Auf Mastodon ansehen
Hinweis: Ich bin kein Jurist. Deshalb sollten alle Äusserungen in diesem Artikel mit Vorsicht gelesen werden. Keinesfalls dürfen sie als rechtlich korrekt angenommen werden.
Noch ein Hinweis: Bei der Recherche zu diesem Artikel habe ich in geringem Masse KI verwendet. Der Artikel selbst ist vollständig menschgeschrieben.
Auf der FrOSCon am 15. August 2026 hatte ich ein interessantes Gespräch mit einem Herrn. Darin ging es um ein Missverständnis bezüglich des US-Cloud-Acts, bzw. um einen häufig übersehenen Aspekt.
Das Thema "digitale Souveränität" wird seit einigen Jahren in Europa diskutiert. Es handelt sich um einen Überbegriff, der verschiedene Aspekte beinhaltet. Die Wikipedia definiert den Begriff so:
Unter digitaler Souveränität werden im politischen Diskurs Möglichkeiten zur selbstbestimmten Nutzung und Gestaltung von Informationstechnik durch Gesellschaften, Staaten, Unternehmen und Individuen diskutiert. Dies umfasst sowohl die digitale Kompetenz als Sachkenntnis als auch die Kompetenz im Sinne von Befugnis, Tätigkeiten auch eigenständig ausüben zu dürfen.
Ein Auslöser dieser Diskussion ist der US-Cloud-Act, zu dem die Wikipedia schreibt:
Das Gesetz verpflichtet US-amerikanische Internet-Firmen und IT-Dienstleister, US-Behörden auch dann Zugriff auf gespeicherte Daten zu gewährleisten, wenn die Speicherung nicht in den USA erfolgt.
Erstens
Aufgrund dieser staatlichen Zugriffsmöglichkeit sind Staaten, Unternehmen, Organisationen und Privatpersonen bestrebt, ihre Daten nicht bei US-amerikanischen, sondern bei europäischen Anbietern zu speichern. Damit sollen Kontrolle, Unabhängigkeit und Zugriffsschutz auf der Grundlage europäischer Gesetze hergestellt werden.
Zweitens
Viele US-amerikanische Anbieter (Hyperscaler) reagieren darauf mit eigenen Rechenzentren in Europa. Jedoch hat ein Rechtsgutachten der Universität zu Köln vom 21. März 2025 klargestellt, dass:
Unternehmen demnach angehalten sind, Daten auch dann herauszugeben, wenn diese außerhalb der USA gespeichert sind. Entscheidend ist demnach nicht der physikalische Speicherort der Informationen, sondern die Kontrolle darüber durch die betroffene Firma. Das impliziert, dass selbst Daten, die in Rechenzentren auf europäischem Boden liegen und über deutsche Tochtergesellschaften verwaltet werden, dem Zugriff unterliegen. Voraussetzung ist, dass die US-Muttergesellschaft die letztliche Kontrolle ausübt.
Dies wurde von einem Rechtsvertreter der Firma Microsoft öffentlich bestätigt:
Herr Anton Carniaux, Direktor für öffentliche und rechtliche Angelegenheiten bei Microsoft France, und Herrn Pierre Lagarde, Technischer Direktor für den öffentlichen Sektor wurden zur Sitzung des französischen Senats geladen.
Im Rahmen einer Anhörung des Senats wurden zwei Microsoft-Vertreter zu verschiedenen Themen im Bereich des US-Zugriffs und der Datensicherheit befragt. So wurde bestätigt, dass Microsoft es nicht verhindern kann, dass US-Behörden/Geheimdienste auf Daten der Kunden in Europa zugreifen können.
Soweit, so bekannt. Doch es geht weiter.
Drittens
Doch wie sieht der umgekehrte Fall aus? Darum ging es beim oben erwähnten Gespräch auf der FrOSCon. Angenommen, ihr (oder der Staat, Unternehmen, Organisation) legt eure Daten bei einem europäischen Anbieter ab, oder lasst sie dort verarbeiten. Dann habt ihr aus Erstens und Zweitens gelernt und fühlt euch souverän.
Weit gefehlt, denn grundsätzlich gilt: Der Cloud-Act richtet sich an Unternehmen, die in den USA ansässig sind oder eine effektive Kontrolle über die Daten haben, unabhängig von der Herkunft des Mutterunternehmens. Das heisst, wenn ein europäisches Unternehmen eine Tochterfirma in den USA hat, die Daten verwaltet oder Zugriff darauf hat, könnten US-Behörden diese Tochterfirma zur Herausgabe zwingen. Die Daten müssten also nicht unbedingt in den USA gespeichert sein; entscheidend ist, ob diese US-Niederlassung einer europäischen Firma Zugriff darauf hat.
In der Praxis versuchen Unternehmen, durch organisatorische Trennung den direkten Zugriff der US-Niederlassung auf sensible Daten zu vermeiden, aber je nach Konstellation kann der Cloud-Act dennoch greifen.
Die Quellenangaben zu diesem Kapitel findet ihr am Ende dieses Artikels unter den letzten drei Quellenangaben.
Fazit
Dieser Artikel erwähnt in den Kapiteln Erstens und Zweitens Bekanntes. Die Tatsache, dass ein Datenabfluss auch bei europäischer Datenspeicherung und Verarbeitung stattfinden kann, falls die Anbieter US-Niederlassungen haben, dürfte vielen neu sein. Bevor man sich für die Verlagerung der Daten zu einem europäischen Anbieter entscheidet, gilt es, zu prüfen, ob dieser Anbieter eine Zweigstelle in den USA hat und ob diese Zweigstelle technisch und organisatorisch ausreichend vom europäischen Mutterunternehmen entkoppelt ist.
Ich wünsche euch ein schönes Wochenende.
Titelbild: https://pixabay.com/photos/man-faceless-clouds-peaked-cap-cap-4008859/
Quellen:
https://de.wikipedia.org/wiki/Wolkenkuckucksheim
https://de.wikipedia.org/wiki/Digitale_Souver%C3%A4nit%C3%A4t
https://de.wikipedia.org/wiki/CLOUD_Act
https://www.crossborderdataforum.org/cloudactfaqs/
https://aws.amazon.com/de/blogs/security/aws-and-the-cloud-act/
https://www.insideprivacy.com/surveillance-law-enforcement-access/reaching-for-the-cloud/
