Lukas Schönbächler · 14. Januar 2026 · 8 Min. Lesezeit
Warum das wichtig ist
Die meisten europäischen Organisationen leiten heute jedes Login und jedes Dokument über eine Handvoll US-Cloud-Anbieter. Damit stehen fremdes Recht, fremde Politik und der Betrieb eines Dritten zwischen Ihren Mitarbeitenden und ihrer Arbeit. 2025 hat gezeigt, was das kostet:
- Im Juni 2025 erklärte Microsoft France vor dem französischen Senat unter Eid, dass es nicht garantieren kann, dass europäische Daten dem Zugriff der USA entzogen bleiben. Der CLOUD Act erfasst Daten, wo immer ein US-Anbieter sie speichert.
- Cloud-Identität ist ein Single Point of Failure: Zwei Vorfälle im Jahr 2025 (Februar und Oktober) legten die Anmeldung über Microsoft Entra ID weltweit lahm. Jede dahinterliegende App konnte sich nicht mehr authentifizieren.
- Schleswig-Holstein entfernt Microsoft von 30’000 Arbeitsplätzen der Verwaltung und rechnet für 2026 mit Einsparungen von über 15 Millionen Euro an Lizenzkosten. Digitale Souveränität ist von Positionspapieren in die Beschaffung gewandert.
- Souveränität entscheidet sich bei der Authentifizierung: Wer Ihren Identity Provider betreibt, kontrolliert den Zugang zu allem, was dahinter liegt.
- Mobiles SSO braucht keine US-betriebene Cloud. On-Premise-Kerberos mit Zertifikaten hält den gesamten Authentifizierungspfad in Ihrem Netzwerk und in Ihrer Jurisdiktion, mit jedem MDM.
Jahrelang war digitale Souveränität ein Thema für Podiumsdiskussionen: theoretisch wichtig, praktisch ignoriert. 2025 hat das geändert. Aus den Warnungen wurden Zeugenaussagen, Executive Orders und Post-Mortems zu Ausfällen. Wenn sich Ihre mobile Flotte über einen US-betriebenen Cloud-Identitätsdienst authentifiziert, hat Ihnen das vergangene Jahr drei konkrete Gründe zum Umdenken geliefert, und einen architektonischen Ausweg.
2025: das Jahr, in dem aus Warnungen Beweise wurden
10. Juni 2025, französischer Senat. Anton Carniaux, Direktor für öffentliche und rechtliche Angelegenheiten bei Microsoft France, wurde unter Eid gefragt, ob er garantieren könne, dass Daten französischer Bürgerinnen und Bürger niemals ohne ausdrückliche französische Genehmigung an US-Behörden übermittelt würden. Seine Antwort: «Nein, das kann ich nicht garantieren.» Er fügte hinzu, dass Microsoft Anfragen widerspricht, die es für unbegründet hält, und dass der Fall bisher nicht eingetreten sei. Die Ehrlichkeit ehrt ihn. Die rechtliche Lage, die sie beschreibt, ist der Punkt: Unter dem US CLOUD Act kann ein US-Anbieter gezwungen werden, Daten herauszugeben, unabhängig davon, wo sie gespeichert sind. Microsofts EU Data Boundary hält europäische Daten in Europa, aber Residenz ist nicht Jurisdiktion. Der Senat hat sich genau das zu Protokoll geben lassen.
Februar bis Mai 2025, die IStGH-Episode. Nachdem eine US-Executive-Order im Februar den Chefankläger des Internationalen Strafgerichtshofs sanktioniert hatte, berichteten Medien im Mai, er habe den Zugriff auf sein Microsoft-E-Mail-Konto verloren und sei zu einem Schweizer Anbieter gewechselt. Microsoft bestreitet, den Dienst gekappt zu haben. Unbestritten ist die Wirkung: Die niederländische Regierung begann, ihre Abhängigkeit von US-Technologieanbietern formell zu überprüfen, und «digitale Souveränität» hielt Einzug in Parlamentsdebatten in ganz Europa. Die Episode zeigte den Mechanismus: Sanktionsrecht bindet US-Anbieter, und der Zugang zu Ihrer Infrastruktur kann zum Kollateralschaden fremder Geopolitik werden.
Zwei Authentifizierungsausfälle. Am 25. Februar 2025 entfernte eine DNS-Bereinigung bei Microsoft eine Domain, die das nahtlose Single Sign-on von Entra ID nutzte. Über eine Stunde lang schlug die Cloud-Anmeldung weltweit fehl; niemandes lokale Domain Controller wurden befragt, denn der Cloud-Pfad fragt sie nicht. Am 29. Oktober 2025 legte ein Konfigurationsfehler in Azure Front Door Microsoft 365 und Entra ID für den Grossteil eines Arbeitstages lahm; Fluggesellschaften und Händler meldeten eingefrorene interne Systeme. Keiner der beiden Vorfälle war ein Angriff. Beide waren gewöhnliche Betriebsfehler bei einem Anbieter, den Sie nicht auditieren können und bei dem Sie nicht weiter eskalieren können als bis zur Statusseite.
Schleswig-Holstein stimmt mit dem Budget ab. Das norddeutsche Bundesland beschloss im April 2024, seine Verwaltung vom Microsoft-Stack wegzubewegen: LibreOffice statt Office, Linux statt Windows, Open-Xchange und Thunderbird statt Exchange und Outlook, dazu ein Verzeichnisdienst als Ersatz für Active Directory. Bis Oktober 2025 waren 40’000 Postfächer migriert; im Dezember 2025 war LibreOffice der verbindliche Standard auf rund 80 Prozent der Arbeitsplätze des Landes. Das Land rechnet für 2026 mit Einsparungen von über 15 Millionen Euro an Lizenzkosten. Wie auch immer man den Ansatz bewertet, ein Argument ist damit erledigt: Eine europäische Verwaltung kann ohne den Standard-Stack laufen.
Abbildung 1: Vier Belege aus einem Jahr. Zeugenaussage, Sanktionen, Ausfälle und ein vollzogener Ausstieg: Die Souveränitätsdebatte hat 2025 Beweise geliefert. Die Quellen sind in den obigen Ereignisbeschreibungen verlinkt.
Warum Authentifizierung die Souveränitätsfrage ist
Die meisten Souveränitätsdebatten drehen sich darum, wo Dateien liegen. Das verfehlt die schärfere Abhängigkeit. Wer Ihren Identity Provider betreibt, entscheidet operativ, ob sich überhaupt jemand anmelden kann. Dateien können Sie sichern und anderswo hosten. Authentifizierung ist ein Live-Dienst: Ist er ausgefallen, sanktioniert oder Gegenstand einer Anordnung, treffen die Folgen innerhalb von Minuten ein und gelten für jede dahinterliegende Anwendung.
Die rechtliche Exponierung folgt dem Betreiber, nicht dem Rechenzentrum. Der CLOUD Act von 2018 formalisierte, was die Ära des Patriot Act in der Praxis bereits etabliert hatte: US-Behörden können US-Anbieter zwingen, Daten unter ihrer Kontrolle herauszugeben, egal wo diese liegen. Ein europäisches Rechenzentrum, das von einem US-Unternehmen betrieben wird, ändert die Jurisdiktion nicht, und genau das hat die Aussage vor dem französischen Senat bestätigt. Der Gerichtshof der EU kam bereits 2020 in Schrems II zum spiegelbildlichen Schluss, als er das Privacy Shield wegen des US-Überwachungsrechts kippte.
Die ehrliche Frage für einen CISO lautet also nicht «sind meine Daten in Frankfurt at rest verschlüsselt», sondern «welche ausländischen Rechtsanordnungen und welche Anbieterausfälle können meine Organisation daran hindern, sich zu authentifizieren». Für eine mobile Flotte, die sich über einen Cloud Identity Provider anmeldet, lautet die Antwort: alle davon.
Die On-Premise-Alternative existiert bereits
In der Souveränitätsdebatte geht ein Punkt meist unter: Für die Authentifizierung am Arbeitsplatz ist die souveräne Architektur nichts, was Europa erst bauen müsste. Sie heisst Kerberos gegen das eigene Active Directory, und die meisten Organisationen betreiben sie bereits. Die Lücke war nie die Serverseite. Sie war mobil: Android und iOS haben keinen nativen Weg, an On-Premises-Kerberos teilzunehmen, und genau deshalb landeten die Flotten überhaupt erst bei der Cloud-Authentifizierung.
Diese Lücke lässt sich auf der Anwendungsebene schliessen. Hypergate Authenticator bringt einen Kerberos-Client auf verwaltete Android- und iOS-Geräte: Das Gerät bezieht sein Ticket direkt von Ihrem Domain Controller über zertifikatsbasierte Pre-Authentication (PKINIT), mit Zertifikaten, die Ihre eigene CA über Ihr MDM ausstellt. Von dort erhalten Browser und Business-Apps Single Sign-on auf On-Premises-Ressourcen. Der komplette Authentifizierungspfad, vom Credential über das Ticket bis zur Anwendung, läuft in Ihrem Netzwerk, unter Ihrer Jurisdiktion, betrieben von Ihnen. Das funktioniert auch in vollständig air-gapped Umgebungen: Die Architektur braucht das Internet gar nicht, geschweige denn die fremde Cloud.
Souveränität hat noch eine zweite Achse: Vendor Lock-in. Eine Authentifizierungsschicht, die an ein einzelnes UEM gebunden ist, nimmt Ihnen stillschweigend die Freiheit, den Anbieter für das Gerätemanagement zu wechseln. Hypergate ist bewusst MDM-agnostisch: Es wird über standardisierte Managed Configurations konfiguriert und funktioniert identisch unter Intune, Workspace ONE, Ivanti, SOTI oder jedem anderen UEM für Android Enterprise oder iOS. Ihre Identitätsarchitektur ist damit kein Grund mehr, warum Sie einen Anbieter nicht verlassen können, auf keiner der beiden Ebenen.
| Cloud-Identitätspfad | On-Premise-Kerberos-Pfad | |
|---|---|---|
| Wo Credentials geprüft werden | Anbieter-Cloud (US-Betreiber) | Ihre Domain Controller |
| Massgebliche Jurisdiktion | USA (CLOUD Act gilt für den Betreiber) | Ihre |
| Wirkungsradius eines Anbieterausfalls | Alle Anmeldungen, alle Apps (25. Feb und 29. Okt 2025) | Keiner: keine Cloud-Abhängigkeit im Auth-Pfad |
| Funktioniert air-gapped | Nein | Ja |
| Sanktionsrisiko | Betreiber muss US-Executive-Orders befolgen | Software, die Sie betreiben, läuft weiter |
| MDM-Kopplung | Oft mit dem Anbieter-Ökosystem gebündelt | Jedes UEM via Managed Configuration |
Abbildung 2: Eine Grenze. Der Cloud-Identitätspfad überquert sie bei jedem Login; der On-Premise-Kerberos-Pfad verlässt Ihr Netzwerk nie.
Souveränität heisst operative Kontrolle, nicht Reinheit
Eine Klarstellung, denn Souveränitätsdebatten ziehen Absolutismus an: Active Directory ist auch Microsoft-Software. Der Unterschied ist nicht der Pass des Herstellers, sondern wer das System betreibt und was passiert, wenn die Beziehung unter Druck gerät. Software, die Sie auf eigener Hardware betreiben, läuft durch einen Anbieterausfall, eine Sanktionsanordnung oder einen Vertragsstreit hindurch weiter. Ein Cloud-Dienst nicht. Schleswig-Holstein kann sich Jahre Zeit nehmen, Active Directory abzulösen, gerade weil der On-Premises-Stack währenddessen weiterläuft; niemand kann ihn aus der Ferne abschalten. Das ist die brauchbare Arbeitsdefinition digitaler Souveränität: die Fähigkeit zu betreiben und die Fähigkeit zu gehen, nach eigenem Zeitplan.
Dieselbe Logik gilt, ob Ihr Verzeichnis das nächste Jahrzehnt Active Directory bleibt oder auf etwas anderes migriert: Kerberos ist ein offenes Protokoll, und eine darauf gebaute Authentifizierungsarchitektur, mit Zertifikaten aus Ihrer eigenen CA, zieht mit Ihnen um.
Was das für Sie bedeutet
Sie müssen Schleswig-Holstein nicht kopieren, um aus den Lektionen von 2025 zu handeln. Der pragmatische erste Schritt ist kleiner: Inventarisieren Sie, welche Ihrer Authentifizierungsflüsse von einem US-betriebenen Cloud-Dienst abhängen, beginnend bei Mobile. Wenn Ihre Smartphones und Tablets On-Premises-Anwendungen nur über einen Cloud Identity Provider erreichen, haben Sie CLOUD-Act-Jurisdiktion, Sanktionsrisiko und die Ausfälle eines Dritten in jedes mobile Login importiert. Die Verlagerung der mobilen Authentifizierung auf On-Premises-Kerberos beseitigt diese Abhängigkeit mit der Infrastruktur und dem MDM, die Sie bereits haben, und hält jede künftige Option offen, einschliesslich einer Verzeichnismigration.
Sie wollen Authentifizierung, die nur Ihnen Rechenschaft schuldet?
Hypergate Authenticator bringt On-Premise-Kerberos-SSO auf verwaltete Android- und iOS-Geräte: Ihre Domain Controller, Ihre CA, Ihre Jurisdiktion, jedes MDM. Entwickelt und betrieben in der Schweiz.
