Sovereignty Washing 2026 – Warum Microsoft 365 Local und das Münchner Souveränitätsstudio deutsche Kommunen nicht aus dem CLOUD Act befreien

Für kommunale IT-Verantwortliche in Deutschland verdichten sich vier Ereignisse zu einer neuen Entscheidungslage. Microsoft 365 Local hat in seiner disconnected Variante Anfang 2026 die General Availability erreicht und läuft nun regulär auf Azure Local in Kunden- oder Partnerrechenzentren. Parallel hat Microsoft in München das erste europäische Sovereignty & Digital Resilience Studio eröffnet, in dem Behörden ihre individuellen Souveränitätsanforderungen mit Microsoft-Beratern durchsprechen sollen. Aus Berlin meldet das Bundeskanzleramt den produktiven Einsatz von openDesk – zusammen mit dem Robert-Koch-Institut und weiteren Ministerien. Und Bayern hat einen Milliarden-Rahmenvertrag mit Microsoft gekündigt, um auf einen souveränen Basisarbeitsplatz umzustellen. Am 22. Juli 2026 wurde openDesk 1.17.0 veröffentlicht.

Für Städte, Landkreise und Gemeinden ist das keine akademische Debatte. Die kommunale Ebene ist regulatorisch verantwortlich für Meldewesen, Sozialdaten, Ausländerbehörde, Standesamt, Bürgerkommunikation und Schulen – alles Datenkategorien nach Artikel 6 und Artikel 9 DSGVO, teils mit sektorspezifischen Zusatzregeln. Wer jetzt auf Microsoft 365 Local als „souveräne Alternative" zu Microsoft 365 setzt, ohne die rechtliche Zuordnung zu prüfen, riskiert eine Fehlinvestition. Dieser Beitrag ist ein Faktencheck.

Was Microsoft 365 Local technisch ist – und was es rechtlich nicht ist

Microsoft 365 Local ist eine On-Premises-Bereitstellung von Exchange Server, SharePoint Server und Skype for Business Server auf Azure Local – Microsofts Nachfolgeprodukt für Azure Stack HCI. Die Bereitstellung erfolgt im Rechenzentrum des Kunden oder eines lokalen Partners; die disconnected Variante läuft vollständig ohne Verbindung zu Microsoft-Cloud-Diensten. Support-Zusagen laufen bis mindestens 2035. Bis hierhin liest sich das wie ein souveräner Stack.

Der rechtliche Bruch liegt an drei Stellen: Erstens signiert und liefert Microsoft Corporation weiterhin alle Updates, Sicherheitspatches und Firmware-Aktualisierungen. Zweitens ist die Rechtsträgerschaft über den Betreiber-Rahmenvertrag in der Regel an Microsoft Ireland oder eine US-Tochter gebunden. Drittens greifen bei Störfällen Support-Zugriffe und Telemetrie – Kanäle, die im Standardbetrieb selten geschlossen werden. Alle drei Punkte lassen den US CLOUD Act (18 U.S. Code §2713) greifen, unabhängig vom Speicherort der Daten.

Warum das Münchner Souveränitätsstudio den strukturellen Konflikt nicht löst

Das im Februar 2026 eröffnete Sovereignty & Digital Resilience Studio in München ist ein Beratungsangebot, kein Rechtskonstrukt. Es unterstützt Kunden dabei, Souveränitätsanforderungen zu artikulieren und Microsoft-Produkte darauf abzubilden. Die Beratung ändert aber nichts an der grundlegenden Zuständigkeitsfrage: Der Vertragspartner bleibt Microsoft. Ein Studio in München ist kein europäisches Unternehmen im Sinne des EU Data Act und keine europäische Rechtsperson im Sinne des BSI IT-Grundschutzbausteins SYS.1.5. Der ökonomische Vergleich zwischen Delos Cloud und offenen europäischen Alternativen zeigt dieselbe Struktur – wir haben ihn in der Analyse zur Delos-Cloud-Souveränitätslücke aufgeschlüsselt.

Das ZenDiS-Kriterium – und warum es für Kommunen der bessere Maßstab ist

Das ZenDiS – Zentrum für Digitale Souveränität der Öffentlichen Verwaltung hat für die Bewertung souveräner Angebote öffentliche Kriterien vorgelegt. Die Prüffragen lauten nüchtern:

• Wer hält die Rechtsträgerschaft am Betrieb?
• Wer hält die Codesigning- und Update-Schlüssel?
• Wer hat Notfall- und Support-Zugriff auf produktive Systeme?
• Welche Klauseln regeln die Ablehnung ausländischer Herausgabeanordnungen?
• Welche Auditrechte hat der Kunde ohne Zustimmung des Anbieters?

Diese fünf Fragen sind für Kommunen der pragmatische Maßstab. Microsoft 365 Local beantwortet sie nach heutigem Stand nicht positiv. openDesk in einem deutschen Rechenzentrum eines europäischen Betreibers beantwortet sie in der Regel vollständig positiv.

Die Kommunen-Realität August 2026

Die kommunale IT-Landschaft in Deutschland ist heterogen. Etwa 11.000 Städte und Gemeinden, 294 Landkreise, 107 kreisfreie Städte – dazu Zweckverbände, kommunale IT-Dienstleister und die kommunalen Rechenzentren (AKDB, KDN, ekom21, KRZ). Für die überwiegende Zahl der Kommunen mit 50 bis 500 Verwaltungsarbeitsplätzen ist die Ausgangslage in 2026:

• Bestehender Microsoft-365-Vertrag mit Preiserhöhung ab 1. Juli 2026 (Business Standard plus 12 Prozent, Business Basic plus 16 Prozent).
• Regulatorischer Druck durch NIS-2-Umsetzungsgesetz – siehe unser NIS-2-DSGVO-Paradox-Beitrag.
• Fehlende Rahmenverträge auf Landesebene für souveräne Alternativen in mehreren Bundesländern.
• Politischer Rückenwind durch Bayern, Schleswig-Holstein, Hamburg und den Bund.

Der Handlungsraum ist offen: Kommunen können jetzt entweder in Microsoft 365 Local investieren – mit dem beschriebenen rechtlichen Risiko – oder in einen openDesk-Stack in einem deutschen kommunalen Rechenzentrum. Die Ausschreibungswellen der nächsten zwölf Monate werden zeigen, wie sich das kommunale Umfeld positioniert.

Der ökonomische Vergleich für einen Landkreis mit 250 Verwaltungsarbeitsplätzen

Referenzrechnung, 36-Monats-Betrachtung, 250 Nutzer, Bestandsvertrag Microsoft 365 Business Standard:

Microsoft 365 Local ist damit die teuerste der drei Optionen – ohne dass die rechtliche Souveränitätsfrage gelöst wäre. Der Faktor gegenüber openDesk liegt bei rund 2. Diese Struktur bestätigt das Muster, das wir für die EuroOffice-Alternative im Verwaltungskontext beschrieben haben – für Kommunen fällt der Vergleich noch deutlicher aus, weil die Compliance-Nachweislast in den Landkreisen tendenziell höher ist.

Fazit und nächste Schritte

Microsoft 365 Local ist ein technisch solides On-Premises-Produkt – aber es ist keine Souveränitätslösung im rechtlichen Sinne. Das Münchner Sovereignty Studio ist Beratung, kein Rechtskonstrukt. Sovereignty Washing 2026 heißt in der Konsequenz für Kommunen: Wer den Begriff „souverän" im Vertrag sieht, muss die fünf ZenDiS-Prüffragen stellen, bevor unterschrieben wird.

Für Städte, Landkreise und Gemeinden, die im Haushaltsjahr 2027 die Weichen stellen, empfehlen wir drei Schritte: Erstens die Live-Analyse Ihrer aktuellen Microsoft-365-Datenflüsse unter /microsoft. Zweitens die kategorisierte Übersicht souveräner Anbieter unter /alternativen, inklusive der Vertriebspartnerkanäle für openDesk – Hintergrund dazu im Beitrag zum OpenDesk-Vertriebspartnerprogramm 2026. Drittens ein Erstgespräch über /contact für eine kommunalspezifische Migrationsplanung, die den Ausschreibungszyklus der Länder-Rahmenverträge berücksichtigt.