🧠 Editorial

Diese Ausgabe dreht sich vor allem um digitale Souveränität – mal aus technischer, mal aus politischer Sicht.

Besonders empfehlen möchte ich euch den Gastbeitrag von Nish Sribavan, der erklärt, warum bei den Microsoft-Ausgaben des Bundes nicht die Kosten das eigentliche Problem sind, sondern die fehlende Exit-Fähigkeit. Außerdem lohnt sich der LinkedIn-Beitrag der Woche von Klaus Wiedenmann, der seine Erfahrungen mit kDrive von Infomaniak als OneDrive-Alternative teilt.

Daneben geht es um die Verlängerung der Chatkontrolle, den diskutierten KI-Kill-Switch in den USA, das erneut wackelnde EU-US-Datenabkommen sowie weitere News aus Cloud, Security, KI und Open Source.

Viel Spaß beim Lesen!

🤷‍♀️📰Tech-News:

Chatkontrolle bis 2028

Die EU hat die Übergangsregelung zur Chatkontrolle bis April 2028 verlängert. Anbieter “bestimmter” (🤡) Kommunikationsdienste dürfen damit weiterhin private Kommunikation automatisiert auf Darstellungen sexualisierter Gewalt gegen Kinder und Grooming-Hinweise analysieren. Begründet wird das mit dem Schutz von Kindern.

Kinderschutz ist wichtig. Daran gibt es für mich keine Diskussion.

Deshalb überzeugt mich dieser Ansatz überhaupt nicht.

Wenn das erklärte Ziel wirklich die Täter sind, warum konzentriert sich die Maßnahme auf Kommunikationswege, die Kriminelle mit hoher Wahrscheinlichkeit ohnehin meiden? Wer Kinder missbraucht, weiß, dass er schwerste Straftaten begeht. Ich halte es für wenig glaubwürdig, dass solche Täter ausgerechnet über Kanäle kommunizieren, die sich automatisiert überprüfen lassen.

Am Ende wird vor allem die Kommunikation von Millionen!!! Menschen erfasst, die nie im Verdacht einer Straftat standen. Und genau das macht mir Sorgen.

Mit jeder neuen Regelung wächst die technische Infrastruktur zur Überwachung privater Kommunikation. Private Anbieter übernehmen staatliche Kontrollaufgaben. Das mag heute ausschließlich mit dem Kinderschutz begründet werden. Ich habe allerdings wenig Vertrauen, dass eine einmal geschaffene Überwachungsinfrastruktur dauerhaft auf genau diesen Zweck beschränkt bleibt. Die Erfahrung zeigt eher das Gegenteil. Technische Möglichkeiten wecken politische Begehrlichkeiten. Was heute mit Kinderschutz beginnt, kann morgen auf Terrorismus, Hassrede, Desinformation, vermeintlich falsche politische Haltung oder andere Straftatbestände ausgeweitet werden. Die Geschichte staatlicher Überwachung liefert dafür unzählige Beispiele.

Deshalb sehe ich diese Entwicklung kritisch. Nicht weil ich den Kinderschutz infrage stelle, sondern weil ich bezweifle, dass diese Maßnahme die eigentlichen Täter wirksam trifft. Stattdessen werden wir Schritt für Schritt daran gewöhnt, dass private Kommunikation automatisiert kontrolliert wird.

Kinderschutz braucht wirksame Strafverfolgung. Was wir nicht brauchen, ist die schleichende Normalisierung von Überwachung unter einem Argument, dem sich niemand ernsthaft widersetzen möchte.

🔗https://www.golem.de/news/bis-april-2028-anlasslose-chatkontrolle-tritt-wieder-in-kraft-2607-211211.html

Kommt jetzt der KI-Kill-Switch?

In den USA wächst der politische Druck auf die Entwickler leistungsfähiger KI-Modelle. Mit dem parteiübergreifend eingebrachten “AI Kill Switch Act” sollen Hersteller verpflichtet werden, technische Mechanismen vorzusehen, mit denen sich KI-Modelle im Ernstfall einschränken oder abschalten lassen. Begründet wird der Vorstoß mit der Sorge vor unkontrollierbaren Risiken leistungsfähiger KI.

Auf den ersten Blick wirkt das wie eine Debatte über Sicherheit, doch beim genaueren Lesen des Gesetzesvorschlags, geht es aber um deutlich mehr.

Ein verpflichtender Kill Switch würde nicht nur die Entwicklung und den Betrieb moderner KI-Systeme verändern. Er würde der US-Regierung ein Instrument an die Hand geben, das weit über klassische Regulierung hinausgeht. Wer über die Abschaltung oder Einschränkung eines KI-Modells entscheiden kann, erhält im Zweifel erheblichen Einfluss auf dessen Einsatz.

Und dieser Einfluss endet nicht an den Grenzen der USA.

Die führenden KI-Modelle stammen heute überwiegend von amerikanischen Unternehmen. Sie werden weltweit eingesetzt – von Unternehmen, Forschungseinrichtungen, öffentlichen Verwaltungen und ganze Start-Ups bauen ihr Geschäftsmodell darauf aus. Entscheidungen, die in Washington getroffen werden, können deshalb unmittelbare Auswirkungen auf Nutzer weit außerhalb der Vereinigten Staaten haben.

Genau darauf weist auch heise hin: Solange ein solches Gesetz die eigene Wirtschaft nicht übermäßig belastet, könnte es künftig genutzt werden, um politischen Druck auf andere Staaten oder sogar auf einzelne US-KI-Unternehmen auszuüben.

Noch ist der “AI Kill Switch Act” lediglich ein Gesetzesvorschlag. Dennoch zeigt die Debatte bereits heute, wie eng technologische Führungsrolle und politische Macht inzwischen miteinander verknüpft sind.

🔗https://www.heise.de/news/US-Politiker-fordern-Kill-Switch-fuer-KI-Modelle-11378276.html?utm_term=Autofeed&utm_medium=Social&utm_source=LinkedIn#Echobox=1785085639

Das EU-US-Datenabkommen wackelt erneut – und diesmal steht seine Grundlage selbst infrage.

Mit dem Data Privacy Framework (DPF) wollte die EU vor drei Jahren endlich Rechtssicherheit für den Transfer personenbezogener Daten in die USA schaffen. Es war bereits der dritte Versuch nach Safe Harbor und Privacy Shield, die beide vor dem Europäischen Gerichtshof scheiterten.

Nun gerät auch dieses Abkommen erneut unter Druck.

Der Grund liegt nicht in einer neuen Datenschutzdebatte, sondern in einer Entscheidung des Obersten Gerichtshofs der USA. Dieser hat bestätigt, dass der Präsident die Leitung der Federal Trade Commission (FTC) entlassen kann. Genau diese Behörde spielt im DPF jedoch eine Schlüsselrolle.

Darauf weist der aktuelle heise-Kommentar hin.

Das Abkommen geht an zahlreichen Stellen davon aus, dass die FTC unabhängig von der Regierung handelt. Fällt diese Annahme weg, gerät auch die rechtliche Grundlage des DPF ins Wanken.

Genau deshalb bereitet der Datenschutzverein NOYB um Max Schrems bereits die nächste Klage vor.

Bemerkenswert ist jedoch ein weiterer Aspekt des Kommentars.

Während die rechtliche Grundlage zunehmend brüchig wird, bleibt die wirtschaftliche Abhängigkeit bestehen. Viele Unternehmen setzen weiterhin auf US-Hyperscaler, weil sie diese für alternativlos halten. Die rechtlichen Unsicherheiten der vergangenen Jahre haben daran kaum etwas geändert.

Dabei hat sich das Umfeld verändert.

Spätestens die Fälle, in denen US-Unternehmen auf politischen Druck hin Konten gesperrt oder digitale Dienste eingeschränkt haben, zeigen, dass die Diskussion längst über Datenschutz hinausgeht. Wer zentrale digitale Infrastrukturen kontrolliert, verfügt auch über politischen Handlungsspielraum.

Der heise-Kommentar zieht daraus eine klare Schlussfolgerung: Selbst ein neues Abkommen würde das grundlegende Problem nicht lösen. Solange europäische Daten auf Infrastrukturen verarbeitet werden, die dem Einfluss einer ausländischen Regierung unterliegen, bleibt jede Vereinbarung angreifbar.

Die Debatte dreht sich deshalb längst nicht mehr nur um Datenschutz.

Sie dreht sich um digitale Souveränität.

🔗https://www.heise.de/meinung/EU-US-Datentransfer-Unsere-Daten-haben-ein-besseres-Abkommen-verdient-11377862.html?utm_term=Autofeed&utm_medium=Social&utm_source=LinkedIn#Echobox=1785136317

🗣️Gastbeitrag:

481 Millionen Euro im Jahr: Warum die Microsoft-Rechnung des Bundes nicht der Skandal ist

Gastbeitrag von Nish Sribavan

481 Millionen Euro. So viel hat der Bund im Jahr 2025 für Microsoft-Lizenzen ausgegeben, 38 Prozent mehr als im Vorjahr. Die Zahlen stammen aus Antworten des Bundesfinanzministeriums auf parlamentarische Anfragen und sie zeichnen eine klare Kurve von rund 274 Millionen Euro im Jahr 2023 über knapp 348 Millionen im Jahr 2024 bis zu nun über 481 Millionen. Seit 2017 summieren sich die Zahlungen auf mehr als 1,9 Milliarden Euro. Nicht enthalten sind darin die Ausgaben der Länder und Kommunen.

Die Empörung folgte prompt. Die Fachpresse spricht von der „Abhängigkeitsfalle", in den Kommentarspalten wird gerechnet, was man mit einer halben Milliarde Euro alles hätte aufbauen können. Ich habe mir die Debatte genauer angesehen und mein Befund ist unbequem. Die Summe ist nicht der Skandal. Der Skandal ist, was der Bund für dieses Geld nicht bekommt.

Zwei Lager, ein gemeinsamer Denkfehler

Die Debatte läuft in bekannten Bahnen. Das eine Lager zeigt auf die Rechnung und fordert den schnellen Ausstieg aus der Microsoft-Welt. Das andere Lager verweist auf openDesk, den staatlich geförderten Open-Source-Arbeitsplatz, als bereitstehende Alternative.

Ein Blick in dieselben Ministeriumsantworten ernüchtert allerdings. openDesk kommt aktuell auf 8.756 Lizenzen im Bund. Rund 90 Prozent davon laufen bei einer einzigen Behörde, dem Robert Koch-Institut. Das ist ein Pilotprojekt und als solches wertvoll. Ein Gegenmodell zu Hunderttausenden Microsoft-Arbeitsplätzen ist es noch nicht. Wer es als Beweis vorhandener Souveränität führt, verwechselt die Absicht mit dem Zustand.

Beide Lager streiten also über dieselbe Frage. Was kostet es? Das eine rechnet die Lizenzen hoch, das andere die Umstellung. Genau dieser Streit greift zu kurz. Denn die entscheidende Frage bei strategischen Technologieabhängigkeiten lautet nicht, was der Verbleib oder der Wechsel kostet. Sie lautet, ob eine Organisation überhaupt noch wechseln könnte, wenn sie müsste.

Was der Bund nicht eingekauft hat

Für 1,9 Milliarden Euro hat der Bund funktionierende Arbeitsplätze bekommen. Das ist keine Kleinigkeit und ich halte diese Ausgabe für vertretbar. Nicht vertretbar ist, dass in den Verträgen und Prozessen dahinter ein getesteter Ausstiegsweg fehlt.

Exit-Fähigkeit klingt nach einem Thema für Vertragsjuristen, ist aber eine operative Disziplin. In meiner Arbeit an „Sovereign Cloud" habe ich mit Executives der großen Anbieter ebenso gesprochen wie mit Verantwortlichen auf Anwenderseite. Ein Muster zieht sich durch fast alle Gespräche. Exit-Strategien existieren, allerdings nur auf dem Papier. Es gibt die Klausel im Vertrag und das Kapitel im Governance-Handbuch. Was es fast nie gibt, sind drei Dinge: real getestete Datenportabilität, außerhalb des Anbieter-Ökosystems nutzbare Schnittstellen und ein Betriebsmodell für den ersten Tag nach dem Wechsel. Eine Exit-Strategie, die nie geprobt wurde, ist keine Strategie. Sie ist eine Vermutung.

Warum das mehr ist als eine theoretische Sorge, hat das Jahr 2025 gezeigt. Nach US-Sanktionen verlor der Chefankläger des Internationalen Strafgerichtshofs den Zugriff auf sein E-Mail-Konto. Über die genauen Abläufe wurde anschließend gestritten. Entscheidend ist etwas anderes. Eine Institution musste im laufenden Betrieb erfahren, dass ihre Arbeitsfähigkeit an Entscheidungen hing, die außerhalb ihres Einflussbereichs fielen. Digitale Abhängigkeit kündigt sich nicht mit Panzern an. Sie wächst still, Vertrag für Vertrag, Integration für Integration, bis der Moment kommt, in dem ein Wechsel nicht mehr in 30 Tagen möglich ist, sondern in drei Jahren, wenn überhaupt.

Der Rechtsrahmen hilft, aber er löst das Problem nicht

Nun könnte man einwenden, die Regulierung regle das doch gerade. Tatsächlich verbietet der EU Data Act ab Januar 2027 Wechsel- und Datenabzugsgebühren vollständig, die rechtlichen und finanziellen Hürden eines Anbieterwechsels sinken damit deutlich. Das ist ein echter Fortschritt und man sollte ihn nicht kleinreden.

Nur beseitigt der Data Act Gebühren und Vertragsklauseln, nicht die technischen Barrieren, also proprietäre Formate, tiefe Integration in Managed Services und fehlendes Betriebs-Know-how für Alternativen. Exit-Fähigkeit lässt sich nicht verordnen. Sie ist Architekturarbeit und Übungssache, vergleichbar mit einem Notfallplan, der seinen Wert erst im Probealarm beweist.

Immerhin existiert mit dem neuen Zustimmungsvorbehalt des Digitalministeriums für größere IT-Beschaffungen ab 500.000 Euro Jahresvolumen im Bund erstmals ein zentraler Kontrollpunkt. Das ist der richtige Hebel am richtigen Ort. Bislang prüft er allerdings vor allem Ausgaben. Er müsste Abhängigkeiten prüfen.

Fünf Fragen, die jede Organisation beantworten können sollte

Der Befund betrifft nicht nur den Bund. Dieselbe Prüfung lohnt in jedem Unternehmen wie in jeder Verwaltung. Sie kostet zunächst nichts als Ehrlichkeit:

1. Können Sie die Wechselkosten Ihrer kritischen Plattformen beziffern? Die Lizenzsumme steht im Controlling. Die Abhängigkeit steht meist nirgends.
2. Wurde Ihr Exit-Prozess je getestet, nicht nur dokumentiert? Ein Probelauf mit echten Daten sagt mehr als hundert Seiten Konzept.
3. Sind Ihre Datenformate und Schnittstellen außerhalb des Anbieter-Ökosystems nutzbar? Wer im Haus kann das belegen?
4. Existiert ein Betriebsmodell für den Tag eins nach einem Wechsel? Wer betreibt was, mit welchem Personal und mit welchem Support?
5. Ist Exit-Fähigkeit ein messbares Kriterium in Ihren Vergaben und Vertragsverlängerungen oder nur eine Absichtserklärung in der Präambel?

Wer bei zwei oder mehr Fragen passen muss, kennt jetzt seine wichtigste Maßnahme für die nächsten Quartale.

Mein Fazit

481 Millionen Euro für funktionierende Arbeitsplätze halte ich für verkraftbar. Einen Staat, der 1,9 Milliarden Euro ausgibt und sich damit keinen einzigen getesteten Ausstiegsweg sichert, halte ich für fahrlässig. Das ist keine Digitalstrategie, das ist ein Mietverhältnis ohne Kündigungsrecht.

Die gute Nachricht ist, dass Exit-Fähigkeit kein Ideologieprojekt und kein Anti-Microsoft-Programm ist. Sie ist eine Management-Disziplin, die sich planen, testen und messen lässt. Souveränität entsteht nicht durch ein Label und nicht durch die Herkunft eines Anbieters. Sie entsteht durch belastbare Steuerungsfähigkeit. Und die zeigt sich nicht in stabilen Phasen, sondern unter Druck.

Nish Sribavan beschäftigt sich seit Jahren mit Cloud-Architekturen und digitaler Souveränität. Sein Buch „Sovereign Cloud" erscheint am 6. August 2026 im Rheinwerk Verlag. Für das Buch hat er mit Executives von Microsoft, AWS, SAP, Delos, StackIT und weiteren Anbietern gesprochen.

Quellen: Antworten des Bundesfinanzministeriums auf parlamentarische Anfragen (berichtet u. a. von der Süddeutschen Zeitung und heise online, 2026); eGovernment.de, „Der Bund mietet, Microsoft kassiert", 10.07.2026 (openDesk-Lizenzzahlen, Zustimmungsvorbehalt); EU Data Act, Verordnung (EU) 2023/2854 (Wechselentgelte unzulässig ab 12.01.2027).

📌Short-News:

China-Nexus JadeProx Uses New TriBack Loader in Government and Healthcare Attacks

Bericht über JadeProx-Kampagne gegen Regierungs- und Gesundheitssektor; Demonstriert geopolitische Risikofaktoren globaler Cloud- und Infrastruktur-Macht.

🔗https://thehackernews.com/2026/07/china-nexus-jadeprox-uses-new-triback.html

Codeberg verbietet KI-Training und KI-Massenprojekte

Codeberg schränkt KI-Training und Massenprojekte ein; Beispiel für Open-Source-Governance, Regulierung und digitale Souveränität innerhalb europäischer Offene-Standards-Community.

🔗 https://www.heise.de/news/Codeberg-verbietet-KI-Training-und-KI-Massenprojekte-11375621.html

NVIDIA gründet Open Secure AI Alliance mit 37 Mitgliedern und veröffentlicht NOOA-Framework als Open Source

NVIDIA gründet gemeinsam mit 37 Mitgliedern die Open Secure AI Alliance, um offene KI-Sicherheitstechnologien zu teilen. Gleichzeitig stellt das Unternehmen das NOOA-Framework als Open Source zur Verfügung.

🔗 https://thehackernews.com/2026/07/nvidia-forms-37-member-open-secure-ai.html

Chinas Chip-Pläne gegen US-Embargo, Werbereduzierung auf LG-Monitoren

Chinas Chip-Strategie, US-Embargo und offene KI-Ökosystem-Debatten werfen Fragen zur europäischen Regulierung, Abhängigkeiten und eigener Technologiealternativen auf.

🔗 https://www.heise.de/news/Montag-Chinas-Chip-Plaene-gegen-US-Embargo-Werbereduzierung-auf-LG-Monitoren-11378414.html

💚In eigener Sache:

Werbung 640x360

Polycrate ist die Plattform von ayedo für die Automatisierung und Orchestrierung von IT-Infrastrukturen. Wenn ihr mehr über ayedo und Polycrate erfahren möchtet, findet ihr alle Informationen unter folgendem Link:

🔗https://ayedo.de/polycrate/

🚨 Alert:

Der Staat will weniger kontrolliert werden. Seine Bürger dafür umso mehr.

Manchmal braucht es nur zwei Meldungen an einem Tag, um eine politische Entwicklung auf den Punkt zu bringen.

Das Bundesinnenministerium plant laut einem internen Vermerk, das Informationsfreiheitsgesetz massiv zu beschneiden. Antragsteller sollen sich künftig identifizieren müssen, Plattformen wie FragDenStaat gezielt ausgebremst werden. Selbst Journalistinnen, Journalisten und Bundestagsabgeordnete sollen künftig schwerer an amtliche Dokumente gelangen. Gleichzeitig steht die Abschaffung des Bundesbeauftragten für die Informationsfreiheit im Raum.

Kurz gesagt: Der Staat möchte selbst weniger überprüfbar werden.

Nur wenige Stunden später beschließen die EU-Mitgliedstaaten die Wiedereinführung der Chatkontrolle bis 2028. Plattformen dürfen wieder unverschlüsselte private Nachrichten automatisiert nach Darstellungen sexualisierter Gewalt gegen Kinder durchsuchen. Die Maßnahme betrifft Millionen unbescholtener Bürger und wird erneut als notwendige Ausnahme begründet.

Natürlich sind das zwei unterschiedliche Gesetzesvorhaben.

Politisch erzählen sie jedoch dieselbe Geschichte.

Wenn Bürger den Staat kontrollieren wollen, entstehen neue Hürden. Wenn der Staat Bürger kontrollieren möchte, werden Ausnahmeregelungen verlängert.

Demokratie lebt aber nicht davon, dass Kontrolle nur in eine Richtung funktioniert.

Gerade wer tief in Grundrechte eingreifen möchte, muss selbst maximale Transparenz und wirksame Kontrollmechanismen akzeptieren. Stattdessen erleben wir derzeit das Gegenteil: Die Möglichkeiten staatlicher Kontrolle werden ausgeweitet, während die Kontrolle staatlichen Handelns eingeschränkt werden soll.

Diese Entwicklung sollte jedem zu denken geben – unabhängig davon, wie man zu den einzelnen Maßnahmen steht.

🔗https://www.heise.de/news/Identifikationspflicht-Dobrindt-will-Informationsfreiheit-faktisch-stoppen-11376595.html & https://www.golem.de/news/bis-april-2028-anlasslose-chatkontrolle-tritt-wieder-in-kraft-2607-211211.html

🗣️Linkedin-Beitrag der Woche:

Diese Woche geht die Empfehlung an Klaus Wiedenmann, der seine Erfahrungen mit kDrive von Infomaniak als Alternative zu Microsoft OneDrive teilt.

Besonders gefallen hat mir, dass der Beitrag keine pauschalen Urteile fällt. Klaus beschreibt sehr sachlich, wo OneDrive weiterhin seine Stärken hat – insbesondere im Microsoft-Ökosystem – und wo kDrive für ihn im Alltag überzeugt. Gerade die plattformübergreifende Nutzung unter Windows und Linux sowie die unkomplizierte Synchronisation machen den Beitrag für alle interessant, die sich mit europäischen Cloud-Alternativen beschäftigen.

Ein gutes Beispiel dafür, dass ein Wechsel nicht immer radikal sein muss. Manchmal reicht es, Alternativen auszuprobieren und eigene Erfahrungen zu sammeln.

🔗Den lesenswerten Beitrag von Klaus Wiedenmann findet ihr hier: https://www.linkedin.com/feed/update/urn:li:activity:7487788540005715971/

🤷‍♀️Hat’s diese Woche nicht in den WB geschafft:

Microsoft-365-Zugangsklau über Hotel-WLAN

Phishing-Mails werden immer besser. Deshalb investieren Unternehmen viel Zeit in Awareness-Schulungen.

Der aktuelle Angriff, über den heise berichtet, umgeht den Mitarbeitenden jedoch komplett.

Stattdessen kompromittieren die Angreifer WLAN-Router in Hotels und Konferenzzentren, manipulieren die DNS-Konfiguration und leiten Nutzer unbemerkt auf gefälschte Microsoft-365-Anmeldeseiten um. Wer seine Zugangsdaten eingibt, liefert sie direkt an die Angreifer.

Das Ziel ist wenig überraschend: Microsoft 365. Nicht weil Microsoft selbst kompromittiert wurde, sondern weil ein einziges Konto heute oft den Zugang zu Outlook, Teams, OneDrive, SharePoint und damit zu einem großen Teil der Unternehmenskommunikation öffnet.

Technisch ist der Angriff interessant. Die Gegenmaßnahme dagegen ist seit Jahren bekannt.

Ein VPN, das den gesamten Datenverkehr inklusive DNS über das Unternehmensnetz leitet, verhindert genau dieses Angriffsszenario. Deshalb gehört ein VPN auf Geschäftsreisen nicht zu den “Nice-to-have”-Sicherheitsmaßnahmen, sondern zur absoluten Grundausstattung.

Und genau deshalb hat es der Artikel nicht in den Weekly Backlog geschafft. Der Angriff ist keine Überraschung. Dass es 2026 offenbar noch Unternehmen gibt, die ihre Mitarbeitenden ohne dauerhaft aktives VPN in Hotel-WLANs arbeiten lassen, schon eher.

🔗https://www.heise.de/news/Russische-Angreifer-Microsoft-365-Zugangsklau-durch-Hotel-Router-11378714.html?utm_term=Autofeed&utm_medium=Social&utm_source=LinkedIn#Echobox=1785143065