„Ich vermisse klare Maßnahmen und Richtlinien“

ITD: Herr Zondler, der Europäische Gerichtshof hat die Datenschutzvereinbarung zwischen Europa und den USA gekippt. Für das „Privacy Shield“ gibt es keinen Nachfolger. Was bedeutet das für Unternehmen, die aktuell ihre Daten in die Cloud auslagern?
Mark Zondler: Wer in der Cloud speichert, sollte sich die Anbieter genau anschauen. Leider ist es so, dass die bekannten Clouds fast alle von US-Unternehmen betrieben werden: Amazon, Google, Microsoft und IBM. Das sind alles Firmen, die der US-Gesetzgebung verpflichtet sind. Und genau hier liegt das Problem: Die Herausgabe von Daten ist nach DSGVO nur in sehr engen Grenzen zulässig. Die in den USA geltenden Gesetze sind mit europäischem Verständnis von Datenschutz nicht vereinbar.

Dies ist ein Artikel aus unserer Print-Ausgabe 5/2021. Bestellen Sie ein kostenfreies Probe-Abo.

Bisher wurde über Vereinbarungen wie „Safe-Harbor-Regelung“ und „Privacy Shield“ versucht, den Spagat zwischen den beiden Auffassungen zu schaffen. Beide beruhten auf einem System der Selbstzertifizierung, wonach sich US-Organisationen zu Datenschutzgrundsätzen verpflichten. Der EuGH hat jedoch beide Regelungen gekippt, weil sie keinen ausreichenden Schutz personenbezogener Daten bieten.

ITD: Anbieter wie Google, Microsoft oder Amazon haben inzwischen Rechenzentren in Europa aufgebaut. Inwieweit reicht das, um der DSGVO gerecht zu werden?
Zondler: Es ist egal, wo die Daten sind. Es zählt, wer darauf zugreifen kann und wessen Regeln befolgt werden müssen. US-Unternehmen unterliegen US-Gesetzen – und dort gelten neben Patriot Act und Freedom Act das Cloud Act. Es besagt, dass ein US-Unternehmen den Behörden und Geheimdiensten die gewünschten Daten zur Verfügung stellen muss, egal, wo auf der Welt diese gespeichert sind. Ein CEO hat derartige Anordnungen zu befolgen und muss die Daten herausrücken, auch wenn sie auf einem Server in Frankfurt liegen.

ITD: Seit Corona nutzen immer mehr Firmen Videoformate, etwa in Form von Telefonkonferenzen auch über Ländergrenzen hinaus. Wo stecken hier die Risiken bzgl. des Datenschutzes?
Zondler: Die größten Anbieter solcher Dienste sind US-Unternehmen: Microsoft Teams und Skype, Zoom, Webex, Google und Gotomeeting. Die Berliner Datenschutzbeauftragte hat diese kürzlich wieder untersucht und alle mit einer roten Ampel versehen: „Es liegen Mängel vor, die eine rechtskonforme Nutzung des Dienstes ausschließen.“ Ihre Nutzung ist mit europäischem Datenschutz nicht vereinbar. Das Problem ist, dass Gesprächs- und Bilddaten der Videokonferenzen über weltweit verteilte Server laufen – und dort gespeichert oder aufgezeichnet werden. Da hier nicht die Oma mit den Enkeln plaudert, sondern Unternehmen streng Vertrauliches teilen, wundert mich die Sorglosigkeit, mit der Firmen und Behörden solche Dienste nutzen.

Wenn ich mir zudem die Fortschritte in der Künstlichen Intelligenz (KI) anschaue und sehe, welche Informationen Dritte aus diesen Videokonferenzen gewinnen können, überrascht mich, wie zurückhaltend Aufsichtsbehörden bisher agieren. Manche warnen zwar vor drohenden Bußgeldern, aber ich vermisse klare Maßnahmen und Richtlinien. Dabei hat der EuGH vor acht Monaten das Privacy Shield gekippt und der Zusammenarbeit mit US-Firmen einen Riegel vorgeschoben.

ITD: Wie könnte eine europäische Lösung aussehen, um nicht komplett auf die Cloud-Infrastruktur der großen Anbieter angewiesen zu sein?
Zondler: Der EuGH hat eine Kooperation mit den US-Konzernen nicht per se ausgeschlossen. Aber die Umsetzung in der Praxis gestaltet sich sehr kompliziert: Ein US-Cloud-Anbieter könnte Daten europäischer Bürger speichern, wenn diese verschlüsselt sind und der Schlüssel nur der Person selbst bzw. europäischen Unternehmen bekannt ist. Das US-Unternehmen somit die Daten gar nicht entschlüsseln kann.

Daran scheitert es aber, denn meist wird nur der Transport bis ins Rechenzentrum verschlüsselt und die Daten liegen unverschlüsselt auf den Servern oder in den Datenbanken des US-Cloud-Anbieters. Oder der verschlüsselt zwar, kennt aber auch die Schlüssel. Dann besteht nur eine Scheinsicherheit. Ich lese regelmäßig, dass „alles sicher ist, weil ja alles verschlüsselt ist“, aber die Frage ist nicht nur ob Daten verschlüsselt werden, sondern wer entschlüsseln kann.

Aber es gibt doch Treuhändermodelle wie „Microsoft Cloud Deutschland“, das Microsoft und die Deutsche Telekom bieten. Das Modell ist gescheitert. Die Microsoft-Anwendungen wurden in einem Rechenzentrum der Deutschen Telekom gehostet. Microsoft muss zwar Daten an die Geheimdienste liefern, kann das aber nicht, weil nur die T-Systems an die Daten kommt. Soweit die Theorie. Ob das in der Praxis sauber getrennt werden kann oder ob Microsoft nicht doch Wege hätte, an die Daten zu kommen, weiß niemand. Letztlich hat das aber sowieso nicht funktioniert und das Angebot wird zu Ende Oktober 2021 eingestellt. Alle Daten müssen in Rechenzentren umziehen, die Microsoft betreibt.

ITD: Ein weiterer Ansatz ist, dass wir in Europa eigene, wettbewerbsfähige Cloud-Angebote aufbauen. Was halten Sie davon?
Zondler: Mit Gaia-X gibt es eine Initiative, welche Wirtschaft, Wissenschaft und Verwaltung aus Deutschland, Frankreich und anderen EU-Ländern vorantreiben. Eine gute Initiative. Allerdings ist fraglich, ob eine solche Organisation mit vielen Vertretern überhaupt in die Pötte kommt. Ein paar gut finanzierte Firmen, die von visionären Unternehmern geführt werden und sich der Mission einer europäischen Cloud-Infrastruktur verpflichten, wären mir lieber.

ITD: Aber diese Unternehmen sind aktuell nicht zu finden, oder?
Zondler: Es scheint so. Mich besorgt, dass wir in Europa zu wenige Unternehmen haben, die Cloud-Infrastruktur bereitstellen und Software dafür entwickeln. Die Branche wird durch US-Konzerne dominiert. Wir sollten uns fragen, welche Risiken wir eingehen, wenn wir unsere Infrastruktur in die Hände von Unternehmen geben, die an die Gesetze anderer Länder gebunden sind. Würden wir unsere Energie- und Wasserversorgung, Bahn- und Straßennetz, Telefonleitungen und Fernsehsender, unsere Verwaltung und Streitkräfte vollständig unter die Kontrolle anderer Staaten geben? Genau das tun wir aber mit unseren Daten und IT-Anwendungen. Und viele Unternehmen und Verwaltungen bauen darauf Prozesse auf. Welches Machtgefüge entsteht, wenn zwei oder drei US-Giganten den Großteil der Informationsinfrastruktur Deutschlands stellen und kontrollieren? Ich bin überzeugt, dass es ein großer strategischer Fehler ist und langfristig unsere Souveränität und Freiheit massiv bedroht.

Bildquelle: Snapview