Die rechtliche Lage ist eindeutig: US-Software in der öffentlichen Verwaltung ist ein Risiko, das sich nicht mehr ignorieren lässt.
Der US Cloud Act (2018) verpflichtet amerikanische Unternehmen, Daten auf Anfrage an US-Behörden herauszugeben, selbst wenn die Server in Europa stehen. Das betrifft Microsoft 365, Google Workspace und Amazon Web Services gleichermaßen. Für Einrichtungen, die mit Bürgerdaten, Gesundheitsdaten oder sicherheitsrelevanten Informationen arbeiten, ist das mit der DSGVO nicht vereinbar.
Mit der NIS2-Richtlinie (seit Oktober 2024 in Kraft) verschärft die EU die Anforderungen an die Cybersicherheit in der öffentlichen Verwaltung erheblich. Betreiber wesentlicher Dienste, darunter auch Behörden, müssen ihre Lieferketten und IT-Abhängigkeiten nachweislich absichern. Die Abhängigkeit von einem einzigen US-Anbieter wird damit zum dokumentierten Risiko.
Gleichzeitig steigen die Lizenzkosten für Microsoft 365 und vergleichbare Produkte jedes Jahr. Viele Gemeinden und Landesverwaltungen geben mittlerweile sechsstellige Beträge für Software aus, die sie weder kontrollieren noch prüfen können. Es gibt einen besseren Weg.