Microsoft will Cloud-Daten weiter schützen können „CLOUD Act“ soll wenigstens bürgerliche Grundrechte erfüllen

Microsoft gibt nicht auf und kämpft weiter darum, die Daten seiner Cloud-Kunden vor dem Zugriff durch staatliche Strafverfolgungsbehörden zu schützen. Das Unternehmen fordert, dass sowohl Cloud-Provider, als auch Cloud-Nutzer mehr Rechte haben sollen, staatliche Datenanforderungen anfechten zu können.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fujitsu Technology Solutions GmbH

SEPPmail - Deutschland GmbH

Microsoft Deutschland GmbH

Besonders das Gesetz „Clarifying Lawful Overseas Use of Data Act”, kurz „CLOUD Act”, das Cloud-Anbietern wie Datenschützern seit seinem Inkrafttreten am 23. März dieses Jahres die die Zornesröte ins Gesicht treibt, räumt US-amerikanischen Strafverfolgungsbehörden explizit das Recht ein, auf Daten, die in ausländischen Rechenzentren US-amerikanischer Cloud-Anbieter liegen, zuzugreifen und diese Daten gegebenenfalls auch an entsprechende Stellen im befreundeten Ausland weiterzugeben. Somit werden nicht nur die Datenschutzgesetze anderer Staaten frech ignoriert, faktisch werden auch rechtsstaatliche Prinzipien im eigenen Land komplett ausgehebelt: Die betroffenen Provider und deren Kunden haben keinerlei rechtliche Handhabe, um sich gegen die staatlich verordnete und angewandte Spionage zu wehren.

Rechtsstaatlichkeit wiederherstellen

Diesen Zustand der Rechtlosigkeit will Microsoft nicht einfach so hinnehmen. In sechs Grundsätzen hat das Unternehmen formuliert, wie ein internationales Abkommen über den Zugang der Strafverfolgungsbehörden zu Daten aussehen müsste, um Cloud-Anbieter wie Kunden nicht im rechtlichen Niemandsland zu belassen und ihre Grundrechte gegenüber den Strafverfolgern wiederherzustellen. An erster Stelle steht daher die Forderung nach einem umfassenden Recht auf Benachrichtigung. Alle Nutzer, Einzelpersonen wie Unternehmen, hätten – abgesehen von wenigen außergewöhnlichen Umständen – Anspruch darauf zu erfahren, wann die Regierung auf ihre digitalen Informationen zugreift. Und Cloud-Anbieter sollten das Recht erhalten, ihre Kunden über solche Zugriffe zu informieren. Geheimhaltung sollte immer die Ausnahme und nicht die Regel sein.

Jede Forderung der Strafverfolgungsbehörden nach Inhalten und anderen sensiblen Benutzerdaten muss von einer unabhängigen Justizbehörde vor der Vollstreckung der Anordnung und erst nach einer aussagekräftigen rechtlichen und sachlichen Mindestdarstellung überprüft und genehmigt werden, lautet der nächste Punkt. Dieses Vorgehen sei, begründet Microsoft, für jeden Rechtsrahmen, der die Förderung der Rechtsstaatlichkeit und das Vertrauen der Öffentlichkeit in die Regierung zum Ziel habe, von wesentlicher Bedeutung: „Die vorherige Überprüfung und Genehmigung durch eine unabhängige Justizbehörde ist der einzige weltweit akzeptierte Strukturmechanismus, der die Privatsphäre und die Grundrechte sinnvoll schützt. Es schützt vor übermäßigen und unrechtmäßigen Anforderungen an Kundendaten. Es dient auch dazu, die allgemeine Legitimität der Strafverfolgungsuntersuchung selbst zu verbessern.“

Deshalb sollten die Standards, die eine vorherige, unabhängige gerichtliche Genehmigung regeln, ebenfalls streng sein und einen angemessenen Schutz der persönlichen Privatsphäre und gegen Übergriffe oder Missbrauch durch die Regierung gewährleisten. Anfragen sollten beispielsweise auf ein bestimmtes Konto, einen bestimmten Identifikator oder eine bestimmte Vorrichtung ausgerichtet sein. Darüber hinaus sollten Anträge nur dann genehmigt werden, wenn sie durch spezifische Beweise gestützt werden, die ein kriminelles Verhalten belegen und die geforderten Daten im Zusammenhang mit einer Untersuchung einer schweren Straftat benötigt werden.

Weltweite Nutzerrechte respektieren

Doch damit nicht genug. Microsoft fordert neben der gerichtlichen Anordnungspflicht auch die Möglichkeit, dass Cloud-Anbieter ein detailliertes Gerichtsverfahren erhalten. Dies soll einerseits die gründliche Überprüfung der Nachfrage nach Benutzerdaten ermöglichen. Und andererseits besteht so die Möglichkeit, rechtswidrige und unangemessene Forderungen nach Benutzerdaten zum Schutz der Menschenrechte anzufechten. Nur so kann ein Cloud-Provider kritisch überprüfen, dass die Regierungen bei der Nutzung ihrer Ermittlungsbefugnisse den Rechtsstaat strikt einhalten. Die gründliche Überprüfung der Anforderungen an die Strafverfolgung durch Cloud-Provider dient letztlich nur dazu, sicherzustellen, dass die Regierungen die Rechte der Internetnutzer auf der ganzen Welt respektieren. Und nur so können Nutzer dann unangemessene staatliche Anforderungen zur Freigabe sensibler Daten vor Gericht überhaupt anfechten.

Doch auch zwischen den Staaten müssen klare Absprachen getroffen werden, fordert Microsoft, um Rechtskonflikte mit Drittländern zu vermeiden oder zu lösen, sollten diese bereits aufgetreten sein: „Der Dialog zwischen den Regierungen und internationale Abkommen sind die einzigen legitimen Mechanismen, um die grenzüberschreitende Nachfrage nach elektronischen Beweismitteln in einer Weise zu erleichtern, die internationale Grenzen und Souveränität respektiert“, heißt im vierten Punkt.

Moderne Regeln für die Suche von Unternehmensdaten

Öffentliche und private Unternehmen – sogar Regierungen selbst – verlagern ihre digitalen Informationen zunehmend in die Cloud. Der Übergang zur cloud-basierten Infrastruktur sollte jedoch nicht an dem Grundprinzip ändern, dass diese Unternehmen das Recht haben, ihre Daten zu kontrollieren und Untersuchungsanforderungen direkt von der Strafverfolgung zu erhalten. Deshalb sollten Unternehmen als Rechteinhaber an ihren Daten auch direkt über beabsichtigte Zugriffe auf Daten zum Zweck der Vereitelung von Straftaten oder der Strafverfolgung informiert werden, fordert Microsoft weiter. Abgesehen von außergewöhnlichen Umständen werde die direkte Abfrage von Daten von Unternehmen eine Strafverfolgungsuntersuchung nicht gefährden oder zu einer Gefahr für die öffentliche Sicherheit führen. Dies gelte insbesondere dann, wenn die gesetzliche Forderung große Unternehmen betrifft, denen sehr wahrscheinlich selbst an der Zusammenarbeit mit der Strafverfolgung gelegen ist.

In Anbetracht der Tatsache, dass sich die Strafverfolgungspraktiken mit dem technologischen Wandel weiterentwickeln müssen, sind sich das US-Justizministerium ebenso wie die Europäische Kommission in ihrem Standpunkt einig, dass Ermittler Daten direkt vom Unternehmen selbst und nicht von Anbietern von Cloud-Speichern anfordern sollten, solange dies die Untersuchung nicht beeinträchtigt. Der gleiche Grundsatz, so Microsoft, sollte aber auch für Regierungen gelten, die versuchen Strafverfolgungsanforderungen direkt an ausländische Cloud-Anbieter im Rahmen eines internationalen Abkommens zu senden. Diese sollten ihre Ermittlungsregeln ebenfalls modernisieren, um sich vor unzulässigen Strafverfolgungsanforderungen für Unternehmensdaten zu schützen.

Das Recht der Öffentlichkeit auf Transparenz

Nicht zuletzt hält Microsoft eine umfassende Transparenz bei der Aushandlung und Umsetzung internationaler Abkommen für unerlässlich, um das Vertrauen der Öffentlichkeit in Regierung und Technologie zu erhalten. Im Einklang mit den demokratischen Traditionen und Prinzipien müssten die Regierungen bei der Aushandlung von Vereinbarungen, die die Standards für grenzüberschreitende Strafverfolgungsersuchen nach digitalen Beweismitteln und den für ihre jeweiligen Einwohner geltenden Schutz regeln, verständlich und nachvollziehbar sein. Daher sollten Regierungen auch mindestens dazu verpflichtet werden, den Text des vorgeschlagenen Abkommens vor seiner Annahme zu veröffentlichen, um einen sinnvollen öffentlichen Beitrag zu ermöglichen. Alle Vereinbarungen sollten zudem sicherstellen, dass Cloud-Anbieter das Recht haben, regelmäßige und angemessene Transparenzberichte zu veröffentlichen, die die Anzahl der eingehenden Anfragen, die Anzahl der betroffenen Kundenkonten und die Regierung, die diese Aufträge erteilt hat, dokumentieren. Microsoft sieht sich als Provider in der Verantwortung und sogar Pflicht, solche Informationen der Öffentlichkeit zur Verfügung zu stellen.

Ein langer Weg für mehr Rechtssicherheit

Das Sechs-Punkte-Papier lehnt die Datenanforderung durch Ermittler und Strafverfolger nicht grundsätzlich ab. Allerdings wird deutlich: Microsoft hält den „CLOUD Act“, der ausländische Datenschutzrichtlinien ignoriert und Cloud-Nutzer im schlimmsten Fall staatlicher Willkür und Missbrauch aussetzt, in dieser Form für untragbar. Schon seit Jahren wehrt sich der Konzern dagegen, Kundendaten, die in Rechenzentren außerhalb der USA gespeichert sind, an US-Behörden herausgeben zu müssen. Der seit 2001 geltende „Patriot Act“ erlaubte zwar den staatlichen Zugriff auf in der Cloud gespeicherte Daten, regelte aber nicht eindeutig den Umgang mit solchen Daten, die US-Anbieter auf ausländischen Servern speicherten. Deshalb konnte Microsoft auch mehrmals die Herausgabe von Daten auf irländischen Servern verweigern. Gleichzeitig initiierte man in Deutschland ein Treuhändermodell. Microsoft bot ausschließlich seine Cloud-Services an, hatte aber weder technischen noch inhaltlichen Zugriff auf das von T-Systems betriebene Rechenzentrum – ein sicheres und sinnvolles Angebot, das man aber aufgrund mangelnder Nachfrage wieder aufgeben musste. Und auch vor Gericht musste der Konzern aus Redmond am Ende klein beigeben, das Verfahren in den USA wurde eingestellt: Das von US-Präsident Donald J. Trump unterzeichnete Gesetz schloss die Gesetzeslücke im „Patriot Act“ per Handstreich und erweiterte somit die staatliche Handhabe auch für im Ausland gespeicherte Daten.

(ID:46032710)