US CLOUD Act erklärt: Warum der Serverstandort allein nicht schützt

Was ist der CLOUD Act? #

CLOUD = Cla­ri­fy­ing Lawful Over­se­as Use of Data Act (2018)

Sim­pel gesagt: Alle US-Unter­­neh­­men (egal wo ihre Ser­ver ste­hen) müs­sen Daten an US-Behör­­den her­aus­ge­ben, wenn ein Gerichts­be­schluss kommt.

Kon­kre­te Anwen­dung #

Sze­na­rio: AWS hat Ser­ver in Deutsch­land. Daten: EU-Kundendaten.

1. FBI bekommt Gerichtsbeschluss: ​“Gib uns alle Daten von Kun­de X”
2. FBI sen­det Order an AWS (egal dass Ser­ver in Deutschland)
3. AWS ist ver­pflich­tet, die Daten zu AWS-Rechen­­zen­­tren in den USA zu transferieren
4. FBI bekommt Daten
5. DSGVO sagt: Das war ille­gal! (Außer es gibt Aus­nah­men wie DPF)
6. Das Unter­neh­men weiß nicht mal, dass das pas­siert ist

---

Wer ist betrof­fen? #

AWS / Micro­soft Azu­re / Goog­le Cloud #

Alle drei sind US-Unter­­neh­­men. Also:

• ❌ AWS EU-Fran­k­­furt: Unter­liegt dem CLOUD Act
• ❌ Azu­re EU-Daten­­cen­­­ters: Unter­lie­gen dem CLOUD Act
• ❌ Goog­le Cloud EU: Unter­liegt dem CLOUD Act
• ❌ AWS Regi­on Hong­kong, Sin­ga­pur, etc.: Unter­lie­gen dem CLOUD Act

Der Ser­ver­stand­ort ist irrele­vant.

Wer ist NICHT betrof­fen? #

✅ Euro­päi­sche Cloud-Pro­­vi­­der (z. B.):

• Sca­le­way (Frank­reich)
• OVH­cloud (Frank­reich)
• Ionos (Deutsch­land)
• Hetz­ner (Deutsch­land)

War­um? Die­se sind euro­päi­sche Unter­neh­men. Der CLOUD Act gilt nur für US-Unternehmen.

---

Wie der CLOUD Act funk­tio­niert: Schritt für Schritt #

Schritt 1: Behör­de erhält Gerichts­be­schluss #

FBI-Agent sitzt im Büro.
"Verdacht auf Cyberkriminelle in Botnet X"
Gerichtsbeschluss: "Server-Daten von Botnet X herausgeben"

Typi­scher Prozess:

• Rich­ter signiert Order
• Kein Vor­wurf gegen das Cloud-Unternehmen
• Cloud-Unter­­neh­­men muss kooperieren

Schritt 2: US-Unter­­neh­­men wird Order zuge­stellt #

Zustellung an AWS: "Herausgabe aller Daten von Kunde X, Account-ID 12345"

AWS Compliance-Team liest: "Okay, das ist legal. Wir müssen daten rausgeben."
AWS extrahiert Daten (auch wenn sie in EU-Datacenter sind)

Schritt 3: Daten trans­fe­rie­ren #

AWS transferiert Daten von EU-Datacenter zu US-Datacenter
(Kurze Zeit nicht DSGVO-konform, aber AWS muss das machen)

Schritt 4: Über­ga­be an Behör­de #

FBI erhält Daten
Ermittlung kann starten

Schritt 5: Geheim #

Das Unternehmen (Dateninhaber) erfährt NICHTS von der Order
(Typischerweise gibt es eine "Gag Order" = Stillschweigen-Pflicht)

Das ist das schlimms­te: Sie erfah­ren nicht mal, dass Ihre Daten beschlag­nahmt wurden!

---

Zusätz­li­che Macht: FISA Court und Geheim­dienst­li­che Zugrif­fe #

Der CLOUD Act ist auch Teil eines grö­ße­ren Geheimdienstliche-Überwachungs-Regimes:

FISA (For­eign Intel­li­gence Sur­veil­lan­ce Act) #

Was ist das? Ein spe­zi­el­ler Gerichts­hof für Geheim­dienst­li­che Zugrif­fe (weni­ger strik­te Anfor­de­run­gen als nor­ma­le Gerichte)

Bei­spiel:

• Nor­ma­ler Gerichts­be­schluss: Rich­ter braucht ​“pro­ba­ble cau­se” (wahr­schein­li­cher Grund zu glau­ben, dass Ver­bre­chen pas­siert ist)
• FISA-Court: ​“For­eign intel­li­gence pur­po­ses” reicht (vager, Sicher­heits­be­hör­de ent­schei­det selbst)

Geheim­hal­tung: FISA-Orders sind oft völ­lig geheim. Auch der Cloud-Pro­­vi­­der darf nicht sagen, dass eine Order kam.

---

Das EU-US DPF und das ​“Cer­ti­fi­ca­ti­on” Pro­blem #

DPF sagt: #

“US-Unter­­neh­­men, die dem DPF bei­tre­ten, wer­den zusätz­lich geschützt:

1. Data Pro­tec­tion Review Court wird ein­ge­rich­tet (Beschwer­den kön­nen ein­ge­reicht werden)
2. Zugrif­fe müssen ​‘nach­ge­la­gert’ über­prüf­bar sein”

Das Pro­blem: #

Der CLOUD Act bleibt unver­än­dert. Die Order kann trotz­dem erge­hen, bevor Review Court etwas tun kann.

Bei­spiel:

FBI sendet Order an AWS.
AWS muss Daten herausgeben (CLOUD Act).
ERST DANACH kann der Betroffene beim Review Court einreichen.
Aber die Daten sind schon raus!

Das ist wie: ​“Ihr Haus wird geplün­dert, aber Sie kön­nen spä­ter vor Gericht Beschwer­de einreichen.”

---

Prak­ti­sche Impli­ka­tio­nen #

Für Com­­pli­­an­ce-kri­­ti­­sche Daten #

Sze­na­ri­en:

• Medi­zi­ni­sche Daten (Pati­en­ten­da­ten)
• Finan­zi­el­le Daten (Bank­kon­ten)
• Geschäfts­ge­heim­nis­se (Trade Secrets)
• Regie­rungs­auf­trags­da­ten

Emp­feh­lung: Nicht bei US-Cloud spei­chern. Oder: Mit sehr strik­ter Ver­schlüs­se­lung (Keys hal­ten Sie in Ihrem On-Premises-System).

Für unkri­ti­sche Daten #

Sze­na­ri­en:

• Test-Daten
• Öffent­li­che Inhalte
• Zeit­lich begrenz­te Daten

Emp­feh­lung: AWS/​Azure/​Google ist okay (Kos­ten ist wichtiger).

Geo­po­li­ti­sches Risi­ko #

Sze­na­ri­en:

• Deutsch­land zu US-Feind erklärt?
• Neue Sank­tio­nen gegen EU-Tech-Unternehmen?
• USA blo­ckiert Cloud-Zugriff für Nicht-Verbündete?

Risi­ko: Exis­tiert, ist aber sel­ten (noch nicht passiert)

---

Lösungs­an­sät­ze #

1. Euro­päi­sche Cloud #

Lösung: Sca­le­way, OVH­cloud, Hetz­ner, Ionos (alle europäisch)

Vor­tei­le:

• ✅ CLOUD Act gilt nicht
• ✅ DSGVO-kon­­­form
• ✅ Daten­sou­ve­rä­ni­tät

Nach­tei­le:

• ❌ Teu­rer (30 – 50% Auf­schlag)
• ❌ Weni­ger Services
• ❌ Klei­ne­res Ökosystem

2. Cli­ent-Side Encryp­ti­on #

Lösung: Daten ver­schlüs­seln, bevor sie zur Cloud gehen. Nur Sie haben Keys.

Vor­tei­le:

• ✅ US-Behör­­den sehen nur encrypt­ed Data (nutz­los)
• ✅ Den­noch AWS/​Azure/​Google nutzbar

Nach­tei­le:

• ❌ Suchen in encrypt­ed Data schwie­rig (Such­funk­tio­nen eingeschränkt)
• ❌ Per­­for­­mance-Over­­head
• ❌ Key-Mana­ge­­ment ist komplex

3. On-Pre­­mi­­ses + Hybrid #

Lösung: Kri­ti­sche Daten On-Pre­­mi­­ses, unkri­ti­sche in Cloud.

Vor­tei­le:

• ✅ Kri­ti­sche Daten geschützt
• ✅ Cloud-Ska­­lier­­bar­keit für ande­re Daten

Nach­tei­le:

• ❌ Kom­ple­xe Infrastruktur

---

Häu­fi­ge Fra­gen #

Kann AWS/​Azure/​Google eine CLOUD-Act-Order ver­wei­gern? Nein. Sie sind Pflicht-Unter­­wer­­fer. Wenn sie ver­wei­gern, gibt es Strafen.

Gibt es ein CLOUD-Act-Pen­­dant für EU-Län­der? Nicht so expli­cit. Aber: EU-Län­­der kön­nen auch Daten-Her­aus­­ga­­be-Orders ertei­len (weni­ger known, aber legal).

Ist das nicht gegen DSGVO? Ja, das ist die Para­do­xie. DSGVO sagt ​“Daten-Tran­s­­fer nur mit ange­mes­se­nem Schutz”. CLOUD Act sagt ​“Her­aus­ga­be egal”. Das ist ein Konflikt.

Was ist die bes­te Lösung? Depends:

• Nicht-kri­­ti­­sche Daten: US-Cloud ist okay
• Kri­ti­sche Daten: Euro­päi­sche Cloud oder On-Premises
• Hybrid: Best Prac­ti­ce (bei­de nutzen)

---