Kurz gesagt: Die Abhängigkeit von Microsoft ist keine Naturgewalt, sondern das Ergebnis vieler einzelner Entscheidungen. Genau deshalb lässt sie sich auch wieder steuern. Die britische Wettbewerbsbehörde CMA hat die Wechselhürden jetzt so klar beschrieben wie nie zuvor.
Worum es geht
Anlass ist ein Kommentar von Prof. Dennis-Kenji Kipker auf heise online vom 6. November 2026. Er greift einen Vorschlag der CMA vom 16. Oktober 2026 auf: Microsoft soll für sein Business-Software-Ökosystem als Unternehmen mit strategischer Marktbedeutung eingestuft werden. Kipkers These: Europa darf diesen Maßstab nicht ignorieren.
Was die CMA festgestellt hat
Die CMA sieht Microsoft in fast allen Kernbereichen der Unternehmens-IT in einer starken Position: Betriebssysteme, Office-Anwendungen, Sicherheitslösungen, Server und Datenbanken.
Der entscheidende Befund betrifft die Wechselkosten. Sie sind für viele Kunden zu hoch, um Alternativen realistisch zu nutzen. Der Grund liegt im Paketmodell: Wer ein großes Microsoft-SaaS-Paket lizenziert, für den wirkt jedes Einzelprodukt eines Wettbewerbers zunächst teurer – auch wenn es technisch besser oder langfristig günstiger wäre.
Besonders deutlich wird das bei KI. Copilot ist in Word, Excel, PowerPoint, Outlook und Teams bereits eingebaut. Ein alternatives KI-Angebot konkurriert damit nicht mit einem Produkt, sondern mit der Voreinstellung eines ganzen Ökosystems.
Die Konsultation der CMA läuft bis zum 13. November 2026. Die endgültige Entscheidung ist bis zum 13. Februar 2027 angekündigt.
Warum das auch in der EU gilt
Lizenzbedingungen und Wechselhürden sind in Hamburg, Lyon oder Mailand praktisch dieselben wie in Manchester. Die britische Faktenlage lässt sich deshalb weitgehend übertragen. Die bisherigen europäischen Instrumente greifen nach Kipkers Einschätzung zu kurz:
| Instrument | Stand | Lücke |
|---|---|---|
| EU-Kommission, Teams-Verfahren | Zusagen 2025 akzeptiert: Pakete ohne Teams, mehr Interoperabilität | betrifft nur ein Produkt |
| Bundeskartellamt, § 19a GWB | Microsoft seit September 2024 als Unternehmen mit überragender marktübergreifender Bedeutung eingestuft | seither kaum konkrete Maßnahmen |
| Digital Markets Act | Windows und LinkedIn als Gatekeeper-Dienste erfasst | Office, Sicherheitsprodukte und Copilot nicht erfasst |
Die CMA-Analyse liefert dem Bundeskartellamt eine Blaupause. Bindend ist sie nicht. Die Behörde kann die Tatsachenbasis aber übernehmen.
Wer betroffen ist
Vor allem mittelständische Unternehmen, deren IT stark auf Microsoft aufbaut. Kipker argumentiert wettbewerbs- und souveränitätspolitisch, das Thema hat aber auch eine handfeste Compliance-Seite. Die folgenden Punkte sind meine Einordnung aus Datenschutzsicht, nicht Inhalt des Kommentars:
- Exit gehört in den AV-Vertrag. Art. 28 Abs. 3 lit. g DSGVO verlangt Regelungen zu Rückgabe und Löschung nach Vertragsende. Ohne praktikablen Exportweg bleibt das Papier.
- Verfügbarkeit ist eine TOM. Art. 32 Abs. 1 lit. b und c DSGVO fordern belastbare Systeme und die rasche Wiederherstellung von Daten. Ein Single-Vendor-Ausfall gehört deshalb in die Risikobewertung.
- Drittlandbezug bleibt. Auch bei EU-Rechenzentren bleibt ein US-Anbieter dem US-Recht unterworfen. Die Bewertung nach Art. 44 ff. DSGVO muss das berücksichtigen.
- KI per Voreinstellung. Wird Copilot einfach freigeschaltet, fehlen oft Zweckbestimmung, Berechtigungskonzept und Prüfung nach dem EU AI Act. Bewusste Auswahl schlägt Default.
- Lieferkette unter NIS2. Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette steuern (Art. 21 Abs. 2 lit. d NIS2-Richtlinie). Abhängigkeit von einem Anbieter ist dort ein Risiko, kein Komfort.
Was jetzt zu tun ist
Kipkers Forderungen richten sich an Staat und Vergabe: Wechselkosten und Ausstiegsszenarien als Wertungskriterium, verbindliche offene Standards und Schnittstellen – auch für KI – und nachweisbare Exit-Fähigkeit für Behörden und KRITIS-Betreiber. Vieles davon lässt sich auf die eigene Beschaffung übertragen:
- Abhängigkeiten erfassen: Welche Prozesse hängen an welchem Microsoft-Dienst – inklusive Identitätsverwaltung und Sicherheit?
- Exit-Szenario dokumentieren: Was passiert, wenn ein zentraler Dienst ausfällt oder sich Konditionen ändern? Wie lange dauert ein Wechsel?
- Wechselkosten in Ausschreibungen bewerten: Nicht nur Lizenzpreis, sondern Gesamtkosten inklusive Ausstieg.
- Data-Act-Rechte nutzen: Seit dem 12. September 2025 gelten die Wechselregeln des Data Act (Art. 23 ff.). Ab dem 12. Januar 2027 sind Wechselentgelte unzulässig (Art. 29 Abs. 1). Verträge darauf prüfen.
- Offene Formate und Schnittstellen verlangen: Exportfähigkeit vertraglich absichern, auch für KI-Funktionen.
- Copilot & Co. bewusst einführen: Erst Use Case, Rechtsgrundlage und Risikoprüfung, dann Lizenz.
- AVV und TOM nachschärfen: Rückgabe, Löschung und Wiederherstellung konkret regeln.
Fazit
Souverän ist nur, wer auch wechseln kann – und Exit-Fähigkeit, saubere Verträge und bewusste KI-Einführung liegen in der eigenen Hand.
Sie möchten das in Ihrem Unternehmen angehen?
Ich unterstütze Sie persönlich – von der ersten Einschätzung bis zur Umsetzung.
Quellen: Dennis-Kenji Kipker, heise online, 06.11.2026 · Data Act, Art. 29 (dejure.org) · Bundesnetzagentur: Factsheet Data Act
Stand: November 2026. Dieser Beitrag ersetzt keine Rechtsberatung im Einzelfall.