Deutsche E-Mail-Provider migrieren zu Microsoft 365: Die Folgen für dich & deine Daten

[DMW007]

Während alle von digitaler Souveränität reden, geben mehrere große Hoster ihre Infrastruktur auf - und transferieren Kunden zu Microsofts Clouddiensten. Den Kunden wird das neue Plattform verkauft. Doch sie sind mit zahlreichen Problemen konfrontiert: Nur Teile der Inhalte werden erfolgreich umgezogen. Der Support ist wenig hilfreich. Neben fragwürdigem Datenschutz & Sicherheit wirft der Umzug Fragen zur digitalen Souveränität auf. Ein hochrangiger Microsoft-Vertreter musste unter Eid in Frankreich zugeben, dass Nutzerdaten im Zweifel US-Regierungseinrichtungen ausgeliefert sind. Ob die Server dabei in den USA oder in der EU stehen, spielt keine Rolle. Auf diese Problematik haben ich und andere bereits seit geraumer Zeit hingewiesen.

Hinzu kommen massive Preissteigerungen. Am extremsten sind diese bei Domainfactory: Das günstigste Paket hat sich mehr als verdreifacht - während die Leistungen im Kern gleich geblieben sind. Der Nutzer erhält ein Postfach mit 10GB Speicherplatz. Während Kunden von HostEurope "nur" bis zu 151% Aufschlag bezahlen müssen, wurden Inklusivleistungen gestrichen. Bisher war selbst in günstigen Tarifen eine 3-Stellige Zahl an IMAP/POP3-Konten inklusive. Sie fanden Einsatz bei z.B. Familienmitgliedern oder in externen Systemen (etwa Benachrichtigungen von Nextcloud). Nach der Umstellung zu M365 verlangt der Hoster 1€ pro Konto und Monat. Das kann den Paketpreis schnell übersteigen.

Wer tatsächlich die Risiken von Microsoft eingehen möchte, kann sein Abo direkt dort buchen. Wozu braucht es einen Mittelsmann? Hoster, die mangels eigener Infrastruktur nur noch vermitteln, bieten kaum Mehrwert. Sondern teils im Gegenteil sogar zusätzliche Einschränkungen bei Zusatz-Abos.

Dass weder Risiko noch Preissteigerungen sein müssen, zeigen Alternativen wie Hetzner: Für einen Bruchteil des Preises bieten sie mehr Leistung & Flexibilität an. Eine Begrenzung der Konten fehlt etwa. Man zahlt für den Speicherplatz und kann diesen flexibel aufteilen. Ein Webspace mit Datenbank ist ebenfalls inklusive. Dank eigener Server in Deutschland sind keine Datenschutzprobleme zu befürchten.

Alle Infos mit Quellen: Zum kompletten Beitrag im U-Labs Portal

[U-Labs YouTube]

Antwort von @caroman6761:
Dabei ist es garnicht so schwer, einen eigenen MailServer einzurichten .....
Microsaft wäre das Letzte, wo icjh hingehen würde ....

[DMW007]

Eigener Mailserver: Jein. Es gibt einige Dinge, mit denen man sich befassen muss - beispielsweise SPF, DKIM. Technisch vereinfachen Systeme wie Mailcow das zu einem gewissen Grad. Obwohl Mails heute komplexer geworden sind, sehe ich das größte Problem nicht in der Technik. Sondern der längst bestehenden Dominanz großer Konzerne wie insbesondere Microsoft. Abseits von der Einrichtung muss man sich mit denen als Empfänger herum schlagen.

Gerade die sperren gerne mal recht willkürlich IPs oder gar ganze Netze. Mit weniger Pech landen die Mails "nur" im Spam. Oder werden gar nicht erst zugestellt. Von außen hat man kaum eine Chance, das über Blockierlisten festzustellen. MS nutzt eigene Kriterien für proprietäre, interne Sperrlisten. Dort stehen viele fälschlicherweise gesperrte drauf - immerhin konsequent, wie bei den Microsoft Cloudkonten. Dazu unterschiedliche Listen für die kostenfreien Outlook Online und M365 Konten. Du kannst auf denen landen, ohne irgendwas falsch gemacht zu haben. Und darfst dann bei MS betteln. Ob das erfolgreich sein wird sowie wie schnell, steht in den Sternen. Selbst größere Hoster wie Hetzner schimpfen über MS und kämpfen mit denen. Da sind die Auswirkungen natürlich deutlich größer, wenn z.B. einer ihrer Mailserver gesperrt wird.

Wenngleich ich grundsätzlich selbst Hosten befürworte: Hier ist der Markt derart stark von skrupellosen Quasi-Monopolisten dominiert, dass ich gut darüber nachdenken würde, ob ich mir das antun möchte. Zumindest, wenn man es sich nicht leisten kann, auf Mailzustellung an MS & co. strikt zu verzichten. Microsoft ist als externer Hoster definitiv keine Option, da stimme ich dir uneingeschränkt zu.

[U-Labs YouTube]

Antwort von @guidostanke6609:
Wir haben sofort nach der Ankündigung alles umgezogen und gekündigt. Die Kunden bestimmen letztendlich, ob Anbieter mit solchen Praktiken Erfolg haben oder nicht.

[U-Labs YouTube]

Antwort von @LushContrive:
Ich bin seit vielen Jahren bei Webhostone. Vielleicht nicht unbedingt die erste Wahl, wenn es ausschließlich um eine EMail Adresse geht, das fängt an mit 4,99 im Monat, da ist dann aber die Domain schon mit drin. Es gibt aber auch sicher weitere Anbieter, wie hieß nochmal die Schweizer Firma, die auch gleich noch das Office Paket mit drin hat?
Ich frag mich gerade, wie das Rechtlich ist, wenn man über den Arbeitgeber gezwungen ist ein MS Konto mit seinem Namen zu haben?

[DMW007]

Proton. Wobei die von den Überwachungsfantasien der Schweizer Regierung eingeholt wurden. Sie versuchen, den Schaden zu begrenzen, in dem neue Infrastruktur nach Deutschland verlagert wird.

Ein dienstliches Konto wird wahrscheinlich rechtlich hinzunehmen sein. Diese Frage geht in die Tiefe und kann letztendlich nur von einem Fachanwalt beantwortet werden. Das grundsätzliche Problem ist: Die Unternehmen machen windige Verträge mit Microsoft. Dabei geht es nicht um Datenschutz, sondern bloß Compliance. So wie ich das verstanden habe, ist die Compliance bei den Standardverträgen von MS in Frage gestellt. Also machen die Unternehmen eigene, wo drin steht, MS muss sich an EU-Recht halten. Im Zweifel kann keiner das durchsetzen. Wenn US-Behörden vor Microsofts Tür stehen, verschaffen die sich Notfalls mit Gewalt Zugang. Die EU hingegen bekommt davon gar nichts mit. Teils darf MS nicht einmal die Kunden darüber informieren, wird durch US-Recht zum Lügen gezwungen.

Solche Details werden beim Compliance-Theater bisher ignoriert, wohl weil sie kaum greifbar sind. Ähnlich wie die Risiken eines extremistischen US-Präsidenten. Die werden erst jetzt anerkannt, wo es passiert ist. Und selbst nach über einem Jahr ist keine klare Strategie erkennbar. Merz hat vor einigen Monaten auf dem EU-Gipfel in FR gesagt, das sei wichtig. Selbst von seinem Digitalminister kamen nur leere Worthülsen. Ironischerweise, nachdem ausgerechnet der sagte, es müssen Taten statt nur Worte folgen. Es wirkt, als wären wir kollektiv noch immer in eine Schockstarre. Wie nach einem Unfall, wo man zwar gesehen hat, was schlimmes passiert ist. Doch sich das Gehirn völlig überfordert in einer Schockstarre befindet.

[U-Labs YouTube]

Antwort von @photosquare7:
Was ist in dem Kontext mit Vendor lockin gemeint?

[DMW007]

Primär, dass sich Domainfactory und Hosteurope von MS abhängig gemacht haben. Die haben M365 ja überall in ihre Prozesse integriert. Wenn du bei denen eines der Pakete buchst, wird im Hintergrund ein Cloudabo bei MS bestellt & der Zugang dazu für dich eingerichtet. Dazu haben die viele Ressourcen rein gesteckt, um alles umzuziehen. Ich habe so eine Umstellung am Rande in einem Mittelständischen Unternehmen mit mehreren Tausend E-Mail Konten begleitet. Das dauert längere Zeit und kostet inklusive Abos schnell 7-Stellig. Schon deswegen ist die Hürde eines Wechsels hoch.

Bei den höheren Tarifen sind weitere Clouddienste von MS enthalten. Beispielsweise 1 TB OneDrive Cloudspeicher in Domainfactorys "Online Business Essentials" Tarif. Die werden zusätzlich zu den 50 GB Mailspeicher angeboten. Bei einem Umzug weg von MS müssen die Anbieter auch das migrieren - der Aufwand steigt und die Anforderungen an eine mögliche Alternative ebenfalls.

Aber auch auf Seiten des Kunden entsteht eine Abhängigkeit zu MS. Der nutzt ja ein MS Cloudkonto und kann dort teils eigenständig zusätzliche Dienste buchen. Das gesamte Ökosystem von MS ist darauf ausgelegt. Bereits im großen Kartellrechtsprozess gegen MS zur Jahrtausendwende belegten interne Unterlagen: MS hat sehr viel gezielten Aufwand darin investiert, damit der Ausstieg für Nutzer so aufwändig & teuer wie möglich ist. Das Ziel: Ein Umzug soll gar nicht erst in Erwägung gezogen oder als zu teuer verworfen werden.

[U-Labs YouTube]

Antwort von @wolfis4146:
Kann man irgendwie überprüfen, ob der eigene Anbieter (bei mir DomainTechnik) wirklich alles - in meinem Fall - in AT hostet? Wird zwar auf der Homepage so abgezeigt, aber....

[DMW007]

Du kannst per GeoIP auflösen, welchem Land die IP des Servers, auf dem dein Webspace/Mail/X liegt, zugeordnet ist. Nicht 100% zuverlässig, insbesondere in Grenzregionen. Revers DNS löst IPs zu Hostnamen auf. Die sind - gerade bei großen Cloudanbietern - teils sprechend. Allerdings ist das heutzutage nicht mehr so zuverlässig. Es ist in Mode gekommen, Dienste wie Cloudflare davor zu schalten. Wie bei einem Mittelsmann sieht man technisch nicht mehr, wo der wirkliche Server steht. Wie wenn du Tom einen Brief für Max gibst: Tom übergibt ihn Tina und sie erst an Max. Du wirst Tina niemals kennen lernen, sie kann am anderen Ende des Landes oder im Ausland wohnen - das erfährt nur Tina. Möglich ist das daher nur, wenn der Anbieter nichts davor schaltet.

Am effektivsten ist daher, beim Anbieter ausdrücklich nachzufragen, wer die Server betreibt. Nicht nur nach dem Standort fragen - das kann geschickt Formuliert auch ein externer Hoster sein. Seriöse Unternehmen werden Auskunft geben, welche RZ sie wo betreiben. Es gibt keinen Grund, das nicht zu tun. Für sie ist es ja ein Wettbewerbsvorteil. Domaintechnik schreibt auf ihre Webseite, dass die Server in Wien stehen. Dazu sind unter "Team und Geschichte" zwei Mitarbeiter gelistet, die sich dediziert um Hardware kümmern - unterstreicht die Glaubwürdigkeit. Mit mehreren Linux-Admins und einer ausgeschriebenen Stelle ist das sehr wahrscheinlich kein Reseller, der wie die zwei in meinem Beitrag genannten Anbieter lediglich woanders bucht.

Schlussendlich braucht es beim Auslagern von Ressourcen immer ein gewisses Pensum an Vertrauen. Daher ist es ein völlliges NoGo, wenn die US-Regierung bei ihrer Sicherheitsanalyse an MS scheitert, die keine Infos heraus geben möchten. Übrigens nicht nur ein US-Problem. Auch das deutsche BSI hat MS verklagt, da das BSI trotz mehrfacher Anfrage keine ausreichenden Details zum damaligen Cloudhack bekommen haben, um nur die Bedrohungslage einzuschätzen. Im allerbesten Falle ist der eigene Hoster in der Nähe und man überzeugt sich bei einem kurzen persönlichen Besuch persönlich.