Mehr als Datenschutz: Verfügbarkeit, Abhängigkeit und Kosten

Modul 1: Warum eine europäische Cloud? · Lesezeit: 11 Minuten

Lernziel: Nach dieser Lektion können Sie erklären, dass digitale Souveränität auch Verfügbarkeit, Abhängigkeit und Mitspracherecht umfasst, Sie kennen die neuen europäischen Umstiegsrechte aus der Data Act, und Sie können die Risiken Ihrer eigenen Situation abwägen.

Kernbegriffe: digitale Souveränität, Verfügbarkeitsrisiko, Sanktionen, einseitige Änderung von Vertragsbedingungen, Anbieterabhängigkeit (Vendor-Lock-in), Konzentrationsrisiko, EU-Data-Act, Umstiegsrecht, Umstiegskosten, NIS2, Abwägung (Wahrscheinlichkeit und Auswirkung)

Souveränität ist mehr als „Wer kann mitlesen"

Die vorherigen Lektionen behandelten die Vertraulichkeit: wer Ihre Daten einsehen kann. Es gibt aber noch zwei weitere Fragen, die für eine Organisation mindestens genauso wichtig sind:

1. Kommen Sie heran, wenn Sie sie brauchen? (Verfügbarkeit)
2. Können Sie selbst entscheiden, auch wenn der Anbieter etwas anderes will? (Mitspracherecht)

Zusammen nennt man das digitale Souveränität: das Ausmass, in dem Sie (oder Ihr Land, oder Europa) selbst die Kontrolle über Ihre digitalen Daten und Dienste behalten. Das Wort klingt gross, aber für Bakkerij De Korrel ist es ganz praktisch: Wenn Sanne montagmorgens um sechs Uhr die Lieferrouten nicht öffnen kann, warten zwölf Menschen.

Dies ist eine Erklärung, kein Rechtsrat.

Risiko 1: Ihr Konto kann gesperrt werden

Ein Clouddienst kann Ihren Zugang einschränken oder sperren. Meist aus gewöhnlichen Gründen: eine unbezahlte Rechnung, ein Missbrauchsverdacht, ein automatisches System, das etwas falsch einschätzt. Wer schon einmal ein gesperrtes Konto bei einem grossen Dienst hatte, weiss, wie schwer es ist, dort einen Menschen zu erreichen.

Es gibt auch eine geopolitische Variante. Ein Unternehmen muss sich an die Sanktionen des Landes halten, dessen Recht es unterliegt. Im Februar 2025 verhängte die US-Regierung Sanktionen gegen den Chefankläger des Internationalen Strafgerichtshofs (IStGH) in Den Haag. Im Mai 2025 meldete die Nachrichtenagentur AP, dass er keinen Zugang mehr zu seiner dienstlichen E-Mail bei Microsoft hatte. Microsoft hat erklärt, dass es seine Dienste für den IStGH nie eingestellt habe; späteren Berichten zufolge gab der IStGH selbst, unter dem Druck der Sanktionen, das Postfach nicht länger frei. Wie genau es ablief, wird noch diskutiert. Das Beispiel zeigt aber, dass die Verfügbarkeit eines Dienstes von der Politik des Landes des Anbieters abhängt, nicht nur von der Technik.

Eine Bäckerei wird nicht so schnell mit Sanktionen konfrontiert. Der Punkt ist allgemeiner: Sie sind von Regeln abhängig, auf die Sie keinen Einfluss haben.

Risiko 2: Bedingungen und Preise ändern sich einseitig

Clouddienste arbeiten mit Abonnements und Allgemeinen Geschäftsbedingungen, die der Anbieter ändern kann. Pakete werden zusammengelegt, Funktionen wandern in ein teureres Paket, oder es kommt eine neue Funktion hinzu (wie KI), die den Preis erhöht oder Ihre Daten anders nutzt. Meist haben Sie nur die Wahl: akzeptieren oder gehen. Und gehen ist schwer, wenn all Ihre Arbeit dort liegt. Das ist Anbieterabhängigkeit, im Englischen Vendor-Lock-in (Lektion 2.3).

Risiko 3: alles bei einem Anbieter

Wenn Sie E-Mail, Kalender, Dateien, Chat, Passwörter und die Anmeldung bei anderen Diensten („Anmelden mit Google oder Microsoft") bei einem einzigen Anbieter haben, genügt eine Störung, ein gesperrtes Konto oder ein gehacktes Passwort, um alles gleichzeitig zu verlieren. Das nennt man Konzentrationsrisiko. Das gilt für jeden Anbieter, auch für einen europäischen. Streuung und ein eigenes Backup (Modul 8) helfen dagegen.

Auf Länderebene spielt dasselbe eine Rolle. In den Niederlanden entstand 2025 und 2026 eine Diskussion über Solvinity, das Unternehmen, das die Infrastruktur für DigiD und MijnOverheid liefert. Das US-amerikanische Unternehmen Kyndryl wollte es übernehmen. Nach einem Gutachten des Bureau Toetsing Investeringen untersagte die Staatssekretärin im Mai 2026 die Übernahme zum Schutz des öffentlichen Interesses; eine der Sorgen war, dass die US-Regierung über den CLOUD Act Zugang erhalten könnte. Das Beispiel zeigt, dass sich auch der Eigentümer eines europäischen Anbieters ändern kann. Ein heute europäischer Dienst kann morgen ein amerikanisches Mutterunternehmen haben. Deshalb gehört ein Exit-Plan (Lektion 8.2) zu jeder Entscheidung.

Neue europäische Regeln: die Data Act

Die EU hat Regeln geschaffen, um den Umstieg zwischen Clouddiensten zu erleichtern, in der Data Act (Verordnung (EU) 2023/2854). Die Verordnung gilt seit dem 12. September 2025. Für Clouddienste (das Gesetz spricht von „Datenverarbeitungsdiensten") stehen die Regeln in Kapitel VI (Artikel 23 bis einschliesslich 31). Kurz zusammengefasst:

• Ein Anbieter darf Sie nicht daran hindern, zu einem anderen Anbieter oder zu eigenen Servern zu wechseln, und muss dabei mitwirken.
• Der Vertrag muss unter anderem eine Kündigungsfrist von höchstens zwei Monaten zulassen, eine Übergangsfrist von grundsätzlich höchstens dreissig Tagen, und eine Frist von mindestens dreissig Tagen, um Ihre Daten abzurufen.
• Anbieter müssen vorab klar über Kosten informieren.
• Umstiegskosten, einschliesslich der Kosten für das Abtransportieren Ihrer Daten (Egress), durften seit Beginn nur noch zum Selbstkostenpreis berechnet werden und entfallen vollständig ab dem 12. Januar 2027 (Artikel 29). Gewöhnliche Abonnementkosten und Vertragsstrafen für die vorzeitige Kündigung eines Vertrags mit fester Laufzeit bleiben weiterhin möglich.

Das hilft, löst aber nicht alles. Das Gesetz besagt, dass Sie Ihre Daten mitnehmen dürfen, nicht dass sie beim neuen Dienst genau gleich funktionieren. Ein Google-Dokument oder einen Teams-Chatverlauf in eine andere Umgebung mitzunehmen, bleibt schwierig (Modul 5, 6 und 7).

NIS2 in einem Absatz

Die europäische NIS-2-Richtlinie (Richtlinie (EU) 2022/2555) verpflichtet mittlere und grosse Organisationen in wichtigen Sektoren, ihre Cybersicherheit und die ihrer Lieferanten in Ordnung zu halten. Eine kleine Bäckerei fällt nicht darunter, aber ein Lieferant einer solchen Organisation kann durchaus Fragen zu seinen eigenen Clouddiensten bekommen. NIS2 sagt nichts darüber, ob europäisch oder nicht europäisch, wohl aber, dass Sie die Risiken in Ihrer Lieferkette kennen müssen.

Abwägen: nicht alles ist gleich wichtig

Sie müssen nicht morgen alles umstellen. Eine nüchterne Abwägung pro Bestandteil hilft dabei. Für jedes Risiko betrachten Sie die Wahrscheinlichkeit, dass es eintritt, und die Auswirkung, wenn es eintritt:

Eine solche Tabelle zeigt, wo Sie anfangen. Der Personalordner ist klein und sensibel: schnell umzuziehen mit viel Gewinn. Die E-Mail ist wichtig, erfordert aber einen sorgfältigen Plan (Modul 4). Den Chatverlauf nehmen Sie vielleicht nicht mit, aber Sie archivieren ihn.

Ehrliches Gegengewicht: Die grossen amerikanischen Dienste sind zuverlässig, technisch stark und Ihren Mitarbeitern vertraut. Ein Umstieg kostet Zeit und Eingewöhnung. Die Frage ist nicht „richtig oder falsch", sondern welche Risiken Sie bewusst in Kauf nehmen.

In der Praxis: so sieht es bei einem Anbieter aus

Fragen Sie bei jedem Anbieter, auch einem europäischen: Wie bekomme ich meine Daten heraus, in welchen Formaten, und wie lange nach der Kündigung komme ich noch heran? Bei WebOké steht zum Beispiel in der Nextcloud-Anleitung, wie Sie Daten zwischen Nextclouds übertragen, und Nextcloud arbeitet mit offenen Standards wie WebDAV, CalDAV und CardDAV, sodass Sie auch zu einem anderen Anbieter wechseln können. Andere Anbieter haben vergleichbare Exportfunktionen; prüfen Sie, ob sie ohne Unterstützung des Supports funktionieren.

Zusammenfassung

• Digitale Souveränität umfasst Vertraulichkeit, Verfügbarkeit und Mitspracherecht.
• Ein Konto kann gesperrt werden, durch einen Fehler, eine Zahlung oder Sanktionen; der IStGH-Fall (2025) zeigt, dass Politik eine Rolle spielt.
• Bedingungen und Preise können sich einseitig ändern; alles bei einem Anbieter zu haben, birgt ein Konzentrationsrisiko.
• Die Data Act (anwendbar seit dem 12. September 2025) gewährt Umstiegsrechte; Umstiegskosten entfallen ab dem 12. Januar 2027.
• Wägen Sie pro Bestandteil Wahrscheinlichkeit und Auswirkung ab und beginnen Sie dort, wo der Gewinn am grössten ist.

Quiz

Aufgabe

Aufgabe A1.5: Ihre eigene Risikogewichtung. Tragen Sie für Ihre eigene Organisation pro Bestandteil (E-Mail, Kalender, Kontakte, Dateien, Dokumente, Chat, Passwörter, Backups) ein, wie vertraulich es ist, wie schlimm ein Ausfall ist und wie schwer ein Umstieg ist. Das Programm prüft, ob Ihre Gewichtung vollständig und konsistent ist, und ordnet die Bestandteile in eine Reihenfolge.

Aufgabe E1.5: Ihre Abwägung in fünf Sätzen. Schreiben Sie auf, warum Ihre Organisation (teilweise) umsteigen möchte oder nicht, welche Risiken Sie bewusst in Kauf nehmen und was das wichtigste Argument für Ihre Kollegen ist.

Weiterführende Lektüre

Die Schritte in diesen Artikeln gelten für die Dienste von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• Nextcloud-Anleitung 1.1: Was ist Nextcloud und was ist ein WebOké Nextcloud?
• Nextcloud-Anleitung 13.1: Vorbereiten: was Sie mitnehmen und in welcher Reihenfolge
• Nextcloud-Anleitung 6.6: Backups bei WebOké: was wir sichern und was Sie selbst tun können
• Verordnung (EU) 2023/2854 (Data Act), Kapitel VI, Artikel 23 bis einschliesslich 31, auf EUR-Lex
• Richtlinie (EU) 2022/2555 (NIS2), auf EUR-Lex