US CLOUD Act (Transatlantischer Zugriff)

Der US CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ist ein seit März 2018 geltendes US-Bundesgesetz, das den Zugriff US-amerikanischer Behörden auf elektronisch gespeicherte Daten regelt. Technisch und organisatorisch entscheidend ist dabei die standortunabhängige Reichweite: Jedes IT-Unternehmen, das einem US-Mutterkonzern angehört, kann dazu verpflichtet werden, Daten herauszugeben, die sich in seinem „Besitz, Gewahrsam oder seiner technischen Kontrolle“ (Possession, Custody, or Control) befinden – selbst dann, wenn die Rechenzentren physisch in Frankfurt am Main, Dublin oder einem anderen EU-Standort betrieben werden.

Ergänzt wird diese Regelung durch Section 702 des Foreign Intelligence Surveillance Act (FISA 702), der US-Diensten weitreichende Einsichtsrechte in Kommunikations- und Cloud-Daten von Nicht-US-Unternehmen außerhalb der Vereinigten Staaten einräumt.**

Warum der physische Serverstandort allein keine technische Datenhoheit garantiert

Für mittelständische Unternehmen, Industriezulieferer, Kanzleien, Kliniken und öffentliche Auftraggeber entsteht bei der Nutzung außereuropäischer Cloud-Plattformen ein grundlegender Zielkonflikt bei der Datenkontrolle: Solange der Cloud-Betreiber über die zentralen Administrationszugänge, Wartungsschnittstellen oder das Schlüsselmanagement verfügt, hat er technisch Zugriff auf den Klartext der gespeicherten Daten.

Auch vertragliche Datenschutzzertifizierungen wie das EU-US Data Privacy Framework (DPF) zielen primär auf personenbezogene Daten ab – sie schützen jedoch keine unveröffentlichten Konstruktionspläne, Kalkulationen, Forschungsdaten oder Betriebsgeheimnisse (Intellectual Property) vor einer Einsichtnahme, sofern die technische Verschlüsselungs- und Schlüsselkontrolle beim Cloud-Anbieter liegt.**

Der Irrtum vom „Rechenzentrum Frankfurt“: Typische Fehlannahmen bei der Provider-Auswahl

In der Praxis verlassen sich viele IT-Verantwortliche und Einkäufer auf die vertragliche Zusage einer „Data Residency in Germany“ (Datenhaltung in Deutschland). Der physische Standort des Servers schützt zwar vor hohen Netzwerklatenzen, ändert aber nichts daran, wer die Administrationshoheit über das Rechenzentrum und den Hypervisor ausübt.

Ein zweiter häufiger Irrtum betrifft Standard-Cloud-Verschlüsselungen („Encryption at Rest“): Wenn die kryptografischen Schlüssel in derselben Cloud-Konsole liegen wie die Daten selbst, kann der Plattformbetreiber die Daten bei einer behördlichen Anordnung technisch jederzeit entschlüsseln.

3 technisch-organisatorische Schutzmaßnahmen für Einkauf und IT-Leitung

• Anbieter-Eigentümerstruktur im Einkauf prüfen: Unterscheiden Sie bei der Auswahl von Cloud- und SaaS-Anbietern konsequent zwischen dem bloßen Serverstandort („Hosted in Germany“) und dem Hauptsitz der obersten Konzernmutter.
• Eigene Schlüsselverwaltung (HYOK) und Ende-zu-Ende-Verschlüsselung einsetzen: Wenn Dienste internationaler Hyperscaler genutzt werden, sollten sensible Daten vor dem Upload mit lokal verwalteten Schlüsseln (Hold Your Own Key) verschlüsselt werden, sodass beim Provider ausschließlich unlesbarer Geheimtext liegt.
• Geschäftsgeheimnisse auf europäische Infrastruktur verlagern: Betreiben Sie kritische Forschungs-, Finanz- und Projektdaten auf eigener Server-Infrastruktur oder bei rein europäischen Cloud-Providern (z. B. Hetzner, IONOS, Open Telekom Cloud, PlusServer).

**Verweise auf Gesetzestexte, Paragrafen (u. a. DSGVO, NIS-2, EU AI Act, DORA, GoBD, BetrVG) und Compliance-Normen dienen ausschließlich der unverbindlichen technischen Fachinformation für IT-Entscheider. Sie stellen keine Rechtsberatung nach dem Rechtsdienstleistungsgesetz (RDG) dar; für eine rechtsverbindliche Beurteilung Ihrer spezifischen Unternehmensorganisation konsultieren Sie bitte Ihren Rechtsbeistand oder Datenschutzbeauftragten.