US CLOUD Act erklärt: Warum der Serverstandort allein nicht schützt

Was ist der CLOUD Act? #

CLOUD = Clarifying Lawful Overseas Use of Data Act (2018)

Simpel gesagt: Alle US-Unternehmen (egal wo ihre Server stehen) müssen Daten an US-Behörden herausgeben, wenn ein Gerichtsbeschluss kommt.

Konkrete Anwendung #

Szenario: AWS hat Server in Deutschland. Daten: EU-Kundendaten.

1. FBI bekommt Gerichtsbeschluss: “Gib uns alle Daten von Kunde X”
2. FBI sendet Order an AWS (egal dass Server in Deutschland)
3. AWS ist verpflichtet, die Daten zu AWS-Rechenzentren in den USA zu transferieren
4. FBI bekommt Daten
5. DSGVO sagt: Das war illegal! (Außer es gibt Ausnahmen wie DPF)
6. Das Unternehmen weiß nicht mal, dass das passiert ist

---

Wer ist betroffen? #

AWS / Microsoft Azure / Google Cloud #

Alle drei sind US-Unternehmen. Also:

• ❌ AWS EU-Frankfurt: Unterliegt dem CLOUD Act
• ❌ Azure EU-Datencenters: Unterliegen dem CLOUD Act
• ❌ Google Cloud EU: Unterliegt dem CLOUD Act
• ❌ AWS Region Hongkong, Singapur, etc.: Unterliegen dem CLOUD Act

Der Serverstandort ist irrelevant.

Wer ist NICHT betroffen? #

✅ Europäische Cloud-Provider (z. B.):

• Scaleway (Frankreich)
• OVHcloud (Frankreich)
• Ionos (Deutschland)
• Hetzner (Deutschland)

Warum? Diese sind europäische Unternehmen. Der CLOUD Act gilt nur für US-Unternehmen.

---

Wie der CLOUD Act funktioniert: Schritt für Schritt #

Schritt 1: Behörde erhält Gerichtsbeschluss #

FBI-Agent sitzt im Büro.
"Verdacht auf Cyberkriminelle in Botnet X"
Gerichtsbeschluss: "Server-Daten von Botnet X herausgeben"

Typischer Prozess:

• Richter signiert Order
• Kein Vorwurf gegen das Cloud-Unternehmen
• Cloud-Unternehmen muss kooperieren

Schritt 2: US-Unternehmen wird Order zugestellt #

Zustellung an AWS: "Herausgabe aller Daten von Kunde X, Account-ID 12345"

AWS Compliance-Team liest: "Okay, das ist legal. Wir müssen daten rausgeben."
AWS extrahiert Daten (auch wenn sie in EU-Datacenter sind)

Schritt 3: Daten transferieren #

AWS transferiert Daten von EU-Datacenter zu US-Datacenter
(Kurze Zeit nicht DSGVO-konform, aber AWS muss das machen)

Schritt 4: Übergabe an Behörde #

FBI erhält Daten
Ermittlung kann starten

Schritt 5: Geheim #

Das Unternehmen (Dateninhaber) erfährt NICHTS von der Order
(Typischerweise gibt es eine "Gag Order" = Stillschweigen-Pflicht)

Das ist das schlimmste: Sie erfahren nicht mal, dass Ihre Daten beschlagnahmt wurden!

---

Zusätzliche Macht: FISA Court und Geheimdienstliche Zugriffe #

Der CLOUD Act ist auch Teil eines größeren Geheimdienstliche-Überwachungs-Regimes:

FISA (Foreign Intelligence Surveillance Act) #

Was ist das? Ein spezieller Gerichtshof für Geheimdienstliche Zugriffe (weniger strikte Anforderungen als normale Gerichte)

Beispiel:

• Normaler Gerichtsbeschluss: Richter braucht “probable cause” (wahrscheinlicher Grund zu glauben, dass Verbrechen passiert ist)
• FISA-Court: “Foreign intelligence purposes” reicht (vager, Sicherheitsbehörde entscheidet selbst)

Geheimhaltung: FISA-Orders sind oft völlig geheim. Auch der Cloud-Provider darf nicht sagen, dass eine Order kam.

---

Das EU-US DPF und das “Certification” Problem #

DPF sagt: #

“US-Unternehmen, die dem DPF beitreten, werden zusätzlich geschützt:

1. Data Protection Review Court wird eingerichtet (Beschwerden können eingereicht werden)
2. Zugriffe müssen ‘nachgelagert’ überprüfbar sein”

Das Problem: #

Der CLOUD Act bleibt unverändert. Die Order kann trotzdem ergehen, bevor Review Court etwas tun kann.

Beispiel:

FBI sendet Order an AWS.
AWS muss Daten herausgeben (CLOUD Act).
ERST DANACH kann der Betroffene beim Review Court einreichen.
Aber die Daten sind schon raus!

Das ist wie: “Ihr Haus wird geplündert, aber Sie können später vor Gericht Beschwerde einreichen.”

---

Praktische Implikationen #

Für Compliance-kritische Daten #

Szenarien:

• Medizinische Daten (Patientendaten)
• Finanzielle Daten (Bankkonten)
• Geschäftsgeheimnisse (Trade Secrets)
• Regierungsauftragsdaten

Empfehlung: Nicht bei US-Cloud speichern. Oder: Mit sehr strikter Verschlüsselung (Keys halten Sie in Ihrem On-Premises-System).

Für unkritische Daten #

Szenarien:

• Test-Daten
• Öffentliche Inhalte
• Zeitlich begrenzte Daten

Empfehlung: AWS/Azure/Google ist okay (Kosten ist wichtiger).

Geopolitisches Risiko #

Szenarien:

• Deutschland zu US-Feind erklärt?
• Neue Sanktionen gegen EU-Tech-Unternehmen?
• USA blockiert Cloud-Zugriff für Nicht-Verbündete?

Risiko: Existiert, ist aber selten (noch nicht passiert)

---

Lösungsansätze #

1. Europäische Cloud #

Lösung: Scaleway, OVHcloud, Hetzner, Ionos (alle europäisch)

Vorteile:

• ✅ CLOUD Act gilt nicht
• ✅ DSGVO-konform
• ✅ Datensouveränität

Nachteile:

• ❌ Teurer (30–50% Aufschlag)
• ❌ Weniger Services
• ❌ Kleineres Ökosystem

2. Client-Side Encryption #

Lösung: Daten verschlüsseln, bevor sie zur Cloud gehen. Nur Sie haben Keys.

Vorteile:

• ✅ US-Behörden sehen nur encrypted Data (nutzlos)
• ✅ Dennoch AWS/Azure/Google nutzbar

Nachteile:

• ❌ Suchen in encrypted Data schwierig (Suchfunktionen eingeschränkt)
• ❌ Performance-Overhead
• ❌ Key-Management ist komplex

3. On-Premises + Hybrid #

Lösung: Kritische Daten On-Premises, unkritische in Cloud.

Vorteile:

• ✅ Kritische Daten geschützt
• ✅ Cloud-Skalierbarkeit für andere Daten

Nachteile:

• ❌ Komplexe Infrastruktur

---

Häufige Fragen #

Kann AWS/Azure/Google eine CLOUD-Act-Order verweigern? Nein. Sie sind Pflicht-Unterwerfer. Wenn sie verweigern, gibt es Strafen.

Gibt es ein CLOUD-Act-Pendant für EU-Länder? Nicht so explicit. Aber: EU-Länder können auch Daten-Herausgabe-Orders erteilen (weniger known, aber legal).

Ist das nicht gegen DSGVO? Ja, das ist die Paradoxie. DSGVO sagt “Daten-Transfer nur mit angemessenem Schutz”. CLOUD Act sagt “Herausgabe egal”. Das ist ein Konflikt.

Was ist die beste Lösung? Depends:

• Nicht-kritische Daten: US-Cloud ist okay
• Kritische Daten: Europäische Cloud oder On-Premises
• Hybrid: Best Practice (beide nutzen)

---