Ihre Daten in der Cloud sind nicht automatisch privat = souverän!

Viele Unternehmen beruhigen sich mit dem Satz „Unsere Daten liegen in Frankfurt“. Diese Aussage kann technisch zutreffen und dennoch rechtlich in die Irre führen. Denn für Zugriffsrisiken durch ausländische Behörden ist nicht allein der physische Speicherort entscheidend, sondern vor allem, welche juristische Kontrolle über den Cloud-Dienst besteht und welche Rechtsordnung den Anbieter zur Mitwirkung verpflichten kann. Ein von der Universität zu Köln im Auftrag des Bundesinnenministeriums erstelltes und später über FragDenStaat öffentlich gewordenes Rechtsgutachten aus dem März 2025 (geschwärzte Fassung) nimmt genau diese Frage in den Blick. Es gibt die Einschätzung der Gutachter wieder, nicht die Position des Ministeriums, bestätigt aber die strategische Kernbotschaft: Bei US-Cloud-Anbietern ist ein Zugriff nach US-Recht nicht durch einen europäischen Serverstandort ausgeschlossen.

Warum „Data Residency“ allein nicht schützt

Der CLOUD Act hat die extraterritoriale Reichweite bestimmter US-Herausgabepflichten ausdrücklich klargestellt (18 U.S.C. § 2713). Im Kern kann ein Anbieter, der der US-Jurisdiktion unterliegt und Daten in seiner „possession, custody, or control“ hat, zur Herausgabe verpflichtet werden, auch wenn die Daten außerhalb der USA gespeichert sind. Genau deshalb ist „Serverstandort EU“ keine hinreichende Risikobehandlung, wenn der Anbieter rechtlich kontrolliert werden kann.

Wichtig ist dabei die Differenzierung: Der CLOUD Act adressiert vorrangig strafverfolgungsbezogene, zielgerichtete Zugriffe, nicht automatisch eine beliebige Massenerhebung. Gleichzeitig zeigt die europäische Datenschutzaufsicht in ihrer gemeinsamen Bewertung, dass sich aus der extraterritorialen Anordnungspraxis erhebliche Konflikte mit EU-Recht ergeben können, gerade weil Reichweite und Auslegung von „control“ in Konzernstrukturen praktisch streitanfällig sind.

Auf europäischer Seite gibt es Gegengewichte, die das Risiko aber nicht beseitigen. Nach Art. 48 DSGVO sind Urteile und Anordnungen von Drittstaatsbehörden, die eine Herausgabe personenbezogener Daten verlangen, grundsätzlich nur auf Grundlage eines Rechtshilfeabkommens anerkennungsfähig. Seit dem 12. September 2025 verpflichtet Art. 32 Data Act (Verordnung (EU) 2023/2854) Anbieter von Datenverarbeitungsdiensten zudem, angemessene technische, organisatorische und rechtliche Maßnahmen zu treffen, um einen unrechtmäßigen Zugriff von Drittstaatsbehörden auf in der EU gespeicherte nicht-personenbezogene Daten zu verhindern. Für die Übermittlung personenbezogener Daten in die USA gilt weiterhin das EU-US Data Privacy Framework; das Gericht der EU hat die Klage dagegen am 3. September 2025 abgewiesen (T-553/23, Latombe), das Rechtsmittel beim EuGH (C-703/25 P) ist anhängig. Diese Regeln verschieben den Konflikt, sie lösen ihn nicht: Ein Anbieter, der unter US-Recht zur Herausgabe verpflichtet wird, steht im Zweifel zwischen zwei Rechtsordnungen.

Geheimdienstzugriffe: FISA Section 702 und der RISAA-Effekt

Neben strafverfolgungsbezogenen Instrumenten ist für viele Organisationen das nachrichtendienstliche Zugriffsrisiko entscheidend. Section 702 FISA (50 U.S.C. § 1881a) erlaubt die gezielte Erhebung von Kommunikationsinhalten von Nicht-US-Personen außerhalb der USA mit Unterstützung von US-Kommunikationsdienstleistern, auf Grundlage programmbezogener Zertifizierungen, die der FISC genehmigt, und ohne richterliche Einzelanordnung für jedes Ziel.

Mit dem Reforming Intelligence and Securing America Act (RISAA, Pub. L. 118-49), unterzeichnet am 20. April 2024, wurde Section 702 bis April 2026 verlängert und in zentralen Punkten geändert. Besonders relevant für die Praxis ist die Erweiterung der Definition, welche Unternehmen als „electronic communication service provider“ zur Mitwirkung verpflichtet werden können. Nach der Darstellung des Congressional Research Service umfasst dies nun auch Dienstleister, die Zugang zu Ausrüstung haben, die zur Übertragung oder Speicherung elektronischer Kommunikation genutzt wird, mit bestimmten Ausnahmen. Dadurch kann sich der Kreis potenziell verpflichtbarer Akteure deutlich verbreitern, insbesondere entlang von Betriebs- und Lieferketten in IT-Betrieb, Managed Services und Infrastruktur.

Nach kurzfristigen Verlängerungen ist die gesetzliche Grundlage von Section 702 am 12. Juni 2026 ausgelaufen; eine Neuregelung hat der Kongress bislang nicht verabschiedet. Für das Zugriffsrisiko ändert das zunächst wenig: Die vom FISC am 17. März 2026 genehmigten Jahreszertifizierungen und die darauf gestützten Anordnungen gelten bis zu ihrem Ablauf am 17. März 2027 fort. Wer seine Cloud-Strategie auf das Auslaufen der Norm stützt, plant also auf Sand, zumal eine Verlängerung jederzeit kommen kann.

Verschlüsselung: wirksam, aber nicht als Ausrede

Verschlüsselung ist ein zentrales Schutzinstrument, aber kein Freibrief. Entscheidend ist, wer die Schlüssel kontrolliert und ob der Cloud-Anbieter technisch oder organisatorisch in der Lage ist, Inhalte im Klartext bereitzustellen. Praktisch bedeutet das: Ende-zu-Ende-Verschlüsselung oder konsequentes Kundenschlüsselmanagement (Hold Your Own Key) reduziert das Inhaltsrisiko deutlich, während Standardverschlüsselung „at rest“ beim Hyperscaler das Herausgaberisiko oft nur begrenzt verändert, weil der Anbieter typischerweise weiterhin entschlüsseln kann. Zusätzlich bleibt ein Residualrisiko über Metadaten, Protokolldaten, Identitäts- und Zugriffsverwaltung sowie über rechtliche und faktische Druckmittel in Verfahren. Die europäische Aufsicht weist im Kontext des CLOUD Act ausdrücklich darauf hin, dass sich Herausgabewege auch auf Nicht-Inhaltsdaten erstrecken und damit sensible Profileffekte entstehen können.

Was Vorstände und Geschäftsleitungen jetzt tun sollten

1. Risikobewertung und Klassifizierung als Managemententscheidung verankern

Beginnen Sie nicht mit dem Anbieter, sondern mit den Daten. Klassifizieren Sie Datenarten (z. B. Mandantendaten, Gesundheitsdaten, Geschäftsgeheimnisse, Entwicklungs-IP) und ordnen Sie sie Prozessen, Systemen und Zugriffspfaden zu. Daraus leiten Sie ab, welche Workloads überhaupt in eine US-kontrollierte Cloud dürfen und welche zwingend in europäische oder souveräne Betriebsmodelle gehören.

2. Anbieter und Konzernstruktur als Due-Diligence-Pflicht

Prüfen Sie nicht nur den Markennamen, sondern Rechtsform, Hauptsitz, Konzernverflechtungen, operative Kontrollmöglichkeiten, Subunternehmerketten und Transparenzberichte. Berücksichtigen Sie, dass „europäische Tochter“ nicht automatisch „außerhalb des US-Zugriffs“ bedeutet, wenn Kontrolle, Weisungsrechte oder Herausgabefähigkeit konzernseitig bestehen können.

3. Technische Maßnahmen so gestalten, dass sie rechtlich relevant werden

Setzen Sie Verschlüsselung so um, dass der Anbieter nicht im Besitz der Entschlüsselungsfähigkeit ist, soweit dies mit Geschäftsbetrieb, Suchfunktionen und Compliance vereinbar ist. Ergänzen Sie dies um strikte Segmentierung, Zero-Trust-Zugriffsmodelle, Minimierung von Metadaten, restriktive Logging-Strategien sowie belastbare Incident- und Legal-Request-Prozesse.

4. Strategische Alternativen real planen, nicht nur in Folien

Sovereign-Cloud-Modelle, europäische Anbieter, Hybrid-Strategien und Multi-Cloud sind keine Ideologie, sondern Risikoportfolios. Der RISAA-Kontext zeigt, dass Mitwirkungspflichten entlang der technischen Lieferkette tendenziell weiter gefasst werden können. Deshalb sollten Ausweich- und Exit-Szenarien, Portabilität, Schlüsselhoheit und Betriebsfähigkeit ohne US-kontrollierte Komponenten bereits vor der Migration vertraglich und technisch abgesichert sein.

Fazit

„Serverstandort Deutschland“ ist kein hinreichendes Schutzargument, wenn die juristische Kontrolle und Herausgabefähigkeit außerhalb Europas liegen.

Wer vertrauliche Daten in Cloud-Umgebungen verarbeitet, muss das Zugriffsrisiko als Governance-Thema behandeln, nicht als Marketingversprechen.

Die entscheidende Frage lautet deshalb nicht „Wo stehen die Server?“, sondern „Wer kann rechtlich und faktisch Zugriff erzwingen, und was bleibt dann noch schützenswert?“