Microsofts souveräne Cloud: Was Mittelständler davon wirklich haben
22. Oktober 2026
KI-generiert, redaktionell von 8thsense ausgewählt, geprüft und freigegeben. EU AI Act, Art. 50
Microsoft will europäische Bedenken gegenüber US-Clouds mit neuen Kontrollwerkzeugen ausräumen. Am 20. Oktober stellten CEO Satya Nadella und Cloud-Manager Douglas Phillips in Paris einen europäischen Datentreuhänder („Data Guardian”), ein manipulationssicheres Zugriffsprotokoll und lokal betriebene KI für die Microsoft Sovereign Cloud vor. Für Geschäftsführer, deren Betrieb auf Microsoft 365, Azure oder Copilot läuft, ist das ein Anlass, die eigene Datenstrategie nüchtern zu prüfen. Denn viele der Neuerungen zielen auf Behörden und große, regulierte Organisationen, und die rechtliche Grundfrage bleibt offen.
Was Microsoft konkret angekündigt hat
Microsoft beschreibt seine Sovereign Cloud als Kontinuum aus öffentlicher Cloud, privater Cloud auf eigener Hardware (Azure Local) und Partner-Clouds. Phillips formuliert den Ansatz so: Digitale Souveränität beginne beim einzelnen Workload, also bei der Frage, wie viel Kontrolle eine bestimmte Anwendung braucht (Quelle: blogs.microsoft.com). Die wichtigsten Bausteine mit dem Status, den Microsoft selbst nennt:
Data Guardian: Ein vertrauenswürdiger europäischer Partner beaufsichtigt Fernzugriffe von Microsoft-Technikern auf Produktivsysteme, nur in EU und EFTA, laut Microsoft im Rollout.
Production Touch Ledger: ein Protokoll, das diese Zugriffe und die ausgeführten Aktionen festhält, schrittweise eingeführt, ebenfalls nur EU und EFTA.
Externe Schlüsselverwaltung mit Azure Managed HSM: Kunden halten den Hauptschlüssel auf eigener Hardware, allgemein verfügbar.
Sovereign Control Panel: eine Übersicht im Azure-Portal, Public Preview ab der Microsoft Ignite.
Foundry Local und GitHub Enterprise Local: KI-Modelle und Code-Verwaltung auf Azure Local, auch offline, allgemein verfügbar ab Ignite.
Microsoft 365 Local: lokal betriebene SharePoint- und Exchange-Server, nur als Preview für freigegebene Kunden.
Die Ignite findet laut The Next Web vom 17. bis 19. November in San Francisco statt (Quelle: thenextweb.com). Preise nennt Microsoft für keinen der Bausteine.
Wie viel Kontrolle das Zugriffsprotokoll wirklich bringt
Der Kern der Ankündigung ist die Frage, wer wann auf Kundendaten zugreift. Der Production Touch Ledger soll laut heise jeden administrativen Fernzugriff von Microsoft-Technikern samt den durchgeführten Aktionen manipulationssicher dokumentieren (Quelle: heise.de). Das ist ein echter Fortschritt für Prüfungen und Audits. Eine Einschränkung bleibt allerdings: Ein Protokoll, dessen Veränderung erkennbar wird, verhindert keinen Zugriff, es macht ihn nur nachvollziehbar. Offen ist laut The Next Web außerdem, wer der europäische Data-Guardian-Partner ist und ob er einen Zugriff tatsächlich blockieren darf. Diese Fragen beantwortet Microsoft in der Ankündigung nicht.
Die rechtliche Lücke bleibt
Kritiker wie die Gesellschaft für Informatik halten das Konzept laut heise für zu eng gefasst. Die Kontrollen seien vor allem vertragliche und technische Zusatzschichten, während Software-Stack, Architektur und Betriebssysteme bei US-Konzernen blieben. Die GI warnt, dass US-Gesetze wie der CLOUD Act über technische Verflechtungen erhebliche Rechtsrisiken bergen, selbst wenn Daten in Europa verschlüsselt liegen. Wie konkret dieses Risiko ist, zeigte eine Anhörung im französischen Senat im Juni 2025: Microsoft-Frankreich-Manager Anton Carniaux konnte unter Eid nicht garantieren, dass Daten französischer Bürger nie ohne Zustimmung französischer Behörden an US-Stellen gehen. Er fügte hinzu, dies sei noch nie vorgekommen (Quelle: borncity.com). An dieser Rechtslage ändern die neuen Werkzeuge nichts.
Für wen die neuen Optionen gedacht sind
Ein großer Teil der Neuerungen setzt Azure Local voraus, also Microsoft-Infrastruktur auf eigener oder gemieteter Hardware, betrieben von eigenem IT-Personal oder Partnern. Das ist für Ministerien, Banken und Kliniken interessant, für ein Unternehmen mit 30 Mitarbeitern und Microsoft 365 Business Premium eher nicht. Ob Data Guardian und Zugriffsprotokoll auch für Microsoft 365 und Copilot greifen, geht aus Microsofts Text nicht klar hervor, er spricht vor allem über Azure. Auf Microsoft 365 Copilot geht die Ankündigung nicht explizit ein. Wer gehofft hat, Copilot ab sofort mit nachweisbar europäischer Kontrolle nutzen zu können, bekommt also vorerst keine neue Antwort.
Was das für Unternehmen bedeutet
Für die meisten Mittelständler ist die Ankündigung kein Grund zum Handeln, aber ein guter Anlass für eine Bestandsaufnahme vor dem nächsten KI-Ausbau. Sinnvoll ist eine einfache Einteilung der eigenen Daten in drei Klassen: unkritisch (Marketing, öffentliche Inhalte), intern (Angebote, Kalkulationen) und besonders schützenswert (Gesundheitsdaten in Pflege und Therapie, Daten von Kindern in Kitas und Schulen, Personalakten). Für die erste Klasse ist die Standard-Cloud meist unproblematisch. Bei der dritten Klasse lohnt die Frage, ob Copilot oder andere KI-Assistenten darauf überhaupt Zugriff brauchen, oder ob eine europäische bzw. lokal betriebene Lösung die bessere Wahl ist.
Praktisch heißt das: Die IT-Verantwortliche oder der externe Dienstleister prüft in einem halben Tag Auftragsverarbeitungsvertrag, Rechenzentrumsregion und Berechtigungen in Microsoft 365. Danach steht fest, welche Prozessautomatisierung mit KI auf Microsoft-Basis unbedenklich ist und wo Alternativen nötig sind. Ein solcher KI-Potenzial-Check betrachtet Datenflüsse und Einsatzfelder idealerweise gemeinsam, statt Werkzeug für Werkzeug zu entscheiden. Das Versprechen von mehr Souveränität ist ernst gemeint, aber es ist ein Versprechen über Transparenz, nicht über rechtliche Unabhängigkeit.
