Die niederländischen Finanz-, Zoll- und Sozialbehörden haben ihre Migration auf Microsoft 365 gestoppt. Das geht aus einem Schreiben des Staatssekretärs Eelco Eerenberg an die Zweite Kammer des niederländischen Parlaments hervor, verfasst als Antwort auf eine Anfrage des Abgeordneten Van Dijk (CDA) vom 8. September 2026. Bereits 5.000 Mitarbeiter waren zum Zeitpunkt des Stopp-Befehls auf Microsoft 365 umgestellt, wie Neowin.net berichtet und borncity.com aufgreift. Tweaks meldete die Entscheidung unter der Schlagzeile, der Belastingdienst wolle eigene Server statt der Microsoft-Cloud.

Was das für einen Betrieb mit 20 oder 80 Mitarbeitern konkret bedeutet: Der Beirat, der die Migration begleitet hatte, nannte mehrere Gründe für den Stopp. Die Vertraulichkeit des E-Mail-Austauschs sei gefährdet, weil sensible Daten auf amerikanischen Servern landen könnten. Es fehle an Verschlüsselung, und es bestünden sogenannte Aggregationsrisiken im Zusammenhang mit Metadaten. Auch die Datensicherung lasse „erheblich zu wünschen übrig". Für einen Mittelständler, der seine gesamte Kommunikation über Microsoft 365 abwickelt, ist das keine abstrakte Behördendebatte. Wenn die Behörde, die selbst 5.000 Nutzer auf der Plattform hatte, diese Risiken als unvertretbar einstuft, wäre es an der Zeit, die eigene Datenlage einmal nüchtern anzuschauen.

DAWO, NixOS und der breitere Kontext

Die Entscheidung des Finanzamts ist Teil eines größeren Trends. Die niederländische Regierung treibt parallel das Projekt DAWO – „Digitaal Autonome Werkomgeving Overheid" – voran, eine vollständige digitale Arbeitsumgebung auf Basis der Linux-Distribution NixOS. Drei IT-Dienstleister – SSC-ICT, DICTU und DUO-ICT – bauen das System; acht niederländische Gemeinden testen es bereits im Rahmen der VNG. Der offizielle Mandatsbeschluss fiel im Juli 2026, die Version 1.0 soll 2027 erscheinen.

Auslöser für die gesamte Bewegung war Anfang 2025 die Kontensperre beim Internationalen Strafgerichtshof: Die US-Regierung verhängte Sanktionen, Microsoft sperrte dem Chefankläger den E-Mail-Zugang. Für die niederländische Regierung war der Moment, in dem ein abstraktes Risiko konkret wurde. Das Parlament hatte bereits Anfang 2025 gefordert, die Abhängigkeit von US-Techfirmen zu reduzieren. Die Steuerbehörde gelang es ihrerseits, die eigene Rechenzentrumskapazität zu erweitern – genau das, was laut Eerenberg den Wechsel zurück auf lokale Server erst möglich machte.

Was jetzt zu tun ist

1. Prüfen Sie im Microsoft 365-Admin-Center unter „Einstellungen – Datenschutz", in welchem Region-Cluster Ihre Daten physisch liegen. Steht dort „Vereinigte Staaten" und Sie verarbeiten personenbezogene oder geschäftskritische Daten, dokumentieren Sie das – nicht, um es zu ändern, sondern um es zu kennen.
2. Überprüfen Sie, ob Ihre E-Mail-Verschlüsselung tatsächlich aktiv ist. Im Admin-Center unter „Compliance – Datenschutz" lässt sich ablesen, ob Transportverschlüsselung und Ende-zu-Ende-Verschlüsselung für Ihre Postfächer konfiguriert sind. Fehlt eine der beiden, ist das ein konkreter Handlungsbedarf.
3. Stellen Sie sicher, dass Ihr Backup für Microsoft 365-Daten (Postfächer, OneDrive, SharePoint) tatsächlich funktioniert. Ein Export-Test auf ein externes Ziel – NAS, externes Laufwerk, ein zweiter Cloud-Dienst – dauert 20 Minuten und belegt, ob im Ernstfall Daten wiederherstellbar sind.

Das Ärgerliche an der ganzen Geschichte: Die Behörde hat 5.000 Leute umgestellt, bevor der Beirat die Risiken auf dem Tisch legte. Man merkt es erst, wenn es zu spät ist – oder wenn ein ausländischer Gesetzgeber mitentscheidet, ob Ihr Postfach erreichbar bleibt. Wer jetzt unsicher ist, ob die eigene M365-Umgebung sauber abgesichert ist und die Daten dort liegen, wo sie sein sollten, hat damit schon die richtige Frage gestellt. Wir schauen uns das gerne einmal konkret an – Ihre Postfächer, Ihre Backup-Kette, Ihre Datenresidenz – und sagen Ihnen, was hakt und was in Ordnung ist. Hier erreichen Sie uns.

Beitragsbild: panumas nikhomkhai auf Pexels