Digitale Souveränität. Wissen, wo Ihre Daten liegen.

Meist ja, wenn es richtig eingestellt und belegt ist. Im regulierten Mittelstand wird Souveränität fast immer innerhalb von Microsoft 365 hergestellt: Speicherort je Dienst, Zugriffswege, Verschlüsselung und Nachweise lassen sich einstellen. Erfüllt Microsoft eine Anforderung nicht, sagen wir das und zeigen den Weg über openDesk oder ein hybrides Modell.

Die EU Data Boundary ist Microsofts Zusage, Kundendaten der zentralen Dienste innerhalb der EU zu speichern und zu verarbeiten. Sie deckt nicht jeden Dienst und nicht jeden Fall gleich ab, und ob der Anbieter oder Behörden eines Drittstaats zugreifen können, beantwortet sie nicht abschließend. Für ein Audit brauchen Sie deshalb eine Aussage je Dienst. Ein Verweis auf das Programm reicht nicht.

Mit Customer Key stellen Sie die Schlüssel für ruhende Daten selbst bereit und können den Zugriff im Ernstfall entziehen. Für Microsoft bleiben die Daten lesbar, denn die Dienste verarbeiten sie im Betrieb entschlüsselt. Eine Ende-zu-Ende-Verschlüsselung ist Customer Key deshalb nicht.

Das hängt vom Dienst, vom Tenant-Standort und von der gebuchten Konfiguration ab, und für einzelne Funktionen und Support-Vorgänge gelten eigene Regeln. Wir nehmen den Speicherort je Dienst auf und dokumentieren ihn so, dass Sie ihn im Audit vorlegen können.

Technisch ja. Offen ist meist, was es kostet und wie lange es dauert, und das rechnet kaum jemand vorher durch. Wir sehen uns an, in welchen Formaten Ihre Daten herauskommen, welche Prozesse an anbieterspezifischen Funktionen hängen und welche Dienste sich nach openDesk oder in ein hybrides Modell überführen lassen. Sie erhalten einen dokumentierten Ausstiegsweg, auch wenn Sie ihn nie gehen.

openDesk ist ein quelloffener Arbeitsplatz mit Mail, Dateien, Dokumenten und Videokonferenz, entstanden im Umfeld der öffentlichen Verwaltung. Er kann in Deutschland oder in Ihrem eigenen Rechenzentrum betrieben werden. Microsoft 365 ersetzt er nicht in jeder Hinsicht, vor allem nicht bei tief integrierten Fachanwendungen. Sinnvoll ist er dort, wo Datenhoheit schwerer wiegt als Funktionsumfang: bei Organisationen nahe der öffentlichen Hand, in besonders schutzwürdigen Bereichen oder für einzelne Dienste neben einem bestehenden Tenant.

Der CLOUD Act erlaubt US-Behörden unter bestimmten Voraussetzungen, von US-Anbietern Daten zu verlangen, die diese kontrollieren, unabhängig vom Speicherort. Eine Speicherung in der EU allein beseitigt dieses Restrisiko also nicht. Anbieter treten überzogenen Anfragen entgegen und berichten darüber, vertragliche und technische Maßnahmen verringern das Risiko weiter. Ganz ausschließen lässt es sich nur, wenn die Daten nicht bei einem Anbieter liegen, der dem CLOUD Act unterliegt. Für einzelne Dienste kann das sinnvoll sein, für andere wäre es unverhältnismäßig.

Als vollständiger Ersatz selten, als Teilweg oft. Schwierig ist meist die Anbindung: Fachverfahren, Add-ins, gewachsene Abläufe und die Frage, wer den Betrieb übernimmt. Meist läuft es auf ein hybrides Modell hinaus: Besonders schutzwürdige Bereiche wechseln zu openDesk, der Rest bleibt in Microsoft 365, mit klarer Abgrenzung.

Einen pauschalen Speicherort schreiben beide nicht vor. Sie verlangen, dass Sie Ihre Abhängigkeiten von Dienstleistern kennen, bewerten und dokumentieren, auch für den Fall, dass ein Dienst ausfällt oder der Zugriff verloren geht. Der Datenstandort ist eines der Mittel für diese Bewertung. Belegen müssen Sie die Antwort je Dienst.