Hinweis: Dieser Text wurde von einer KI ins Deutsche übersetzt und nicht von einem Muttersprachler korrekturgelesen. Mehr dazu in unserem Aufruf an deutschsprachige Korrekturleser.

# US-Kongress fordert Nachrichten europäischer Beamter über Microsoft und Google an

Was die belgische Privacy- und Tech-Community seit Jahren benennt, wird nun zur Realität: Wer über US-amerikanische Cloud-Dienste kommuniziert, kommuniziert unter US-Aufsicht.

Brüssel, 17. März 2026

Das US-Repräsentantenhaus hat am 16. März 2026 zehn große Technologieunternehmen (Alphabet (Google), Amazon, Apple, Meta (Facebook, Instagram, WhatsApp), Microsoft, OpenAI, Reddit, Rumble, TikTok, xAI) förmlich an ihre Pflicht erinnert, sämtliche Kommunikation mit europäischen Institutionen an das Judiciary Committee zu übergeben. Die vom Ausschussvorsitzenden Jim Jordan unterzeichneten Schreiben zielen ausdrücklich auf Nachrichten ab, die europäische Beamte im Rahmen des Digital Services Act (DSA) ausgetauscht haben.

Der Anlass ist vielsagend: Ein hochrangiger Beamter der Europäischen Kommission hat seinen Kolleginnen und Kollegen empfohlen, auf verschlüsselte Apps mit automatisch gelöschten Nachrichten umzusteigen — gerade aus der Sorge, ihre Kommunikation könnte sonst in US-amerikanische Hände geraten. Diese Sorge ist begründet. Sie veranschaulicht genau jene Bedenken, die Datenschutz- und Digitale-Rechte-Organisationen in Belgien und Europa seit Jahren äußern.

„Wer seine Arbeits-E-Mails über Microsoft 365 oder Google Workspace verschickt, schreibt auf Papier, das von einer fremden Macht eingefordert werden kann."

Die jetzt durchgesetzten Subpoenas datieren von November 2025 und früher. Was die Schreiben hinzufügen: Der Kongress bestätigt ausdrücklich, dass die Pflicht fortlaufender Natur ist — auch neue Nachrichten, auch temporäre Nachrichten, auch verschlüsselte Kommunikation fallen darunter, solange sie über die betroffenen Plattformen läuft.

# Was bedeutet das für belgische öffentliche Einrichtungen?

Microsoft 365 ist die Standard-E-Mail-Umgebung für 80 % aller belgischen Gemeinden, Schulen, Krankenhäuser und föderalen Dienststellen. Dasselbe gilt für Google Workspace. Beide Unternehmen unterliegen jetzt formell einer US-rechtlichen Pflicht, ihre internen Kommunikationsdaten aufzubewahren und auf Anforderung an den US-Kongress zu übergeben.

Die Europäische Kommission bekommt von Microsoft und Google ein sogenanntes „Sovereign Cloud"-Produkt als Beruhigung angeboten, doch das bietet keinen juristischen Schutz: Die Mutterkonzerne bleiben dem US-amerikanischen CLOUD Act unterworfen, der sie verpflichtet, Zugriff auf Daten zu gewähren — auch wenn diese physisch in Europa gespeichert sind.

Was ist der CLOUD Act? Der Clarifying Lawful Overseas Use of Data Act (2018) erlaubt es US-Behörden, bei US-Tech-Unternehmen Daten anzufordern, unabhängig davon, wo diese Daten physisch gespeichert sind. Ein belgisches Krankenhaus, das E-Mails über Microsoft Exchange Online verschickt, fällt also unter dieses Regime — auch wenn die Server in Dublin oder Brüssel stehen.

Was ist FISA 702? Section 702 des Foreign Intelligence Surveillance Act erlaubt es US-Geheimdiensten (darunter die NSA), ohne individuellen Beschluss die Kommunikation von Nicht-US-Personen außerhalb der USA abzuhören, wenn diese Kommunikation über US-amerikanische Dienstanbieter läuft. Das gilt also auch für E-Mails von Journalisten, die über Microsoft oder Google verschickt werden, sofern diese Kommunikation als relevant für US-amerikanische nationale Sicherheitsinteressen eingestuft wird. FISA 702 wurde 2024 bis zum 20. April 2026 verlängert; eine erneute Verlängerung wird derzeit diskutiert. Es bildet einen der zentralen Einwände des Europäischen Gerichtshofs gegen frühere transatlantische Datenabkommen (Schrems I und II).

Welche Executive Orders sind relevant? Executive Order 12333 (1981, mehrfach erweitert) ermächtigt US-Geheimdienste zur ausländischen Überwachung außerhalb des US-Territoriums, bei eingeschränkter gerichtlicher Kontrolle. EO 14086 (2022, Biden) hat zusätzliche Schutzmechanismen im Rahmen des EU-US Data Privacy Framework eingeführt, die jedoch von europäischen Datenschutzrechtlern als unzureichend betrachtet werden. Die Zukunft dieses Rahmens ist ungewiss, nachdem sich die politischen Verhältnisse zwischen den USA und der EU geändert haben. Unter der aktuellen US-Regierung wurden zudem mehrere Aufsichtsinstanzen geschwächt oder abgeschafft, was die praktische Umsetzung dieser Schutzmechanismen weiter untergräbt.

# BeLibre kartiert die belgische Situation

BeLibre ist seit Anfang 2025 als unabhängige Initiative aktiv, die die digitale Abhängigkeit des belgischen öffentlichen Sektors kartiert. Über belibre.be/map veröffentlichen wir Forschungsdaten darüber, welche belgischen Behörden (Gemeinden, Schulen, Krankenhäuser, Polizeizonen) ihre E-Mail-Infrastruktur an US-Anbieter ausgelagert haben. Die Muster, die wir feststellen, sind keine Ausnahme: Sie sind die Norm.

Diese Untersuchung knüpft an eine jahrelange Forderung aus der belgischen Tech- und Datenschutz-Community an, digitale Souveränität als politisches Thema ernst zu nehmen. Die Ereignisse dieser Woche verleihen dieser Forderung neue Dringlichkeit.

# BeLibre fordert Handeln

BeLibre ruft politische Entscheidungsträger auf, bei Ausschreibungen für Cloud- und Kommunikationsdienste extraterritoriale juristische Risiken ausdrücklich zu berücksichtigen. Technische Alternativen existieren: Europäische und Open-Source-Plattformen für E-Mail, Dokumentenverwaltung und Kommunikation sind verfügbar, skalierbar und in vielen Fällen günstiger.

Digitale Souveränität ist keine abstrakte Sorge. Sie ist eine politische Pflicht.

# Über BeLibre

BeLibre (belibre.be) ist eine belgische Initiative, aktiv seit 2025, die die Abhängigkeit des öffentlichen Sektors von US-amerikanischer Cloud-Infrastruktur kartiert und das Bewusstsein für digitale Souveränität schärft.

Pressekontakt Jurgen Gaeremyn · jurgen@belibre.be

Quellen

• Schreiben des H. Comm. on the Judiciary an Alphabet, Amazon, Apple, Microsoft, OpenAI — 16. März 2026 (judiciary.house.gov)
• Politico: “EU tech enforcer tells officials not to be scared by US threats” — 16. Februar 2026
• iBestuur: USA verklagen Tech-Riesen zur Herausgabe ihrer Kommunikation mit europäischen Aufsichtsbehörden — 17. März 2026