Was heißt schon „souverän“? – Teil 1 US-Provider würden Kundendaten aushändigen

Anbieter zum Thema

Cloudian B.V.

Amazon Web Services EMEA SARL,

salesforce.com Germany GmbH

Google Germany GmbH

Microsoft Deutschland GmbH

mehr weniger

sysob IT-Distribution GmbH & Co. KG

FAST LTA GmbH

FTAPI Software GmbH

weniger

Geben Hyperscaler Kundendaten an US-amerikanische Behörden, wenn ein entsprechender Gesetzesentwurf oder eine „Executive Order“ dies verlangt? Wir haben uns u.a. bei AWS und Microsoft umgehört. Das Ergebnis ist eindeutig.

Souveräne Räume ermöglichen neue, datengetriebene Geschäftsmodelle, weil darin Partner ihre Daten austauschen können, ohne dass diese manipuliert oder entwendet werden können. Dieses Versprechen hat zu einem immensen Boom in diesem Bereich geführt, der Offerten sind viele.

Sie werden so stark nachgefragt, dass nicht nur in der EU, sondern auch in den USA darauf reagiert wird. Der Storage-Spezialist Cloudian beispielsweise plant eine Konzentration seines Geschäfts auf das Business mit lokalen Managed Service Providern (MSP), darunter auch die von ihm so genannten „Neo-Clouds“, die sich auf hochperformanten Speicher für GPUs spezialisiert haben. Peter Sjoberg, VP WW Solution Architects, begründete den Schritt gegenüber CloudComputing-Insider damit, dass die US-Hyperscaler „Bedenken in Bezug auf die Kontrolle über Anwenderdaten“ erzeugten – und deswegen weniger stark nachgefragt würden. Er muss es wissen, war er doch früher lange Jahre bei AWS mitverantwortlich für den Geschäftsausbau rund um S3.

Sind die Bedenken in Bezug auf die Kontrolle über Anwenderdaten bei den amerikanischen Hyperscalern berechtigt? Sind deren Clouds nicht wirklich „souverän“? Nun, als wir Amazon Web Services (AWS) kürzlich fragten, ob es Daten von Kunden an US-Behörden übergeben würde, wenn ein Gerichtsbeschluss oder eine „Executive Order“ dies von Ihnen verlangt, bejahte dies Kevin Miller, Vice President - Global Data Centres bei AWS. Er hatte gerade in Hamburg die „AWS European Sovereign Cloud“ vorgestellt, mit einer Muttergesellschaft und drei Tochtergesellschaften, die in Deutschland eingetragen sind. Entsprechend unterlägen die darin gehosteten Daten deutschem bzw. europäischem Recht. Aber in Clouds mit amerikanischen Wurzeln gelte eben amerikanisches Recht – und das befolge man uneingeschränkt.

Auch Microsoft lässt keinen Zweifel dran, dass der hauseigene Hyperscaler Azure sich nationalem Recht beugen werde, allerdings nicht nur in den USA, sondern auch in der EU: „Wir unterliegen den örtlichen Gesetzen, Vorschriften und Regierungen“, so Microsoft-Präsident Brad Smith in einem Blogeintrag. „Wie jeder Bürger und jedes Unternehmen sind auch wir nicht immer mit jeder Politik jeder Regierung einverstanden. Aber selbst, wenn wir Fälle vor europäischen Gerichten verloren haben, hat Microsoft seit langem die europäischen Gesetze respektiert und eingehalten.“

Datenkonflikt zwischen Europa und Amerika

Microsoft-Vertreter bestätigt unter Eid Risiko für europäische Daten

Salesforce ist allen voran ein Experte für das Customer Relationship Management (CRM), muss dafür aber ebenfalls in großem Umfang Kundendaten verwalten. Wie geht der Anbieter damit in Bezug auf den Datenschutz um? Würde er sie an US-Behörden weitergeben, wenn diese eine berechtigte Forderung hätten?

Gegenüber CloudComputing-Insider ließ das Unternehmen verlauten, dass zwar nichts wichtiger sei als der Schutz und die Privatsphäre der Daten von Kunden, man sich aber immer dem geltenden Recht beugen werde. Auch und gerade in den USA. Damit ist man mit AWS und Microsoft auf einer Linie und veröffentlicht zusätzlich einen jährlichen Transparenzbericht, in dem Grundsätze und Statistiken zu Datenanfragen von Behörden und Dritten dargelegt werden.

Im Annual Transparency Report heißt es u.a.: „Jede Anfrage nach vertraulichen Kundeninformationen, die Salesforce erhält, wird in Übereinstimmung mit den Gesetzen der jeweiligen Rechtsordnung(en) sorgfältig geprüft, um sicherzustellen, dass die anfragende öffentliche Behörde das Recht hat, die gewünschten Daten mit der Art des Prozesses berechtigt ist. Wenn wir glauben, dass eine Anfrage nach vertraulichen Kundeninformationen ungültig oder ungesetzlich ist, werden wir sie anfechten. Wir sind bestrebt, unsere rechtlichen Verpflichtungen vollständig zu erfüllen, während das Vertrauen, das unsere Kunden in uns setzen, zu honorieren.“

Google Cloud will einerseits die EU-Datenschutz-Grundverordnung (DSGVO) einhalten, erklärt aber auch ganz offen, dass US-Behörden unter bestimmten Umständen auf Kundendaten zugreifen können. Und zwar auch dann, wenn diese in europäischen Rechenzentren liegen. Das ist eine unumstößliche Folge des Cloud Acts, den wir gleich erläutern werden.

Trump gefährdet deutsche Wirtschaft

Startups distanzieren sich von den USA

Der lange Arm der USA

Zunächst macht diese kleine Auflistung klar, dass sich Provider, die wenigstens mit einem Bein in den USA beheimatet sind, einer berechtigten Aufforderung eines US-Gerichts zur Herausgabe von Kundendaten nicht verweigern können. Grund dafür ist neben dem „Überwachungsgesetz“ Foreign Intelligence Surveillance Act (FISA) und dem Patriot Act der sogenannte CLOUD Act, mit dem US-Behörden auf Daten zuzugreifen dürfen, die von US-Unternehmen verarbeitet werden, und zwar unabhängig vom Speicherort der Daten!

Digitale Souveränität

Verbraucher suchen Alternativen zu US-Tech-Produkten

Der CLOUD Act („Clarifying Lawful Overseas Use of Data Act“) erlaubt es den US-Behörden sogar, Daten von US-Unternehmen anzufordern, auch wenn diese Daten, wie gesagt, in Rechenzentren außerhalb der USA gespeichert sind. Dieses Gesetz hat in der Folge massive Auswirkungen auf europäische Unternehmen, die Google Cloud oder andere US-Anbieter nutzen. Inwieweit damit europäische, souveräne Datenräume der Hyperscaler als sicher vor US-Behörden-Zugriffen bezeichnet werden können, darf nun jeder Anwender für sich selbst aufschlüsseln.

Europäische Unternehmen, die US-Hyperscaler nutzen, müssen sich dessen bewusst sein und entsprechende Maßnahmen ergreifen, um ihre Daten zu schützen. Im dritten Teil werden wir die Wichtigsten davon nennen.

Wie aber sieht es in Deutschland und der EU aus? Sind die Kundendaten wenigstens in den hier beheimateten Clouds vor Behördenzugriffen sicher? Dieser Frage gehen wir im zweiten Teil dieser kleinen Artikelreihe nach, in dem wir die Statements von diversen hiesigen Providern gesammelt haben.

US-Sanktionen gegen IStGH

Ein Weckruf für Europas digitale Unabhängigkeit

(ID:50536777)