Was Microsoft Azure ist

Microsoft Azure ist die Cloud-Plattform von Microsoft. Sie bietet virtuelle Maschinen, Speicher, Netzwerk, Container, verwaltete Datenbanken und KI-Dienste. In Deutschland gibt es die Region Germany West Central in Frankfurt mit drei Verfügbarkeitszonen und die Region Germany North in Berlin, die nur für bestimmte Zwecke freigegeben wird.

Abgerechnet wird nach Verbrauch, die Preise stehen öffentlich auf der Website. Großkunden kaufen über Enterprise Agreement oder Partner zu eigenen Konditionen. Angemeldet wird über Microsoft Entra ID, verwaltet über Azure Resource Manager.

Wofür es eingesetzt wird

Unternehmen nutzen Azure für eigene Anwendungen, Datenplattformen und KI-Projekte, oft in Verbindung mit Microsoft 365 und Entra ID. Viele Firmen betreiben dort auch Server, die sie aus dem eigenen Rechenzentrum verlagert haben.

Seit 2025 ergänzt Microsoft das Angebot um Souveränitätsbausteine: die EU Data Boundary, eine externe Schlüsselverwaltung mit kundeneigenem HSM, Data Guardian zur Aufsicht über Fernzugriffe und die Sovereign Private Cloud auf Azure Local im eigenen Rechenzentrum. Für die deutsche Verwaltung ist mit Delos Cloud eine eigene Partnerlösung vorgesehen, die Unternehmen nicht offensteht.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz als Public Cloud in europäischen Regionen für Unternehmen in Deutschland; Fragen zu Selbstbetrieb und Quellcode sind für eine Cloud-Plattform sinngemäß gelesen.

Rechtsraum nicht erfüllt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	nein	Vertragspartner für Dienste über das Kundenportal ist Microsoft Ireland Operations Limited in Dublin; die Konzernmutter Microsoft Corporation hat ihren Sitz in Redmond, USA. Beleg: Rechtliche Informationen zu Microsoft Azure (Kun…
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	nein	Als US-Anbieter unterliegt Microsoft dem CLOUD Act (18 U.S.C. § 2713), der eine Herausgabe von Daten im Besitz oder unter Kontrolle des Anbieters unabhängig vom Speicherort vorsieht. Die Zusage vom April 2025 beschränkt sich darauf, Behördenanfragen anzufechten, wo eine rechtliche Grundlage besteht. FISA Section 702 ist laut CRS seit 12. Juni 2026 außer Kraft; Anordnungen aus der Genehmigung vom März 2026 gelten bis zu ihrem Ablauf fort. Der CLOUD Act bleibt davon unberührt. Beleg: 18 U.S.C. § 2713 – Required preservation and dis… · Microsoft announces new European digital commitm… · The Impact of FISA Section 702's Repeal (LSB11444)
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	teilweise	Auslegung: Plattform wird vom Anbieter betrieben, Selbstbetrieb entfällt; geprüft wird die Schlüsselhoheit. Mit der externen Schlüsselverwaltung für Azure Managed HSM (laut Microsoft allgemein verfügbar seit Oktober 2026) bleibt der Schlüssel zur Verschlüsselung der Schlüssel in einem HSM des Kunden; Microsoft bezeichnet das als letzte Option bei rechtlicher Pflicht und schließt die Ende-zu-Ende-Verfügbarkeit aus dem SLA aus. Es gilt nur für kompatible Dienste mit kundenverwalteten Schlüsseln für Daten im Ruhezustand. Im typischen Einsatz verarbeiten die Dienste Daten im Klartext; Microsoft-Personal greift laut Doku nur über Just-in-Time-Freigaben zu, was eine behördliche Anordnung nicht technisch ausschließt. Beleg: Azure Key Vault Managed HSM overview (inkl. Exte… · Advancing digital sovereignty with greater contr… · Azure customer data protection
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	ja	Microsoft Corporation mit Sitz in Redmond (USA) ist börsennotiert und legt ihre Struktur im Jahresbericht Form 10-K bei der SEC offen (Geschäftsjahr bis 30.06.2026). Die Konzernmutter besteht seit Jahrzehnten unverändert; ein Kontrollwechsel in den letzten 24 Monaten ist nicht bekannt. Der Sitz außerhalb der EU wird in 1.1 bewertet. Beleg: Form 10-K, Geschäftsjahr bis 30.06.2026

Datenhoheit nicht erfüllt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	teilweise	Microsoft sagt zu, Kundendaten ruhend in der gewählten Geografie zu speichern, wenn der Dienst dort bereitgestellt wird; mit der EU Data Boundary auch Speicherung und Verarbeitung in der EU. Vertraglich vorbehalten sind Dienste ohne Regionswahl, die Backups an anderen Orten speichern können, sowie begrenzte Übermittlungen; Cloud Services sichern Bereitstellungspakete unabhängig von der Region in den USA, Vorschaudienste speichern meist in den USA. Beleg: Privacy & Security Terms (Product Terms) · Data residency in Azure
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	nein	Auslegung: Betrieb der bewerteten Plattform im eigenen RZ oder bei einem frei gewählten Dienstleister. Azure Public Cloud läuft ausschließlich in Microsoft-Rechenzentren. Azure Local bringt Azure-Dienste auf Kundenhardware und ist auch getrennt vom Internet betreibbar, ist aber ein eigenes Produkt mit eingeschränktem Dienstumfang und wird hier nicht bewertet. Delos Cloud steht nur der deutschen öffentlichen Verwaltung offen. Beleg: List of Azure regions · Azure Local overview · Advancing digital sovereignty with greater contr… · Delos Cloud GmbH schließt strategische Partnersc…
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	teilweise	Die EU-Data-Boundary-Dokumentation beschreibt, welche systemgenerierten Protokolle und pseudonymisierten Daten für Sicherheit, Servicequalität und Lizenzprüfung auch außerhalb der EU verarbeitet werden; abschaltbar sind diese plattformseitigen Daten nicht. Clientseitig lässt sich die Telemetrie der Azure CLI per Einstellung abschalten. Eine vollständige Liste der Diagnosedaten je Dienst wurde nicht gefunden. Beleg: EU Data Boundary transfers for all services · Azure CLI configuration (collect_telemetry)
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	teilweise	Auslegung: Der Microsoft-Auftragsverarbeitungsvertrag (Stand 01.04.2025) beschränkt die Nutzung von Kundendaten auf die Bereitstellung der Dienste und genannte Geschäftszwecke und schließt Marktforschung für neue Produkte aus, nennt KI-Training aber nicht ausdrücklich. Microsoft erklärt öffentlich, Kundendaten nicht ohne Erlaubnis zum Training von Foundation-Modellen zu nutzen; diese Zusage ist nicht als Vertragsklausel belegt. Beleg: Products and Services Data Protection Addendum,… · Protecting the data of our commercial and public…

Quellcode & Lizenz nicht erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	nein	Auslegung: Offenheit der Plattform-Bausteine. Die Kernfunktionen (Azure Resource Manager, Rechen- und Speicherdienste, Entra ID) sind proprietär; quelloffen sind Werkzeuge wie der Terraform-Provider (MPL 2.0) und die Azure CLI. Einzelne verwaltete Dienste beruhen auf offenen Projekten, das ändert am proprietären Kern nichts. Beleg: terraform-provider-azurerm (GitHub, MPL 2.0) · Azure CLI configuration (collect_telemetry)
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	teilweise	Auslegung: Können Arbeitslasten ohne proprietäre Pflichtschnittstellen betrieben werden? Arbeitslasten in virtuellen Maschinen, Containern oder Standarddatenbanken lassen sich mit offenen Schnittstellen betreiben; Verwaltung und Anmeldung laufen jedoch zwingend über Azure Resource Manager und Microsoft Entra ID. Beleg: Azure Local overview · OAuth 2.0 and OpenID Connect protocols on the Mi…
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	teilweise	Auslegung: Portabilität der Arbeitslasten. Nach der Kündigung werden virtuelle Maschinen freigegeben, Speicher ist nur noch lesbar, und Microsoft löscht die Daten nach 30 bis 90 Tagen. Ein Weiterbetrieb ist nicht vorgesehen; Arbeitslasten auf Standardtechnik lassen sich migrieren, Azure-spezifische Dienste und Konfigurationen nur mit Anpassung. Beleg: Cancel and delete your Azure subscription (inkl.…

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	ja	Azure wird jährlich nach ISO/IEC 27001 durch eine akkreditierte Stelle auditiert; das Zertifikat umfasst Azure, Dynamics 365, Power Platform und ausgewählte Microsoft-365-Dienste. Ein kombinierter Bericht (C5, SOC 2 Typ 2, CSA STAR) für Azure liegt im Service Trust Portal. Prüfzeitraum, Gültigkeit und Regionsumfang sind öffentlich nicht angegeben. Beleg: Azure compliance: ISO/IEC 27001 · Cloud Computing Compliance Criteria Catalogue (C…
4.2 Öffentlicher Prozess für Sicherheitslücken?	ja	Das Microsoft Security Response Center betreibt einen öffentlichen Meldeweg; seit Juni 2024 vergibt Microsoft CVEs auch für kritische Schwachstellen in Cloud-Diensten, selbst wenn Kunden nichts tun müssen. Beleg: Toward greater transparency: Unveiling Cloud Ser…
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	teilweise	Dienste über das Kundenportal bietet Microsoft Ireland Operations Limited (EU) an. Welches Recht und welcher Gerichtsstand gelten, richtet sich nach dem jeweiligen Vertrag; der aktuelle MCA-Text ist nur über ein Formular abrufbar. Die öffentlich verlinkte MOSA (Stand März 2019) nennt Microsoft Corporation und Washington-Recht. Supportdaten können nach EU-Data-Boundary-Doku teilweise außerhalb der EU gespeichert werden. Beleg: Rechtliche Informationen zu Microsoft Azure (Kun… · Microsoft Online Subscription Agreement (MOSA) · EU Data Boundary transfers for all services
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	teilweise	Microsoft veröffentlicht die Liste der Unterauftragsverarbeiter im Service Trust Portal und kündigt neue Unterauftragsverarbeiter für Kundendaten mindestens sechs Monate vorher an, bei KI-Unterauftragsverarbeitern mindestens 30 Tage. Ob die Liste Standorte je Unterauftragsverarbeiter nennt, ließ sich nicht prüfen, da das Portal nur mit JavaScript lädt. Beleg: Supplier management overview · Products and Services Data Protection Addendum,…
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	nein	Laut Privacy & Security Terms darf Microsoft-Personal außerhalb der EU Data Boundary aus der Ferne auf Datenverarbeitungssysteme zugreifen, um die Dienste zu betreiben, Fehler zu beheben, zu unterstützen und abzusichern. Customer Lockbox erlaubt die Freigabe je Anfrage für Datenzugriffe von Microsoft-Technikern, gilt aber nur für gelistete Dienste, setzt einen Supportplan voraus und greift nicht bei Notfällen und Plattform-Fehlersuche. Beleg: Privacy & Security Terms (Product Terms) · Data residency in Azure · Customer Lockbox for Microsoft Azure

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	teilweise	Infrastruktur lässt sich mit dem Terraform-Provider (MPL 2.0) beschreiben; Arbeitslasten auf Standardtechnik (virtuelle Maschinen, Kubernetes, Datenbanken) nutzen deren übliche Formate. Der zentrale Objektspeicher (Blob) und Azure Resource Manager nutzen eigene, dokumentierte Schnittstellen; eine S3-kompatible Schnittstelle ist nicht belegt. Beleg: terraform-provider-azurerm (GitHub, MPL 2.0) · Azure Local overview
5.2 Offene Standards für Anmeldung und Schnittstellen?	ja	Microsoft Entra ID unterstützt SAML 2.0, OAuth 2.0 und OpenID Connect 1.0; die Verwaltung ist über dokumentierte APIs, CLI und Terraform möglich. Beleg: Single sign-on SAML protocol (Microsoft Entra ID) · OAuth 2.0 and OpenID Connect protocols on the Mi… · terraform-provider-azurerm (GitHub, MPL 2.0)
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	teilweise	Daten kann der Kunde selbst exportieren; Microsoft empfiehlt die Sicherung vor der Kündigung. Ausgehender Datenverkehr beim Verlassen von Azure wird erstattet, setzt aber eine Support-Anfrage, ein Zeitfenster von 60 Tagen und die Kündigung aller Abonnements voraus; die Erstattung erfolgt als Gutschrift. Beleg: Cancel and delete your Azure subscription (inkl.… · Microsoft ends Azure egress fees, with caveats

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Welches Recht und welcher Gerichtsstand im aktuellen Kundenvertrag für deutsche Unternehmen gelten. Der Vertragstext ist nur über ein Formular abrufbar.
Prüfzeitraum und Regionsumfang des C5-Berichts. Er liegt nur nach Anmeldung im Service Trust Portal.
Wie weit die Sovereign Public Cloud ausgerollt ist und welcher EU-Partner die Fernzugriffe beaufsichtigt.
Welche Dienste die externe Schlüsselverwaltung unterstützen.
Ob Delos Cloud inzwischen am Markt ist.
Ob die Microsoft-Liste der Unterauftragsverarbeiter Standorte je Eintrag nennt, weil das Service Trust Portal nicht ohne JavaScript abrufbar war.
Ob es eine neuere DPA-Fassung als April 2025 gibt, weil der Original-Link (aka.ms/DPA) beim Abruf gesperrt war und nur eine Kopie eines Dritten gelesen werden konnte.

Fragen vor einer Entscheidung

Welche Daten dürfen bei einem Anbieter liegen, der auf Anordnung von US-Behörden zur Herausgabe verpflichtet werden kann, und welche nicht?
Brauchen Sie für einzelne Arbeitslasten eine externe Schlüsselverwaltung, und wer im Haus betreibt dann das HSM und haftet für dessen Verfügbarkeit?
Welches Recht und welcher Gerichtsstand gelten in Ihrem Vertrag, und wie sind Support- und Diagnosedaten geregelt?
Welche Arbeitslasten nutzen Azure-eigene Dienste, und wie aufwendig wäre ein Umzug zu einem anderen Anbieter?

Microsoft Azure

Was Microsoft Azure ist

Wofür es eingesetzt wird

Prüfraster im Detail

Rechtsraum nicht erfüllt

Datenhoheit nicht erfüllt

Quellcode & Lizenz nicht erfüllt

Betrieb & Nachweise eingeschränkt

Exit & Interoperabilität eingeschränkt

Was wir nicht klären konnten

Fragen vor einer Entscheidung

Ähnliche Software im Index

STACKIT

Amazon Web Services (AWS)

IONOS Cloud

Delos Cloud