Microsoft kündigt neue Unterauftragsverarbeiter sechs Monate im Voraus an. Die Liste selbst steht allerdings im Service Trust Portal, und hinein kommt nur, wer sich dort anmeldet. Wer als Azure-Kunde einem neuen Namen widersprechen will, wie es Art. 28 Abs. 2 DSGVO erlaubt, muss ihn also zuerst finden. Im Betriebsalltag sieht dort kaum jemand regelmäßig nach.
Wir haben im Oktober 2026 frei nutzbare Werkzeuge ausprobiert und nur behalten, was im Azure-Betrieb eine konkrete Frage beantwortet, etwa die nach einer Zugriffsregel im Entra-Mandanten, die seit Jahren nur mitschreibt.
Wer in der Microsoft-Cloud mitverarbeitet
1. Wenn ein Kunde nach den Unterauftragsverarbeitern hinter Azure fragt
Ein Kunde aus dem Gesundheitswesen schickt seinen Lieferantenfragebogen. Eine Frage lautet, welche Unterauftragsverarbeiter hinter Ihrer Azure-Umgebung stehen. Im Verzeichnis der Verarbeitungstätigkeiten steht seit der Migration nur ein Name, nämlich Microsoft.
Cloud Migrationen zu Azure
Sicher und schnell in die Cloud – zum Festpreis
Der Subprozessor-Monitor von frag.hugo vergleicht einmal am Tag, was 17 Cloud-Anbieter über ihre Unterauftragsverarbeiter veröffentlichen. Für Microsoft gibt es eine eigene Monitor-Seite zu Microsoft 365 und Azure. Dort erklärt die Seite, warum sie bei Microsoft keine Namen liefert. Weil die eigentliche Liste hinter der Anmeldung im Service Trust Portal liegt, überwacht der Monitor die öffentliche Trust-Center-Seite auf Änderungen. Bei unserem Besuch am 21. Oktober 2026 hatte sie sich zuletzt am 26. September und am 9. Oktober bewegt.
Für jede Änderung schlägt die Seite drei Prüffragen vor. Betrifft der neue Eintrag ein Produkt oder eine Region, die Sie nutzen? Verschiebt er die Verarbeitung in ein Drittland, für das noch keine Grundlage nach Kapitel V DSGVO dokumentiert ist? Steht der Anbieter schon in Ihrem Verzeichnis? Nur wenn eine davon offen bleibt, ist etwas zu tun. Den Rest nehmen Sie zur Kenntnis und legen ihn ab.
Aufschlussreich war für uns die Chronik der anderen Anbieter. Stripe hat am 28. September 2026 unter anderem „Microsoft Corporation (Microsoft Azure)“ als neuen Unterauftragsverarbeiter aufgenommen. Über Stripe steckt Azure also auch in einem Vertrag, den Sie nie mit Microsoft geschlossen haben. Wer seinen Code bei GitHub verwaltet, findet dort 31 Einträge, darunter seit dem Ausbau von Copilot mehrere KI-Anbieter.
Die neuen Namen bei Microsoft lesen Sie weiterhin selbst im Service Trust Portal nach. Der Monitor liefert nur den Tag, an dem sich die Seite geändert hat, und meldet so eine Textänderung erst, wenn sie sich am Folgetag bestätigt. Anbieter, die automatische Abrufe sperren, kann er überhaupt nicht aufnehmen.
2. Claude über Microsoft Foundry beziehen?
Die Entwicklung möchte Claude für Codeprüfungen einsetzen. Die IT schlägt vor, das Modell über Microsoft Foundry zu beziehen, weil Azure ohnehin im Haus ist und die Daten dann in Europa bleiben sollen.
Der Claude-Steckbrief im DSGVO-Prüfstand von frag.hugo stützt den Gedanken. Claude erfüllt dort sieben der zehn Kriterien, zwei weitere mit Einschränkung, belegt mit 26 Zitaten und geprüft am 19. Oktober 2026. Das eine nicht erfüllte Kriterium ist der Datenstandort, weil die Daten in den Tarifen Team und Enterprise in den USA liegen. Foundry taucht im Steckbrief als einer der Wege auf, über die sich das ändern lässt.
Den Weg über Foundry bewertet der Steckbrief nicht mit, er führt ihn als anderes Produkt mit eigenem Vertrag. Welche Bedingungen dann gelten, regelt Ihr Azure-Vertrag. Diesen Teil müssen Sie vor der Freigabe selbst lesen und in die AVV-Akte legen.
Der Mandant und die Altlasten aus dem Umzug
3. Zwei Jahre im Berichtsmodus
Bei der Einführung von Azure hat der damalige Projektpartner bedingte Zugriffsregeln angelegt, „erst einmal im Berichtsmodus“, damit niemand ausgesperrt wird. Das ist zwei Jahre her. Im Projektordner steht die Umstellung noch als offene Aufgabe.
Bedingte Zugriffsregeln (Conditional Access) legen fest, unter welchen Umständen sich jemand anmelden darf. Im Berichtsmodus protokollieren sie nur und greifen nicht. Genau das prüft Nummer 07 im Skript von hagel IT, das Adminkonten und Berichtsmodus-Regeln im Entra-Mandanten prüft. Die Werkzeugseite nennt es einen Punkt, der regelmäßig übersehen wird. Prüfung 02 zählt die Administratorkonten und wie viele davon ohne zweiten Faktor auskommen. Ein übernommenes Adminkonto bedeutet laut Seite Kontrolle über den ganzen Mandanten. Prüfung 12 listet Konten, die sich seit 90 Tagen nicht angemeldet haben, nach einem Umzug oft Test- und Projektkonten des damaligen Partners.
Die zwölf Prüfungen drehen sich um Konten, Anmeldung, Exchange und SharePoint. Ihre Azure-Abonnements mit virtuellen Maschinen, Netzwerkregeln und Speicherkonten kommen darin nicht vor, Datensicherungen ebenso wenig. Die Regeln umstellen muss am Ende jemand von Hand, denn das Skript selbst ändert nichts.
4. Wenn „Personal_alt“ mit in die Cloud soll
Der alte Fileserver soll nach SharePoint und Azure Files umziehen. Das Migrationswerkzeug kopiert alles, auch den Ordner „Personal_alt“ mit Bewerbungen und Gehaltsnachweisen aus fünfzehn Jahren.
In der Bußgeld-Datenbank von frag.hugo mit Fällen zu Löschung und Speicherdauer tragen solche Fälle die Einordnung „Löschung & Speicherdauer“, filtern lässt sich nach verletztem Artikel, etwa Art. 5. Dazu gehört der Fall, den die Datenbank den bekanntesten deutschen nennt. Bei der Deutsche Wohnen SE sah das Archivsystem für Mieterdaten keine Löschfunktion vor, Gehaltsbescheinigungen, Ausweiskopien und Kontoauszüge früherer Mieter blieben jahrelang gespeichert. Der Bescheid lautete auf 14,5 Millionen Euro. Das Landgericht Berlin I setzte die Geldbuße am 9. Juni 2026 auf 900.000 Euro herab, rechtskräftig war das nach Stand Juli 2026 noch nicht. Wir würden deshalb vor dem Kopieren aussortieren, denn was einmal in der Cloud liegt, fasst selten noch jemand an.
Welche Aufbewahrungsfristen für Ihre Ordner gelten, verrät die Datenbank nicht. Sie sammelt 101 belegte Fälle und zeigt, woran andere gescheitert sind. Eine Löschliste für den eigenen Bestand müssen Sie trotzdem selbst schreiben.
5. Application Insights und das Cookie-Banner
Mit dem Umzug der Website auf Azure App Service hat die Agentur Application Insights eingebunden, um Ladezeiten zu messen. Ob das Skript schon beim ersten Aufruf Daten an Microsoft schickt, hat niemand geprüft.
Den Webbkoll-Test für Drittanfragen vor der Einwilligung betreibt eine Stiftung aus Schweden. Webbkoll lädt die Adresse in einem frischen Browser und schreibt mit, welche Cookies dabei entstehen und welche fremden Server angefragt werden. Ob das Skript von Application Insights Cookies setzt, hängt von seiner Einrichtung ab. Webbkoll zeigt, ob vor jeder Auswahl im Banner schon etwas gesetzt ist.
Webbkoll klickt nichts an. Was nach „Ablehnen“ passiert, sehen Sie nur im eigenen Browser mit den Entwicklerwerkzeugen.
Termine aus Cloud-Vertrag und Data Act
6. Der Rahmenvertrag läuft im Frühjahr 2027 aus
Der Rahmenvertrag für Azure läuft im Frühjahr 2027 aus. Vor der Verlängerung möchte die Geschäftsführung wissen, was ein späterer Wechsel kosten würde, denn für Datenexporte aus der Cloud standen bisher Egress-Gebühren auf der Rechnung.
Den zeitlichen Teil beantworten die Data-Act-Termine im Fristenkalender von frag.hugo. Ab dem 12. Januar 2027 dürfen Cloud-Anbieter nach Art. 29 des Data Act für einen Anbieterwechsel und den Datenexport dabei nichts mehr berechnen. Seit dem 30. Mai 2026 kann die Bundesnetzagentur Verstöße gegen den Data Act mit Bußgeldern ahnden. Insgesamt führt der Kalender fünf Data-Act-Fristen, jede mit wörtlichem Zitat aus der Primärquelle. Jeden Termin können Sie einzeln in Outlook übernehmen und ihn so an die Vertragsverhandlung hängen.
Der Kalender nennt Daten. Ob Ihr Vertrag Entgelte anders regelt, klärt er nicht, und als Rechtsberatung versteht er sich ausdrücklich nicht.
7. Die Auditorin fragt nach dem Ausstieg
Bei der Vorbereitung auf ISO 27001 will die Auditorin wissen, wie Sie aus Azure wieder herauskämen, falls es nötig würde. Eine Ausstiegsplanung gibt es nicht.
Eine Gliederung dafür liefert der Baustein OPS.2.2 Cloud-Nutzung im IT-Grundschutz-Kompendium des BSI. Er umfasst 19 Anforderungen, von der Strategie für die Cloud-Nutzung (A1) bis zur geordneten Beendigung eines Cloud-Nutzungs-Verhältnisses (A14). Portabilität (A15) und eigene Datensicherungen (A16) sind dort für erhöhten Schutzbedarf vorgesehen. Wer die Anforderungen der Reihe nach durchgeht, hat am Ende die Kapitel für sein Cloud-Konzept.
Das Kompendium ist ein Nachschlagewerk und prüft nichts selbst. Es stammt aus der Edition 2023 und konnte den Data Act, der seit September 2025 gilt, deshalb noch nicht berücksichtigen.
Störungen und Erpressung im Umfeld
8. Wenn die Remote-Desktop-Sitzung auf der Azure-VM hängt
Am ersten Tag nach den Herbstferien kommt die Buchhaltung nicht in ihre Remote-Desktop-Sitzung, die auf einer virtuellen Maschine in Azure läuft. Der erste Anruf geht an die IT, und dort lautet die erste Frage, ob Azure gerade ein Problem hat.
Microsoft 365 zum Festpreis
Effiziente Zusammenarbeit und produktives Arbeiten mit Microsoft 365
Auf der Statustafel von hagel IT, die Azure über den offiziellen Status-Feed abfragt steht Azure neben 13 weiteren Diensten. Für jeden Dienst nennt die Seite ihre Quelle. Bei Azure ist das der Azure-Status-Feed per RSS, Microsoft 365, Teams und Exchange Online kommen dagegen aus der Dienstgesundheit in Microsoft Graph. Sieben Tage Verlauf stehen daneben, und an jedem Tag zählt der schlechteste gemessene Zustand. Ist alles grün und trotzdem geht nichts, rät die Seite, dasselbe Programm einmal auf dem Handy über Mobilfunk zu öffnen.
Probleme in Ihrem eigenen Abonnement, etwa eine einzelne hängende VM oder eine volle Festplatte, sieht die Tafel nicht. Sie kennt nur, was Microsoft selbst als Störung einräumt.
9. Ein Wartungsdienstleister auf der Leak-Seite von Akira
Ein Wartungsdienstleister, der per VPN in Ihr Azure-Netz kommt, ruft an. Die Erpressergruppe Akira habe ihn auf ihrer Leak-Seite aufgeführt, also der Seite, auf der Täter gestohlene Daten veröffentlichen.
Wie groß diese Gruppe ist, zeigt die Tätergruppen-Statistik im Cyber-Lagebild von frag.hugo. In den zwölf Monaten vor unserem Besuch im Oktober 2026 kam Akira auf 16 Fälle, Platz drei hinter SafePay (63) und The Gentlemen (26). Insgesamt stehen 241 Fälle in diesen zwölf Monaten in der Zählung. Unter den Zahlen listet die Seite die Meldefristen, die für Sie gelten können, falls Daten aus Ihrem Haus beim Lieferanten lagen.
Bestätigen kann das Lagebild die Nachricht nicht, denn Namen von Opfern zeigt es absichtlich nicht an. Und was eine Gruppe auf ihre Seite schreibt, ist zunächst ihre eigene Darstellung. Den VPN-Zugang würden wir bis zur Klärung trotzdem sperren.
10. Ein Blob-Container, den jeder lesen kann
Bei einer Durchsicht der Azure-Speicherkonten fällt ein Container mit anonymem Lesezugriff auf. Darin liegen CSV-Exporte aus dem CRM, angelegt für eine Schnittstelle, die es längst nicht mehr gibt.
Ob das gemeldet werden muss, klärt der Datenschutzbeauftragte. Die Geschäftsführung will parallel wissen, um welche Größenordnung es gehen könnte. Der Bußgeldrechner nach dem Modell der Datenschutzkonferenz, ebenfalls von frag.hugo, rechnet nach dem Modell der Datenschutzkonferenz und zeigt den Weg in fünf Stufen. Die Seite rechnet ein Beispiel vor. Bei 8 Millionen Euro Jahresumsatz landet ein Unternehmen in Größenklasse B.III mit einem Tagessatz von 24.306 Euro, auf den dann Schweregrad und Umstände wirken.
Was ein Gericht später aus dem Bescheid macht, sagt er nicht voraus. Eintrag 4 zeigt, wie weit beides auseinanderliegen kann. Die Faktoren für erschwerende und mildernde Umstände stammen vom Betreiber des Rechners.
Fristen im Azure-Betrieb auf einen Blick
| Frist | Was dann gilt | Wo Sie es sehen |
|---|---|---|
| 6 Monate vorab | Microsoft kündigt neue Unterauftragsverarbeiter an | Subprozessor-Monitor, Seite zu Microsoft 365 und Azure |
| 90 Tage ohne Anmeldung | Konto gilt als verwaist | Härtungs-Check, Prüfung 12 |
| 24 Stunden | Erstmeldung an das BSI, nur NIS2-Einrichtungen | Cyber-Lagebild |
| 72 Stunden | Meldung einer Datenpanne an die Aufsicht, alle Unternehmen | Cyber-Lagebild |
| 1 Monat nach der 72-Stunden-Meldung | Abschlussmeldung an das BSI, nur NIS2-Einrichtungen | Cyber-Lagebild |
| seit 30. Mai 2026 | Bundesnetzagentur ahndet Verstöße gegen den Data Act | Fristenkalender |
| ab 12. Januar 2027 | keine Entgelte mehr für Anbieterwechsel und Datenexport | Fristenkalender |
| ab 12. September 2027 | Regeln gegen unfaire Datenklauseln gelten auch für Altverträge | Fristenkalender |
Was diese Woche dran ist und was bis Januar
Diese Woche lohnt sich der RSS-Feed des Subprozessor-Monitors, abonniert dort, wo der Datenschutzbeauftragte ohnehin liest. Nutzen Sie neben Azure auch Stripe, GitHub oder Zapier, kommen deren Änderungen über denselben Feed. Für die Microsoft-Einträge gehört ein fester Termin dazu, an dem jemand mit Zugang ins Service Trust Portal schaut.
Bevor das nächste Projekt im Mandanten beginnt, sollte die IT den Härtungs-Check einmal laufen lassen. Stehen Regeln im Berichtsmodus, ist deren Umstellung die erste Aufgabe. Steht ein Umzug von Altdaten bevor, wird vorher geklärt, was gelöscht werden darf.
Bis Januar gehört der 12. Januar 2027 in jeden Kalender, in dem Cloud-Verträge verhandelt werden. Wer über einen zweiten Anbieter oder einen Rückweg aus Azure nachdenkt, nimmt den Baustein OPS.2.2 dazu und schreibt die Ausstiegsplanung, solange noch niemand drängt. Werkzeuge ohne Cloud-Bezug stehen in der Werkzeugliste von frag.hugo, die auch KI-Einstufung und Shop-Check abdeckt.
