Cloud-Rollout endet nach 5.000 Arbeitsplätzen
Die niederländische Steuer- und Zollverwaltung stoppt ihre geplante Migration zu Microsoft 365 in der Public Cloud. Grundlage ist eine Empfehlung des staatlichen ICT-Prüfgremiums, das erhebliche Defizite bei Informationssicherheit, Datenverarbeitung und Zukunftsfähigkeit festgestellt hatte.
Die Entscheidung für Microsoft 365 war 2025 gefallen. Bis zum Stopp nutzten rund 5.000 Beschäftigte die Cloud-Dienste. Ursprünglich sollte die Plattform bis Ende 2026 für insgesamt 47.500 Mitarbeiter der Steuer-, Zoll- und Zulagenverwaltung ausgerollt werden.
| Punkt | Bisheriger Plan | Neuer Plan |
|---|---|---|
| Betroffene Beschäftigte | 47.500 | 47.500 |
| Bereits erreichte Nutzer | Rund 5.000 | Migration wird nicht wie geplant fortgesetzt |
| E-Mail und Kalender | Microsoft 365 Public Cloud bis Ende 2026 | On-Premises ab 2027 |
| Speicher und Zusammenarbeit | Microsoft 365 | Europäische Open-Source-Lösungen ab Ende 2027 und 2028 |
Sicherheitsbedenken und fehlende Exit-Strategie
On-Premises bedeutet, dass Dienste auf Infrastruktur unter eigener Kontrolle betrieben werden. Die Behörde will E-Mail und Kalender 2027 vollständig auf eigenen Servern bereitstellen. Für persönlichen Dateispeicher und Kollaborationsfunktionen sollen anschließend europäische Open-Source-Angebote eingeführt werden.
„2027 wird die Bereitstellung für E-Mail und Kalender On-Premises realisiert. Später folgen europäische Open-Source-Lösungen für persönlichen Speicher und Kollaboration“, erklärte Finanzstaatssekretär Eelco Eerenberg, sinngemäß übersetzt.
Das Prüfgremium kritisierte insbesondere die Verarbeitung vertraulicher Behördendaten über US-Infrastruktur. Hinzu kamen Schwächen im gewählten Verschlüsselungskonzept. Eine Double Key Encryption, bei der Kunde und Anbieter getrennte Schlüssel kontrollieren, war nicht vorgesehen.
Bei direkten Teams-Gesprächen war Ende-zu-Ende-Verschlüsselung nicht standardmäßig aktiviert. Für Gruppengespräche stand sie in der gewählten Konfiguration nicht zur Verfügung. Ein Teil dieser Probleme geht damit auf die konkrete technische Ausgestaltung zurück und nicht allein auf die Plattform.
Grundsätzlicher sind die Bedenken zum Vendor Lock-in. Die Behörde wäre für zentrale Arbeitsplatzfunktionen von einem einzelnen US-Anbieter abhängig geworden. Gleichzeitig fehlte eine belastbare Exit-Strategie für einen späteren Wechsel.
US CLOUD Act erhöht den politischen Druck
Der US CLOUD Act erlaubt US-Behörden unter bestimmten Voraussetzungen, Daten von amerikanischen Anbietern anzufordern. Für europäische Verwaltungen und regulierte Unternehmen entsteht dadurch ein Konflikt zwischen technischer Nutzung, rechtlicher Kontrolle und geopolitischer Abhängigkeit.
Die niederländische Entscheidung bedeutet nicht automatisch, dass Microsoft 365 grundsätzlich gegen die DSGVO verstößt. Sie zeigt aber, dass Datenschutz allein nicht mehr das einzige Entscheidungskriterium ist. Kontrollmöglichkeiten, Verschlüsselung, Anbieterabhängigkeit und ein realistischer Ausstiegsplan werden zunehmend gemeinsam bewertet.
Der Kurs passt zu weiteren europäischen Projekten für souveräne Arbeitsplätze. In den Niederlanden entsteht mit DAWO ein offener Behördenarbeitsplatz. Deutschland verfolgt mit openDesk eine vergleichbare Open-Source-Strategie.
Open Source löst nicht jedes Migrationsproblem
Welche konkreten Produkte die Steuerverwaltung für Speicher und Zusammenarbeit einsetzen wird, ist noch offen. Nextcloud und Matrix-basierte Plattformen wie Element gelten als mögliche Branchenbeispiele, ein Zuschlag wurde jedoch nicht bestätigt.
Eine offene Baustelle bleibt das Records Management, also die regelkonforme Verwaltung und Aufbewahrung behördlicher Akten. Einige dafür eingeplante Funktionen aus Microsoft 365 stehen On-Premises nicht direkt zur Verfügung. Die Behörde prüft deshalb noch, wie diese Fähigkeiten ersetzt werden können.
Auch die Kostenfrage ist nicht abschließend beantwortet. Genaue Zahlen für Rückbau, Migration und laufenden Eigenbetrieb wurden nicht genannt. Zusätzliche Ausgaben sollen begrenzt werden, indem vorhandene Lizenzen weitergenutzt und bereits ausgebaute Rechenzentrumskapazitäten eingesetzt werden.
Was Unternehmen daraus ableiten können
Der Fall zeigt, dass ein Ausstieg aus einer proprietären Cloud-Suite auch bei mehreren zehntausend Arbeitsplätzen möglich ist. Er ist jedoch kein einfacher Produkttausch. Prozesse, Archivierung, Identitätsverwaltung und Zusammenarbeit müssen neu geplant werden.
Für Unternehmen im DACH-Raum ist besonders die fehlende Exit-Strategie relevant. Wer geschäftskritische Abläufe vollständig in eine SaaS-Plattform verlagert, benötigt bereits vor Vertragsabschluss einen technisch und wirtschaftlich tragfähigen Rückweg. Wie gravierend operative Abhängigkeiten werden können, zeigte auch die endgültige Löschung von Nonprofit-Daten bei Microsoft 365.
Self-Hosting und Open Source beseitigen weder Betriebsaufwand noch Sicherheitsrisiken. Sie verschieben jedoch die Kontrolle über Daten, Infrastruktur und Wechselmöglichkeiten zurück zur eigenen Organisation. Microsoft lehnte eine Stellungnahme zu der Entscheidung der niederländischen Behörde ab.