MDM Hosting in Österreich und der EU: Souveräne Alternativen zu US-Clouds
Es gibt kaum ein System im Unternehmen mit mehr Macht als das Mobile Device Management: Es kann jedes verwaltete Gerät sperren, löschen, orten und konfigurieren – vom Smartphone der Geschäftsführung bis zur Maschinensteuerung in der Produktion. Umso erstaunlicher ist, wie selten die Frage gestellt wird:
Wo läuft dieses System eigentlich – und wer könnte darauf zugreifen?
2026 ist diese Frage keine akademische mehr. Die rechtliche Grundlage für Datentransfers in die USA wackelt zum wiederholten Mal, die EU treibt ihre Souveränitätsagenda voran, und NIS2 macht die Lieferkette – zu der Ihr MDM-Anbieter zweifellos gehört – zum Prüfgegenstand. Dieser Artikel ordnet die Lage ein und zeigt, welche souveränen Alternativen zu US-Cloud-basierten MDM-Lösungen existieren.
Hinweis: Dieser Artikel ist keine Rechtsberatung. Die rechtliche Bewertung Ihrer konkreten Datenverarbeitung gehört in die Hände Ihrer Datenschutz- und Rechtsexperten.
Die Rechtslage 2026: Warum US-Clouds zum Dauerthema geworden sind
Vier Entwicklungen prägen die aktuelle Diskussion:
Der CLOUD Act bleibt das Grundproblem.
Das US-Gesetz verpflichtet amerikanische Anbieter, Daten auf Anordnung von US-Behörden herauszugeben – unabhängig davon, wo diese Daten gespeichert sind, also auch in europäischen Rechenzentren. Ein „EU-Rechenzentrum" eines US-Konzerns ist damit ein Standortversprechen, kein Souveränitätsversprechen. Selbst die „Sovereign Cloud"-Angebote der Hyperscaler ändern nichts an der entscheidenden Größe: der Jurisdiktion des Betreibers.
Das Data Privacy Framework steht erneut auf dem Prüfstand.
Das EU-US Data Privacy Framework – seit 2023 die Rechtsgrundlage für Datentransfers in die USA – ist zwar formal weiter in Kraft, wird aber bereits zum dritten Mal gerichtlich angegriffen. Nach der Abweisung der Latombe-Klage im September 2025 läuft die Berufung, und zuletzt sorgten Entwicklungen in den USA selbst – darunter ein Gerichtsurteil Ende Juni 2026 – für neue Zweifel an der Stabilität der Konstruktion. Wer seine Compliance-Architektur auf dieses Fundament baut, baut auf Bewegtem: Die Vorgänger Safe Harbor und Privacy Shield sind beide vor dem EuGH gefallen.
Auch auf US-Seite herrscht Unruhe.
Die Überwachungsbefugnis nach Section 702 FISA – jene Rechtsgrundlage, unter der US-Dienste auf Kommunikationsdaten von Nicht-US-Bürgern bei US-Providern zugreifen – ließ der US-Kongress Mitte 2026 auslaufen, während über eine Reform weiter verhandelt wird. Entwarnung ist das keine: Bestehende Anordnungen wirken nach, und die grundsätzliche Zugriffsarchitektur bleibt bestehen.
Die EU zieht nach.
Der EU Data Act ist seit September 2025 anwendbar und regelt in Kapitel VII den Schutz vor unrechtmäßigem Drittstaaten-Zugriff auf in der EU gespeicherte Daten. Mit dem geplanten Cloud and AI Development Act (CAIDA) arbeitet die Kommission zudem an einem Stufenmodell für Cloud-Souveränität, das sensible Behördendaten von Anbietern mit US-Konzernmutter fernhalten soll – wie streng die Mitgliedstaaten das umsetzen, ist noch offen, die Richtung aber eindeutig.
Das Stimmungsbild in den Unternehmen passt dazu: In Umfragen hält eine große Mehrheit der Unternehmen im DACH-Raum die eigene Abhängigkeit von US-Clouds für zu hoch – nutzt sie aber weiter. Genau diese Lücke zwischen Problembewusstsein und Handeln schließt sich gerade, Sektor für Sektor.
Warum ausgerechnet das MDM besonders kritisch ist
Man kann über die Souveränität von E-Mail oder Office-Dokumenten diskutieren. Beim MDM ist die Sache eindeutiger, aus drei Gründen:
1. Das MDM ist ein Generalschlüssel.
Wer die MDM-Konsole kontrolliert, kontrolliert die Geräteflotte: Apps installieren, Richtlinien ändern, Daten löschen, Standorte einsehen. Ein kompromittierter oder rechtlich zugreifbarer MDM-Betreiber ist kein Datenschutzproblem – er ist ein Betriebsrisiko für das gesamte Unternehmen.
2. Das MDM sieht sensible Metadaten.
Geräteinventare, Nutzerzuordnungen, Standortdaten, installierte Apps, Compliance-Verstöße: Das MDM aggregiert ein detailliertes Bild Ihrer Organisation – Ihrer Mitarbeiter, Ihrer Standorte, Ihrer Infrastruktur.
3. NIS2 macht den Anbieter zum Prüfgegenstand.
Das österreichische NISG 2026 verlangt Lieferkettensicherheit. Ein System mit Vollzugriff auf alle Endgeräte gehört zweifellos zu den kritischsten Gliedern dieser Kette – und muss entsprechend bewertet und dokumentiert werden. „Unser MDM-Anbieter unterliegt US-Behördenzugriff, aber wir hoffen das Beste" ist keine Risikobewertung, die man einem Auditor vorlegen möchte.
Was „souverän" wirklich bedeutet: 5 Prüffragen
Der Begriff „Sovereign Cloud" wird inflationär verwendet. Diese fünf Fragen trennen Marketing von Substanz:
1. Wo stehen die Server – und wem gehört der Betreiber?
Der Serverstandort allein ist wertlos, wenn der Betreiber einer Drittstaaten-Jurisdiktion unterliegt. Entscheidend ist die Konzernstruktur: Ein Anbieter ohne US-Konzernmutter unterliegt dem CLOUD Act schlicht nicht.
2. Wer administriert die Plattform?
Souveränität endet nicht bei der Hardware. Wenn Betrieb, Support und Wartung aus Drittstaaten erfolgen, existieren Zugriffswege jenseits des Serverstandorts.
3. Welche Sub-Prozessoren sind im Spiel?
Viele „europäische" SaaS-Angebote laufen unter der Haube auf AWS, Azure oder Google Cloud. Ein Blick in die Auftragsverarbeiter-Liste lohnt sich immer.
4. Gibt es eine On-Premise-Option?
Die maximale Souveränitätsstufe ist der Betrieb in der eigenen Infrastruktur – wichtig für Produktionsnetze, geschlossene Umgebungen und Organisationen mit höchsten Anforderungen. Anbieter, die On-Premise gestrichen haben, nehmen Ihnen diese Option dauerhaft.
5. Wie schnell kämen Sie wieder heraus?
Souveränität heißt auch Reversibilität: Exportierbare Daten, dokumentierte Migrationspfade, keine proprietären Lock-ins. Eine Exit-Strategie schließt man ab wie eine Versicherung – bevor es brennt.
Die Optionen im Überblick: Vom US-SaaS bis On-Premise
Modell | Beispiele | CLOUD-Act-Exposition | Souveränitätsgrad |
US-SaaS (Standard) | Intune, Workspace ONE SaaS, US-Cloud-MDMs | Voll | Niedrig |
US-Anbieter, „EU-Region" | Hyperscaler-Regionen in der EU | Voll (Jurisdiktion des Betreibers) | Niedrig bis mittel |
„Sovereign Cloud" der Hyperscaler | Sovereign-Angebote von US-Konzernen | Reduziert, aber strukturell vorhanden | Mittel |
Europäischer Anbieter, EU-Hosting | MDM ohne US-Konzernmutter, EU-Rechenzentren | Keine | Hoch |
Private Cloud in Österreich | mCloud Enterprise MDM | Keine | Hoch; Verantwortung und Betreuung liegt beim Managed Service Partner |
On-Premise im eigenen Haus | mCloud On-Premise (betreut durch mCloud-Spezialisten) | Keine | Maximal, aber ACHTUNG: alle Verantwortlichkeiten gehen auf Sie über! |
Die ehrliche Einordnung: Für unkritische Daten mag ein US-SaaS vertretbar sein – das sehen auch die EU-Stufenmodelle so. Aber das MDM verwaltet per Definition alles, auch das Kritische. Ein System, das Ihre gesamte Flotte fernsteuern kann, in die niedrigste Souveränitätsstufe zu legen, ist eine Architekturentscheidung, die man 2026 gut begründen können muss.
mCloud Enterprise MDM: Souveränität als Konstruktionsprinzip
mCloud wurde nicht nachträglich „souveränisiert", sondern von Anfang an so gebaut:
Hosting in Österreich.
Die Private Cloud läuft in österreichischen Rechenzentren – betrieben von mCloud by Barcotec, einem eigentümergeführten österreichischen Unternehmen ohne US-Konzernstruktur. Der CLOUD Act findet schlicht keinen Adressaten.
Keine Hyperscaler unter der Haube.
Keine Anbindung an AWS, Azure oder Google Cloud – weder für den Betrieb noch für Sub-Services. Was in der Auftragsverarbeiter-Liste nicht steht, kann auch nicht zum Problem werden.
On-Premise als echte Option – ohne Personalproblem.
Für Produktionsumgebungen, geschlossene Netze und Organisationen mit maximalen Anforderungen läuft mCloud vollständig in Ihrer eigenen Infrastruktur – während viele internationale Anbieter ihre On-Premise-Modelle zugunsten von SaaS eingestellt haben. Der entscheidende Unterschied: Auch On-Premise bleiben Sie nicht allein. Einrichtung, Updates und Betrieb werden von den mCloud-Spezialisten bei Barcotec begleitet – „as a service" gilt bei mCloud unabhängig davon, wo die Lösung läuft. Das klassische Gegenargument „dafür haben wir kein eigenes Personal" greift damit nicht.
Compliance nachweisbar.
DSGVO-konform, NIS2-geprüft – mit automatisierten Reports, die genau die Dokumentation liefern, die Lieferketten-Audits und das NISG 2026 verlangen.
Ohne App-Store-Zwang.
Private App- und File-Stores machen unabhängig von Google-, Microsoft- oder Apple-Konten – ein oft übersehener Souveränitätsaspekt im Gerätemanagement.
Und das alles ohne funktionale Abstriche: alle Plattformen von Android und iOS über Windows, macOS und Linux bis zu Rugged Devices, IoT und Legacy-Systemen, Remote Control, Kiosk-Modus, Monitoring und Integrationen in AD, SIEM und mehr.
Der Weg dorthin: Souveränität als geordnetes Projekt
Niemand muss übermorgen migrieren. Aber die Erfahrung zeigt: Ein geordneter Wechsel ist ein Projekt von Wochen bis wenigen Monaten – ein erzwungener Wechsel nach einem Rechtsereignis oder Sicherheitsvorfall ist Krisenmanagement. Der pragmatische Fahrplan:
Schritt 1 – Transparenz:
Wo läuft Ihr heutiges MDM, welcher Jurisdiktion unterliegt der Betreiber, welche Sub-Prozessoren sind beteiligt? Diese Inventur kostet einen Nachmittag und gehört ohnehin in jede NIS2-Dokumentation.
Schritt 2 – Bewertung:
Passt das Ergebnis zu Ihren Datenklassen, Kundenanforderungen und Ihrer NIS2-Einstufung? Falls ja: dokumentieren und beobachten. Falls nein: weiter zu Schritt 3.
Schritt 3 – Alternativen testen:
Ein Parallel-Test mit einer repräsentativen Gerätegruppe zeigt binnen weniger Wochen, ob eine souveräne Lösung funktional mithält.
Schritt 4 – Migration in Wellen:
Gestaffelter Umstieg, wie bei jedem MDM-Wechsel – idealerweise getaktet auf das Vertragsende beim Altanbieter.
Der Hosting-Standort ist eine Architekturentscheidung – keine Fußnote
Die Zeiten, in denen der MDM-Hosting-Standort eine Fußnote im Datenblatt war, sind vorbei. Zwischen CLOUD Act, einem zum dritten Mal beklagten Data Privacy Framework, dem EU Data Act und NIS2 ist die Frage „Wo läuft unser Gerätemanagement?" zur strategischen Architekturentscheidung geworden – mit direkten Folgen für Compliance, Auditfähigkeit und Betriebsrisiko.
Die gute Nachricht: Anders als bei vielen Cloud-Diensten gibt es beim MDM eine souveräne Alternative ohne funktionale Kompromisse – gehostet in Österreich, ohne US-Konzernstruktur, auf Wunsch On-Premise.
Prüfen Sie es selbst: Testen Sie mCloud Enterprise MDM kostenlos mit Ihren eigenen Geräten, oder lassen Sie uns in 30 Minuten gemeinsam durchgehen, wo Ihr aktuelles Setup souveränitätstechnisch steht: info@mcloud-mdm.at
FAQ – Häufige Fragen zu souveränem MDM Hosting
Reicht es nicht, wenn der US-Anbieter ein EU-Rechenzentrum nutzt?
Nein. Der CLOUD Act knüpft an die Jurisdiktion des Anbieters an, nicht an den Serverstandort. Ein US-Konzern kann zur Herausgabe von Daten verpflichtet werden, auch wenn diese in Frankfurt oder Wien liegen. Souveränität entsteht durch die Konzernstruktur, nicht durch die Postleitzahl des Rechenzentrums.
Ist das Data Privacy Framework nicht die Lösung?
Es ist die aktuelle Rechtsgrundlage – aber eine mit Geschichte: Die beiden Vorgänger Safe Harbor und Privacy Shield wurden vom EuGH gekippt, und das DPF wird bereits zum dritten Mal gerichtlich angegriffen. Wer kritische Infrastruktur auf diese Grundlage stellt, sollte zumindest einen Plan B dokumentiert haben.
Was bedeutet „Hosting in Österreich" bei mCloud konkret?
Die Private Cloud läuft in österreichischen Rechenzentren, betrieben von einem eigentümergeführten österreichischen Unternehmen – ohne US-Konzernmutter, ohne Hyperscaler als Unterbau. Alternativ ist der Betrieb On-Premise in Ihrer eigenen Infrastruktur möglich. In beiden Fällen übernehmen die MDM-Spezialisten von Barcotec Einrichtung, Wartung und Support – eigene MDM-Expertise im Haus ist nicht erforderlich.
Verliere ich mit einer souveränen Lösung Funktionen?
Beim MDM nicht zwingend – mCloud deckt den vollen Funktionsumfang ab: alle gängigen Plattformen, Remote Control, Kiosk-Modus, Mobile Threat Detection, Reporting und Integrationen in Unternehmenssysteme. Der Souveränitätsgewinn kostet hier keine Funktionalität.
Muss ich sofort von meinem US-MDM wechseln?
Nicht zwingend – aber Sie sollten die Abhängigkeit kennen, bewerten und dokumentieren (auch für NIS2) und eine Exit-Option haben, bevor ein Rechtsereignis oder eine Vertragsverlängerung Sie unter Zeitdruck setzt. Der beste Zeitpunkt für die Planung ist vor der nächsten Vertragsverlängerung.
mCloud UEM MDM
mCloud UEM unterstützt Fertigungsunternehmen bei der Entwicklung und Umsetzung von Enterprise-MDM-Strategien für IoT/Edge-Devices, Sensoren, Gateways und Steuerungen.
