Blog: Unabhängigkeit & Open Source on Digital Independence

Souveränität auf Microsofts Servern

Tue, 09 Jun 2026 00:00:00 +0000

Sie haben gestern einen Bericht eingereicht. Eine Kleinigkeit — ein Layout-Problem in einem Dokument, ein paar Zeilen Beschreibung, zwei Bilder. Sie haben mit Ihrem Klarnamen signiert, weil das Projekt, an dem Sie mithalfen — eine europäische Initiative für digitale Unabhängigkeit — Ihnen wie die Sorte Arbeit vorkam, zu der es sich zu bekennen lohnt.

Heute Morgen funktioniert Ihre Kreditkarte nicht mehr.

Diese Abfolge ist heute nicht dokumentiert. Sie ist die Form einer Abfolge, die die vergangenen achtzehn Monate Schritt für Schritt plausibler gemacht haben. Am 5. Mai 2025 versagte das Microsoft-365-Konto von Karim Khan, Chefankläger des Internationalen Strafgerichtshofs, nachdem die Trump-Regierung ihn unter Executive Order 14203 gelistet hatte. Im Mai 2026 übergab Microsoft die persönlichen Daten und Kommunikationen niederländischer Beamter — Aufsichtsbeamte, die den EU Digital Services Act vollziehen — auf eine Vorladung des US-Kongresses hin. In beiden Fällen hatten die Betroffenen Jahre zuvor einen in den USA ansässigen Dienstleister gewählt — auf der Grundlage einer zu jener Zeit vernünftigen institutionellen Beschaffung. Die politische Folge war eine Eigenschaft der Lieferkette, die niemand auditiert hatte.

Frontend- vs. Backend-Souveränität

Sat, 06 Jun 2026 00:00:00 +0000

Sie sind IT-Leiter einer deutschen Stadt oder eines Landkreises, deren Digital-Souveränitäts-Roadmap die Änderung der Standard-Suchmaschine auf verwalteten Geräten umfasst. Das Europäische Parlament hat Qwant zum Standard auf Microsoft Edge und Mozilla Firefox in 720 MdEP-Büros und mehreren tausend Mitarbeiter-Geräten gemacht — die Änderung ging am Donnerstag, dem 4. Juni 2026, live. Ihr CIO hat die Politico-Meldung mit zwei Wörtern weitergeleitet: wir auch?

CADA, bevor sie landet

Fri, 05 Jun 2026 00:00:00 +0000

Sie sind IT-Leiter bei einer deutschen Krankenkasse, DORA- und BaFin-pflichtig. Ihr Vorstand hat soeben die Ankündigung der EU-Kommission zum am Dienstag, 3. Juni 2026, angenommenen Tech-Souveränitätspaket weitergeleitet, mit einem Satz: Was bedeutet das für unsere Cloud-Beschaffung 2027? Die Ausschreibung läuft auf 18 Millionen Euro über fünf Jahre. Ihr CIO will bis Freitag eine einseitige Notiz.

Der vorgeschlagene Cloud and AI Development Act (CADA) ist der Teil des Pakets, der Ihre Beschaffung am direktesten berührt. Er wird Cloud-Anbieter in vier Souveränitätsstufen einordnen. Die höchste Stufe — nach der rechtlichen Logik des Vorschlags — ist für US-ansässige Anbieter nicht erreichbar, weil der CLOUD Act einen strukturellen Konflikt erzeugt. Finanz-, Justiz- und Gesundheitsdaten von Regierungen und Organisationen des öffentlichen Sektors werden auf Infrastruktur der höchsten Souveränitätsstufe laufen müssen. Der Vorschlag ist eine Verordnung unter Artikel 114 AEUV, die unmittelbar anwendbare Binnenmarktwirkung erzeugt. Wenn er unverändert verabschiedet wird, können die Mitgliedstaaten seine Anwendung nicht individuell schwächen.

Wenn freiwillig schlimmer ist

Sun, 24 May 2026 00:00:00 +0000

Sie sind ein niederländischer Wettbewerbsregulierer. Sie korrespondieren per E-Mail mit den US-Plattformen, die Sie beaufsichtigen. Sie nehmen an, dass diese Korrespondenz geschützt ist — durch die DSGVO, durch das niederländische Verwaltungsrecht, durch den Umstand, dass diese Plattformen europäische Tochtergesellschaften unterhalten, die europäischen Gerichten unterstehen. Am vergangenen Freitagnachmittag haben Sie erfahren, welche dieser Annahmen tragend war.

Die Antwort: keine.

Am Freitag, dem 22. Mai 2026, veröffentlichte das niederländische Magazin Vrij Nederland, dass Microsoft Ihre E-Mails auf eine Vorladung des US-Kongresses hin herausgegeben hatte. Empfänger war das House Judiciary Select Subcommittee on the Weaponization of the Federal Government unter Vorsitz von Jim Jordan. Die Vorladungen waren im Juli zuvor ergangen — an zehn Tech-Konzerne, mit der Forderung nach interner Kommunikation mit ausländischen Regierungen zur Inhaltemoderation. Microsofts Antwort, als Vrij Nederland sie verifizierte, enthielt die ungeschwärzten Namen von Beamten der Autoriteit Consument en Markt (ACM) und der Autoriteit Persoonsgegevens (AP) — der Regulierungsbehörden, die den EU Digital Services Act in den Niederlanden durchsetzen.

Was das Veto verändert

Mon, 27 Apr 2026 00:00:00 +0000

Sie sind IT-Leiter einer deutschen Bundesbehörde. Am Mittwochmorgen liegen drei Dinge in Ihrem Posteingang: eine Pressezusammenfassung zum Politico-Interview, das Karsten Wildberger Mitte April 2026 gegeben hat, ein Vermerk Ihres Beschaffungsreferats zu drei Vorhaben in Ihrer Roadmap 2026/27, die jeweils über 500.000 € pro Jahr liegen, und eine Nachfrage Ihrer KI-Strategiestelle, ob die verpflichtende föderale KI-Plattform auf den Rollout greife, den Sie für Q3 vorbereitet haben. Die drei Dokumente hängen zusammen. Dieser Zusammenhang ist die Frage, für deren Beantwortung dieser Text existiert.

Wie man §58 VgV Nr. 4 zitiert

Sat, 25 Apr 2026 00:00:00 +0000

Sie sind Beschaffungsverantwortlicher in einem deutschen Kommunal-IT-Amt. Am 1. Juli 2026 wird Ihre nächste große Ausschreibung — der Ersatz eines Bürgerportals im Volumen von 2,3 Mio. Euro — die erste sein, die Ihr Amt unter der neuen §58 VgV Nummer 4 schreibt. Die Klausel ist Gesetz: Aspekte der digitalen Souveränität sind ein ausdrückliches Zuschlagskriterium im deutschen Vergaberecht. Die Vorlagenbibliothek Ihres Amts ist noch nicht aktualisiert. Die Rechtsabteilung erwartet bis Freitag einen Entwurf.

ES³: Standard oder Marketing?

Wed, 22 Apr 2026 00:00:00 +0000

Die Pressemitteilung kam am Freitag, dem 17. April 2026, drei Tage vor Öffnung der Hannover Messe. Rolf Schumann und Christian Müller, Co-CEOs von Schwarz Digits, stellten den European Sovereign Stack Standard — ES³ — mit dem ausdrücklichen Anspruch vor, Europas Maß für digitale Souveränität zu werden. Das Format: ein Reifegradmodell in vier Stufen — Basic, Initial, Advanced, Future-Proof. Der Mechanismus: ein Katalog von über 100 Kriterien. Das Glaubwürdigkeitssiegel: unabhängige Verifizierung durch BDO AG, deren Vorstandsvorsitzender Parwäz Rafiqpoor das Testat unterzeichnete.

Europa, schau auf Frankreich

Tue, 14 Apr 2026 00:00:00 +0000

Die Konvergenz brauchte sechs Tage.

Am Montag, dem 13. April 2026, um 13:25 Uhr veröffentlichte Moritz Förster „Europa, schau auf Frankreich" in der heise-Meinung. Am selben Montag stellte Steven J. Vaughan-Nichols „Digital sovereignty isn’t just a buzzword – it’s the future" in The Register ein. Der Atlantic Council hatte einen Bericht bereit mit fast derselben Schlagzeile. Linuxiac, gHacks, TheNextWeb und ein kleines Heer von Newslettern hallten die Rahmung über die Woche wider. Bis Freitag war watch France zur Konsenslesart europäischer Souveränität geworden.

Die Akte bis Herbst

Fri, 10 Apr 2026 00:00:00 +0000

Sie sind CIO an einem französischen Ministerium. Am Mittwochmorgen, dem 8. April 2026, liegt in Ihrem Posteingang eine einseitige Richtlinie der Direction interministérielle du numérique, gemeinsam unterzeichnet von DINUM, der DGE, der ANSSI und der DAE. Bis zum Herbst sollen Sie einen schriftlichen Plan vorlegen, der die außereuropäischen digitalen Abhängigkeiten Ihres Ministeriums reduziert. Sieben Kategorien sind verpflichtend: Arbeitsplätze, Kollaborationstools, Antivirus, Künstliche Intelligenz, Datenbanken, Virtualisierung, Netzwerkausrüstung. Die Unterschriften auf der Richtlinie tragen Anne Le Hénanff und David Amiel. Die Frist ist nicht verhandelbar.

Digitale Souveränität: Warum jetzt

Thu, 26 Mar 2026 00:00:00 +0000

Ein mittelständischer deutscher Hersteller erhält eine Routineanfrage von einer Landesbehörde. Die Anfrage kommt als .odf-Datei. Die IT-Abteilung des Herstellers kann sie nicht korrekt öffnen — die Microsoft-Office-Installation rendert die Tabellen fehlerhaft. Man schickt eine .xlsx zurück. Die Behörde retourniert: falsches Format, bitte erneut einreichen.

Das ist keine Geschichte über Dateiformate. Es ist eine Geschichte über einen Wandel, der bereits begonnen hat — einen, der digitale Souveränität vom politischen Debattenthema zum IT-Planungsfaktor macht, für Organisationen jeder Größe.

Deutschland verordnet offene Formate

Wed, 25 Mar 2026 00:00:00 +0000

Irgendwo in einem Bundesministerium öffnet eine Sachbearbeiterin eine Tabellenkalkulation. Die Dateiendung lautet .xlsx. Sie hat das tausende Male getan — es ist der Standard, die Sache, über die man nie nachdenkt. Doch seit dem 18. März 2026 hat dieser Standard ein Ablaufdatum.

Der IT-Planungsrat — das Gremium, in dem Bund und Länder ihre digitale Infrastruktur koordinieren — hat beschlossen, dass alle deutschen Behörden auf ODF für bearbeitbare Dokumente und PDF für Endfassungen umstellen müssen. Microsofts .docx, .xlsx und .pptx stehen nicht auf der Liste.

Technologie als Druckmittel

Tue, 03 Mar 2026 00:00:00 +0000

Freitag, 27. Februar 2026. Kurz vor fünf.

In einem Verhandlungsraum des Pentagons lag ein Kompromiss auf dem Tisch. Das KI-Unternehmen Anthropic hatte zwei rote Linien gezogen: keine autonomen Waffen, keine Massenüberwachung. Das Pentagon hatte bei den autonomen Waffen nachgegeben — die Formulierung „as appropriate", das Schlupfloch für den Einsatz von Anthropics KI-Modell Claude in Waffensystemen, sollte gestrichen werden. Anthropic hatte im Gegenzug angeboten, mit der NSA an Daten zu arbeiten, die unter richterlicher Aufsicht nach dem FISA-Gesetz erhoben wurden.

Weltkarte digitaler Abhängigkeit

Tue, 03 Mar 2026 00:00:00 +0000

Fünf Unternehmen — Microsoft, Apple, Google, Amazon, Meta — bilden das digitale Fundament für den Großteil der Welt. Aber nicht für die ganze Welt. Und die Ausnahmen sind so aufschlussreich wie die Regel.

In China läuft der Zahlungsverkehr über Alipay und WeChat Pay, nicht über Visa. In Indien wickelt UPI mehr Transaktionen ab als Visa und Mastercard zusammen — auf eigener Infrastruktur. In Kenia braucht man für eine Überweisung kein Bankkonto, sondern ein Mobiltelefon mit M-Pesa.

Digitales Risikoaudit

Thu, 26 Feb 2026 00:00:00 +0000

Ein französischer Richter am Internationalen Strafgerichtshof will ein Hotelzimmer buchen. Er reicht seine Kreditkarte. Abgelehnt. Die zweite Karte. Abgelehnt. Beide Karten europäischer Banken, beide Konten gedeckt — aber der Zahlungsverkehr läuft über Visa und Mastercard. Amerikanische Netzwerke. Amerikanische Regeln.

KI-Sicherheit unter Druck

Thu, 26 Feb 2026 00:00:00 +0000

Im September 2023 stellte Anthropic ein Dokument vor, das in der KI-Branche als wegweisend galt: die Responsible Scaling Policy (RSP). Das Kernversprechen war ungewöhnlich klar: Wenn ein KI-Modell bestimmte Fähigkeitsschwellen überschreitet, wird die Entwicklung pausiert — so lange, bis die Sicherheit nachweislich gewährleistet ist. OpenAI und Google DeepMind übernahmen kurz darauf ähnliche Frameworks.

Pentagon vs. Anthropic

Wed, 25 Feb 2026 00:00:00 +0000

Im Februar 2026 stellt das US-Verteidigungsministerium dem KI-Unternehmen Anthropic ein Ultimatum. Die Forderung: uneingeschränkter Zugang zu Anthropics KI-Modellen – einschließlich Anwendungen, die Anthropics eigene Nutzungsbedingungen ausdrücklich verbieten. Die Drohung: ein Kriegsproduktionsgesetz aus dem Jahr 1950.

Sieben Monate zuvor hatte dasselbe Unternehmen einen 200-Millionen-Dollar-Vertrag mit demselben Verteidigungsministerium unterzeichnet. Anthropic hat verantwortungsvolle KI-Entwicklung zum Gründungsprinzip erklärt – und war zugleich das erste KI-Unternehmen, das für den Einsatz auf klassifizierten Militärnetzwerken zugelassen wurde.

Copilot umgeht DLP, liest E-Mails

Sat, 21 Feb 2026 00:00:00 +0000

Im Januar 2026 stellten Organisationen, die Microsoft 365 nutzen, fest, dass Copilot Chat E-Mails zusammenfasste, die als vertraulich gekennzeichnet waren — obwohl Data-Loss-Prevention-Richtlinien (DLP) genau das verhindern sollten. Der Fehler wurde am 21. Januar von Kunden gemeldet. Microsoft bestätigte ihn Anfang Februar in einer Mitteilung unter der Kennung CW1226324.

Was passiert ist

Microsoft 365 verwendet Vertraulichkeits-Labels (z. B. „Vertraulich", „Streng vertraulich") und DLP-Richtlinien über Microsoft Purview, um den Datenfluss innerhalb einer Organisation zu kontrollieren. Die Erwartung: Wenn eine E-Mail als vertraulich gekennzeichnet ist, sollten KI-Werkzeuge sie nicht verarbeiten.

Grist wird Teil der Suite Numérique

Sat, 21 Feb 2026 00:00:00 +0000

Frankreichs souveräne Produktivitätssuite — die Suite Numérique, früher bekannt als LaSuite — hat eine weitere Komponente erhalten: Grist, ein Open-Source-Tool, das die Zugänglichkeit einer Tabellenkalkulation mit der Struktur einer relationalen Datenbank und einem No-Code-App-Builder kombiniert.

Souveränitäts-Washing erklärt

Sat, 21 Feb 2026 00:00:00 +0000

Der Deutschland-Stack soll der öffentlichen Verwaltung eine digitale Infrastruktur geben, die sie tatsächlich kontrolliert. Das Ziel ist ambitioniert: eine nationale Plattform für Bund, Länder und Kommunen, gebaut auf offenen Standards, um die Abhängigkeit von US-Hyperscalern zu reduzieren.

Doch die Open Source Business Alliance (OSBA) warnt, dass der aktuelle Entwurf ein gefährliches Schlupfloch öffnet. Die überarbeitete Spezifikation sieht vor, dass „Lösungen europäisch souveräner Anbieter" gleichberechtigt neben Open-Source-Angeboten stehen dürfen. Das klingt vernünftig — bis man bedenkt, was es in der Praxis bedeutet.

Die Grenzen digitaler Unabhängigkeit