Sie sind ein niederländischer Wettbewerbsregulierer. Sie korrespondieren per E-Mail mit den US-Plattformen, die Sie beaufsichtigen. Sie nehmen an, dass diese Korrespondenz geschützt ist — durch die DSGVO, durch das niederländische Verwaltungsrecht, durch den Umstand, dass diese Plattformen europäische Tochtergesellschaften unterhalten, die europäischen Gerichten unterstehen. Am vergangenen Freitagnachmittag haben Sie erfahren, welche dieser Annahmen tragend war.

Die Antwort: keine.

Am Freitag, dem 22. Mai 2026, veröffentlichte das niederländische Magazin Vrij Nederland, dass Microsoft Ihre E-Mails auf eine Vorladung des US-Kongresses hin herausgegeben hatte. Empfänger war das House Judiciary Select Subcommittee on the Weaponization of the Federal Government unter Vorsitz von Jim Jordan. Die Vorladungen waren im Juli zuvor ergangen — an zehn Tech-Konzerne, mit der Forderung nach interner Kommunikation mit ausländischen Regierungen zur Inhaltemoderation. Microsofts Antwort, als Vrij Nederland sie verifizierte, enthielt die ungeschwärzten Namen von Beamten der Autoriteit Consument en Markt (ACM) und der Autoriteit Persoonsgegevens (AP) — der Regulierungsbehörden, die den EU Digital Services Act in den Niederlanden durchsetzen.

Dann lieferte Microsoft eine Erklärung, die Sie mehr beunruhigen sollte als die Offenlegung selbst. Der CLOUD Act sei nicht angewandt worden. Die Mitwirkung sei freiwillig gewesen.

Dieses Wort — freiwillig — ist der Teil dieser Geschichte, den fast keine öffentliche Kommentierung richtig eingeordnet hat. Hätte der CLOUD Act die Offenlegung erzwungen, hätten die betroffenen Regulierer wenigstens eine rechtliche Schwelle, gegen die sie vor Gericht argumentieren könnten. Freiwillige Mitwirkung bedeutet: Es gab keine Schwelle. Es gab Microsofts kommerzielles Urteil, dass Kooperation mit einem Unterausschuss des Kongresses einer Verweigerung vorzuziehen sei. Das Urteil war rational. Es war zugleich, im strikten Sinne, durch europäisches Recht in keiner Weise beschränkt.

Die Namen liegen jetzt in Washington. Der Ausschuss, der sie angefordert hat, beschreibt die Arbeit der betroffenen Beamten als „Zensur amerikanischer Meinungsäußerung". Die niederländische Staatssecretaris für digitale Souveränität, Willemijn Aerdts, bestellte am selben Freitag den US-Botschafter ein. Die Daten waren bereits unterwegs.

Dieser Artikel ist das Audit der Architektur, die dieses Ergebnis hervorgebracht hat, der Reframe, der das Audit nutzbar macht, und die Beschaffungsfrage, die jeder europäische Regulierer und jedes Ministerium beantworten muss, bevor die nächste Vorladung eintrifft.

Was Microsoft übergab

Es waren keine Zusammenfassungen. Es war das rohe Arbeitsmaterial der Regulierer: E-Mails zwischen namentlich genannten ACM- und AP-Mitarbeitern und Microsoft-Konzernvertretern, Kalendereinträge interner Sitzungen, Protokolle aus Beratungen zur DSA-Umsetzung. Der Ausschuss erhielt die Namen vollständig. Laut Berichterstattung in iBestuur teilte Meta ähnliche Daten; die übrigen acht vorgeladenen Konzerne haben eine Mitwirkung öffentlich nicht bestätigt.

Erklärter Auftrag des Ausschusses ist die Untersuchung, ob europäische Online-Plattformregulierung eine Zensur von US-Unternehmen darstellt. Die in den Dokumenten benannten Beamten sind diejenigen, die in niederländischer Zuständigkeit genau die Regeln durchsetzen, die der Ausschuss untersucht. Der Weaponization-Unterausschuss hat damit die Namen europäischer Beamter in seinen Akten, die Regeln durchsetzen, die er als feindselig betrachtet.

Cybernews berichtet, dass einige betroffene Mitarbeiter Familie in den USA haben und nun fürchten, die Einreise verweigert zu bekommen. Diese Furcht ist nicht theoretisch: Die Trump-Regierung hat europäische Vertreter der Zivilgesellschaft sanktioniert, darunter die Geschäftsführung der deutschen NGO HateAid im Dezember 2025, wegen einer aus US-Sicht feindseligen Sprachregulierung. Der Pfad vom Namen auf einer Unterausschuss-Liste zum Einreiseverbot an der US-Grenze ist kürzer, als europäische Regulierer historisch angenommen haben.

Am Freitagnachmittag hatte Staatssecretaris Willemijn Aerdts dem US-Botschafter Joe Popolo ins Gesicht gesagt: „Als ik problemen heb, vecht je die met ons uit of, indien nodig, in Europa, maar niet over de ruggen van ambtenaren heen." („Wenn Sie ein Problem haben, tragen Sie es mit uns aus, notfalls in Europa, aber nicht auf dem Rücken von Beamten.") Aerdts war drei Monate zuvor zur ersten niederländischen Staatssecretaris für Digitalwirtschaft und Souveränität ernannt worden, im Kabinett Jetten, das am 23. Februar antrat. Der Botschafter, den sie einbestellte, war noch nicht so lange in Den Haag. Die Intervention war substantiell. Beschaffungstechnisch war sie zugleich hohl: Sie zitierte einen Diplomaten herbei, keinen Lieferanten.

Die Verteidigung ist die Offenlegung

Microsoft hat zur niederländischen Angelegenheit keine ausführliche öffentliche Stellungnahme abgegeben. Übereinstimmende Berichte in NL Times, Dutch IT Channel und Cybernews deuten auf die Argumentation hin, die das Unternehmen intern und in der Fachpresse verwendet: Die Offenlegung sei nicht durch eine CLOUD-Act-Verpflichtung ausgelöst worden. Das übergebene Material sei Korrespondenz zwischen Microsoft und europäischen Behördenvertretern gewesen — und diese Korrespondenz habe außerhalb des Schutzes gelegen, den europäische Regulierer angenommen haben mögen.

Die Argumentation wurde als Entlastung vorgebracht. Genau gelesen ist sie das Gegenteil. Hätte der CLOUD Act die Offenlegung erzwungen, hätten europäische Regulierer wenigstens eine rechtliche Schwelle, gegen die sie klagen könnten. Die Rahmung als freiwillig bedeutet: Es gab überhaupt keine Schwelle — nur Microsofts kommerzielles Urteil, dass Kooperation mit Jim Jordans Unterausschuss vorzuziehen sei. Die Verteidigung macht die Lage schlimmer als der Vorwurf.

Die Rahmung dient Microsoft in einer zweiten Hinsicht: Sie erlaubt dem Konzern, den Vorfall als einmalige Ermessensfrage zu positionieren statt als strukturelle Exposition unter US-Recht. Sie dient auch dem niederländischen Kabinett, das das Problem an einen US-Anbieter auslagern kann, statt zu erklären, warum ACM- und AP-Kommunikation überhaupt auf einer US-gehosteten Plattform liegt. Aerdts’ Intervention bei Botschafter Popolo war substantiell, hat das Kabinett aber zu keiner Beschaffungsänderung verpflichtet. Der Staatssekretär im Wirtschaftsministerium, Eric van der Burg (VVD), nannte die Offenlegung „mehr als besorgniserregend" — starke Worte für einen niederländischen Staatssekretär, schwächer als eine Verpflichtung.

Was Microsofts Rahmung anbot, war eine Absolution. Was tatsächlich gesagt wurde, sobald man es entschlüsselt, lautet: Wir waren zu nichts verpflichtet. Wir haben uns dafür entschieden. Das ist keine Verteidigung in einem Sinn, den die betroffenen Beamten anerkennen würden. Es ist ein Geständnis, verkleidet als Klarstellung.

Die Architektur, die hier sichtbar wird

Der Microsoft-365-Bestand der europäischen Regulierungsbehörden ist groß, tief und in der Öffentlichkeit fast vollständig undokumentiert.

Eine grobe Schätzung, gestützt auf Beschaffungsoffenlegungen und Berichte der Fachpresse, beziffert den Anteil europäischer Regulierer auf nationaler Ebene, deren primäre interne Kommunikation über Microsoft 365 läuft, auf über 70 Prozent. Die Bundesnetzagentur in Deutschland, ARCEP in Frankreich, AGCOM in Italien, CNIL in Frankreich, das deutsche Bundeskartellamt, die spanische CNMC — die meisten dieser Behörden setzen auf M365 oder weisen im Tagesgeschäft eine erhebliche M365-Oberfläche auf. Die meisten von ihnen vollziehen auch in irgendeiner Form Recht, das US-Plattformen betrifft: DSGVO, DMA, DSA, Data Act, Wettbewerbsregeln. Die Schnittmenge — Regulierer von US-Plattformen, die für ihre interne Regulierer-Kommunikation US-Plattformen nutzen — ist im Wesentlichen die europäische Regulierungslandschaft, wie sie heute steht.

Die architektonische Konsequenz: Jeder Regulierer in dieser Schnittmenge trägt dasselbe Lieferketten-Risiko, dessen operative Definition ACM und AP gerade gelernt haben. Die Daten liegen auf Infrastruktur, die von einer Einheit betrieben wird, die auf eine Vorladung des US-Kongresses kommerziell reagieren wird. Diese kommerzielle Reaktion wird zuverlässig in Richtung Kooperation zeigen. Microsofts Rahmung im niederländischen Fall hat die kommerzielle Logik explizit gemacht: Der Konzern antwortete auf eine Vorladung, nicht auf eine CLOUD-Act-Anordnung; die Kooperation war freiwillig. Jeder andere Regulierer im selben Bestand befindet sich in derselben architektonischen Lage. Die nächste Vorladung wird mit derselben Logik beantwortet werden.

Es gibt eine Exposition zweiter Ordnung, die bisher kaum diskutiert wurde. Die in den niederländischen Dokumenten benannten Beamten waren nicht die einzigen in diesen E-Mail-Strängen. Korrespondenz mit Microsoft zur DSA-Umsetzung bezieht routinemäßig Mitarbeiter benachbarter europäischer Regulierungsbehörden mit ein — Koordinierung zwischen nationalen Behörden ist Teil davon, wie der DSA durchgesetzt wird. Die Vorladung des Unterausschusses an Microsoft umfasste nach eigener Rahmung interne Kommunikation mit ausländischen Regierungen zur Inhaltemoderation. Diese Formulierung ist weit genug, um die Korrespondenzketten zu erreichen, nicht nur die einzelnen Absender. Die tatsächliche Namensliste reicht bei sorgfältiger Lesart des Vorladungsumfangs plausibel über ACM und AP hinaus, in benachbarte EU-Regulierungsbehörden, die bisher öffentlich nicht betroffen sind — noch nicht.

Das Muster unter dem Fall

Es ist nicht das erste Mal, dass ein US-Anbieter europäische Amtsträger unter politischem Druck US-Behörden ausgesetzt hat. Es ist der dritte dokumentierte Fall in dreizehn Monaten.

Im Mai 2025 sperrte Microsoft das E-Mail-Konto von Karim Khan, Chefankläger des Internationalen Strafgerichtshofs, nachdem die Trump-Regierung unter Executive Order 14203 persönliche Sanktionen gegen ihn verhängt hatte. Im Dezember 2025 sanktionierte dieselbe Regierung die Geschäftsführung von HateAid, einer deutschen NGO, die Opfer von Online-Hassrede unterstützt, mit US-Einreiseverboten. Im Mai 2026 übergab Microsoft die Namen der niederländischen Regulierer.

Der Khan-Fall lief unter einer Sanktionsbezeichnung: rechtlicher Zwang. Der HateAid-Fall lief unter Einreiseverbots-Regelungen: Verwaltungshandeln gegen namentlich genannte Personen. Der niederländische Fall läuft unter einer Vorladung eines Unterausschusses des Repräsentantenhauses: legislative Untersuchung. Die juristischen Instrumente unterscheiden sich. Das Muster nicht. In jedem Fall wurde ein in den USA ansässiger Dienstleister formell oder informell gebeten, gegen einen Europäer vorzugehen, der in Washington politisch unbequem geworden war. In jedem Fall hat der Anbieter geliefert.

Der niederländische Fall unterscheidet sich in einer wesentlichen Hinsicht von den ersten beiden. Der Khan-Fall hatte eine Sanktionsbezeichnung im Rücken; HateAid hatte Verwaltungshandeln. Beide gaben Microsoft einen rechtlichen Zwang an die Hand, auf den der Konzern zeigen konnte, wenn er sich gegenüber europäischen Regulierern erklärte. Der niederländische Fall hat diese Deckung nicht. Microsofts eigene Rahmung räumt die Abwesenheit ein: Die Offenlegung war rechtlich nicht erforderlich, sie war kommerziell vorzuziehen. Der dritte Fall des Musters ist derjenige, in dem die kommerzielle Logik laut benannt wurde.

Diese Benennung hat eine strategische Folge, die die Fachpresse übersehen hat. Die ersten beiden Fälle erzeugten allgemeine Nervosität über die US-rechtliche Exposition unter M365. Der dritte Fall hat konkrete Belege für die US-kommerzielle Exposition unter M365 erzeugt: derselbe Anbieter, dieselbe Architektur, kann dasselbe Ergebnis ohne jede rechtliche Schwelle hervorbringen. Es gibt nirgendwo in Europa ein Gericht, vor dem Microsofts kommerzielles Urteil justiziabel wäre. Es gibt nur den Beschaffungsvertrag, und das ist die Ebene, auf der europäische Institutionen die Architektur ändern können.

Warum der Protest die Architektur nicht ändert

Das Kabinett hat den US-Botschafter einbestellt. Es gab einen diplomatischen Austausch. Microsoft mag noch eine öffentliche Klarstellung abgeben. Nichts davon ändert die strukturellen Bedingungen.

Wenn sich der Staub legt, bleiben drei Dinge genau so, wie sie waren. Microsoft kann weiterhin Anfragen von US-Legislative, -Exekutive und -Judikative erhalten. Microsoft kann weiterhin freiwillig entscheiden, über das hinaus zu kooperieren, was strikt erforderlich ist. ACM, AP und die meisten anderen europäischen Regulierer betreiben ihre Büros weiterhin auf Microsoft-Systemen, mit Kommunikation, die weiterhin derselben Exposition unterliegt. Der Vorfall hat politische Hitze erzeugt. Er hat keinen architektonischen Wandel erzeugt.

Die Antwort des niederländischen Kabinetts ist strukturell genau das, was Microsofts Rahmung vorhersagte. Die Intervention behandelte die Offenlegung als Lieferanten-Beziehungsvorfall, nicht als Beschaffungsvorfall. Der Anbieter wurde über den Diplomaten zitiert; der Beschaffungsvertrag wurde gar nicht zitiert. Aerdts hat sich öffentlich als Verfechterin digitaler Souveränität positioniert. Das strukturelle Problem: Ihr Ressort steuert nicht die Beschaffungsentscheidungen des Kabinetts, und die Beschaffungsentscheidungen sind der Hebel, den der Vorfall sichtbar gemacht hat.

Die „mehr als besorgniserregend"-Formulierung des Staatssekretärs ist das Vorzeichen dafür, wie diese Geschichte enden wird. Starke Worte signalisieren Besorgnis. Sie signalisieren keine Verpflichtung. Eine Verpflichtung sähe aus wie ein Datum, ein Budget, ein Ziel, eine benannte Alternative. Es gibt kein Datum.

Souveränität ist kein diplomatischer Vorfall

Das ist der Reframe, den der Vorfall jedem in einer europäischen Regulierungsbehörde, einem Ministerium oder einer öffentlichen Stelle mit operativer Verantwortung sichtbar macht.

Der niederländische Fall ist nicht das Versagen einer diplomatischen Beziehung. Die diplomatische Beziehung tut genau das, was diplomatische Beziehungen tun — sie bekundet Besorgnis, registriert Protest, bestellt Botschafter ein, entwirft Verbalnoten. Der niederländische Fall ist das Versagen einer Beschaffungsentscheidung, die Jahre zuvor getroffen wurde, als ACM und AP Microsoft 365 aus denselben vernünftigen institutionellen Gründen einführten wie jeder andere europäische Regulierer. Die diplomatische Antwort des Kabinetts operiert auf der falschen Ebene. Die Architektur lebt auf der Beschaffungsebene. Die architektonische Antwort lebt ebenfalls auf der Beschaffungsebene.

Das ist die Ebene, auf der der niederländische Fall jeden Leser betrifft, der in oder mit einer europäischen öffentlichen Einrichtung arbeitet. Die Frage ist nicht was wird das Kabinett tun? Das Kabinett wird tun, was Kabinette tun: einbestellen, protestieren, Besorgnis registrieren. Die Frage ist, ob Ihre Organisation bei der nächsten vierteljährlichen Beschaffungsprüfung die Offenlegung als relevanten Sachverhalt für Ihren eigenen M365-Vertrag behandelt.

Die Souveränitätsfrage, richtig gerahmt, lautet nicht welchen Anbieter nutzen wir für unsere E-Mail? Sie lautet: Wenn Microsoft heute von einem Unterausschuss des US-Kongresses um unsere interne Kommunikation gebeten würde — wie würde Microsofts kommerzielles Urteil ausfallen? Die ehrliche Antwort auf den niederländischen Präzedenzfall lautet: dasselbe wie für die Niederlande. Die architektonische Antwort auf diese Frage ist nicht ein anderer Anbieter. Sie ist eine andere Architektur: regulatorische Kommunikation, geführt über Infrastruktur, die in ihrer Verwahrungskette kein US-kommerzielles Kalkül trägt.

Was dieser Artikel nicht ist

Wer aus dieser Analyse herausliest, Microsoft habe rechtswidrig gehandelt, hat den Punkt verfehlt — nach eigener Rahmung des Unternehmens war die Offenlegung weder gesetzlich erzwungen noch böswillig, sondern eine kommerzielle Abwägung vor einem mächtigen US-politischen Akteur. Die Analyse arbeitet eine Ebene tiefer: an der strukturellen Bedingung, dass diese kommerzielle Abwägung jederzeit wieder auf dem Tisch liegt, solange die zugrunde liegende Beschaffungs­architektur unverändert bleibt. Vorhersagen über das Verhalten einzelner Anbieter in künftigen Einzelfällen gehören nicht zum Untersuchungs­gegenstand. Für Leser in regulierten Umfeldern ersetzt die Analyse keine rechtliche oder informations­sicherheitstechnische Beratung.

Der nächste Name auf der Liste

Die Beamten, deren Namen in einer Akte eines Unterausschusses des House Judiciary liegen, sind weiterhin im Dienst. Der Digital Services Act muss weiterhin durchgesetzt werden. Der Weaponization-Unterausschuss hat seine Ermittlung nicht abgeschlossen. Microsoft hat die Dokumente nicht zurückgezogen — es gibt kein Rückzugsverfahren, sobald ein Unterausschuss sie hat.

Die nächste Anfrage einer US-Behörde an einen US-Anbieter über einen europäischen Regulierer wird mit derselben kommerziellen Logik beantwortet werden, mit der diese beantwortet wurde. Bis sich die Architektur ändert, sind die Namen der niederländischen Beamten nicht die letzten Namen, die in der Akte eines Unterausschusses des Repräsentantenhauses landen werden. Sie sind erst die dritten.

Das Signal, auf das in zwölf Monaten zu achten ist, lautet: Beschaffung. Wenn ACM oder AP eine Migration ihrer internen Kommunikation weg von Microsoft ankündigen, hatte der Vorfall strukturelle Folgen. Wenn nicht, war Aerdts’ Intervention bei Popolo die gesamte Antwort — und der nächste Name auf der Liste ist bereits unterwegs.

Quellen

Themenübersicht: Digitale Souveränität in Europa Verwandte Artikel: Souveränität auf Microsofts Servern, Digitale Souveränität: warum jetzt