Die datenschutzkonforme Konfiguration von Cloud-Umgebungen stellt Unternehmen fortlaufend vor komplexe Aufgaben. Ein Workshop der Golem Karrierewelt widmet sich vor diesem Hintergrund der Frage, wie sich Vorgaben der Datenschutz-Grundverordnung (DSGVO), Datenresidenz und Audit-Pflichten in Microsoft 365 technisch umsetzen lassen, wie aus einem Bericht vom 22. Oktober 2026 hervorgeht.
Das Angebot, das auch im Rahmen einer Anzeige beworben wird, greift zentrale Herausforderungen für Administratoren auf. Zeitgleich kündigte heise.de beziehungsweise iX ein Workshop-Angebot zur Absicherung von Microsoft 365 gegen Angriffe an.
Frist für Datenresidenz im Microsoft Admin Center
Die Bedeutung gezielter Einstellungen verdeutlicht ein neuer Schalter im Microsoft Admin Center. Administratoren können dort festlegen, ob E-Mails, Dateien und Teams-Daten strikt an deutschen Rechenzentrumsstandorten verbleiben oder EU-weit gespeichert werden dürfen.
Ohne eine explizite Konfiguration bis zum 14. Dezember 2026 gilt standardmäßig die Zustimmung zur EU-weiten Speicherung; an diesem Stichtag friert Microsoft die gewählte Präferenz ein.
Für die Prüfung wird die Berechtigung als Globaler Administrator benötigt, wobei der Zeitaufwand bei etwa zwei Minuten liegt. Bei der Option „Ein“ verbleiben ruhende Daten ausnahmslos an deutschen Standorten, während die Einstellung „Aus“ Microsoft ab dem 14. Dezember 2026 die Verlagerung innerhalb der Europäischen Union gestattet.
Diese Auswahlmöglichkeit steht nicht zur Verfügung, wenn die Standardregion nicht Deutschland, Frankreich, Norwegen, Schweden oder die Schweiz ist oder Advanced Data Residency genutzt wird.
Betroffen von der Regelung sind Exchange Online, SharePoint, OneDrive, Teams sowie Microsoft 365 Copilot, während Datentransfers in Drittstaaten unberührt bleiben, da die EU Data Boundary unverändert fortbesteht.
Souveränitätsfunktionen und Infrastruktur
Ergänzend kündigte Microsoft am 20. Oktober 2026 diverse Aktualisierungen für souveräne Cloud-Lösungen an. Dazu zählt Data Guardian, das in der EU und den EFTA-Staaten ausgerollt wird und bei Fernzugriffen von Microsoft-Ingenieuren auf Produktionssysteme eine Aufsicht durch vertrauenswürdige europäische Partner vorsieht.
Zudem wird der Production Touch Ledger für manipulationssichere Zugriffsprotokolle schrittweise eingeführt, während External Key Management mit Azure Managed HSM allgemein verfügbar ist. Letzteres ermöglicht es Kunden, Verschlüsselungsschlüssel auf eigener Hardware oder bei Drittparteien zu verwalten.
Wer sich mit der Absicherung von Cloud-Systemen und Datenresidenz befasst, muss auch die Dokumentationspflichten der DSGVO im Blick behalten. Diese kostenlose Excel-Vorlage hilft Ihnen, Ihr Verarbeitungsverzeichnis zeitsparend und rechtssicher zu erstellen, um hohe Bußgeldrisiken zu vermeiden. Kostenlose Muster-Vorlage und Schritt-für-Schritt-Anleitung jetzt gratis herunterladen
Ab der Ignite-Konferenz soll zudem das Sovereign Control Panel in einer öffentlichen Vorschau bereitstehen. Für die Sovereign Private Cloud auf Azure Local befindet sich der Wechsel vom verbundenen zum getrennten Betrieb in der öffentlichen Vorschau, während ein Mandantenbetrieb für Azure Local ohne festen Termin geplant ist. Das Ökosystem umfasst Partner wie Bleu Cloud in Frankreich und Delos Cloud in Deutschland.
Prüfungen der öffentlichen Hand und Sicherheitsmodelle
Welche Hürden in der Praxis bestehen, zeigt ein Audit-Bericht der Eidgenössischen Finanzkontrolle (EFK) und der CDF zur Schweizer Bundesverwaltung, die Microsoft 365 bis Ende 2025 flächendeckend eingeführt hat.
Zwar baute das zuständige Bundesamt für Informatik und Telekommunikation (BIT beziehungsweise OFIT) die Plattform fachgerecht auf und traf angemessene Vorkehrungen für den restriktiven Betrieb, jedoch bemängelten die Prüfer unter anderem fehlende systematische Überwachungen von Sicherheitsauswertungen, unvollständige Automatisierungen und eine noch im Aufbau befindliche eigene Datensicherung.
Komplexe IT-Infrastrukturen und neue Cloud-Funktionen erfordern oft eine detaillierte Bewertung der Risiken für die Betroffenen. Erfahren Sie in diesem kostenlosen Report, welche rechtlichen Pflichten bei der Datenschutz-Folgenabschätzung bestehen und nutzen Sie die praktische Muster-Vorlage für Ihre Dokumentation. Rechtssichere Muster-DSFA und Checklisten kostenlos herunterladen
Dass standardisierte Prozesse den Aufwand begrenzen können, verdeutlichte ein Fachwebinar von Proofpoint. Demnach lassen sich die anfänglichen Bereitstellungskosten eines typischen Beispielprojekts im Umfang von 100.000 US-dollar von 75.000 US-Dollar durch Effizienzmaßnahmen auf 50.000 US-Dollar senken.
Ein dreistufiges Modell, basierend auf Standards wie dem CIS Microsoft 365 Foundations Benchmark oder dem NIST Cybersecurity Framework 2.0, gliedert die Maßnahmen in Kernabsicherungen, Copilot-Vorbereitungen und regulierte Anforderungen.
Zudem verweist Microsoft bei Funktionen wie der Arbeitsorterkennung in Teams darauf, dass diese auf WLAN-Daten und Peripheriegeräten basiere und kein Instrument zur Verhaltensnachverfolgung darstelle, empfiehlt Datenschutzbeauftragten vor der Aktivierung jedoch eine sorgfältige Dokumentation der Prüfschritte im eigenen Mandanten.