Löchrige Datensouveränität Microsoft bestätigt US-Zugriff auf EU-Daten auch bei lokalem Hosting

Anbieter zum Thema

Microsoft Deutschland GmbH

CSA Group Bayern GmbH

TRACO ELECTRONIC GMBH

Precoplat Präzisions-Leiterplatten-Technik GmbH

Microsoft hat bei einer Anhörung im französischen Senat eingeräumt, dass der Konzern EU-Daten nicht zuverlässig vor dem Zugriff durch US-Behörden schützen kann. Damit bröckelt das Versprechen, europäische Cloud-Daten seien bei US-Anbietern sicher.

Auch lokal gespeicherte Daten sind nicht automatisch vor Zugriffen durch US-Behörden geschützt – das hat Anton Carniaux, Chefjustiziar von Microsoft Frankreich, Anfang Juni offen bestätigt.

„Nein, ich kann nicht garantieren, dass die Daten französischer Bürger niemals ohne Zustimmung der französischen Behörden an US-Behörden übermittelt werden“, sagte Carniaux bei der Senatsanhörung unter Eid.

Microsofts Transparenz bleibt eingeschränkt

Die Aussage fällt schwerer ins Gewicht, weil Microsoft seine sogenannte „EU Data Boundary“ bislang als Lösung für europäische Kunden beworben hat, um Datenverarbeitung innerhalb Europas zu garantieren. Doch die technischen Schutzmaßnahmen stoßen offenbar dort an Grenzen, wo US-Recht greift.

Laut Microsofts eigenen Angaben müssen Daten dann offengelegt werden, wenn US-Behörden formgerechte Anfragen stellen. In vielen Fällen darf der Konzern seine Kunden nicht einmal über den Zugriff informieren – auch das bestätigte Carniaux vor dem Ausschuss.

Die französische Regierung bezieht sich auf den Vorfall im Rahmen eines breiter angelegten Untersuchungsprogramms zur digitalen Souveränität. Dabei geht es unter anderem um die Frage, ob öffentliche Einrichtungen weiter auf US-basierte Cloud-Dienste setzen sollen.

Fachleute sehen strukturelles Problem

Sicherheits- und Datenschutzexperten weisen darauf hin, dass die strukturellen Abhängigkeiten europäischer Behörden und Unternehmen von US-Dienstleistern auch unter neuen Regelwerken wie dem Transatlantic Data Privacy Framework bestehen bleiben.

Der Entwickler und Datenschützer Ben Werdmuller kommentierte dazu: „Wenn das Versprechen des Anbieters auf einen Gerichtsbeschluss trifft, gewinnt immer der Gerichtsbeschluss.“ Für ihn ist klar: Der einzige verlässliche Schutz liege in clientseitiger Verschlüsselung, notfalls kombiniert mit EU-basierenden Hosting-Anbietern.

Dennis-Kenji Kipker, Professor für IT-Sicherheitsrecht, betont, dass die Eingeständnisse von Microsoft wenig überraschend, aber eindeutig seien: Jetzt stellt sich heraus, dass diese blumigen Werbeversprechen, die Diskussionen um Datengrenzen und teilsouveräne Clouds keine effektiven Schutzmechanismen darstellen", sagte er im Interview mit heise.de und resümiert: „Als US-amerikanisches Unternehmen muss sich Microsoft der US-amerikanischen Jurisdiktion beugen – egal, was die Werbeversprechen sagen."

Ebenda widerspricht Rechtsanwalt Stefan Hessel und erklärt, dass eine europäische Tochtergesellschaft eines US-Cloudanbieters nicht an US-Recht gebunden sei: „ Gemäß Art. 28 Abs. 3 DSGVO dürfen Cloud-Anbieter als Auftragsverarbeiter Daten ausschließlich auf Weisung des Kunden verarbeiten. Eine Ausnahme von diesem Grundsatz gilt nur, wenn sie durch das EU-Recht oder das Recht eines EU-Mitgliedstaats zu einer Verarbeitung verpflichtet sind", lässt sich Hessel von Heise zitieren. Also dürfte demnach Microsoft in Europa gar nicht auf die US-amerikanische Auskunftsersuchen eingehen.

US-Sanktionen setzen Rechtsprinzipien außer Kraft

Erst im Mai diesen Jahres leistete sich Microsoft einen aufsehenerregenden Fall, als das US-Unternehmen den E-Mail-Zugang des Internationalen Strafgerichtshofs (IStGH) in Den Haag vorübergehend sperrte. Anlass war eine Sanktionsmaßnahme der Trump-Regierung gegen einzelne IStGH-Ermittlerinnen, die wegen ihrer Arbeit zu mutmaßlichen US-Kriegsverbrechen in Afghanistan ins Visier geraten waren. Der Zugriff auf dienstliche Kommunikation wurde dabei ohne Vorwarnung unterbunden.

Die Reaktionen aus Europa fielen entsprechend deutlich aus. Microsoft bemühte sich nachträglich um Schadensbegrenzung und versprach, in Zukunft keine Kontensperrungen mehr allein auf Basis von US-Vorgaben vorzunehmen, sondern zunächst rechtliche Optionen zu prüfen. Der Fall illustriert exemplarisch, wie politische Entscheidungen in Washington auch in europäischen IT-Strukturen voll durchgreifen können – selbst dann, wenn die Daten physisch in der EU liegen.

Konsequenzen für Industrie und Verwaltung

Europäische Unternehmen und Behörden müssen erneut abwägen, wie tragfähig ihr Vertrauen in US-Cloudanbieter wie Microsoft, Google oder Amazon ist – besonders bei kritischen Infrastrukturen oder personenbezogenen Daten.

Brüssel reagiert zunehmend ungeduldig. Die EU plädiert für mehr Unabhängigkeit und prüft neue Ansätze, um europäische Cloud-Ökosysteme zu fördern. Projekte wie Gaia-X, die lange im Schatten der großen Hyperscaler standen, könnten dadurch neuen Auftrieb bekommen. So berichtet beispielsweise Nextcloud, die selbst gehostete Open-Source-Cloud-Lösung, seit Jahresbeginn einen verdreifachten Zuwachs, der auf die Bedenken der digitalen Souveränität zurückzuführen ist. (mc)

(ID:50493794)