Der Cloud-Mythos: Wie sicher sind deine Daten wirklich?

Deine Cloud-Daten könnten jederzeit von US-Behörden gelesen werden – selbst wenn sie in Deutschland liegen. Trotzdem glauben viele, dass Clouddienste sicher sind. Doch diese Annahme ist gefährlich: Seit Edward Snowden die Massenüberwachung der USA enthüllte, wurde sie stark ausgebaut. Die Anbieter antworten darauf mit Rechenzentren in Europa. Doch entgegen den Versprechen handelt es sich dabei um keine einfache, vollständige Lösung.

Zunehmend entwickeln sich große Cloudanbieter zum schwer kalkulierbaren Risiko. Dienstleister in der EU können ein Kompromiss aus der Abhängigkeit sein, wenn der Betrieb eigener Infrastruktur nicht erwünscht ist. Digitale Souveränität gewinnt an Bedeutung. Es ist daher wichtig zu verstehen, was Sicherheit und Unabhängigkeit wirklich verbessert. Und welche Angebote einer tieferen Prüfung über Werbeslogans hinaus nicht standhalten. Cloud ist nicht nur ein technisches Problem – sondern vor allem eines von Kontrolle sowie rechtlichen Rahmenbedingungen.

Rückblick: Die seit 2013 belegten Gefahren

Ab 2013 belegte der Whistleblower Edward Snowden, dass der US-Geheimdienst NSA umfangreiche, anlasslose Massenüberwachung betreibt. Insbesondere Daten von Bürgern außerhalb der USA werden kaum geschützt: US-Geheimdienste greifen direkt auf Microsoft, Facebook, Amazon, Google & weitere Anbieter zu. Wie umfassend diese Zugriffe sind, belegen die Leaks zu Programmen wie PRISM. Die Vor- und Nachteile von Clouddiensten habe ich in diesem Beitrag bereits ausführlicher aufgezeigt.

Betroffene erfahren davon nichts – bis sie mit den Konsequenzen konfrontiert werden. Diese lassen sich oft nur schwer auf die Verursacher zurückführen. Dabei ist Missbrauch durch Geheimdienste längst belegt. Ein 2014 enthüllter Fall zeigt: Die NSA sammelt Nacktaufnahmen – während sie die weltweite Internetkommunikation überwachen. Mitarbeiter tauschen dieses sexuell kompromittierenden Material untereinander.¹

Gesammelte Daten werden zweifelhaft missbraucht

Die dabei abgegriffenen Daten kommen zudem für gezielte Rufschädigung zum Einsatz – unter anderem gegen Privatpersonen. Dabei geht es keineswegs nur um Terroristen. Auch der Ruf von Unternehmen und Aktivisten wird laut den als streng geheim klassifizierten Unterlagen gezielt zerstört.²

USA betreiben ohne Zweifel Wirtschaftsspionage

edward snowden, nsa whistleblower³

Längst wurde die Überwachung auf Politiker ausgeweitet: Seit 2002 hört die NSA Deutschlands ehemalige Bundeskanzlerin Angela Merkel ab. Das Regierungsviertel gilt als legitimes Ziel, mindestens 35 weitere Politiker sind im Fokus.⁴ Hierfür wird die US-Botschaft genutzt.⁵ Ein Beispiel für wirtschaftliche Spionage ist Petrobras: Das Mineralölunternehmen in Brasilien zählt zu den größten Energiekonzernen Lateinamerikas. Die NSA spähte ihn aus.⁶

Der Versuch, Systemprobleme durch Abkommen zu lösen

Edward Snowden lieferte erdrückende Beweise für die umfangreiche Massenüberwachung von Seiten der USA. Die EU führte 2018 mit der DSGVO eine einheitliche Rechtsgrundlage für Datenschutz ein. Sie entwickelte sich zum Vorbild für andere Länder.

Doch schon lange vor der DSGVO wurden Länder außerhalb der EU als „unsichere Drittstaaten“ betrachtet. Daten zu übertragen ist verboten, außer das Land verfügt nachweislich über ein vergleichbares Schutzniveau. Nach dem NSA-Spionageskandal war das Gegenteil belegt. Als Konsequenz kippte die EU daher 2015 „Safe Harbor“ – dieses Papier erklärte den Datentransfer in die USA für sicher, ließ dabei jedoch Transparenz und Belege vermissen.⁷

Dennoch wurde das Prinzip in ähnlicher Form mehrfach erneut angewendet. Der Nachfolger Privacy Shield wird 2020 vom Europäischen Gerichtshof ebenfalls für ungültig erklärt.⁸ Es folgte ein dritter Anlauf durch Ursula von der Leyen statt. 2008 versuchte sie, stark streitbare Netzsperren in Deutschland einzuführen. Dies brachte ihr den Spitznamen „Zensursula“ ein.⁹ Trotz des Widerstandes hielt sie am Gesetz fest. Doch es wird umgehend ausgesetzt und 2011 aufgehoben.¹⁰

Als Präsidentin der EU-Kommission traf sie sich mit dem damaligen US-Präsidenten Joe Biden. Anfang 2022 verkündeten beide, man sei sich grundsätzlich einig. Erwartet wurden Geheimdienstreformen mit umfassenden Einschränkungen & Mechanismen zur Überprüfung.¹¹ Doch das „EU-U.S. Data Privacy Framework“ ist erneut eine nahezu identische Kopie von „Privacy Shield“: Es erklärt die USA für sicher – ohne konkrete Schritte. Die Executive Order interpretiert Begriffe wie „verhältnismäßig“ nach US-Maßstab deutlich schwächer, als in der EU.¹²

Server in der EU: Logisch klingende Nebelkerze

Während grundsätzliche Reformen ausblieben, entstand ein zunehmendes Bewusstsein für Datenschutz außerhalb interessierter Kreise. Cloudanbieter reagierten darauf mit Rechenzentren in Europa. Microsoft verspricht beispielsweise, die Datenverarbeitung außerhalb der EU einzuschränken. Das soll Datenschutz & Transparenz stärken. Ist das die Lösung?

Zunächst mag es logisch klingen: US-Geheimdienste können ein Rechenzentrum in der EU nicht physisch überwachen oder beschlagnahmen. Doch das möchten sie gar nicht. Der 2018 verabschiedete „CLOUD Act“ ist eine Reaktion auf Microsofts versuch, die Herausgabe von Nutzerdaten juristisch zu verhindern. Er berechtigt zum Zugriff auf Daten von Unternehmen mit Firmensitz in den USA. In welchem Land die Server stehen, ist irrelevant. Dies gilt sogar für Tochterfirmen, wie der Wissenschaftliche Dienst des Bundestags bereits 2020 feststellt.¹³

Das ist besonders problematisch, weil der tatsächliche Datenschutz in den USA nicht mit dem Niveau in der EU vergleichbar ist. Dies wird am Beispiel National Security Letter deutlich: US-Behörden können sich damit seit 1986 ohne richterlichen Beschluss Zugang verschaffen. Sogar Hintertüren sind möglich. Betroffene Unternehmen müssen den NSL jedoch geheim halten.

Der ungelöste Widerspruch

Ein Cloudanbieter aus den USA ist grundsätzlich US-Recht unterworfen. Dies steht teilweise in Konflikt mit den in dieser Hinsicht strikteren EU-Gesetze. Somit stehen US-Unternehmen vor einem Dilemma. Für den Konflikt existiert bis heute keine Lösung. Wird sich ein US-Konzern im Zweifel an US-Recht oder EU-Recht halten?

Die USA können ihre Rechtsauffassung als Staatsgewalt unmittelbar durchsetzen. Parallel fehlen der EU weiterhin Kontrollinstrumente, um Verstöße zunächst überhaupt feststellen zu können. In der selben Zwickmühle befinden sich Kunden. Ein vertragliches Versprechen von US-Unternehmen ist daher eher theoretischer Natur. Um das zu ändern, müssten die USA ihre Befugnisse einschränken sowie Transparenz schaffen.

Warrant Canary: Wie kann ein Kanarienvogel helfen?

Viele Dienste mit Fokus auf Privatsphäre versuchen, dies über einen sogenannten Warrant Canary sichtbar zu machen: In einer öffentlichen Erklärung bestätigt der Anbieter im Voraus, keine Daten herausgegeben zu haben. Oft mit Angabe eines Datums mit regelmäßiger Aktualisierung. Muss er einen NSL erfüllen, ist vorgesehen, diesen Hinweis zu entfernen.¹⁴ Der rechtliche Kniff an dieser Stelle: Man gibt nicht zu, eine Aufforderung erhalten zu haben – was juristisch angreifbar wäre. Sondern streitet nicht mehr ab, keine bekommen zu haben.

Cloudflare beispielsweise sichert in mehreren Punkten u.a. zu, noch nie Schlüssel von Kunden weitergegeben oder Hintertüren installiert zu haben. Dies zeigt, wie große Anbieter mit solchen Vertrauenserklärungen arbeiten.¹⁵

Dies ist ein pragmatischer Ansatz, der von jedem schnell und einfach umgesetzt werden kann. Allerdings lässt er zahlreiche Fragen unbeantwortet:

Was haben die Behörden konkret getan?
Welche Kunden sind betroffen und in welcher Form genau?
Wurde der Warrant Canary manipuliert, z.B. durch Zwang? Dies geschah 2013 beim E-Mail Anbieter Lavabit.¹⁶¹⁷
Wie werden die Kunden schnell informiert? Regelmäßiges Prüfen des Warrant Canary ist notwendig

Abseits davon ist das größte Manko der fehlende Schutz. US-Behörden greifen weiterhin auf Daten zu und installieren sogar Hintertüren. Im besten Falle erfahren Nutzer nachträglich, dass es ein Problem gab. Der Warrant Canary beschränkt sich auf stillen Alarm. Außerdem hat er keine rechtliche Wirkung. Dies kann ein Signal sein. Für Kunden jedoch ein bescheidener Beitrag, der das grundsätzliche Problem ebenfalls nicht lösen kann.

Politische Risiken sind real

Teile des EU-U.S. Data Privacy Framework basieren auf Dekreten (Executive Order) von Joe Biden. Der US-Präsident kann sie schnell und eigenmächtig erlassen. Im Gegensatz zu Gesetzen, die im Parlament verhandelt werden müssen. Eben so leicht ist ihre Aufhebung. Donald Trump kündigte nach seiner Wiederwahl Ende 2025 an, viele Dekrete seines Vorgängers rückgängig machen zu wollen.¹⁸ Tatsächlich hat er eine Vielzahl abgeschafft – etwa sind die USA aus dem Pariser Klimaabkommen ausgetreten.

Bisher ist der Dekret zum Angemessenheitsbeschluss der EU nicht darunter. Doch der US-Präsident hat ihn bereits angegriffen: Im EU-U.S. Data Privacy Framework ist ein Kontrollgremium bestehend aus 5 Mitgliedern (3 Demokraten, 2 Republikaner) festgeschrieben. Können 5 Personen einen der größten Geheimdienstapparate weltweit kontrollieren? Doch der Präsident forderte 3 davon zum Rücktritt auf. Bei Weigerung droht die Entlassung.¹⁹

Kunden von US-Clouddiensten müssen sich bewusst sein: Jederzeit könnte der Präsident in den USA ein Dekret unterschreiben. Dies wäre der Beginn einer Kettenreaktion. Entfällt die Rechtsgrundlage für den Datentransfer, sieht die DSGVO empfindliche Strafen vor. Ein hohes Risiko, insbesondere für Unternehmen.

CIA erklärt, warum sie Verbündete ausspionieren

Doch dies bezieht sich nur auf Compliance, also die Einhaltung von Gesetzen. Das alleine garantiert keinen wirksamen Schutz. Die CIA, ein Auslandsgeheimdienst der USA, hat bereits vor mehr als zwei Jahrzehnten Wirtschaftsspionage eingeräumt. Etwa bei den ECHELON-Enthüllungen zu einem geheimen Abhör-Netzwerk unter Führung der NSA.²⁰

Im Wall Street Journal schrieb der Rechtsanwalt und ehemalige CIA-Direktor R. James Woolsey am 17.03.2000 einen Artikel mit dem Titel Warum wir unsere Verbündeten ausspionieren (Original „Why We Spy on Our Allies“). Als Antwort auf die ECHELON-Affäre wirft er europäischen Unternehmen Korruption vor. Dabei wird am Rande die betriebene Wirtschaftsspionage thematisiert:²¹

Ja, meine kontinentaleuropäischen Freunde, wir haben euch ausspioniert. […] Die meisten europäischen Technologien sind es einfach nicht wert, von uns gestohlen zu werden.

James Woolsey

Die Massenüberwachung ist nicht nur auf Terror-Abwehr beschränkt – mit diesem Argument wurde sie eingeführt und gerechtfertigt. Wer US-Clouddienste ohne Verschlüsselung der Inhalte nutzt, muss damit rechnen, dass diese von Dritten analysiert werden. Und dadurch möglicherweise ihre Vertraulichkeit verlieren.

Hat deutsche Technologie nichts zu bieten?

In Europa treffen viele Länder mit unterschiedlicher Wirtschaftsstärke aufeinander. Dazu haben sich einige in den letzten Jahrzehnten weiter entwickelt. Gezielter lässt sich die aktuelle Innovationskraft einzelner Länder messen.

Der World Intellectual Property Indicator zeigt die Zahl an Patentanmeldungen nach Land auf. 2024 befand sich Deutschland mit über 133.000 Patenten auf Platz 5 weltweit. In den Bereichen Maschinen, elektrische Geräte und Verkehrstechnologien gehören wir zu den stärksten Ländern mit höchster Spezialisierung.²²

Dies lässt den Schluss zu, dass Deutschland ein lukratives Ziel für Wirtschaftsspionage darstellt. Entgegen dem negativen Bild, welches häufig in Gesellschaft und Medien zu erkennen ist. Wie lange werden wir in dieser Position bleiben, wenn unsere Unternehmen den unbemerkten Verlust ihrer Innovationen durch ausländische Clouddienste riskieren?

Unter Eid: Microsoft entkräftet eigene Argumente vor Gericht

Seit langem betont Microsoft, die DSGVO einzuhalten. Kunden vertrauen darauf – und entscheiden sich trotz der Risiken für Clouddienste des Konzerns. Doch 2025 räumt ein Microsoft-Manager vor Gericht ein: Die Daten sind nicht vor dem Zugriff durch US-Behörden geschützt. Das trifft selbst auf Rechenzentren in der EU zu. Man bemühe sich, Zugriffsanfragen anzufechten. Schlussendlich könne man dies jedoch nicht garantieren, weil man im Geltungsbereich des US-Rechts läge.²³

Werbeversprechen können Konsequenzen haben, wenn sie unter Eid getätigt werden. Daher hat diese ehrliche, vor Gericht getätigte Aussage Bedeutung. Wenn Microsoft diese Zugriffe nicht verhindern kann, sind die aufgezeigten Konflikte mit der DSGVO kein theoretisches Konzept mehr. Sondern realistisch geworden.

Wie sicher ist Microsofts Cloud wirklich?

Ein weiterer Aspekt ist essenziell für die Sicherheit der eigenen Daten: Die Schutzmaßnahmen des Anbieters gegen äußere Angriffe. In mehreren Sicherheitsvorfällen bekamen Angreifer Zugriff auf Nutzerdaten. Der erste öffentlich bekannt gewordene ereignete sich 2023. Neben Mängeln bei der Absicherung wurde die Kommunikation des Unternehmens kritisiert. Es mangelte erheblich an Transparenz.

Bis Mitte 2024 hatte sich das nicht gebessert. Daher sah sich das BSI gezwungen, Microsoft auf Herausgabe von Einzelheiten zu verklagen. Über Monate hinweg versuchte die Behörde, Informationen zu den Sicherheitsvorkehrungen in den Clouddiensten des Konzerns zu bekommen. Da dies misslang, nutzt sie den schärfsten Paragraf 7a des BSI-Gesetzes, der rechtliche Schritte ermöglicht.²⁴

Die US-amerikanische Cybersicherheitsbehörde CISA hat zu diesem Zeitpunkt bereits ein scharfes Urteil gefällt: Der Vorfall wäre leicht vermeidbar gewesen. Eine „Kaskade vermeidbarer Fehler“ habe den Angriff erst möglich gemacht. Dazu kritisierten sie Microsofts Behauptung vom September 2023, die Ursache gefunden zu haben. Doch das entsprach nicht den Tatsachen. Korrigiert wurde dies erst stark verzögert nach mehrmaliger Aufforderung. Das Fazit der Behörde: Die Unternehmenskultur würde Sicherheit und Risikomanagement nur geringe Priorität einräumen. Fatal für ein Unternehmen mit derartiger Relevanz für die USA.²⁵

Sicher ist nicht gleich sicher

Hier wird deutlich, dass Sicherheit weitaus umfangreicher ist, als es auf den ersten Blick scheint. Sie beginnt beispielsweise beim physischen Zugriff auf die Rechenzentren. Hier können Hyperscaler wie etwa Microsoft und Amazon glänzen. Ein Diebstahl auf dieser Eben dürfte Unwahrscheinlich sein. Zumal teils zusätzliche Schutzmaßnahmen wie etwa Verschlüsselung helfen können.

Doch es existieren zahlreiche weitere Szenarien. Die vorherigen Vorfälle belegen am Beispiel von Microsoft, dass die darauf laufende Software wirksam abgesichert werden muss. Sicherheit muss in der Unternehmenskultur gelebt werden. Ansonsten ist der Nutzen von physischem Schutz begrenzt. Auch Compliance ist begrenzt. Es mag vor Gericht helfen, um Haftungsansprüche zu reduzieren oder abweisen zu können. Doch für maximalen Schutz der Daten genügt die Einhaltung der rechtlichen Mindestanforderungen nicht.

Warum Clouddienste dennoch genutzt werden

Clouddienste können durch Skalierung einen Mehrwert bieten. Netflix etwa benötigt ab dem Nachmittag deutlich mehr Ressourcen. Am späten Abend nimmt die Nutzung dagegen deutlich ab. Diese Infrastruktur lässt sich selbst betreiben, jedoch mit entsprechendem Aufwand. Für dauerhafte Verfügbarkeit ist ein umfangreiches Team mit Schichtdienst notwendig.

Der Trend hat sich hin zur Spezialisierung entwickelt: Ein Unternehmen wie Netflix hat eigene Rechenzentren aufgegeben, um sich auf ihr Kerngeschäft (Streaming von Filmen & Serien) zu fokussieren. Seit 2016 ist AWS (Amazon) für den Betrieb der Rechenzentren verantwortlich.²⁶ Das kann Ressourcen schaffen, um etwa die Expansion für Spiele-Streaming zu ermöglichen. Oder schneller voran zu treiben, als die Konkurrenz.

In diesem Anwendungsfall sind Sicherheit und Datenschutz weniger relevant. Zumal eine hybride Strategie vorstellbar ist: Streaming als umfangreichste Herausforderung in Clouddienste auslagern – während Systeme mit kritischen Daten (z.B. Kundendaten, Abrechnung) auf eigenen oder besonders geschützten Servern betrieben werden. So ließen sich die Vorteile aus beiden Welten vereinen, während sich Risiken reduzieren.

Ende-zu-Ende-Verschlüsselung als Kompromiss

Die Gefahren für sensible Inhalte können deutlich reduziert werden, in dem der Nutzer die Daten auf dem lokalen Gerät verschlüsselt (E2EE). Eine Möglichkeit in der Praxis ist die quelloffene Software Cryptomator: Sie erzeugt eine Art virtuelles Laufwerk. Legt man dort eine Datei ab, wird sie auf dem Gerät verschlüsselt und in einen Cloudspeicher (z.B. Google Drive, Dropbox) geladen. Der Anbieter sieht nur die verschlüsselten Inhalte. Sofern es sich um ein sicheres, nicht geknacktes Verfahren handelt, sind die Inhalte damit geschützt.

Allerdings bleiben Metadaten erhalten, die umfangreiche Rückschlüsse ermöglichen. Dazu lässt sich E2EE nicht in allen Szenarien nutzen. Insbesondere bei der Zusammenarbeit mit anderen stößt sie an ihre Grenzen. Außerdem sammeln Geheimdienste verschlüsselte Daten, um diese später zu entschlüsseln. Selbst wenn ein Verfahren nach heutigem Stand als sicher gilt: Durch zukünftig entdeckte Schwachstellen oder stärkere Rechenleistung kann der Schutz bereits in wenigen Jahren nicht mehr gegeben sein. Diese Strategie ist als „Harvest now, decrypt later“ (übersetzt Jetzt sammeln, später entschlüsseln) bekannt.

Wie lassen sich Daten wirksam schützen?

Man muss nicht zu Papier und Stift oder der Schreibmaschine zurückkehren. Freie & Quelloffene Software, die selbst betrieben wird, kann vieles besser: Sie bieten maximale Flexibilität, Transparenz sowie volle Datenhoheit und Kontrolle. Neben der notwendigen Infrastruktur ist dafür allerdings Kompetenz zum Einrichten und Pflegen der Dienste nötig: Maximale Sicherheit lässt sich nur erzielen, wenn gängige Schutzmaßnahmen umgesetzt werden – unter anderem etwa regelmäßige Aktualisierungen.

Zwei Alternativen sind möglich: Das Mieten von Servern, die man wiederum selbst betreut. Vor allem für per Internet erreichbare Projekte ein lohnenswerter Kompromiss. Der Hoster kümmert sich darum, dass der physische Server funktioniert. Man selbst kann sich auf die Bereitstellung der Dienste fokussieren. Preislich ist dies auf virtuellen Servern bereits ab wenige Euro pro Monat möglich. Leistungsstarke, exklusiv genutzte Systeme sind nur moderat teurer.

Wer die Administration nicht selbst übernehmen kann oder möchte, kann verwaltete (managed) Dienste nutzen. Dabei kümmert sich der Anbieter vollständig um die Pflege und Bereitstellung eines bestimmten Dienstes. Ein Beispiel ist Managed nextcloud von Hetzner. Für 4,29€ erhalten Kunden eine eigene NextCloud-Instanz mit 1 TB Speicherplatz. Wichtig ist die Wahl eines Anbieters, der in Deutschland oder zumindest der EU sitzt. Außerdem sollte ein gewisses Vertrauen vorhanden sein. Ein gewisses Restrisiko bleibt auch hier – allerdings ist es überschaubarer.

Fazit

Wer Kontrolle über seine Daten will, muss Verantwortung auf verschiedenen Ebenen übernehmen. Das Auslagern in Clouddienste führt zu Kontrollverlust. Auch bei Anbietern in der EU muss man darauf vertrauen, dass sie ein hohes Sicherheitsniveau tatsächlich umsetzen. Das CISA-Urteil ist eindeutig. Doch die Risiken sind bei US-Anbietern wegen der massenhaften und anlasslosen Überwachung und kontroversen Rechtslage besonders hoch. Daran kann die ansonsten häufig gegebene Physische Sicherheit der Rechenzentren wenig ändern.

Schutzlos ausgeliefert sind wir diesen „Big Tech“ Konzernen jedoch nicht. Wie das praktisch funktionieren kann, zeigt U-Labs: Seit Anfang an werden unsere Dienste selbst betrieben. Lediglich ein dedizierter Server ist dafür angemietet. Mehrere Anbieterwechsel haben wir bereits hinter uns, zuletzt von Strato zu Hetzner. Sollte ein Anbieter sich inakzeptabel verschlechtern, kann alles mit überschaubarem Aufwand umgezogen werden.

Der beste Zeitpunkt für Unabhängigkeit ist jetzt: Beginne mit einer Bestandsaufnahme, gefolgt von deinen Anforderungen. Das sind die wichtigsten Schritte, um die optimale Lösung zu finden.

Leave a Reply Antwort abbrechen

Verpasse keine neuen inhalte