Microsoft ist kein Schicksal – was die CMA-Entscheidung für Ihre IT-Strategie bedeutet

Kurz gesagt: Die Abhängigkeit von Microsoft ist keine Naturgewalt, sondern das Ergebnis vieler einzelner Entscheidungen. Genau deshalb lässt sie sich auch wieder steuern. Die britische Wettbewerbsbehörde CMA hat die Wechselhürden jetzt so klar beschrieben wie nie zuvor.

Worum es geht

Anlass ist ein Kommentar von Prof. Dennis-Kenji Kipker auf heise online vom 6. November 2026. Er greift einen Vorschlag der CMA vom 16. Oktober 2026 auf: Microsoft soll für sein Business-Software-Ökosystem als Unternehmen mit strategischer Marktbedeutung eingestuft werden. Kipkers These: Europa darf diesen Maßstab nicht ignorieren.

Was die CMA festgestellt hat

Die CMA sieht Microsoft in fast allen Kernbereichen der Unternehmens-IT in einer starken Position: Betriebssysteme, Office-Anwendungen, Sicherheitslösungen, Server und Datenbanken.

Der entscheidende Befund betrifft die Wechselkosten. Sie sind für viele Kunden zu hoch, um Alternativen realistisch zu nutzen. Der Grund liegt im Paketmodell: Wer ein großes Microsoft-SaaS-Paket lizenziert, für den wirkt jedes Einzelprodukt eines Wettbewerbers zunächst teurer – auch wenn es technisch besser oder langfristig günstiger wäre.

Besonders deutlich wird das bei KI. Copilot ist in Word, Excel, PowerPoint, Outlook und Teams bereits eingebaut. Ein alternatives KI-Angebot konkurriert damit nicht mit einem Produkt, sondern mit der Voreinstellung eines ganzen Ökosystems.

Die Konsultation der CMA läuft bis zum 13. November 2026. Die endgültige Entscheidung ist bis zum 13. Februar 2027 angekündigt.

Warum das auch in der EU gilt

Lizenzbedingungen und Wechselhürden sind in Hamburg, Lyon oder Mailand praktisch dieselben wie in Manchester. Die britische Faktenlage lässt sich deshalb weitgehend übertragen. Die bisherigen europäischen Instrumente greifen nach Kipkers Einschätzung zu kurz:

Die CMA-Analyse liefert dem Bundeskartellamt eine Blaupause. Bindend ist sie nicht. Die Behörde kann die Tatsachenbasis aber übernehmen.

Wer betroffen ist

Vor allem mittelständische Unternehmen, deren IT stark auf Microsoft aufbaut. Kipker argumentiert wettbewerbs- und souveränitätspolitisch, das Thema hat aber auch eine handfeste Compliance-Seite. Die folgenden Punkte sind meine Einordnung aus Datenschutzsicht, nicht Inhalt des Kommentars:

• Exit gehört in den AV-Vertrag. Art. 28 Abs. 3 lit. g DSGVO verlangt Regelungen zu Rückgabe und Löschung nach Vertragsende. Ohne praktikablen Exportweg bleibt das Papier.
• Verfügbarkeit ist eine TOM. Art. 32 Abs. 1 lit. b und c DSGVO fordern belastbare Systeme und die rasche Wiederherstellung von Daten. Ein Single-Vendor-Ausfall gehört deshalb in die Risikobewertung.
• Drittlandbezug bleibt. Auch bei EU-Rechenzentren bleibt ein US-Anbieter dem US-Recht unterworfen. Die Bewertung nach Art. 44 ff. DSGVO muss das berücksichtigen.
• KI per Voreinstellung. Wird Copilot einfach freigeschaltet, fehlen oft Zweckbestimmung, Berechtigungskonzept und Prüfung nach dem EU AI Act. Bewusste Auswahl schlägt Default.
• Lieferkette unter NIS2. Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette steuern (Art. 21 Abs. 2 lit. d NIS2-Richtlinie). Abhängigkeit von einem Anbieter ist dort ein Risiko, kein Komfort.

Was jetzt zu tun ist

Kipkers Forderungen richten sich an Staat und Vergabe: Wechselkosten und Ausstiegsszenarien als Wertungskriterium, verbindliche offene Standards und Schnittstellen – auch für KI – und nachweisbare Exit-Fähigkeit für Behörden und KRITIS-Betreiber. Vieles davon lässt sich auf die eigene Beschaffung übertragen:

• Abhängigkeiten erfassen: Welche Prozesse hängen an welchem Microsoft-Dienst – inklusive Identitätsverwaltung und Sicherheit?
• Exit-Szenario dokumentieren: Was passiert, wenn ein zentraler Dienst ausfällt oder sich Konditionen ändern? Wie lange dauert ein Wechsel?
• Wechselkosten in Ausschreibungen bewerten: Nicht nur Lizenzpreis, sondern Gesamtkosten inklusive Ausstieg.
• Data-Act-Rechte nutzen: Seit dem 12. September 2025 gelten die Wechselregeln des Data Act (Art. 23 ff.). Ab dem 12. Januar 2027 sind Wechselentgelte unzulässig (Art. 29 Abs. 1). Verträge darauf prüfen.
• Offene Formate und Schnittstellen verlangen: Exportfähigkeit vertraglich absichern, auch für KI-Funktionen.
• Copilot & Co. bewusst einführen: Erst Use Case, Rechtsgrundlage und Risikoprüfung, dann Lizenz.
• AVV und TOM nachschärfen: Rückgabe, Löschung und Wiederherstellung konkret regeln.

Fazit

Souverän ist nur, wer auch wechseln kann – und Exit-Fähigkeit, saubere Verträge und bewusste KI-Einführung liegen in der eigenen Hand.

Quellen: Dennis-Kenji Kipker, heise online, 06.11.2026 · Data Act, Art. 29 (dejure.org) · Bundesnetzagentur: Factsheet Data Act

Stand: November 2026. Dieser Beitrag ersetzt keine Rechtsberatung im Einzelfall.