Die USA verschärfen Überwachung von Internet-Diensten Der lange Arm der USA - Neues Cloud-Gesetz in Kraft

Anbieter zum Thema

cidaas by Widas ID GmbH

Fujitsu Technology Solutions GmbH

FAST LTA GmbH

Seit dem 23 März gilt in den USA der „Cloud Act“. Das Gesetz verschärft die bisherige Überwachungspraxis im Cloud Computing. Betroffene Provider und Anwender haben weniger Rechte.

Mit der Unterschrift von Präsident Trump ist am 23. März in den USA ein neues Gesetz in Kraft, das den Behörden weit, nämlich auch ins Ausland reichende Möglichkeit bietet, auf Daten in der Cloud zuzugreifen. Die US-Behörden dürfen solche Daten auch an Stellen im Ausland weitergeben. Die Betroffenen haben faktisch keine Rechte.

Bisher erfolgten solche Zugriffe nach dem „Patriot Act“ von 2001. Das war aber nicht konkret genug in puncto Zugriff auf Daten, die US-Unternehmen auf Servern außerhalb der USA haben. Die Folge waren Rechtsstreitigkeiten zwischen US-amerikanischen IT-Unternehmen und der Regierung. Bekannt geworden ist ein Verfahren, mit dem sich Microsoft gegen die Herausgabe von Daten weigerte, die in Irland gespeichert waren. Microsoft musste in diesem Fall letztlich nachgeben, weil die US-Regierung ihren „Cloud Act“ durchbrachte.

Entscheidung über Zugriff auf Daten von US-Unternehmen in Europa steht bevor

Bitkom warnt Obersten US-Gerichtshof vor Zugriff auf Daten in Europa

Nach dem Cloud Act dürfen US-Behörden von Cloud-Providern die Herausgabe sämtlicher Daten einer Person oder eines Unternehmens verlangen. Die Provider müssen dem nachkommen, sie haben allerdings die Möglichkeit, dagegen vor Gericht Einspruch zu erheben. Für einen Widerspruch bedarf es zweier Gründe: Die Betroffenen sind keine US-Bürger. Und durch die Herausgabe der Daten würde der Provider gegen das Recht des Landes verstoßen, in dem sich die Daten befinden. Das Gericht hätte dann zu entscheiden, ob die Interessen der US-Behörden oder das wirtschaftliche Wohl des Providers wichtiger sind.

Der Cloud Act bezieht also auch die Server von US-Unternehmen im Ausland in den Wirkungsraum der US-amerikanischen Gesetzgebung mit ein. Das Gesetz sieht nicht vor, dass irgendeine Instanz die betroffenen Personen oder Unternehmen über den Zugriff informieren muss. Auch der Provider muss die Betroffenen nicht (!) informieren. Damit haben Betroffene keine Möglichkeit, sich gegen Zugriffe zur Wehr zu setzen. Einspruch können lediglich die US-amerikanischen Internet-Service-Provider erheben.

Datenabfluss per Abkommen

Es gibt noch einen verschärfenden Punkt: Der Präsident der USA darf nach Belieben mit Staaten Abkommen zum erweiterten Datenabfluss abschließen. Die Behörden solcher Staaten dürfen ebenfalls Daten von US-Cloud-Providern bekommen. Ebenfalls ohne Gerichtsbeschluss.

Schon das Zustandekommen des Cloud Act traf auf die Kritik von US-amerikanischen Bürgerrechtsorganisationen wie der Electronic Frontier Foundation. Denn es wurde in einem Gesetzespaket zur Finanzierung öffentlicher Haushalte mit verabschiedet. Allerdings gab es keinen Widerstand aus der IT-Industrie. Microsoft, Apple und Google hatten keine Einwände, sondern eher Interesse an einer gesetzliche Regelung überhaupt.

Der Cloud Act traf auch hierzulande bereits auf Widerspruch. Peter Ganten, Univention-Chef und Vorsitzender der Open Source Business Alliance, erklärte: „Der Cloud Act ist nicht nur ein gewichtiger Grund Daten nicht bei US-Firmen zu speichern, sondern auch nur in einem Rechtssystem, das keine entsprechenden Abkommen mit dem Präsidenten der USA abgeschlossen hat. Mit seiner Zustimmung hat Microsoft eingestanden, dass es dem Unternehmen nicht um den Schutz von Daten irgendwelcher Bürger geht, sondern um die Vermeidung wirtschaftlichen Schadens durch den Bruch von EU-Gesetzen.“

Deutlich stärkere Kontrolle des Internet

Der Cloud Act reiht sich ein in neuere US-Gesetze, die auf eine deutlich stärkere Kontrolle des Internet hinauslaufen. Noch recht jung sind der „Fight Online Sex-Trafficking Act“ (FOSTA) und der „Stop Enabling Sex-Trafficking Act“ (SESTA), übrigens verabschiedet gegen die Empfehlung des US-Justizministeriums. Diese Gesetze kritisieren US-Bürgerrechtsorganisationen, weil sie Provider haftbar machen für den Content ihrer Plattformen. Und dazu zählen neben FOSTA und SESTA auch „language“.

Microsoft hat bereits angekündigt, dass ab Mai dieses Jahres für seine Internet-Dienste neue „Terms of Services“ gelten. Diese verbieten „offensive language“, also beleidigende Sprache, und „fraudulent activity“, gesetzeswidrige Aktivitäten. Wie Microsoft das in der Praxis überwachen will, ist völlig unklar; denn als beleidigend dürfte jeder etwas anderes empfinden.

Die Folgen des Cloud Acts für den Datenschutz

Supreme Court stellt Microsoft-Verfahren ein

* Ludger Schmitz ist freiberuflicher Journalist in Kelheim.

(ID:45245527)