Datensouveränität und digitale Resilienz im Microsoft-365-Umfeld
Ersetzen, ergänzen oder härten?
Datensouveränität im M365-Umfeld ist kein Entweder-oder. Die belastbarste Strategie kombiniert eine gehärtete M365-Konfiguration, souveräne Datenräume, gezielte Open-Source-Komponenten und – wo nötig – europäische Lösungen mit starken Exit- und Kontrollrechten.
Ausgangslage: Warum die Frage jetzt so relevant ist
Die Diskussion um Microsoft 365 (M365) wird häufig binär geführt: entweder Public Cloud oder vollständiger Ersatz durch Open Source. Für eine nachhaltige Datensouveränität sind jedoch nicht einzelne Produkte entscheidend, sondern kontrollierbare Datenflüsse, beherrschte Abhängigkeiten, geprüfte Risiken und realistische Exit-Optionen. Digitale Resilienz meint die Fähigkeit, auch in Krisensituationen handlungsfähig zu bleiben – unabhängig von einzelnen Herstellern oder Plattformen.
Dieser Blogartikel betrachtet dabei gezielt den Workplace: Workplace meint E-Mail, Office, Collaboration, Dateiablage, Identität, Endgeräte und flankierende Sicherheitsfunktionen. Die Prinzipien lassen sich sicher teilweise übertragen, doch ERP, OT oder Fachverfahren folgen eigenen Regeln. Entscheidend sind immer Strategien nach Schutzbedarf, Funktionsanforderung, Resilienz und Betriebsfähigkeit – nicht Ideologie. Damit wird die Souveränitätsdebatte Teil der Unternehmensstrategie: Sie entscheidet, ob digitale Prozesse bei regulatorischen Veränderungen, geopolitischem Druck oder Ausfällen weiter funktionieren und resilient skaliert werden können.
Wie souverän ist Microsoft 365 heute?
Microsoft 365 ist in vielen Unternehmen und Verwaltungen zur operativen Basis für Kommunikation, Dokumente, Meetings und Identitäten geworden. Wer M365 nutzt, übergibt zentrale Teile des Arbeitsplatzes an einen globalen Cloud-Anbieter: Identitäten in Entra ID, Dokumente in SharePoint und OneDrive, Kommunikation in Exchange und Teams sowie Sicherheits- und Compliance-Funktionen in Purview und Defender. Das bringt Skalierung, Integration und Innovation, aber auch Abhängigkeiten von Betriebsmodell, Lizenzpolitik, Roadmap und Supportorganisation.
Microsoft hat mit der EU Data Boundary einen wichtigen Schritt unternommen. Für einschlägige Enterprise Online Services verpflichtet sich Microsoft, Kundendaten und personenbezogene Daten innerhalb der EU/EFTA zu speichern und zu verarbeiten. Daten werden im Ruhezustand dort gespeichert. Die Datenresidenz verbessert sich somit, die EU Data Boundary ist aber kein absoluter EU-only-Schutzschirm. Microsoft dokumentiert weiterhin Transfers oder Zugriffe außerhalb der EU Data Boundary, etwa Remote-Zugriffe autorisierter Mitarbeitender, vom Kunden initiierte Übertragungen, Supportdaten, globale Security-Operationen, begrenzte Entra-Verzeichnisdaten, Netzwerktransit sowie optionale Funktionen und Integrationen.
Die fachliche Konsequenz ist klar: M365 kann datenschutzfreundlicher und kontrollierter betrieben werden als eine unkonfigurierte Standardumgebung. Vollständige Autarkie oder Unabhängigkeit von außereuropäischen Rechts- und Betriebsstrukturen liefert die Public Cloud dadurch nicht. Wer hohe Schutzbedarfe, kritische Prozesse oder sensible Forschungs-, Gesundheits- oder Kundendaten verarbeitet, muss Risiken auch für den Krisenfall bewerten.
Neben einer stärkeren Härtung bestehender Microsoft-365-Umgebungen gewinnen deshalb auch souveräne Alternativen und Betriebsmodelle an Bedeutung. Dazu zählen Open-Source-Workplaces, souveräne Cloud-Angebote wie Delos Cloud sowie alternative Workplace-Konzepte wie Workspace by STACKIT.
Wie lässt sich M365 souveräner konfigurieren?
Der größte kurzfristige Hebel liegt nicht in der Migration, sondern in konsequenter Tenant- und Governance-Härtung. Die Herausforderung beginnt mit einem Assessment: Welche Datenklassen werden verarbeitet? Welche Rollen greifen auf welche Informationen zu? Welche Drittanbieter-Apps, Connectors und externen Freigaben sind aktiv? Welche Diagnosedaten und Supportprozesse sind relevant? Ohne Transparenz bleiben Maßnahmen Stückwerk.
Auf Basis dieses Assessments setzen die konkreten Härtungsmaßnahmen in drei Feldern an: Identität, Daten und Governance.
Identitäten absichern
Die Basis bildet der Schutz von Konten und Zugriffen: Multi-Faktor-Authentifizierung, Conditional Access, abgesicherte Administrationskonten, Break-Glass-Konten, Privileged Identity Management, Blockieren von Legacy Authentication, restriktives App-Consent-Management, Auditing und nachvollziehbares Logging. Ziel ist, Identitäten als häufiges Angriffsziel konsequent abzusichern.
Daten schützen und verschlüsseln
Für Informationen sind Sensitivity Labels, Data Loss Prevention (DLP), Retention Policies, eDiscovery- und Audit-Konzepte, Verschlüsselungsoptionen, Customer Lockbox und – bei besonders sensiblen Szenarien – Double Key Encryption zu prüfen. So bleibt kontrollierbar, wer unter welchen Bedingungen auf schützenswerte Inhalte zugreift.
Governance und Auditing verankern
Ebenso relevant sind Teams Federation, Gastzugriffe, anonyme Kalenderfreigaben, externe Sharing-Links, Drittanbieter-Apps und Datenabflüsse über Power Platform, Graph-Integrationen oder Browser-Add-ins. Erst durchgängige Protokollierung macht Souveränitätsmaßnahmen prüfbar.
Organisatorisch reicht eine Checkliste nicht aus. Nötig sind dokumentierte Risikoabwägungen, Datenschutzfolgeabschätzungen, Transfer Impact Assessments, ein Prozess für die Entwicklung und Bewertung neuer M365-Funktionen sowie klare Verantwortlichkeiten zwischen Datenschutz, IT-Security, Fachbereichen und Betrieb. Ergebnis sollte eine Roadmap sein: Welche Schutzmaßnahmen kommen sofort, welche Funktionen bleiben eingeschränkt, welche Veränderungen sind für Nutzer tragbar und welche Datenklassen gehören nicht in Microsoft 365? Als externe Orientierung für Mindestanforderungen an sichere Cloud-Dienste dient der BSI-Kriterienkatalog C5, der sich ausdrücklich auch an Cloud-Kunden für das eigene Risikomanagement richtet.
Dadurch wird Microsoft 365 kontrollierter. Diese Maßnahmen optimieren die Microsoft-Plattform; sie ändern nichts an der Plattformabhängigkeit. Wer Datensouveränität als maximale Handlungsfähigkeit versteht, muss zusätzlich über Exit-Fähigkeit, Datenportabilität und Alternativen nachdenken.
Kann Open Source Microsoft 365 ersetzen?
Ein Denkfehler lautet: „Wir ersetzen M365 durch die eine Open-Source-Lösung.“ Diese eine Lösung gibt es nicht. Ein M365-Ersatz ist ein Stack aus Dateiablage, Office-Bearbeitung, Chat, Video, E-Mail, Kalender, Identität, Projektmanagement, Wissensmanagement, Endgeräteverwaltung, Security Monitoring und Betrieb. Open Source ist in einigen Bereichen stark, in anderen weniger.
Stark ist Open Source vor allem in kollaborativer Datenhaltung und webbasiertem Office. Nextcloud, ownCloud oder Seafile können SharePoint- und OneDrive-Szenarien teilweise ersetzen oder ergänzen. Collabora Online und ONLYOFFICE adressieren Dokumente, Tabellen und Präsentationen. Mattermost, Rocket.Chat, Matrix/Element, Nextcloud Talk, Jitsi oder OpenTalk decken Chat und Video ab. OpenProject, XWiki, Joplin und ähnliche Werkzeuge unterstützen Aufgaben, Projekte und Wissen. Mit openDesk existiert zudem ein kuratierter Open-Source-Workplace-Ansatz mit Nextcloud, Collabora, Element/Matrix, Open-Xchange, OpenProject, XWiki und Univention-Nubus, der besonders für die öffentliche Verwaltung positioniert ist. Für die Datensouveränität ist dabei entscheidend, wo diese Komponenten betrieben werden und wer die Kontrolle über Betrieb und Daten hält.
Solide ist Open Source im Identity- und Access-Management. Keycloak ist etabliert für SSO, OIDC (OpenID Connect) und SAML (Security Assertion Markup Language). Univention UCS adressiert Infrastruktur- und Identity-Szenarien nahe am Microsoft AD. midPoint bietet starke Identity-Governance-Funktionen. Diese Lösungen können souveränitätsfördernd sein, erfordern aber Architektur- und Betriebs-Know-how. Sie ersetzen nicht automatisch die tiefe Integration von Entra ID mit Windows, Intune, Conditional Access, Defender und Enterprise-SaaS-Anwendungen.
Schwächer ist Open Source dort, wo Microsoft eine stark integrierte Plattform liefert: Unified Endpoint Management, Mobile Device Management, EDR/XDR (Endpoint bzw. Extended Detection and Response), globales Threat-Intelligence-gestütztes Security Monitoring, Data Governance im Purview-Umfang, Power-Automate-nahe Low-Code-Workflows oder komplexe Office-Kompatibilität mit Makros, Vorlagen und Fachverfahrensintegrationen. opsi oder WAPT können Softwareverteilung und Client-Management leisten, ersetzen Intune aber nicht vollständig. Open-Source-MDM-Lösungen sind oft plattformspezifisch, jünger oder funktional enger. Genau hier liegen die praktischen Herausforderungen eines Komplettwechsels.
Ergänzen statt vollständig ersetzen: der schnellere Souveränitätsgewinn
Ein vollständiger Wechsel ist nicht der einzige Weg. Für viele Organisationen ist eine Ergänzungsstrategie schneller und risikoärmer. M365 bleibt für Standard-Collaboration und breite Produktivität erhalten, während besonders schützenswerte Daten in einer souverän betriebenen Plattform verarbeitet werden – etwa in einer selbst betriebenen oder europäischen Nextcloud-Umgebung mit Collabora/ONLYOFFICE neben SharePoint Online.
Der Souveränitätsgewinn konzentriert sich auf den Datenbereich mit höchstem Schutzbedarf, ohne den gesamten Arbeitsplatz sofort umzubauen. Das reduziert Migrationsrisiko, Schulungsaufwand und Funktionsverlust. Gleichzeitig entsteht eine Exit- und Ausweichoption für kritische Daten, auch in einer Krise. Damit dieses Modell nicht zu Schatten-IT führt, braucht es Datenklassifikation, Labels und DLP-Regeln, eindeutige Verantwortlichkeiten für Berechtigungen, Backup, Aufbewahrung, Löschung und eDiscovery sowie nachvollziehbare Nutzerführung.
Können andere Clouds M365 ersetzen?
Andere Clouds können M365 nicht automatisch ersetzen – sie verschieben zunächst nur das Betriebsmodell. Relevant sind drei Varianten.
Souveräne Cloud-Modelle auf Basis bekannter Hyperscaler-Technologie
Die Delos Cloud ist dafür das prominenteste deutsche Beispiel. Sie richtet sich an öffentliche Auftraggeber und öffentliche Einrichtungen in Deutschland. Der Ansatz verbindet Microsoft-Technologie, insbesondere Azure und Office-365-nahe Dienste, mit einem technisch, betrieblich und rechtlich souveränen Betriebsmodell: deutsche Datenhaltung, physische Separation, Betrieb durch eine deutsche juristische Person, sicherheitsüberprüftes Personal in Deutschland und Kontrolle nach BSI-Anforderungen. Attraktiv ist das, wenn Organisationen M365-Funktionalität brauchen, aber höhere Anforderungen an Geheimschutz, nationale Datenhaltung und behördliche Kontrolle haben. Delos ist kein allgemeines Angebot für jedes Unternehmen und kein Ausstieg aus Microsoft-Technologie, sondern eine souveräne Bereitstellungsform für berechtigte Nutzergruppen.
Alternative Workplace-Suiten mit europäischem Infrastrukturmodell
Workspace by STACKIT kombiniert zum Beispiel Google Workspace mit souveräner STACKIT-Cloud-Infrastruktur und adressiert Organisationen, die produktiv bleiben, Microsoft-Abhängigkeiten reduzieren und europäische Datenkontrolle stärken wollen. Diese Option kann für regulierte Branchen interessant sein, ist aber kein rein europäischer Softwarestack. Anwendungsebene und Produktlogik stammen weiterhin aus einem globalen Anbieterökosystem. Zu bewerten sind Datenflüsse, Supportmodell, Integrationen, KI-Funktionen, Vertragslage und die Akzeptanz eines Wechsels der Arbeitsweisen.
Betrieb eines Open-Source- oder On-Premises-Workplace-Stacks auf einer europäischen Cloud, einer Private Cloud oder eigener Infrastruktur.
Dieses Modell gibt maximale Gestaltungsfreiheit, verlangt aber Betriebsreife. Plattformbetrieb, Kubernetes oder klassische Server, IAM, Patchmanagement, Monitoring, Backup, Disaster Recovery, Schwachstellenmanagement, Mandantentrennung und Support müssen professionell erbracht werden. Für einen MSP kann daraus ein starkes Angebot entstehen. Für interne IT ohne Kapazitäten kann es zur Überforderung werden.
Multi-Cloud-Diversifizierung kann die Resilienz und digitale Resilienz erhöhen, wenn sie bewusst gestaltet ist: klare Datenzonen, einheitliches Identity-Modell, zentrale Security-Governance, dokumentierte Exit-Szenarien und getestete Wiederanlaufprozesse. Gerade in einer Krise zählt nicht die Zahl der Clouds, sondern ob Prozesse fortgeführt, Daten wiederhergestellt und Entscheidungen unabhängig getroffen werden können. Unkontrollierte Multi-Cloud erhöht Kosten, Komplexität und Angriffsfläche.
Die Praxis zeigt: Datensouveränität wird selten durch den vollständigen Austausch einer Plattform erreicht. Häufig entsteht sie durch die Kombination aus gehärteten Microsoft-365-Umgebungen, souveränen Datenräumen, offenen Standards, geeigneten Open-Source-Komponenten und klar definierten Exit-Strategien.
Datensouveränität in der Praxis: Drei typische Zielbilder
Microsoft 365 härten
Geeignet für Organisationen, die Microsoft 365 weiterhin umfassend nutzen möchten. Der Schwerpunkt liegt auf Security, Governance, Compliance und kontrollierten Datenflüssen.
Microsoft 365 gezielt ergänzen
Geeignet für Unternehmen und Behörden mit erhöhtem Schutzbedarf. Besonders sensible Daten werden in souveränen Plattformen verarbeitet, während M365 für Standard-Collaboration bestehen bleibt.
Microsoft 365 Workplace schrittweise ersetzen
Geeignet für Organisationen mit hohen regulatorischen Anforderungen oder strategischem Wunsch nach größerer Unabhängigkeit. Der Wechsel erfolgt meist schrittweise über mehrere Jahre und erfordert zusätzliche Betriebs- und Change-Kompetenz.
Empfehlung: Zielbild vor Toolentscheidung
Die Entscheidung sollte mit fünf Fragen beginnen:
- Welche Daten und Prozesse haben welchen Schutzbedarf? Nicht jede Datei benötigt dieselbe Souveränitätsstufe.
- Welche Abhängigkeiten sind kritisch: Anbieter, Identität, Dateiformate, Automatisierungen, Fachverfahren, Support, Know-how oder Cloud-Infrastruktur?
- Welche Mindestanforderungen gelten für Sicherheit und Betrieb: SLA, Patchzeiten, Logging, SIEM-Anbindung, Backup, Wiederanlauf, Auditierbarkeit und Mandantentrennung?
- Welche Exit-Fähigkeit ist realistisch: Datenexport, offene Schnittstellen, Dokumentation, alternative Dienstleister, Vertragslaufzeiten und Migrationspfade?
- Welche Organisation kann den Betrieb leisten: interne IT, MSP, Hersteller-Support, OSPO, Security-Team und Change-Management?
Erst danach ist es sinnvoll zu entscheiden, ob M365 gehärtet, um eine souveräne Datenplattform ergänzt, schrittweise ersetzt oder durch ein souveränes Cloud-Angebot neu bereitgestellt wird.
Fazit: Souveränität ist kein Entweder-oder
Die richtige Antwort lautet selten: „M365 bleibt unverändert“ – und ebenso selten: „Alles muss sofort Open Source sein“. M365 lässt sich souveräner konfigurieren, aber es bleibt eine starke Plattformabhängigkeit. Open Source kann zentrale Abhängigkeiten reduzieren, benötigt jedoch einen belastbaren Stack, professionellen Betrieb und realistische Erwartungen an Funktionsparität. Kommerzielle europäische Produkte sind kein Verrat an Souveränität. Sie können dort sinnvoll sein, wo Open-Source-Lücken bei MDM, Endpoint Management, Security, Support oder Compliance bestehen. Souveräne Clouds wie Delos oder Workspace by STACKIT bieten zwar Optionen, lösen jedoch nicht automatisch jede Abhängigkeitsfrage.
Der belastbare Weg ist ein kombiniertes Modell aus gehärtetem Microsoft 365, souveränen Datenräumen für sensible Daten, gezieltem Open-Source-Einsatz und nüchtern bewerteten europäischen Komponenten – abgesichert durch technische und vertragliche Exit-Fähigkeit.
Denn Datensouveränität ist keine Produktentscheidung, sondern eine Architektur- und Governance-Disziplin und ein Kernbaustein für die Zukunft digitaler Widerstandsfähigkeit.
Häufige Fragen zur Datensouveränität im M365-Umfeld
-
Was bedeutet Datensouveränität bei Microsoft 365?
Datensouveränität bei Microsoft 365 bedeutet, Datenflüsse, Zugriffe und Abhängigkeiten dauerhaft kontrollierbar zu halten. Sie entsteht nicht durch ein Lizenzmodell, sondern durch Härtung, souveräne Datenräume, offene Standards und klare Exit-Strategien.
-
Ist Microsoft 365 durch die EU Data Boundary vollständig souverän?
Nein. Die EU Data Boundary verbessert die Datenresidenz, ist aber kein absoluter EU-only-Schutzschirm. Microsoft dokumentiert weiterhin definierte Transfers und Zugriffe außerhalb der EU, etwa für Support, Security-Operationen und bestimmte Verzeichnisdaten.
-
Kann Open Source Microsoft 365 vollständig ersetzen?
Nein, nicht mit einer einzelnen Lösung. Open Source ist bei Dateiablage, Office und Identität stark, zeigt aber Lücken bei Endpoint-Management, EDR/XDR, Security Monitoring und tiefer Plattformintegration. Ein Ersatz erfordert immer einen kombinierten Stack.
-
Wie lässt sich Microsoft 365 souveräner konfigurieren?
Der schnellste Hebel für mehr Datensouveränität ist die Tenant- und Governance-Härtung. Dazu zählen Multi-Faktor-Authentifizierung, Conditional Access, Sensitivity Labels, DLP, Auditing sowie dokumentierte Risiko- und Transfer-Impact-Assessments.
-
Was ist die Delos Cloud?
Die Delos Cloud ist ein souveränes Cloud-Angebot für den öffentlichen Dienst in Deutschland. Sie kombiniert Microsoft-Technologie mit deutscher Datenhaltung, physischer Separation, Betrieb durch eine deutsche juristische Person und Kontrolle nach BSI-Anforderungen.
-
Was ist der beste Weg zu mehr Datensouveränität?
Der belastbarste Weg ist ein kombiniertes Modell: Schutzbedarfe definieren, M365 gezielt härten, sensible Daten in souveränen Plattformen verarbeiten, Open Source bewusst einsetzen und Exit-Fähigkeit vertraglich wie technisch absichern.
Zentrale Belege sind bereits im Text verlinkt.
Ergänzend:
- Microsoft Learn: Continuing data transfers out of the EU Data Boundary for specific services
- STACKIT: Workspace by STACKIT
- ZenDiS: openDesk – Produktübersicht
- OSBA: Die Leitlinien der Open Source Business Alliance
Hinweis: Der Text liefert eine technische und organisatorische Einordnung und ersetzt keine rechtliche Einzelfallprüfung.
Verfasst von
Jörg Kähler blickt auf 25 Jahre Erfahrung im Microsoft-Consulting zurück. Seit über zehn Jahren gestaltet er als Lead Solution Architect die Weiterentwicklung von Microsoft 365 und verantwortet moderne Managed-Workplace-Services, die Arbeitswelten zukunftssicher machen.