Der Cloud Act ist eine ganz reale Gefahr

Illustration: Absmeier, Thommas68

US-Anbieter lassen verlauten, der US Cloud Act sei nur eine »hypothetische Möglichkeit«. Wer’s glaubt, wird selig.

Ein Kommentar von Christian Schmitz, Chief Strategy & Innovation Officer bei ownCloud in Nürnberg

 

Der US Cloud Act ist eine immense Bedrohung für unseren gesamteuropäischen Wirtschaftsraum. Auf seiner Grundlage können US-amerikanische Behörden von Cloud-Providern aus den USA die Herausgabe sämtlicher Daten einer Person oder eines Unternehmens verlangen. Das gilt selbst dann, wenn sie sich auf Servern befinden, die in Deutschland oder der EU stehen – DSGVO-Hoheitsgebiet hin oder her. Häufig wird hier der Begriff »regionale Datenhaltung« verwendet, um deutsches Datenschutzrecht zu suggerieren – freilich ohne dabei das Durchgriffsrecht der US-Regierung zu benennen.

Und da bei den meisten Unternehmen und Behörden in Europa heute oft nichts mehr ohne US-amerikanische Cloud-Dienste geht, ist unsere Wirtschaft und Verwaltung diesem Gesetz de facto ausgeliefert. Solange das so ist, können wir uns Datenschutz und Datensouveränität abschminken. Der US Cloud Act steht nämlich nicht nur europäischen Datenschutzgesetzen wie der DSGVO diametral entgegen; er öffnet auch Wirtschafts- und sonstiger Spionage Tür und Tor.

Diese Erkenntnis setzt sich derzeit im öffentlichen Bewusstsein immer stärker durch. Die US-amerikanischen Internetgiganten sehen deshalb anscheinend ihre Felle davonschwimmen und versuchen zu beschwichtigen. So ließ etwa ein Vertreter von Amazon Web Services jüngst verlauten, der US Cloud Act sei doch nur eine »sehr hypothetische Möglichkeit«. Nur merkwürdig, dass Microsoft gegen den Cloud Act Einspruch erhoben hat – und damit scheiterte. So hypothetisch scheint er also doch nicht zu sein.

Deshalb: Wer’s glaubt, wird selig. Es gibt keinen berechtigten Zweifel daran, dass die USA die Möglichkeiten dieses Gesetzes zu ihrem Vorteil nutzen, wo es nur geht. Die Snowden-Enthüllungen haben schließlich schon vor Jahren gezeigt, dass sie systematisch Daten aus jeglichen IT-Systemen abgreifen. Mit Präsident Donald Trump an der Spitze, seinem ›America-First‹-Wahn und den von ihm angezettelten Handelskriegen dürften nun auch noch die allerletzten Hemmungen gefallen sein.

Beispiele dafür, wie die USA unter Trump ihre Marktmacht über die IT- und Dateninfrastrukturen zu ihrem Vorteil ausnutzen, gibt es schließlich genug: siehe etwa den Android-Boykott gegen Huawei. Zudem setzen die USA von der breiten Öffentlichkeit unbemerkt ihre Macht über DNS-Server in ihrer Auseinandersetzung mit dem Iran dazu ein, um dort die Verfügbarkeit von Services einzuschränken. Zu glauben, sie würden den Cloud Act nicht dazu verwenden, um sich etwa in einem Handelsstreit mit der deutschen Automobilindustrie Erpressungspotenzial zu verschaffen, wäre einfach nur naiv. Genauso naiv, wie es vor Jahren war anzunehmen, die USA würden unsere Kanzlerin nicht abhören, weil man so etwas unter Freunden schließlich nicht macht.

Deshalb: nein, der Cloud Act ist keine rein hypothetische Möglichkeit.

Er ist eine ganz reale Gefahr.

 


 

Schatten über der DSGVO: Welche Fragen der CLOUD Act für europäische Unternehmen aufwirft

Nahezu zeitgleich mit der DSGVO ist der US-amerikanische CLOUD Act in Kraft getreten. In der Praxis geraten damit zwei Rechtsauffassungen unvereinbar miteinander in Konflikt. Nicht nur für Cloudanbieter, sondern auch für Unternehmen, die Cloudanwendungen nutzen, könnte dies rechtliche Schwierigkeiten mit sich bringen.

Anliegen des »Clarifying Lawful Overseas Use of Data« (CLOUD) Act ist es, die US-amerikanische Strafverfolgung zu erleichtern, indem der Zugriff auf im Ausland gespeicherte Kommunikationsdaten von Verdächtigen vereinfacht wird. Was bislang im Rahmen von Rechtshilfeabkommen zwischen den Regierungsbehörden verschiedener Länder im Laufe mehrerer Monate abgewickelt wurde, soll nun schneller möglich sein. Gemäß CLOUD Act können US-Ermittlungsbehörden Daten direkt von Unternehmen wie beispielsweise Microsoft, Google oder Amazon anfordern. Eingeschlossen sind damit auch Daten, die auf Servern im Ausland gespeichert sind. Betroffen davon sind nicht nur Verkehrsdaten sondern auch Inhaltsdaten. Eine richterliche Anordnung benötigen die Ermittler für die Anforderung nicht. Der Cloudanbieter wiederum ist nicht dazu verpflichtet, die Betroffenen über die Herausgabe der Daten zu unterrichten.

Dies steht im Widerspruch zu den Bestimmungen der Datenschutzgrundverordnung. Kommt es zu einer Anfrage nach in Europa gespeicherten Datensätzen, könnten Cloudanbieter nur eines der beiden Gesetze – CLOUD Act oder DSGVO – einhalten. Zwar macht der CLOUD Act die Einschränkung, dass die Herausgabe von Daten nur erfolgen soll, sofern dadurch keine nationalen Gesetze gebrochen werden. Für diese Fälle sollten bilaterale Abkommen geschlossen werden, die die Art des Zugriffs weiter regeln sollen. Jedoch befinden sich die entsprechenden Verhandlungen zwischen der Europäischen Union und den Vereinigten Staaten erst am Anfang. Somit herrscht gegenwärtig rechtliche Unsicherheit. Die Tatsache, dass die großen Anbieter geschlossen den CLOUD Act begrüßt hatten, beunruhigt europäische Datenschützer zusätzlich und veranlasst dazu, die aktuellen Auswirkungen auf die DSGVO genauer zu evaluieren. Neben der unmittelbaren Verletzung der durch die DSGVO geschützten Persönlichkeitsrechte bringt der CLOUD Act theoretisch auch Auswirkungen für Unternehmen mit sich, die die Cloud nutzen.

 

CLOUD Act kann auch für europäische Cloudprovider gelten

Verarbeiten Unternehmen personenbezogene Daten in der Cloud, müssen sie sicherstellen, dass dabei das in der Europäischen Union geforderte Datenschutzniveau eingehalten wird. Dementsprechend ist es in europäischen Unternehmen best practice, sich für einen Cloudanbieter mit Rechenzentren in der EU zu entscheiden. Nun ist damit allerdings nicht mehr automatisch sichergestellt, dass der geforderte Standard erfüllt ist. Warum? Weil der CLOUD Act sich nicht auf Firmen mit Hauptsitz in den USA beschränkt. Er bezieht sich auf Unternehmen weltweit, die eine Niederlassung in den USA unterhalten oder dort einer Geschäftstätigkeit nachgehen.

Damit ist der Blick auf den Unternehmenssitz und den Verarbeitungsstandort eines Unternehmens nicht mehr ausreichend, um seiner Sorgfaltspflicht im Rahmen der DSGVO nachzukommen. Unternehmen, die die Verarbeitung personenbezogener Daten in der Cloud planen, müssten daher eine noch größere Sorgfalt in der Auswahl ihrer Cloudanbieter walten lassen und gegebenenfalls ihre Verträge mit ihnen entsprechend anpassen. Beispielsweise wäre es denkbar, den Cloudanbieter vertraglich zu verpflichten, den Nutzer über eine Expansion in die USA und damit in den Gültigkeitsbereich des CLOUD Acts, zu informieren.

 

Vertraulichkeit in Gefahr

Vor dem Hintergrund des CLOUD Acts sehen Datenschützer außerdem die Nutzung populärer Cloudanwendungen mit Sorge, sofern davon personenbezogene Daten betroffen sind. Stellen US-Behörden eine Anfrage zu bestimmten Personendaten bei einem großen Cloudanbieter, besteht theoretisch die Gefahr, dass die mit der betroffenen Person verbundenen, in einem Unternehmen verarbeiteten Daten aus Cloudanwendungen herausgegeben werden. Da ein Zugriff durch US-Behörden auf diese Daten nicht ausgeschlossen werden kann, ist auch hier womöglich das geforderte Datenschutzniveau nicht erfüllt und die Persönlichkeitsrechte nicht ausreichend gewahrt. Demzufolge begehen Unternehmen nach DSGVO-Lesart einen Verstoß: Indem sie sich für Cloudanwendungen eines US-Anbieters entscheiden, nehmen sie das Risiko eines unberechtigten Zugriffs Dritter in Kauf. Ihrer Verpflichtung zu einer Datenschutz-Folgenabschätzung wären sie dementsprechend nicht ausreichend nachgekommen.

 

Zero-Trust-Policy für unternehmenseigene Daten

Angesichts der laufenden Verhandlungen zwischen der Europäischen Union und den USA erscheint es zwar unwahrscheinlich, dass Cloudnutzer gegenwärtig auf Grund der eben erläuterten Szenarien Konsequenzen im Zuge der DSGVO befürchten müssen.

An der zu Grunde liegenden Problematik ändert dies allerdings nichts: Die DSGVO verlangt von Unternehmen vollständige Kontrolle über die von ihnen erhobenen Daten und zwar über die gesamte Verarbeitungskette hinweg. Der CLOUD Act, der sich über diese Ebene hinwegsetzt, unterminiert diese Kontrollfunktion. Für Unternehmen steht außerdem die Frage im Raum, inwieweit betriebsinterne Informationen von den Zugriffsrechten des CLOUD Act beeinträchtigt sein könnten. Sollten im Zuge von Ermittlungen auch Unternehmensdaten an die Behörden übergeben werden, wüssten die betroffenen Unternehmen darüber nicht Bescheid. Ebenso wenig hätten sie Kenntnis darüber, ob, wo und wie lange ihre Daten aufbewahrt werden oder ob noch weiteren Behörden darauf Zugriff ermöglicht wird.

Derartige Szenarien führen vor Augen, dass künftig in der Cybersecurity-Strategie von Unternehmen nicht nur die Sicherheit von Daten, sondern auch die Kontrolle über diese einen hohen Stellenwert einnimmt. Eine Zero Trust-Policy, deren Maßnahmen auf Datenebene ansetzen, ist daher bei der Nutzung von Cloudanwendungen langfristig der richtige Weg. Unternehmensdaten müssen sowohl während der Übertragung als auch in den Cloudspeicherorten zuverlässig gesichert und verschlüsselt werden. Ergänzend dazu ist für ein möglichst hohes Sicherheitsniveau ein angemessenes Schlüsselmanagement ratsam. Alle Keys sollten unternehmensintern gehostet werden. Wer auf Nummer sicher gehen möchte, kann diese außerdem on-Premises in einem Hardware-Sicherheitsmodul verwahren. Auf diese Weise erlangen Unternehmen nicht nur Kontrolle über ihre Daten zurück. Sie erfüllen auch die Sicherheitsvorgaben im Sinne der DSGVO: Werden verschlüsselte Daten entwendet, sind sie für Unbefugte wertlos.

Michael Scheffler, Area VP EMEA, Bitglass

 


CLOUD Act hebelt DSGVO aus

Die europäische Daten­schutz­grundverordnung hat für einigen Aufwand bei den Unternehmen und Organisationen innerhalb Europas gesorgt und sorgt noch immer dafür, denn erst ein Viertel ist mit der vollständigen Umsetzung bisher fertig geworden. Dennoch wird die DSGVO weithin als Errungenschaft in Sachen Schutz der persönlichen Daten angesehen. 

Alles in bester Ordnung? Nicht ganz. Denn in den USA wurde der sogenannte CLOUD Act am 23. März eingeführt, versteckt als Anhängsel des Haushaltsplans, quasi unter dem Radar der Öffentlichkeit. Mit diesem »Clarifying Lawful Overseas Use of Data« wird den US-Behörden der Zugriff auf die Daten ihrer Bürger ohne richterlichen Beschluss ermöglicht, selbst wenn diese auf Servern außerhalb der USA gespeichert sind. Die Datenschutzbestimmungen anderer Länder bleiben grundsätzlich außen vor. Die Betroffenen dürfen nicht über die Datenweitergabe informiert werden. 

Das führt zu einer klaren Kollision mit der DSGVO. Die amerikanischen Konzerne mit Niederlassungen und Rechenzentren in Europa kommen eindeutig in Konflikt mit der EU-DSGVO, wenn sie die auf ihren europäischen Servern gespeicherten Daten weitergeben. Nun könnten Sie sagen, das ist ein internes Problem der US-Unternehmen mit ihren Behörden. Leider nicht. Haben europäische Provider Niederlassungen in den USA, unterliegen sie automatisch dem CLOUD Act. Die US-Behörden dürfen auch auf die Daten von Nicht-US-Bürgern zugreifen, wenn es im »Interesse der USA« ist.

Es gibt erheblichen Klärungs- und Regelungsbedarf nach der fast simultanen Einführung von DSGVO und CLOUD Act. Der Privacy Shield als Nachfolger des Safe Harbour muss neu verhandelt werden. Wir haben in unserem Schwerpunkt Datenschutz einige sehr spannende Beiträge, die sich mit diesem Thema auseinandersetzen.

Herzlichst, Ihr Albert Absmeier
Chefredakteur