein Beitrag fĂŒr MittelstĂ€ndler mit Verantwortung

Einleitung:
Microsoft, Amazon, Google – ihre Cloud-Angebote wirken wie ein bequemes Rundum-Sorglos-Paket. Doch wer heute seine IT-Struktur in die US-Cloud migriert, geht eine Wette ein: auf ewige Erreichbarkeit, stabile Rechtslage und faire Preisgestaltung.
Dumm nur, wenn sich alle drei als Illusion erweisen.

Aktueller Anlass:
IT-Jurist Anton Carniaux bringt es auf den Punkt: Microsoft kann US-Zugriff auf EU-Cloud nicht verhindern (Golem). Selbst bei Rechenzentren in Europa haben US-Behörden unter bestimmten UmstĂ€nden Zugriff auf geschĂ€ftskritische Daten – auch ohne Wissen des Kunden.

Die drei unbequemen Fragen, die sich jedes KMU stellen muss:

a) Was passiert, wenn Teildienste ausfallen oder gekĂŒndigt werden?

Cloud-Dienste sind kein Besitz, sondern Miete. Du bist Nutzer, nicht EigentĂŒmer. Wenn Microsoft heute beschließt, einen Dienst einzustellen (z. B. Access Web Apps, Azure AD Graph, Power Automate Desktop fĂŒr Privatkunden, Exchange Online POP/IMAP-ZugĂ€nge, etc.), hast Du exakt zwei Optionen:

  • Mitziehen und den neuen (oft teureren oder aufwĂ€ndigeren) Dienst nutzen
  • Oder sehen, wie Deine Prozesse wegbrechen

Einige Beispiele aus der Praxis:

  • Lizenzwechsel: On-Premises-Serverlizenzen wurden in den letzten Jahren immer teurer – mit dem offensichtlichen Ziel, Kunden in die Cloud zu zwingen.
  • Zwangs-Abonnements: FrĂŒher kauftest Du einmal Office, heute musst Du es mieten – inklusive Copilot, den Du nicht abwĂ€hlen kannst.

Fazit:
Ohne Exit-Strategie ist Deine IT kein Werkzeug mehr – sondern eine Geisel.

b) Wie teuer wird der RĂŒckweg jedes Jahr?

Migration in die Cloud ist selten ein simpler Umzug – sondern meist ein schleichender Umbau. Dabei entstehen:

  • Technische AbhĂ€ngigkeiten (z. B. proprietĂ€re Power Automate Workflows, die lokal nicht laufen)
  • Kompetenzverluste im eigenen Haus (wer kann heute noch lokale Netzwerke, SQL Server oder Exchange warten?)
  • Lizenzbindungen (z. B. an Microsoft Business Premium, ohne dass Du weißt, wie viele Dienste Du eigentlich nutzt)
  • Verlernte Datenhoheit – alles liegt verstreut in OneDrive, SharePoint, Teams, Azure, Dataverse, Outlook


Je lÀnger Du wartest, desto teurer wird:

  • Die Schulung eigener Leute auf Alternativen
  • Der Aufbau einer neuen On-Prem oder hybriden Lösung
  • Der Export und die Neuorganisation der Daten

Fazit:
Die RĂŒckkehr auf eigene Server kostet jedes Jahr mehr – nicht nur Geld, sondern auch Know-how und Nerven.

c) Und was, wenn die USA wirklich kein sicherer Ort mehr sind?

Klingt ĂŒbertrieben? Dann schau in die RealitĂ€t:

  • Cloud Act (USA): verpflichtet US-Unternehmen zur Herausgabe von Daten – egal, wo sie gespeichert sind.
  • Geopolitische Spannungen: Taiwan-Krise, EU-USA-Streit um Datenschutz – der politische Druck steigt.
  • Rechtslage: Schrems I und II haben Safe Harbor und Privacy Shield gekippt. Schrems III ist nur eine Frage der Zeit.

Im Worst Case bist Du dann:

  • DatenmĂ€ĂŸig nackt, weil alles auf Azure liegt
  • Technisch ĂŒberfordert, weil keiner mehr weiß, wie man eigene Systeme pflegt
  • Vertraglich gefesselt, weil Du ohne Microsoft365 keine Prozesse mehr hast
  • Rechtlich angreifbar, weil Du keine echten Schutzmaßnahmen mehr bieten kannst

Fazit:
Wenn’s hart auf hart kommt, kann Deine komplette IT unter auslĂ€ndischer Kontrolle stehen – und Du kannst nur zuschauen.

Was tun? 5 konkrete Tipps fĂŒr KMU mit schĂŒtzenswerten Daten:

  1. Hybride IT fahren: Nutze Cloud und lokale Systeme – und halte beides aktuell.
  2. Wissen im Haus halten: Lass Deine Admins regelmĂ€ĂŸig echte Systeme betreuen, nicht nur Office klicken.
  3. Export-Strategie entwickeln: RegelmĂ€ĂŸig Daten sichern – strukturiert, nachvollziehbar, lokal.
  4. Open Source evaluieren: Nextcloud, LibreOffice, Proxmox, Linux Server – mehr Kontrolle, weniger Blackbox.
  5. Vertraglich absichern: Klare AV-VertrÀge mit Exit-Klauseln, Speicherort-Festlegung, Audit-Möglichkeiten.

Der digitale Lock-in ist bequem – aber gefĂ€hrlich. Gerade fĂŒr MittelstĂ€ndler mit Patenten, BauplĂ€nen, Kundenlisten, Personalakten oder Lieferkettenwissen. Wer sich heute zu sehr auf US-Clouds verlĂ€sst, muss morgen eventuell teuer dafĂŒr zahlen.

Sönke SchÀfer, SeSoft GmbH

Digitalisierung ja – aber mit gesundem Misstrauen und Plan B.
Denn wenn’s knallt, hilft keine Hotline in Seattle.

📈 DatenschĂ€fer – Analyse, Auswertung und Automatisierung fĂŒr KMU im Norden 🐑
Fragen zur Exit-Strategie oder lokalen IT? Einfach melden. Ich helfe Dir dabei, souverÀn zu bleiben.

DĂŒrfen sensible Unternehmensdaten einfach in eine US-Cloud ausgelagert werden?

Nein, nicht ohne RisikoabwĂ€gung. FĂŒr personenbezogene Daten greift die DSGVO. FĂŒr GeschĂ€ftsgeheimnisse das GeschGehG. Ohne angemessene Schutzmaßnahmen (z. B. VerschlĂŒsselung mit eigener SchlĂŒsselhoheit) kann die Auslagerung als Pflichtverletzung gewertet werden.

Welche Gesetze greifen bei fahrlÀssigem Umgang mit Cloud-Risiken?

§ 43 GmbHG bzw. § 93 AktG: Die GeschĂ€ftsleitung haftet bei Pflichtverstoß mit ihrem Privatvermögen. Dazu kommen DSGVO-Bußgelder und zivilrechtliche Klagen durch Kunden, Partner oder Gesellschafter.

Was droht bei Datenverlust oder Zugriff durch Dritte?

Je nach Datenart:
– DSGVO-Strafen (Art. 83, bis zu 4 % des Umsatzes)
– Klage durch Betroffene (z. B. Kunden, deren Daten abgeflossen sind)
– Regressforderungen durch Gesellschafter (bei wirtschaftlichem Schaden)
– Verlust des Schutzes nach dem GeschĂ€ftsgeheimnisgesetz

Kann man sich auf die EU-Rechenzentren von Microsoft verlassen?

Nein. Laut Cloud Act und aktueller Rechtslage kann die US-Regierung auf Daten zugreifen, selbst wenn sie in Europa gespeichert sind. Microsoft selbst bestÀtigt das (siehe Golem-Bericht).

Was, wenn spÀter der Exit aus der Cloud nötig wird?

Je lÀnger die Cloud-Nutzung lÀuft, desto teurer wird der Ausstieg:
– AbhĂ€ngigkeit von Diensten, Formaten, APIs
– Know-how-Verlust im eigenen Haus
– Datenmigration kostet Zeit, Geld und Nerven
Wer keinen Notfallplan hat, steht im Ernstfall blank da.

Was sollte die GeschÀftsleitung jetzt tun?

– Cloud-Risiken dokumentieren
– Daten klassifizieren: Was darf nicht in die US-Cloud?
– Technische Schutzmaßnahmen umsetzen (z. B. VerschlĂŒsselung, eigene SchlĂŒssel, lokale Backups)
– Exit-Strategie definieren – fĂŒr alle kritischen Dienste
– AufklĂ€rung im Team starten: Cloud first heißt Verantwortung zuerst

Quellen und Lesetipps:
Wer sich tiefer mit der Problematik beschÀftigen will, findet hier fundierte Informationen:

Kategorien:

Allgemein

Schlagwörter:

NULL