- Anzeige -


Sie sind hier: Startseite » Fachartikel » Grundlagen

CLOUD Act auch für europäische Cloud-Provider?


Schatten über der DSGVO: Welche Fragen der CLOUD Act für europäische Unternehmen aufwirft
Kommt es zu einer Anfrage nach in Europa gespeicherten Datensätzen, könnten Cloud-Anbieter nur eines der beiden Gesetze – CLOUD Act oder DSGVO – einhalten

- Anzeigen -





Nahezu zeitgleich mit der DSGVO ist der US-amerikanische CLOUD Act in Kraft getreten. In der Praxis geraten damit zwei Rechtsauffassungen unvereinbar miteinander in Konflikt. Nicht nur für Cloud-Anbieter, sondern auch für Unternehmen, die Cloud Computing-Anwendungen nutzen, könnte dies rechtliche Schwierigkeiten mit sich bringen. Anliegen des "Clarifying Lawful Overseas Use of Data" (CLOUD) Act ist es, die US-amerikanische Strafverfolgung zu erleichtern, indem der Zugriff auf im Ausland gespeicherte Kommunikationsdaten von Verdächtigen vereinfacht wird. Was bislang im Rahmen von Rechtshilfeabkommen zwischen den Regierungsbehörden verschiedener Länder im Laufe mehrerer Monate abgewickelt wurde, soll nun schneller möglich sein.

Gemäß CLOUD Act können US-Ermittlungsbehörden Daten direkt von Unternehmen wie beispielsweise Microsoft, Google oder Amazon anfordern. Eingeschlossen sind damit auch Daten, die auf Servern im Ausland gespeichert sind. Betroffen davon sind nicht nur Verkehrsdaten sondern auch Inhaltsdaten. Eine richterliche Anordnung benötigen die Ermittler für die Anforderung nicht. Der Cloud-Anbieter wiederum ist nicht dazu verpflichtet, die Betroffenen über die Herausgabe der Daten zu unterrichten.

Dies steht im Widerspruch zu den Bestimmungen der Datenschutzgrundverordnung. Kommt es zu einer Anfrage nach in Europa gespeicherten Datensätzen, könnten Cloud-Anbieter nur eines der beiden Gesetze – CLOUD Act oder DSGVO – einhalten. Zwar macht der CLOUD Act die Einschränkung, dass die Herausgabe von Daten nur erfolgen soll, sofern dadurch keine nationalen Gesetze gebrochen werden. Für diese Fälle sollten bilaterale Abkommen geschlossen werden, die die Art des Zugriffs weiter regeln sollen. Jedoch befinden sich die entsprechenden Verhandlungen zwischen der Europäischen Union und den Vereinigten Staaten erst am Anfang. Somit herrscht gegenwärtig rechtliche Unsicherheit.

Die Tatsache, dass die großen Anbieter geschlossen den CLOUD Act begrüßt hatten, beunruhigt europäische Datenschützer zusätzlich und veranlasst dazu, die aktuellen Auswirkungen auf die DSGVO genauer zu evaluieren. Neben der unmittelbaren Verletzung der durch die DSGVO geschützten Persönlichkeitsrechte bringt der CLOUD Act theoretisch auch Auswirkungen für Unternehmen mit sich, die die Cloud nutzen.

CLOUD Act kann auch für europäische Cloud-Provider gelten
Verarbeiten Unternehmen personenbezogene Daten in der Cloud, müssen sie sicherstellen, dass dabei das in der Europäischen Union geforderte Datenschutzniveau eingehalten wird. Dementsprechend ist es in europäischen Unternehmen Best Practice, sich für einen Cloud-Anbieter mit Rechenzentren in der EU zu entscheiden.

Nun ist damit allerdings nicht mehr automatisch sichergestellt, dass der geforderte Standard erfüllt ist. Warum? Weil der CLOUD Act sich nicht auf Firmen mit Hauptsitz in den USA beschränkt. Er bezieht sich auf Unternehmen weltweit, die eine Niederlassung in den USA unterhalten oder dort einer Geschäftstätigkeit nachgehen.

Damit ist der Blick auf den Unternehmenssitz und den Verarbeitungsstandort eines Unternehmens nicht mehr ausreichend, um seiner Sorgfaltspflicht im Rahmen der DSGVO nachzukommen. Unternehmen, die die Verarbeitung personenbezogener Daten in der Cloud planen, müssten daher eine noch größere Sorgfalt in der Auswahl ihrer Cloud-Anbieter walten lassen und gegebenenfalls ihre Verträge mit ihnen entsprechend anpassen. Beispielsweise wäre es denkbar, den Cloud-Anbieter vertraglich zu verpflichten, den Nutzer über eine Expansion in die USA und damit in den Gültigkeitsbereich des CLOUD Acts, zu informieren.

Vertraulichkeit in Gefahr
Vor dem Hintergrund des CLOUD Acts sehen Datenschützer außerdem die Nutzung populärer Cloud-Anwendungen mit Sorge, sofern davon personenbezogene Daten betroffen sind. Stellen US-Behörden eine Anfrage zu bestimmten Personendaten bei einem großen Cloud-Anbieter, besteht theoretisch die Gefahr, dass die mit der betroffenen Person verbundenen, in einem Unternehmen verarbeiteten Daten aus Cloud-Anwendungen herausgegeben werden.

Da ein Zugriff durch US-Behörden auf diese Daten nicht ausgeschlossen werden kann, ist auch hier womöglich das geforderte Datenschutzniveau nicht erfüllt und die Persönlichkeitsrechte nicht ausreichend gewahrt. Demzufolge begehen Unternehmen nach DSGVO-Lesart einen Verstoß: Indem sie sich für Cloud-Anwendungen eines US-Anbieters entscheiden, nehmen sie das Risiko eines unberechtigten Zugriffs Dritter in Kauf. Ihrer Verpflichtung zu einer Datenschutz-Folgenabschätzung wären sie dementsprechend nicht ausreichend nachgekommen.

Zero Trust-Policy für unternehmenseigene Daten
Angesichts der laufenden Verhandlungen zwischen der Europäischen Union und den USA erscheint es zwar unwahrscheinlich, dass Cloud-Nutzer gegenwärtig auf Grund der eben erläuterten Szenarien Konsequenzen im Zuge der DSGVO befürchten müssen.

An der zu Grunde liegenden Problematik ändert dies allerdings nichts: Die DSGVO verlangt von Unternehmen vollständige Kontrolle über die von ihnen erhobenen Daten und zwar über die gesamte Verarbeitungskette hinweg. Der CLOUD Act, der sich über diese Ebene hinwegsetzt, unterminiert diese Kontrollfunktion. Für Unternehmen steht außerdem die Frage im Raum, inwieweit betriebsinterne Informationen von den Zugriffsrechten des CLOUD Act beeinträchtigt sein könnten.

Sollten im Zuge von Ermittlungen auch Unternehmensdaten an die Behörden übergeben werden, wüssten die betroffenen Unternehmen darüber nicht Bescheid. Ebenso wenig hätten sie Kenntnis darüber, ob, wo und wie lange ihre Daten aufbewahrt werden oder ob noch weiteren Behörden darauf Zugriff ermöglicht wird.

Derartige Szenarien führen vor Augen, dass künftig in der Cybersecurity-Strategie von Unternehmen nicht nur die Sicherheit von Daten, sondern auch die Kontrolle über diese einen hohen Stellenwert einnimmt. Eine Zero Trust-Policy, deren Maßnahmen auf Datenebene ansetzen, ist daher bei der Nutzung von Cloud-Anwendungen langfristig der richtige Weg. Unternehmensdaten müssen sowohl während der Übertragung als auch in den Cloud-Speicherorten zuverlässig gesichert und verschlüsselt werden. Ergänzend dazu ist für ein möglichst hohes Sicherheitsniveau ein angemessenes Schlüsselmanagement ratsam. Alle Keys sollten unternehmensintern gehostet werden. Wer auf Nummer sicher gehen möchte, kann diese außerdem on-Premises in einem Hardware-Sicherheitsmodul verwahren. Auf diese Weise erlangen Unternehmen nicht nur Kontrolle über ihre Daten zurück. Sie erfüllen auch die Sicherheitsvorgaben im Sinne der DSGVO: Werden verschlüsselte Daten entwendet, sind sie für Unbefugte wertlos. (Bitglass: ra)

eingetragen: 01.09.19
Newsletterlauf: 24.09.19

Bitglass: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>



Meldungen: Grundlagen

  • So hilft die KI bei der Datenanalyse

    Die Elektromobilität wird dazu führen, dass Fahrzeuge und Infrastrukturen riesige Datenströme generieren. In dieser Daten-Goldgrube verstecken sich viele Hinweise darauf, wie Unternehmen ihre Angebote und Produkte verbessern, aber auch die Kundenzufriedenheit steigern können. Wer den Datenschatz heben möchte, benötigt eine übergreifende Datenplattform und KI-Lösungen mit Maschine Learning-Komponenten. In den Medien generiert das Thema Elektromobilität derzeit interessante Schlagzeilen. Daimler kündigte an, ab 2021 mit der Produktion von autonom fahrenden Taxis zu starten. Auch Volkswagen steht unter Strom, denn die Wolfsburger wollen in den kommenden zehn Jahren 70 neue vollelektrische Elektrofahrzeuge entwickeln. Dazu meldet nun auch Lidl, dass der Lebensmitteldiscounter auf seinen Parkplätzen künftig Ladestationen für Elektrofahrzeuge installieren wird, wie es schon andere Handelsketten, beispielsweise Aldi, Rewe und Ikea, vormachen. Und im nächsten James Bond-Film wird der Superagent vermutlich mit einem Elektrofahrzeug von Aston Martin auf Gangsterjagd gehen.

  • Funktionierende DevOps-Kultur zu etablieren

    DevOps mit grundlegender IT-Modernisierung verbinden: Weitreichende Veränderungen wie die digitale Transformation oder neue Regularien wie die DSGVO wurden von vielen Unternehmen zum Anlass genommen, die eigene IT-Architektur von Grund auf zu überdenken. Die Ziele dabei waren und sind im Prinzip immer eine flexiblere IT, die schnell auf sich ändernde Umstände reagieren kann - eine der Kernkompetenzen von DevOps. Es ist also überaus sinnvoll, DevOps als eine der zentralen Säulen der neuen IT zu etablieren und sich dadurch kürzere Softwareentwicklungs- und Bereitstellungszyklen zu sichern.

  • Cloud-Big Data-Projekte: Exponentielles Wachstum

    Für IT-Verantwortliche wird es immer wichtiger, mit der Cloud den Einsatz innovativer Technologien zu unterstützen. Cloud Cpmputing-Services für Machine Learning, Künstliche Intelligenz, Blockchain oder Serverless Computing sind heute mit wenigen Mausklicks abrufbar. Damit beschleunigt sich die Umsetzung neuer Geschäftsmodelle ebenso wie die Produktentwicklung. Warum ein organisationsweites Datenmanagement für den Cloud-Erfolg wichtig ist, zeigt der folgende Beitrag. In der Studie "Multi-Cloud in deutschen Unternehmen" berichten die Analysten von IDC, dass 68 Prozent der Unternehmen bereits Cloud Computing-Services und -Technologien für mehrere Workloads verwenden.

  • Multiple Clouds nicht gleich Multi-Cloud

    Multi-Cloud ist derzeit einer der heißesten Trends für Unternehmen. Die Verwendung mehrerer Clouds gleichzeitig, kann viele Vorteile bieten. Richtig eingesetzt kann man mit der richtigen Kombination von Clouds unter anderem die Kosten für Infrastruktur senken, die Präsenz von Daten und Workloads in verschiedenen Regionen verbessern oder die Herstellerbindung an Cloud Computing-Anbieter vermeiden. Unternehmen, die den Ansatz Multi-Cloud hingegen falsch verstanden haben, kann dieses Missverständnis viel Geld kosten. Denn eine fehlgeleitete Multi-Cloud-Strategie hat das Potenzial, Anwendungen, Teams und Budgets unnötig aufzusplitten.

  • So gelingt der Umzug in die Cloud

    Geblendet von den zahlreichen Vorteilen, wollen viele Unternehmen zumindest Teile ihrer IT in die Cloud migrieren. Der Wunsch dies so schnell wie möglich zu tun ist verständlich, aber in den meisten Fällen völlig unrealistisch. Entscheidungsträger sollten neben den offensichtlichen Vorteilen auch die Zeit in Betracht ziehen, die nötig ist diese zu erreichen. Hierbei kann das Konzept Time To Value (TTV) helfen den richtigen Zeitpunkt für den Umzug zu ermitteln. Die Vorteile Cloud Computing-Technologien zu nutzen sind mittlerweile gut dokumentiert. Einer der wichtigsten ist die mit ihr verbundene Flexibilität, die es erlaubt nur für die Leistung zu bezahlen, die auch gebraucht wird. Die Entscheidung pro Cloud scheint somit auf der Hand zu liegen. Doch der Teufel steckt bekanntlich im Detail und trotz des Willens vieler Organisationen, mehr auf die Cloud zu setzen, ist ein Umzug über Nacht einfach nicht möglich sondern muss von langer Hand geplant sein.

  • Bedarf an schnellem Service-Management

    "Die Fabrik der Zukunft wird nur noch zwei Mitarbeiter haben, einen Mann und einen Hund. Der Mann ist da, um den Hund zu füttern und der Hund, um den Mann davon abzuhalten, Geräte zu berühren." Wie weit wir aktuell noch von dieser im Jahr 1990 geäußerten Vision von Warren Bennis entfernt sind, wird immer wieder versucht vorherzusagen. Schon den jetzigen technologischen Stand vor fünf Jahren präzise vorauszusehen, wäre aber nahezu unmöglich gewesen. In Bezug auf IT-Service Management (ITSM) zeichnet sich meiner Ansicht nach bereits ab, was kurz- und mittelfristig auf Unternehmen zukommen wird. Zum Beispiel werden neue Technologien wie Künstliche Intelligenz und Machine Learning noch stärker in den Mittelpunkt rücken, während eine ansprechende Benutzererfahrung und die Minimierung der Total Cost of Ownership weiterhin wichtig bleiben werden. Folgende fünf Themen sollten IT-Verantwortliche im Auge behalten und prüfen, ob ihre Service Management-Infrastruktur dafür gewappnet ist.

  • Freiheit für die Cloud!

    In der Ökonomie ist ein freier Markt ein idealisiertes System, in dem die Preise für Waren und Dienstleistungen durch Angebot und Nachfrage bestimmt werden. Die Kräfte von Angebot und Nachfrage in einem freien Markt sind per Definition frei von jeglichen Eingriffen einer Regierung, eines preisgebenden Monopols oder einer anderen Behörde. Doch wie jeder Wirtschaftsstudent weiß, führt eine freie Marktwirtschaft, wenn sie unreguliert ist, allzu oft zu einem Monopol oder zumindest einem Oligopol, das die Innovation einschränkt und die Preise erhöht, da der Kunde weniger Wahlmöglichkeiten hat. In der Praxis sind die Märkte für alle Arten von Produkten und Dienstleistungen in der Tat selten ideal.

  • Überlegt zum Sprung in die Wolke ansetzen

    Bis 2025 wird die Cloud-Nutzung so fest im Geschäftsalltag verankert sein, dass es Wichtigeres gibt, als über die Cloud zu reden. Diese Prognose teilt ein Fünftel der deutschen IT-Entscheider in einer aktuellen Umfrage, die der amerikanische Softwareanbieter Citrix durchgeführt hat. Noch besteht viel Redebedarf. Zum Beispiel, ob sich eine Private, Hybrid oder Multi-Cloud am besten eignet. Das hängt vom Branchenumfeld, den Geschäftsaktivitäten, Geschäftszielen, IT-Anforderungen und -Budget sowie dem IT-Know-how der Belegschaft ab. So kann es den weltweiten Vertrieb einer Firma verbessern, wenn allen Vertriebsmitarbeitern ein Reporting-Tool zur Verfügung steht. In dem Fall ist es sinnvoll, diesen Workload in der Cloud zu betreiben. Einrichten lässt sich zudem ein On-Premises-Arbeiten, in dem die Vertriebsprofis die eigentlichen Reports lokal erstellen und im jeweiligen Rechenzentrum am Standort ablegen.

  • Patienten engmaschiger überwachen

    Das Internet der Dinge (Internet of Things, IoT) entwickelt sich mehr und mehr zur nächsten industriellen Revolution. Zahlreiche Branchen "springen" auf "den Zug auf". Die Gesundheitsbranche bildet hier keine Ausnahme. Innovationen bei medizinischen Geräten, Medikamenten, Patientenüberwachung und vielem mehr sprießen wie die sprichwörtlichen Pilze aus dem Boden. Intelligente Technologien arbeiten effizient und genau, und das kann im wahrsten Sinne des Wortes lebensrettend sein.

  • Neue Datenverkehrsmuster im Entstehen

    Der rasante technologische Wandel und die damit verbundene Disruption von Geschäftsmodellen führen dazu, dass multinationale Konzerne in ihren wichtigsten Märkten zunehmend agiler auftreten müssen. Jedoch fällt es ihnen aufgrund des expansiven Wachstums ihrer IT-Ökosysteme schwer, wirklich agil zu operieren - insbesondere dann, wenn sie durch eine veraltete IT-Infrastruktur ausgebremst werden. Cloud-Deployments und die massive Zunahme von Anwendungen und Endgeräten erhöhen den Druck auf die Verantwortlichen, die IT-Landschaft zu modernisieren.