Überblick über die Cybersicherheitslage gefährdet

ITD: Mitte Januar sorgte die österreichische Datenschutzbehörde für einen Paukenschlag – worum genau ging es dabei?
Emily Hancock: In den vergangenen Monaten entschieden mehrere europäische Be­hörden, dass die Nutzung von Cloud-An­bietern mit Sitz in den USA nicht den Anforderungen des Schrems-II-Urteils des EuGH entspricht. Dazu zählen auch die jüngsten Entscheidungen der österreichischen Datenschutzbehörde und der französischen Commission Nationale de l’Informatique et des Libertés (CNIL). In diesen heißt es, dass die Verwendung von Google Analytics in bestimmten Fällen rechtswidrig ist, weil der Dienst personenbezogene Daten aus der EU in die Vereinigten Staaten übermitteln würde. In den Entscheidungen wurde argumentiert, dass es sich auch bei IP-Adressen um personenbezogene Daten handelt. Die zusätzlichen Maßnahmen, die Google ergriffen hatte, reichen laut Gesetzesrahmen nicht aus.

Während die europäische Datenschutz-Grundverordnung die Verarbeitung personenbezogener Daten außerhalb der EU prinzipiell erlaubt, hat der Fall Schrems II solche Übermittlungen erschwert: Der EU-US-Datenschutzschild wurde für ungültig erklärt. Die Verarbeitung personenbezogener Daten aus der EU in den USA erfordert gemäß den EU-Standardvertragsklauseln nun zusätzliche Maßnahmen.

ITD: Inwiefern kann dieses Urteil für viele Websites und das Internet generell zum Problem werden?
Hancock: Die Auswirkungen werden ersichtlich, wenn wir uns genauer ansehen, wie das Internet eigentlich funktioniert: Jede Interaktion beruht auf IP-Adressen. Die jüngsten Entscheidungen bekräftigen den Gedanken, dass IP-Adressen – selbst, wenn sie gekürzt werden – personenbezogene Daten sind. Das Problem dabei ist, dass IP-Adressen für alle Arten von Netzinformationen verwendet werden – nicht nur für die Übermittlung personenbezogener Daten. Eine IP-Adresse könnte beispielsweise auch für einen Rechner stehen, der für das Versenden von bösartigem Code verantwortlich ist und darauf abzielt, Nutzerdaten wie etwa Kredit­kartennummern oder Gesundheitsdaten und vieles mehr zu stehlen. 

Wenn die Aufsichtsbehörden die DSGVO im Sinne von Schrems II auslegen, sodass EU-IP-Adressen nicht in Länder außerhalb der EU übertragen werden dürfen – selbst wenn Sicherheits- und organisatorische Zusatzmaßnahmen vorhanden sind –, riskieren wir, den Überblick über das globale Geschehen von Cyber­sicherheitsbedrohungen zu verlieren. 

Das schadet genau den Personen, die die Datenschutzbehörden zu schützen versuchen. Sind Unternehmen gezwungen, Daten nach Ländern zu kategorisieren oder die Verarbeitung über Ländergrenzen hinweg zu verhindern, wird es auch schwieriger, auf zeitkritische Sicherheitsverletzungen wie den jüngsten Log4j-Vorfall zu reagieren. Folglich stehen die Unternehmen vor der Herausforderung, auf diese Entscheidungen zu reagieren, und suchen nach neuen Instrumenten.

ITD: Wie können US-Anbieter im Bereich „Cloud-Lösungen“ es technisch ermöglichen, dass europäische Daten auch in der EU bleiben?
Hancock: Wir hoffen auf ein neues Abkommen zur grenzüberschreitenden Datenübermittlung zwischen der EU und den USA. Europäische Unternehmen müssen und wollen ihre personenbezogenen Daten in der EU behalten. Einige Branchen, wie etwa das Gesundheits-, Finanz- und Rechtswesen, haben möglicherweise zusätzliche Anforderungen. Aus diesem Grund hat Cloudflare etwa die Data Localization Suite entwickelt. Sie gibt unseren Kunden die Kontrolle darüber, wo ihre Daten geprüft und gespeichert werden, und bietet jenen eine Lösung, die vermeiden möchten, dass Daten in ein Nicht-EU-Land übertragen werden. 

Um dies umzusetzen, gibt es mehrere Wege: So werden z.B. DDoS-Angriffe in dem Rechenzentrum, das dem Endbenutzer am nächsten liegt, erkannt und abgewehrt. Zudem entschlüsseln Rechenzentren innerhalb der bevorzugten Region TLS und wenden HTTP-Dienste wie WAF, CDN und Cloudflare Workers an. Auch Keyless SSL und Geo Key Manager speichern private SSL-Schlüssel nur in einer benutzerdefinierten Region. Mit der enthaltenen Customer-Metadata-Boundary-Komponente haben wir einen Weg gefunden, personengebundene, identifizierbare Endnutzer-Protokolldaten in der EU zu halten, wenn Kunden diese Option wünschen. Die Dienste sind nach der Norm ISO 27701 zertifiziert und erfüllen die Anforderungen der DSGVO.

Dies ist ein Artikel aus unserer Print-Ausgabe 4/2022. Bestellen Sie ein kostenfreies Probe-Abo.

Über diese Tools hinaus sind wir auch nach wie vor fest davon überzeugt, dass es Schutzmaßnahmen gibt, die Datenübertragungen gemäß den EU-Standardvertragsklauseln ermöglichen – und mit der Schrems-II-Entscheidung vereinbar sind. Wir haben viele davon als vertragliche Verpflichtungen in unseren Datenverarbeitungszusatz aufgenommen. Gemeinsam können wir so ein Internet aufbauen, das die Privatsphäre eines jeden Einzelnen respektiert, den Absichten hinter vielen regulatorischen Entscheidungen gerecht wird – und gleichzeitig Unternehmen weltweit unterstützt.

Bildquelle: Cloudflare