Niederländische Steuerbehörde stoppt Microsoft 365 und holt E-Mail auf eigene Server

Die niederländische Steuerbehörde hat ihren Wechsel zu Microsofts Cloud-Office-Suite aufgegeben. E-Mails, Kalender und Büroanwendungen sollen künftig auf Servern laufen, die sie selbst besitzt oder kontrolliert – unterstützt von europäischer Open-Source-Software. Der Belastingdienst sollte gemeinsam mit dem niederländischen Zoll und der für die Auszahlung von Sozialleistungen zuständigen Behörde in Microsofts öffentlicher Cloud arbeiten: mit Outlook, Teams und den Online-Office-Anwendungen. Nun holt die Institution, die die Finanzdaten aller niederländischen Steuerzahler verwaltet, diese Arbeit zurück auf eigene Hardware.

Auslöser war ein Urteil der IT-Aufsichtsbehörde der Regierung. Der Advisory Council on ICT Assessment kam zu dem Schluss, dass das Konzept mit der öffentlichen Cloud „bei Informationssicherheit, Informationsverarbeitung und Zukunftsfähigkeit erhebliche Mängel aufweist“, wie The Register berichtete. Die aufgeführten Probleme lesen sich wie eine Checkliste, an der jede Organisation mit Microsofts Cloud ihre eigene Aufstellung prüfen könnte: vertrauliche Dokumente, die über amerikanische Server laufen, und die standardmäßige Microsoft-Verschlüsselung statt Double Key Encryption – einer Option, bei der ein Schlüssel in der Hand des Kunden bleibt.

Der Rat stellte außerdem fest, dass Einzelgespräche über Teams standardmäßig nicht Ende-zu-Ende-verschlüsselt waren und Gruppengespräche überhaupt nicht auf diese Weise verschlüsselt werden konnten. Über allem stand das Problem der Abhängigkeit: ein einzelner amerikanischer Anbieter und keine Ausstiegsstrategie für den Fall, dass die Steuerbehörde den Dienst verlassen müsste. Niederländische Abgeordnete hatten bereits argumentiert, dass die Abhängigkeit von einem einzigen US-Anbieter eine zentrale staatliche Funktion angreifbar mache, da US-Recht amerikanische Unternehmen dazu verpflichten kann, Daten herauszugeben – unabhängig davon, wo diese gespeichert sind.

Bis vor Kurzem beharrte die Steuerbehörde darauf, eine souveräne Alternative sei „nicht realistisch oder praktikabel“. Geändert habe sich die Lage durch die gewachsenen Kapazitäten, erklärte Eelco Eerenberg, Staatssekretär für Finanzen: Der Belastingdienst habe seine eigenen Rechenzentren so weit ausgebaut, dass er die Software selbst hosten könne. Um die Kosten niedrig zu halten, sollen vorhandene Lizenzen so weit wie möglich weiterverwendet werden. Zudem folgt die Behörde dem Rat, die passenden Werkzeuge für einzelne Aufgaben auszuwählen, statt eine komplette Suite von einem einzigen Anbieter zu kaufen.

Der Plan weist noch Lücken auf. Die Regierung nennt keine konkreten Produkte; „europäische Open Source“ beschreibt daher bislang eine Richtung und noch keine Auswahl. Einige in Microsoft 365 integrierte Funktionen zur Verwaltung von Unterlagen haben keine Entsprechung, die sich vor Ort betreiben ließe, und die Behörde sucht noch nach Ersatz. Laut The Register waren rund 5.000 der insgesamt 47.500 Beschäftigten in Steuer-, Zoll- und Sozialleistungsbehörden bereits in die Cloud gewechselt. Die Kosten für die Kehrtwende hat bislang niemand beziffert. Auch erste Einschätzungen europäischer Alternativen fallen gemischt aus: Politico berichtete, ein Mitarbeiter der Europäischen Kommission habe den Teams-Konkurrenten Element auf einer internen Nachrichtenplattform scharf kritisiert.

Microsoft lehnte eine Stellungnahme ab. Die Anbieter, die von der Entscheidung profitieren könnten, äußerten sich schneller. Frank Karlitschek, Geschäftsführer von Nextcloud, begrüßte den Beschluss und erklärte, sein Unternehmen habe im vergangenen Jahr mehr als zwei Millionen souveräne Workspace-Lizenzen hinzugewonnen. Matthew Hodgson, Geschäftsführer von Element, bezeichnete die Rückmeldungen von Kunden als „durchweg positiv und konstruktiv“ und sagte, mit einigem Gegenwind von Nutzern, die Veränderungen nicht mögen, sei zu rechnen.

Über die Niederlande hinaus ist die Entscheidung vor allem als Präzedenzfall bedeutsam, weniger als IT-Projekt. Steuerbehörden gehören zu den Institutionen eines Staates, die Risiken am stärksten vermeiden wollen. Nun hat eine von ihnen schriftlich festgehalten, dass eine weitverbreitete US-Cloud-Suite ihre Sicherheitsprüfung nicht bestanden hat. Bei den vom Rat aufgeführten Schwächen handelt es sich nicht um exotische Einstellungen. Standardverschlüsselung, Teams-Anrufe und ein Vertrag mit nur einem Anbieter sind für die meisten Organisationen Teil des Pakets, wenn sie Microsoft 365 abonnieren. Die meisten niederländischen Behörden nutzen weiterhin Microsofts Cloud.

E-Mails und Kalender werden zuerst auf die eigenen Server der Steuerbehörde verlagert – 2027. Europäische Open-Source-Werkzeuge für persönliche Speicherlösungen und Zusammenarbeit sollen später im Jahr 2027 und 2028 folgen. Das Abgeordnetenhaus erhält im ersten Quartal 2027 einen detaillierten Fahrplan. Eerenberg legte den Plan am 6. Oktober in einem Schreiben an das Parlament dar und beantwortete damit Fragen von Abgeordneten.

Die erste echte Bewährungsprobe kommt mit dem Posteingang: an dem Morgen, an dem Zehntausende Beschäftigte in Steuer-, Zoll- und Sozialleistungsbehörden ihre E-Mails auf Servern öffnen, die der niederländische Staat kontrolliert – und entweder nichts bemerken oder alles.

Schlagwörter: microsoft, Open Source, Microsoft 365, Belastingdienst, digitale Souveränität, Element