47,5 Millionen Euro hat das Centre des technologies de l’information de l’État (CTIE) im vergangenen Jahr für Software-Lizenzen ausgegeben – so steht es in einer schriftlichen Antwort des Digitalisierungsministeriums. Der Löwenanteil dürfte an Microsoft geflossen sein. Nach den entsprechenden Lizenzkosten war das Ministerium vom Land gefragt worden, es erwähnte diese aber nur im Rahmen der Anwendungsbereiche: Man nutze M365-Dienste, Teams, Microsoft-E-Mail-Software sowie Intranetplattformen. Das interkommunale Informatik-Syndikat Sigi wiederum zahlt 2,5 Millionen Euro allein für Microsoft-Lizenzen. Viel Steuerzahlergeld fließt damit in einen US-Konzern, der sich mittlerweile um die Gunst eines unberechenbaren Präsidenten bemüht. Im Bildungswesen räumt Microsoft günstigere Konditionen ein – wahrscheinlich will man die Kundschaft von morgen pflegen. Der Informatikdienst des Bildungsministeriums hat 5 Millionen Euro für Lizenzkosten aufgewendet, wovon rund ein Drittel an Microsoft ging. Dabei ist das Datenzugriffspotenzial allerdings beträchtlich: 31 000 Lehrbeauftragte und Ministeriumsangestellte verfügen über Microsoft-Programme – hinzu kommen 160 000 Schüler/innen und Studierende.

US-Software wird zunehmend als Sicherheitsrisiko wahrgenommen. Können amerikanische Technologiekonzerne über ihre Produkte auch auf vertrauliche Daten und Informationen zugreifen? Lauschen US-Geheimdienste womöglich in Teams-Gesprächen mit? Immerhin wurde vor einem Jahrzehnt bereits bekannt, dass routinemäßig bei europäischen Politikern abgehört wurde. Das Ministerium will Entwarnung geben – die Cloud-Dienste würden von „europäischen Rechenzentren“ gehostet. Auf eben diesen Rechenzentren jedoch läuft US-amerikanische Software, und der unlängst verabschiedete Cloud Act erlaubt US-Behörden den Zugriff auf sämtliche Daten, die von amerikanischen Unternehmen weltweit gespeichert werden.

Im September machten die LSAP-Abgeordneten Ben Polidori und Franz Fayot auf das Problem aufmerksam. Sie wollten wissen, welche Maßnahmen die luxemburgische Regierung ergriffen hat, um sicherzustellen, dass personenbezogene Daten im Rahmen des Cloud Act nicht an ausländische Behörden weitergegeben werden. Digitalisierungsministerin Stéphanie Obertin (DP) antwortete, ein Drittstaat könne Einsicht in personenbezogene Daten nur dann verlangen, wenn ein internationales Abkommen dies ausdrücklich erlaube. Datenschutzexperten bezweifeln aber, ob US-amerikanische Mutterkonzerne extraterritoriale Rechtsvorschriften nicht dennoch gegenüber ihren europäischen Ableger durchsetzen können. Um der Gefahr entgegenzuwirken will das CTIE zudem mit lokalen Servern arbeiten statt Cloud-Anwendungen, allerdings sind manche Microsoft-Dienste wie Teams inzwischen ausschließlich als Cloud-Lösung erhältlich.

Als Ministerin Obertin im Mai 2025 gemeinsam mit Wirtschaftsminister Lex Delles (DP) und Justizministerin Elisabeth Margue (CSV) die neue Strategieinitiative für „digitale Souveränität“ vorstellte, sprachen sie sich für Open-Source-Anwendungen aus. Deren Quellcode kann, im Rahmen bestimmter Lizenzbedingungen, eingesehen, verändert und weitergegeben werden. Einige Open-Source-Anwendungen wurden bereits lanciert, wie der Messengerdienst Luxchat4Gov für Beschäftigte des öffentlichen Dienstes, der dezentral verwaltete Verwaltungsdienst Peppol sowie Geoportail und Legilux-public.lu. Von einer echten digitalen Souvernität ist man allerdings noch weit entfernt. Dass die Abhängigkeit von US-Technologie weit reicht, veranschaulichen gerade die US-Sanktionen gegen sechs Richter des des Internationalen Strafgerichtshofs. Sie leben wieder in den 1980er-Jahren: Von einem Tag auf den anderen verloren sie den Zugang zu Waren, Dienstleistungen und Zahlungsmitteln amerikanischer Unternehmen. Der französische Richter Nicolas Guillou berichtete, er könne keine Hotels mehr buchen, keine Bücher online bestellen, und seine Kreditkarte funktioniere nicht mehr. Da hilft auch kein Open-Source-Geoportail.