- 37 Prozent der deutschen Unternehmen erwägen, ihre Investitionen in Public-Cloud-Services zurückzufahren.
- Mehr als ein Fünftel der deutschen IT-Entscheider ist nicht sicher, wo die Datenzentren der Service-Provider und ihre Datenbestände liegen.
- Fast zwei Drittel sehen die Verantwortung für die Datenkonformität bei der Firma, die die Daten produziert.
Ob Infrastructure as a Service (IaaS), Platform as a Service (PaaS) oder Software as a Service (SaaS): Cloud Computing hat den IT-Betrieb revolutioniert. Denn die Cloud garantiert Unternehmen eine höhere Skalierbarkeit, Flexibilität und Produktivität bei gleichzeitig niedrigeren Kosten – kein Wunder also, dass sich die innovative Technologie auch in Deutschland größtenteils durchgesetzt hat: Laut dem ITK-Branchenverband Bitkom nehmen nunmehr zwei von drei deutschen Unternehmen Rechenleistung aus der Cloud in Anspruch. Unter Großunternehmen sind es gar 83 Prozent! Positive Aussichten also? Nicht ganz: Denn die europäische Datenschutzgrundverordnung (EU-DSGVO) scheint nun viele Unternehmen mit ihren strengen Auflagen zu überfordern und abzuschrecken.
DSGVO führt zu weniger Cloud-Investitionen in Deutschland
Darauf lässt eine weltweit angelegte Untersuchung des Datenmanagementspezialisten NetApp schließen, an der über 1.100 IT-Entscheider aus Deutschland, Frankreich, Großbritannien und den USA teilnahmen. Sie offenbart, dass deutsche Unternehmen im internationalen Vergleich am wenigsten zu erhöhten Ausgaben für eine DSGVO-konforme Cloud-Strategie bereit sind: Länderübergreifend geben 57 Prozent aller Befragten an, bereits jetzt mehr Ressourcen für die Einhaltung der neuen Verordnung zu investieren – in Deutschland sind es lediglich 52 Prozent. Und auch an zukünftige Investitionen in Public-Cloud-Services denken deutsche IT-Entscheider am wenigsten: Während sich insgesamt 55 Prozent aller IT-Entscheider für dieses Vorhaben aussprechen, sind es unter den deutschen nur 43 Prozent. Noch alarmierender: Hierzulande erwägen gar 37 Prozent der Unternehmen, ihre Ausgaben für die Public Cloud zu reduzieren – der länderübergreifende Höchstwert. Knapp mehr als ein Fünftel der Deutschen hat bereits seine finanziellen Anstrengungen zurückgefahren.
Angesichts der DSGVO streben deutsche Unternehmen Investitionen in Cloud-Computing am wenigsten an. (Quelle: NetApp)
Nur eine Minderheit weiß, wo ihre Service-Provider und Daten zu finden sind
Doch worauf ist die sinkende Investitionsbereitschaft hier konkret zurückzuführen? Die Umfrage zeigt, dass es bei den Befragten weiterhin Unsicherheit darüber gibt, wie die Datensicherheit in der Cloud gewährleistet werden kann. Denn um die europäische Datenschutz-Grundverordnung einhalten zu können, müssen Unternehmen jederzeit über den Aufenthaltsort ihrer Datenbestände Bescheid wissen. Doch weltweit sind nur 40 Prozent aller befragten IT-Entscheider in der Lage, sowohl über die Standorte der Datenzentren ihrer Service-Provider als auch den Lageort aller ihrer Daten Auskunft zu geben. Mit nur knapp einem Drittel an Zustimmung sehen sich deutsche IT-Entscheider dazu am wenigsten befähigt. Und gar ein Fünftel der deutschen Unternehmen weiß nicht, wo sich die Datenzentren der IT-Dienstleister und ihre Daten befinden – damit ist diese Unsicherheit unter den Deutschen am stärksten ausgeprägt.
Datenproduzierende Unternehmen in der Pflicht
Darüber hinaus äußerten sich die IT-Entscheider auch zur Frage, welche Beteiligten für einen DSGVO-konformen Umgang mit den Daten einzustehen haben: Mit durchschnittlich 71 Prozent Zustimmung stehen aus ihrer Sicht demnach datenproduzierende Firmen am meisten in der Pflicht. Während in den USA 82 Prozent diese Ansicht teilen, sind es in Deutschland 62 Prozent – länderübergreifend der niedrigste Wert. Fast drei Fünftel der deutschen Befragten sind der Auffassung, dass datenverarbeitende Unternehmen die größte Verantwortung tragen – nach Großbritannien (67 Prozent), den USA (65 Prozent) und Frankreich (59 Prozent) wiederum die geringste Zustimmung. International sowie deutschlandweit schreibt jeweils gut ein Drittel der Befragten diese Verantwortung zuallererst den Drittanbietern von Cloud-Services zu.
Unsicherheit überwinden, Vertrauen gewinnen
Zusammengefasst lässt sich festhalten: Cloud-Computing gilt dem Gros der deutschen Unternehmen heutzutage aufgrund herausragender Vorzüge als Basistechnologie für die Digitalisierung. Vor allem die Public Cloud weiß durch einen ortsunabhängigen Zugriff auf die eigene IT zu überzeugen – doch befürchtet ein Teil der Wirtschaft weiterhin mangelnde Datensicherheit. Diese Angst scheint nun die DSGVO laut NetApp-Studie weiter zu nähren, sie mindert die Durchsetzung der Cloud. Unternehmen überwinden diese Bedenken, indem sie bei der Auswahl ihrer Cloud-Lösung sicherstellen, dass der Cloud-Anbieter eine Datenschutz-Zertifizierung nach DSGVO nachweisen kann.
Dr. Dierk Schindler, Head of EMEA Legal & Global Legal Shared Services bei NetApp
US-Cloud Act vs. EU-DSGVO – Steht unser Datenschutz auf dem Spiel?
Illustration: Absmeier, ocv
Seit dem Inkrafttreten der DSGVO vor knapp vier Wochen könnte man meinen, wir befänden uns datenschutzrechtlich auf der Insel der Glückseligen. Nach jahrelangem Hin und Her hat die Europäische Union klar geregelt, ob, wann und wie personenbezogene Daten künftig erhoben, gespeichert und verarbeitet werden dürfen. Im Tagesgeschäft höchst bürokratisch, aber ein notwendiger Schritt in Richtung informationeller Selbstbestimmung. Dank Neuregelungen wie den Einwilligungsanforderungen, dem Auskunftsrecht oder dem sogenannten »Recht auf Vergessenwerden« wurden unsere Rechte als Betroffene erheblich gestärkt.
Gesetzlich gebilligter Zugriff auf personenbezogene Daten – Widerspruch zwecklos
Wäre da nicht diese dunkle Wolke, die sich scheinbar unbemerkt von Medien und Politik über der friedlichen Szenerie breitmacht: Der CLOUD Act – kurz für »Clarifying Lawful Overseas Use of Data Act«. Ein US-Gesetz, erlassen am 23. März, das es US-Behörden erlaubt, auf personenbezogene Daten im Ausland zuzugreifen. Der Provider – laut US-Gesetz jede Institution, die Daten sammelt oder bereitstellt – darf ab dem Zeitpunkt der Anfrage keine Daten mehr löschen (auch nicht außerhalb der USA) und ist auch nicht verpflichtet, die betroffene Person beziehungsweise das Unternehmen über den Zugriff zu informieren. Handelt es sich um eine Person, die kein US-Bürger oder -Bewohner ist, oder um ein außerhalb der USA registriertes Unternehmen, kann der Provider Widerspruch gegen den Datenzugriff einlegen. Theoretisch – denn die US-Behörden können vor Gericht gegen den Widerspruch klagen. Ist der Datenzugriff »im Interesse der USA«, wird zugunsten der US-Behörden entschieden und die Daten müssen unmittelbar übergeben werden. Der Provider wird sich also tunlichst überlegen, ob er sich tatsächlich mit den US-Behörden anlegt, denn die Rolle des Gewinners scheint von Anfang an festzustehen …
Doch es wird noch abstruser: Verabschiedet wurde der CLOUD Act als Anhängsel des 2.232-seitigen US-Haushaltsplans. Dieser führt eigentlich die veranschlagten Einnahmen und Ausgaben des Haushaltsjahres auf. Man könnte fast meinen, das Gesetz sollte unentdeckt durchgewunken werden. Wie es der Zufall will, setzt der CLOUD Act auch einem seit Jahren andauernden Streit zwischen Microsoft und den US-Behörden ein Ende. Microsoft weigerte sich, E-Mail-Daten herauszugeben, die sich auf Servern in Irland befanden. Dank des CLOUD Acts ist der Datenzugriff für die USA nun gesichert.
CLOUD Act hebelt Errungenschaften der DSVGO aus – wo bleibt der Aufschrei?
Fragen Sie sich jetzt auch, wie sich der CLOUD Act mit unserer DSVGO vereinbaren lässt? Die Antwort: Überhaupt nicht. Es ist vielmehr so, dass der CLOUD Act die Errungenschaften der DSVGO völlig außer Kraft setzt. Unterhalten europäische Provider Niederlassungen in den USA, unterliegen sie automatisch dem CLOUD Act. Mit der Folge, dass US-Behörden Zugriff auf die europäischen Server fordern können. Die betroffenen Personen werden höchstwahrscheinlich niemals davon erfahren. Datenschutz sieht definitiv anders aus. Als Folge dessen hat der Innenausschuss des EU-Parlaments die EU-Kommission ultimativ aufgefordert, das Datenschutzabkommen »EU-US Privacy Shield« als Folge des CLOUD Act zum 1. September zu kippen, wenn sich die US-Seite nicht an die Vereinbarungen von 2016 hält.
Selbstverständlich ist die Weitergabe personenbezogener Daten von EU-Bürgern an US-Behörden ohne Zustimmung eines EU-Gerichts ein Verstoß gegen die DSVGO. Und die betroffenen Personen haben auch das Recht, gegen die Verantwortlichen vorzugehen und Schadensersatz zu fordern, selbst für immaterielle Schäden. Doch wie sollen sie dieses Recht in Anspruch nehmen können, wenn die Provider laut CLOUD Act nicht über einen Zugriff informieren müssen?
Es ist daher zwingend notwendig, dass die Kollision von CLOUD Act und DSVGO nicht länger totgeschwiegen wird und sich die Aufmerksamkeit von Politik und Medien auf dieses brisante Thema richtet. Solange die Rechtslage so unsicher ist, lässt sich das Problem nur lösen, indem Privatpersonen und Unternehmen keine Provider mit US-Niederlassung wählen oder diese verpflichten, sie zumindest über Anfragen im Rahmen des CLOUD Act zu informieren, damit sie von dem drohenden Unheil erfahren.
Martin Aschoff, Gründer und Vorstand der AGNITAS AG
Mittelständische Wirtschaft: DSGVO macht die Cloud weniger attraktiv
Flug auf Sicht in der Cloud – Auf dem Weg zu einer umfassenden Cloud-Security-Strategie
Herausforderung DSGVO: Beim Datenschutz den Durchblick haben