Digitale Souveränität der EU – Wenn Microsoft den Hahn zudreht
Die EU spricht von digitaler Souveränität – aber wie real ist die Gefahr wirklich? Ein Blick auf die jüngste Geschichte zeigt: US-Technologiekonzerne wie Microsoft haben wiederholt bewiesen, dass sie Dienste für ganze Länder, Unternehmen und Institutionen abschalten können und müssen, wenn die US-Regierung es verlangt. Eine Chronologie der Ereignisse, die Europas Umdenken eingeleitet haben.
Der Weckruf: Der Internationale Strafgerichtshof (2025)
Der wohl prominenteste Fall ereignete sich im Februar 2025: US-Präsident Donald Trump verhängte Sanktionen gegen Karim Khan, den Chefankläger des Internationalen Strafgerichtshofs in Den Haag, nachdem dieser Haftbefehle gegen israelische Regierungsmitglieder beantragt hatte. Die Folge: Microsoft sperrte Khans E-Mail-Konto – und damit den zentralen Kommunikationsweg eines der wichtigsten internationalen Gerichte.
Microsoft argumentierte, als US-Unternehmen US-Sanktionen befolgen zu müssen. Der ICC – eine internationale Organisation mit Sitz in Den Haag – sah sich plötzlich von der Entscheidungsgewalt Washingtons abhängig. Berichten zufolge drohte Microsoft damit, die E-Mail-Dienste für die gesamte Organisation zu kappen, sollte der ICC Khan weiterhin Zugang gewähren. Der ICC gab nach und sperrte Khan selbst den Zugriff.
Die Folge war ein innenpolitischer Aufschrei in Europa. Frankreich kündigte an, 2,5 Millionen Beamte von Microsoft auf Linux umzustellen, Dänemarks Digitalministerium leitete die Ablösung sämtlicher Microsoft-Produkte ein, und Deutschland verbot Microsoft Word als verbindliches Dokumentenformat für Bundesbehörden. Die Botschaft war klar: Wer auf US-Cloud setzt, gibt die Kontrolle über seine kritische Infrastruktur aus der Hand.
Russland: Kompletter Service-Entzug ab 2022
Nach dem Einmarsch Russlands in die Ukraine zog Microsoft drastische Konsequenzen. Bereits im März 2022 stellte der Konzern alle Neuverkäufe in Russland ein. Was folgte, war ein schrittweiser, aber totaler Rückzug:
- März 2022: Einstellung aller Neuverkäufe, Entfernung der RT-App aus dem Store, Degradierung russischer Staatsmedien in der Bing-Suche
- Juni 2022: Blockade von Windows 10- und Windows 11-Downloads für russische IP-Adressen – nur per VPN noch erreichbar
- September 2023: Keine Verlängerung von Microsoft-365-Abonnements mehr, keine Zahlungsabwicklung per Überweisung
- März 2024: Kompletter Entzug des Zugriffs auf Cloud-Dienste wie Power BI, Dynamics 365, Azure, OneDrive und SQL Server für russische Unternehmen
- 2024–2025: Schließung von 13 Niederlassungen, Insolvenzanmeldung der Microsoft Rus LLC
Russische Unternehmen und Bürger, die jahrelang auf Microsoft-Produkte gesetzt hatten, standen von einem Tag auf den anderen ohne funktionierende IT-Infrastruktur da.
Indien: Automatisierte Sanktionsdurchsetzung trifft Nayara Energy (2025)
Im Juli 2025 setzte die EU den indischen Ölkonzern Nayara Energy (Mehrheitseigner: Rosneft) auf die Sanktionsliste. Microsofts automatisiertes Compliance-System reagierte umgehend: Outlook- und Teams-Zugänge aller Nayara-Mitarbeiter wurden gesperrt – ohne Vorwarnung, ohne manuelle Prüfung. Nayara verklagte Microsoft vor dem Delhi High Court und bekam die Dienste erst nach gerichtlicher Intervention zurück.
Microsoft räumte später ein, dass ein „veraltetes automatisiertes System" die Sperre ausgelöst hatte, und versprach, künftig eine menschliche Prüfung durch das Senior Management vor jeder Sperre einzuführen. Der Fall zeigte: Selbst verbündete Nationen sind nicht immun gegen die automatische Sanktionsmaschinerie US-amerikanischer Konzerne.
China: Plötzlicher Kündigung von Microsoft-365-Verträgen (2025)
Im Mai 2025 kündigte Microsoft kurzfristig die Business-Accounts der Sun-Yat-sen-Universität in Guangzhou sowie des Genom-Unternehmens BGI Group. Studierende und Mitarbeiter erhielten eine E-Mail mit der Aufforderung, innerhalb von 48 Stunden ihre Daten von OneDrive, OneNote und SharePoint zu sichern – danach war der Zugang Geschichte. Die betroffenen chinesischen Einrichtungen mussten notfalls auf einheimische Alternativen wie Kingsofts WPS Office umsteigen.
Beobachter sehen darin eine direkte Folge des US-chinesischen Technologiekonflikts und der Sanktionspolitik der Trump-Administration. Für chinesische Forschungseinrichtungen bedeutete dies den schlagartigen Verlust von jahrelang genutzten Cloud-Diensten.
Kuba, Iran, Syrien, Sudan, Nordkorea: Dauerhafte Sperren
Microsoft blockiert seine Online-Dienste in US-Embargostaaten seit Jahren systematisch. Betroffen sind Kuba, Iran, Syrien, Sudan und Nordkorea. Bereits 2009 wurden .NET-Messenger-Nutzer in diesen Ländern ohne Vorwarnung ausgesperrt – mit der nichtssagenden Fehlermeldung „Error 810003c1". Auch Microsoft 365 und Azure sind in diesen Ländern komplett unzugänglich, unabhängig davon, ob der einzelne Nutzer etwas mit den Sanktionen zu tun hat.
3,3 Millionen US-Dollar Strafe – und kein Ende (2023)
Im April 2023 zahlte Microsoft über 3,3 Millionen US-Dollar an das US-Finanzministerium (OFAC) und das Bureau of Industry and Security (BIS), um zivilrechtliche Verfahren wegen 1.339 Verstößen gegen US-Sanktionsprogramme zu begleichen. Zwischen Juli 2012 und April 2019 hatte Microsoft Softwarelizenzen und Dienstleistungen an sanktionierte Unternehmen in Kuba, Iran, Syrien, Russland und der Krim verkauft – mit einem Gesamtwert von über 12 Millionen US-Dollar. Das OFAC warf Microsoft „rücksichtslose Missachtung" der Sanktionsvorschriften vor.
Was bedeutet das für die EU?
Diese Fälle sind keine theoretischen Risiken – sie haben sich alle innerhalb weniger Jahre real ereignet. Die Abhängigkeit von US-Cloud-Diensten ist für europäische Regierungen, Unternehmen und Institutionen zu einem sicherheitspolitischen Risiko geworden. Einige Schlüsselerkenntnisse:
- Datenresidenz in Europa ≠ Digitale Souveränität: Auch wenn Daten in EU-Rechenzentren liegen, unterliegt Microsoft als US-Konzern dem US-amerikanischen CLOUD Act und den Sanktionsgesetzen der USA. Ein europäischer Rechenzentrumsstandort schützt nicht vor einer Abschaltung auf Anordnung Washingtons.
- Der „Kill Switch" existiert: Microsoft, Google und Amazon kontrollieren gemeinsam 65 % des europäischen Cloud-Markts. Jeder dieser Konzerne kann per Executive Order der US-Regierung dazu gezwungen werden, Dienstleistungen für bestimmte Personen, Organisationen oder Länder einzustellen.
- Open Source ist der Ausweg: Der ICC ist nach dem Microsoft-Vorfall auf OpenDesk umgestiegen, eine Open-Source-Office-Suite des deutschen Zentrums für Digitale Souveränität (ZenDiS). Frankreich setzt auf Linux-Desktops für die Verwaltung. Deutschland arbeitet an Open-Source-Alternativen zu Microsoft 365. Die EU fördert mit dem CADA (Cloud and AI Development Act) gezielt europäische Open-Source-Lösungen.
Fazit
Die Beispiele zeigen: Die Abhängigkeit von US-Technologiekonzernen ist keine abstrakte Gefahr, sondern eine täglich gelebte Verwundbarkeit. Der ICC-Fall war der Weckruf, der Europa endgültig wachgerüttelt hat. Frankreich, Dänemark, Deutschland und die EU-Kommission ziehen Konsequenzen – aber der Weg zu echter digitaler Souveränität ist lang. Wer heute auf Open Source setzt, investiert in eine Zukunft, in der kein US-Präsident mehr entscheiden kann, ob ein europäischer Staatsanwalt seine E-Mails lesen darf oder nicht.