Kölner Gutachten stellt Microsoft-Nutzung infrage Kürzungen bei Familien, Milliarden für Microsoft?

Anbieter zum Thema

Bundesverband IT-Mittelstand e.V.

Gesellschaft für Informatik e.V. Wissenschaftszent.

Fsas Technologies GmbH

FTAPI Software GmbH

Ein Gutachten der Universität Köln zeigt, dass US-Behörden auch auf in Europa gespeicherte Cloud-Daten zugreifen können. Die Ergebnisse werfen erhebliche Zweifel an der rechtlichen Sicherheit von Microsoft-Diensten auf – und stehen im scharfen Kontrast zu den Plänen der bayerischen Staatsregierung, einen milliardenschweren Auftrag an den US-Konzern vergeben zu wollen.

Denn diese alarmierenden Erkenntnisse stehen im scharfen Kontrast zu den Plänen der bayerischen Staatsregierung, einen milliardenschweren Auftrag an Microsoft – ohne Ausschreibung – vergeben zu wollen. Kritiker, darunter Experten aus Wissenschaft und Wirtschaft, warnen vor einem Abfluss von Steuergeldern und dem Verlust digitaler Souveränität. Der Ärger über diese unüberlegte Entscheidung wächst. Die Kritiker sehen nicht nur die bayerische IT-Landschaft gefährdet, sondern auch das fundamentale Vertrauen der Bürger in die öffentliche Verwaltung aufs Spiel gesetzt.

US-Sanktionen gegen IStGH

Ein Weckruf für Europas digitale Unabhängigkeit

Gutachten zur Rechtslage

Das uns vorliegende Gutachten zur Rechtslage von Microsoft in den USA wirft erhebliche Bedenken hinsichtlich des Einsatzes und der möglichen Datenzugriffsrechte durch amerikanische Behörden auf. Insbesondere wird auf die weitreichenden Sicherheitsbefugnisse hingewiesen, die den US-amerikanischen Geheimdiensten und Strafverfolgungsbehörden unter dem Foreign Intelligence Surveillance Act (FISA) und dem Stored Communications Act (SCA) zustehen.

Dieser rechtliche Rahmen erlaubt es den Behörden, ohne richterlichen Durchsuchungsbeschluss auf die Daten von Cloud-Diensten zuzugreifen, sofern sich die Server auf US-amerikanischem Territorium befinden oder das Unternehmen über entsprechende Kontrolle über die Daten verfügt. Das Gutachten hebt hervor, dass selbst Daten, die auf ausländischen Servern gespeichert sind, unter bestimmten Umständen dennoch den Zugriffsbefugnissen des beispielsweise US-Innengeheimdienstes NSA unterliegen können.

Besonders alarmierend ist die Feststellung, dass „amerikanische Geheimdienste unter Voraussetzungen, die nicht öffentlich bekannt sind, auf im Ausland gespeicherte Daten auch ohne die Mitwirkung von Cloud-Anbietern zugreifen können“. Dies wirft ernsthafte Fragen zum Schutz personenbezogener Daten europäischer Bürger auf, insbesondere in Anbetracht der bereits in der Vergangenheit durch den Europäischen Gerichtshof (EuGH) als unzulässig erklärten Datenschutzabkommen wie dem Privacy Shield.

Zugriff auch ohne Mitwirkung der Anbieter möglich

Ein zentraler Punkt des Gutachtens ist die Unterscheidung zwischen den Zugriffsmöglichkeiten auf Cloud-Daten innerhalb und außerhalb der USA. Daten, die auf US-Territorium gespeichert sind, unterliegen dem FISA, was bedeutet, dass der Standort allein ausschlaggebend für den Zugriff ist. „Sobald Daten auf US-Territorium gespeichert oder verarbeitet werden, unterliegen sie Section 702 FISA“, heißt es im Gutachten. Dies bedeutet, dass die US-amerikanischen Behörden auch dann auf europäische Daten zugreifen können, wenn diese sich physisch in Deutschland oder einem anderen europäischen Land befinden, solange das US-Unternehmen die Kontrolle über diese Daten hat.

Zusätzlich wird darauf hingewiesen, dass der CLOUD Act die Herausgabeverpflichtungen auch auf Daten erstreckt, die außerhalb der USA gespeichert sind, was die rechtlichen Unsicherheiten für europäische Unternehmen weiter verstärkt. Diese Regelung könnte dazu führen, dass „eine (ausländische) Tochtergesellschaft in der Regel der Herausgabepflicht unterliegt“, auch wenn sie rechtlich unter dem europäischen Datenschutzrecht agieren muss.

Datenkonflikt zwischen Europa und Amerika

Microsoft-Vertreter bestätigt unter Eid Risiko für europäische Daten

Microsoft-Einsatz bleibt rechtlich problematisch

Das Gutachten schließt mit dem kritischen Hinweis, dass es für Unternehmen wie Microsoft „keine Rechtschutzmöglichkeiten gegen solche Anordnungen gibt“, was die Gefahr erhöht, dass europäische Unternehmen nicht nur gegen lokale Datenschutzgesetze, sondern auch gegen die anordnenden US-Behörden kämpfen müssen. Diese Situation wird zusätzlich dadurch verschärft, dass europäische Unternehmen aufgrund des fehlenden Widerspruchsrechts keinen rechtlichen Rückhalt gegen die Anordnungen der US-Behörden haben.

Insgesamt stellt das Gutachten klar, dass der Einsatz von Microsoft und anderen Cloud-Diensten in der gegenwärtigen Rechtslage rechtlich problematisch ist und zahlreiche Risiken für den Schutz personenbezogener Daten birgt. Es besteht ein akuter Handlungsbedarf, um angemessene rechtliche Rahmenbedingungen zu schaffen, die sowohl den Anforderungen der nationalen Sicherheit der USA als auch dem Recht auf Datenschutz in Europa gerecht werden.

Digitale Souveränität unter Druck: Bayerns „Sonderweg“

Erst vor kurzem hatte der bayerische Digitalminister Dr. Fabian Mehring angekündigt, die Verwaltungen im Freistaat umfassend mit Microsoft-Lizenzen auszustatten – eine Entscheidung, die auf viel Unverständnis gestoßen ist.

Prof. Dr. Harald Wehnes von der Universität Würzburg und Sprecher des Präsidiumsarbeitskreises „Digitale Souveränität“ bei der Gesellschaft für Informatik e.V. (GI) äußert sich besorgt hinsichtlich der finanziellen und datentechnischen Konsequenzen. Er warnt in einem Brandbrief an Ministerpräsident Dr. Markus Söder, Finanzminister Albert Füracker und Digitalminister Dr. Fabian Mehring: „Der Freistaat Bayern plant, trotz knapper Kassen noch in diesem Jahr einen Milliardenauftrag ohne Ausschreibung an Microsoft zu vergeben. Damit werde Bayern zur digitalen US-Kolonie: Geld und Daten fließen ab.“ Wehnes betont, dass der Verlust der Souveränität über Daten die Grundlage der Existenz gefährde, insbesondere für junge Familien und die jüngere Generation, die gerade unter geplanten Einsparungen in anderen Bereichen leiden müssen.

Warnungen aus der Fachwelt

Ein aktuelles Whitepaper des cyberintelligence.institutes (CII) thematisiert die strukturelle Abhängigkeit der deutschen Verwaltung von großen US-amerikanischen Anbietern wie Microsoft und warnt vor der daraus resultierenden digitalen Unsouveränität, die erhebliche Sicherheitsrisiken berge. Michael Kolain, Autor des Whitepapers, hebt hervor, dass diese Abhängigkeiten die Wahlfreiheit und die Budgethoheit öffentlicher Einrichtungen einschränke und zu einem Verlust an Transparenz und strategischer Kompetenz führe. Zudem sollten die Kosten, die der Bund für die Lösungen des US-Unternehmens ausgebe – seit 2017 sind diese um mehr als 250 Prozent gestiegen – stärker beachtet werden. Die jährlichen Lizenzkosten lägen aktuell bei über 200 Millionen Euro. Damit würden die Aufwände für Lizenzkosten an Steuergeldern auf über eine Milliarde Euro wachsen. Diese Gelder stünden nicht mehr für Ausgaben zur Verfügung, die Lösungen alternativer Anbieter aus Europa unterstützten würden.

Digitale (Un-)Souveränität

Die bittersüße Abhängigkeit von Microsofts Cloud

Der Fachbereich Sicherheit der GI unterstreicht in einer Stellungnahme die Bedenken gegenüber den Plänen der bayerischen Staatsregierung. In Anbetracht der ersten Meldungen über ein Enterprise Agreement für Microsoft 365 warnt Daniel Loebenberger, Sprecher des Fachbereichs: „Pragmatismus darf nicht zur Abhängigkeit führen“. Die GI fordert eine Überprüfung der Rahmenbedingungen und die Berücksichtigung des Cloud Souvereignty Frameworks der Europäischen Kommission. Diese Maßnahme soll sicherstellen, dass bei der Digitalisierung und dem Datenmanagement die Unabhängigkeit gewahrt bliebe und das Vertrauen der Bürgerinnen und Bürger in die Verwaltung gesichert werde.

Auch der Bundesverband IT-Mittelstand e.V. (BITMi) fordert, aus den Ergebnissen des Kölner Gutachtens Konsequenzen zu ziehen. Christian Gericke, Vizepräsident des BITMi, betont, dass Unternehmen mit Sitz, Führung und Eigentümerstruktur in Europa die sicherste Wahl für die Speicherung und Verarbeitung von Daten seien. Das Gutachten belege, dass US-Behörden trotz Marketingversprechen nicht von einem Zugriff auf Daten gehosteter europäischer Tochtergesellschaften absehen. Gericke appelliert an die Bundesregierung, bei der Auswahl digitaler Lösungen die Resilienz und Datensouveränität in den Vordergrund zu stellen.

Security-Insider Podcast – Folge 91

Kontrollverlust oder digitale Souveränität

Neubewertung der IT-Strategie dringend erforderlich

Insgesamt wird deutlich, dass die geplante Zusammenarbeit mit Microsoft nicht nur finanzielle, sondern auch strategische Risiken birgt, die die bayerische IT-Landschaft und die digitale Souveränität in Gefahr bringen könnten. Die Experten fordern eine kritische Neubewertung der Entscheidungen in Anbetracht der aktuellen globalen Sicherheitslage und die Stärkung der europäischen Anbieter, um ein nachhaltiges und sicheres digitales Ökosystem zu gewährleisten.

Was heißt schon „souverän“? – Teil 1

US-Provider würden Kundendaten aushändigen

(ID:50664977)