Blog · Grundlagen ·
Was ist der CLOUD Act?
Der CLOUD Act ist ein US-Gesetz von 2018: Er verpflichtet Anbieter unter US-Recht, Daten ihrer Kunden an US-Behörden herauszugeben, gleich wo die Daten liegen. Für europäische Unternehmen, deren Edge bei einem US-Anbieter liegt, reicht er bis in die eigene Architektur.
Was das Gesetz sagt
Der lange Name verrät die Absicht: Clarifying Lawful Overseas Use of Data Act, ein Gesetz zur Klärung des behördlichen Zugriffs auf Daten im Ausland. Es legt fest, dass ein Anbieter, der US-Recht untersteht, gespeicherte Daten herausgeben muss, wenn ein Gericht sie anfordert, und zwar unabhängig davon, in welchem Land seine Server stehen. Entscheidend ist die Verfügungsgewalt des Anbieters, nicht der Standort der Festplatte.
Der Anbieter kann im Einzelfall widersprechen, etwa wenn die Herausgabe gegen das Recht eines anderen Landes verstößt; das Gericht wägt dann ab. Der Regelfall bleibt die Pflicht. Ergänzt wird das Gesetz durch Abkommen zwischen Staaten, die den Zugriff jeweils beschleunigen, statt ihn über Rechtshilfeersuchen zu führen.
Warum der Standort des Servers nicht schützt
Ein Rechenzentrum in Frankfurt ändert nichts am Sitz des Anbieters. Kann der Anbieter von den USA aus auf die Daten zugreifen, fallen sie unter das Gesetz, und bei zentral verwalteten Plattformen kann er das fast immer. Die verbreitete Annahme, europäischer Boden bedeute europäisches Recht allein, hält vor diesem Zugriff nicht stand.
Schutz bietet nur, was der Anbieter nicht hat: den Schlüssel. Ende-zu-Ende-verschlüsselte Inhalte, deren Schlüssel beim Kunden liegen, bleiben für ihn unlesbar. Wo er dagegen selbst entschlüsselt, etwa am Edge, sieht er alles, und das Gesetz fragt ihn genau dort.
CLOUD Act und FISA 702
Beide werden oft in einem Atemzug genannt und meinen Verschiedenes. Vereinfacht: Der CLOUD Act regelt die Herausgabe gespeicherter Daten an Strafverfolger nach richterlicher Anordnung. FISA 702 regelt die nachrichtendienstliche Überwachung laufender Kommunikation von Nicht-US-Personen im Ausland. Verschiedene Wege, verschiedene Verfahren, dieselbe Richtung: Der Zugriff der USA endet nicht an ihren Grenzen.
Für die eigene Bewertung zählt das Gemeinsame, nicht der Unterschied: Beide greifen unabhängig vom Speicherort, und beide treffen Daten, die ein US-Anbieter für europäische Kunden hält oder sieht.
Was das für Ihren Edge bedeutet
Wer TLS für Sie terminiert, sieht jede Anfrage Ihrer Nutzer im Klartext: Anmeldungen, Formulare, Cookies. Ist das ein US-Anbieter, unterliegt er dem CLOUD Act, auch wenn sein Rechenzentrum in Europa steht. Der Edge vor Ihrer Anwendung ist damit der Punkt, an dem fremdes Zugriffsrecht in Ihre Architektur reicht.
Für regulierte Betriebe folgt daraus eine Pflicht: Der Anbieter der Infrastruktur geht in die Lieferkettenbewertung ein, etwa nach NIS2, und die Datenschutz-Folgenabschätzung muss die Zugriffsgesetze des Anbieterstaats berücksichtigen. Ob und wie Ihr Anbieter betroffen ist, klärt Ihre Rechtsberatung; die Architekturfrage, wem Ihr Edge untersteht, klären Sie selbst.
Was obhut anders macht
obhut ist ein deutsches Unternehmen und baut seine Plattform so, dass Daten die EU nicht verlassen, ohne Regionsschalter. Autoritatives DNS, Zertifikate und der TLS-Proxy gehören zum Angebot; ein eigenes Netz steht auf der Roadmap. Wer seinen Edge unter europäisches Recht holen will, findet hier den Anfang.
Häufige Fragen
Gilt der CLOUD Act auch, wenn meine Daten in Europa liegen? Ja, sofern der Anbieter US-Recht untersteht: Das Gesetz fragt nach der Verfügungsgewalt des Anbieters, nicht nach dem Standort der Festplatte. Nur wer den Schlüssel nicht hat, kann nichts herausgeben.
Schützt Verschlüsselung vor dem Zugriff? Nur wenn der Anbieter den Schlüssel nicht besitzt. Wer TLS für Sie terminiert, sieht die Anfrage im Klartext; dort hilft keine Verschlüsselung auf dem Weg. Ende-zu-Ende-verschlüsselte Inhalte, deren Schlüssel beim Kunden liegen, bleiben unlesbar.
Was ist der Unterschied zu FISA 702? Vereinfacht: Der CLOUD Act regelt die Herausgabe gespeicherter Daten an Strafverfolger, FISA 702 die nachrichtendienstliche Überwachung laufender Kommunikation von Nicht-US-Personen. Beide greifen unabhängig vom Speicherort.