Wenn Unternehmen aus allen Wolken fallen

Die Giganten unter den US-Cloud-Anbietern erfreuen sich immer größerer Beliebtheit. Mit dem Vordringen von Cloud-Technologien und ihren Vorteilen in puncto Skalierbarkeit und Flexibilität schieben immer mehr Unternehmen ihre Workloads in die Wolken der Hyperscaler. Hinzu kommt, dass viele US-Anbieter auch Homeoffice-Lösungen im Portfolio haben, sodass sich durch Corona die Abhängigkeit noch weiter verstärkt hat. Gleich zu Beginn der Pandemie sind etwa die Nutzerzahlen von Microsoft Teams, Google Meet oder Zoom weltweit nach oben geschnellt.

Blindes Vertrauen

Fakt ist, deutsche Unternehmen, die auf die Systeme und Cloud-Dienste der großen amerikanischen An­bieter setzen, machen sich nicht genug Gedanken ­darüber, wie sicher personenbezogene Daten und Betriebsgeheimnisse auf US-Servern sind. Im Gegenteil, viel zu viele Firmen drücken in blindem Vertrauen beide Augen zu, wenn es um die DSGVO-Konformität und Datensouveränität im eigenen Betrieb geht. Oder sie lassen sich von komplexen Datenschutzerklärungen täuschen, deren Versprechen oft nicht mehr als wohlformuliertes Marketing sind. Einige Hintertüren lassen sich einfach nicht schließen, weshalb sich die Betriebe massive Haftungs- und Reputationsrisiken ins Haus holen.

Sehr lapidar formuliert, werden die Daten beim Cloud Computing nicht in irgendeiner Wolke abgelegt, sondern auf Servern in einem Datenzentrum aus Beton und Stahl gespeichert. Die juristische Handhabung dieser Daten hängt davon ab, wo sich das Datenzen­trum physisch befindet. Die Rechtsprechung macht jedoch nicht an Landesgrenzen halt: Mit dem US Cloud Act haben amerikanische Behörden bei heimischen Anbietern auch auf Standorte außerhalb des eigenen Territoriums Zugriff – und damit auf sensible Daten von EU-Bürgern. Seit der Europäische Gerichtshof im Juli 2020 das „Privacy Shield“-Abkommen kassiert hat, ist es zudem amtlich: Die Nutzung amerikanischer Dienste ist nicht mit europäischem Datenschutzrecht vereinbar.

Der Schutz persönlicher Daten ist aber nur die eine Hälfte des Problems, die andere ist die Datensouveränität. Der US Cloud Act legitimiert amerikanische Behörden, die Herausgabe sämtlicher in amerikanischen Cloud-Diensten gespeicherten Daten eines Unternehmens zu verlangen. Dadurch verlieren Firmen de facto die Hoheit über ihre Daten und damit verbunden über ihr geistiges Eigentum, also insbesondere über ihre Geschäfts- und Betriebsgeheimnisse. Sie laufen Gefahr, Opfer von Wirtschaftsspionage zu werden. Dass ­Microsoft seine Office-Anwendungen in absehbarer Zeit komplett in die Cloud verlagern wird, macht das Problem noch größer.

Die Gesetzeslage in den USA ist klar, die Auskunftsinteressen von Regierungsbehörden übertrumpfen die Geschäftsinteressen von Unternehmen. Über die Durchgriffsbefugnisse der Behörden in China auf Dienste wie die Alibaba Cloud muss man erst gar nicht spekulieren, Unternehmen haben schlicht keine ­verlässliche Aussicht auf Rechtsschutz. Gleichzeitig dürfte auch die jüngste Ankündigung von Microsoft nicht mehr als ein Marketingversprechen sein. Der Konzern ist in die Offensive gegangen und will seinen Kunden künftig ermöglichen, all ihre Daten innerhalb Europas zu verarbeiten und zu speichern. Diese Zusage einer datenschutzkonformen Verarbeitung gilt für alle zentralen Cloud-Dienste sowie den damit verbundenen Kunden-Support. Ob dieses Vorhaben gelingen wird, bleibt abzuwarten.

Datenschutz von Haus aus

Eingriffe in die eigene Datenhoheit und Verstöße gegen die DSGVO lassen sich gut vermeiden, es braucht nur einen guten Cloud-Anbieter aus dem europäischen Raum – und Open-Source-Software, die Datenschutz und Datensouveränität praktisch von Haus aus gewährleistet. Ihr Quellcode ist frei verfügbar, so dass sich alle selbst davon überzeugen können, dass eine Software keine Hintertüren enthält, über die Daten an unbefugte Dritte abfließen können. Ein weiterer großer Vorteil: Da quelloffene Software konsequent auf offene Standards setzt und individuell angepasst und weiterentwickelt werden kann, entstehen keine Herstellerabhängigkeiten.

Dies ist ein Artikel aus unserer Print-Ausgabe 12/2021. Bestellen Sie ein kostenfreies Probe-Abo.

Längst arbeiten namhafte Open-Source-Anbieter an einer Integration ihrer Anwendungen, um in naher Zukunft Lösungen aus einem Guss und damit eine echte Alternative mit vergleichbarer Nutzerfreundlichkeit anbieten zu können. Bereits heute ist es einfach möglich, die Cloud-Dienste der Hyperscaler einzusetzen, ohne dabei sensible Daten in Gefahr zu bringen und Datenschutzverstöße zu riskieren. Mit einer Open-Source-Lösung wie der von Owncloud, die als Private Cloud in Azure betrieben wird, anstatt Onedrive und Sharepoint als zentralen Datenspeicher zu nutzen, kann man beispielsweise mit Microsoft-Office-Dateien arbeiten, ohne sie dabei für den Konzern lesbar zu ­machen.

Datenautarkie

Europa wird seine hohen Standards in Sachen „Datenschutz“ und „Datensouveränität“ nur dann be­wahren können, wenn es eine gewisse Autarkie auf dem digitalen Markt erreicht. Dazu müssen verstärkt Rahmenbedingungen geschaffen werden, die die ­Entwicklung heimischer IT-Lösungen, die mit den Diensten von Übersee konkurrenzfähig sind, vorantreiben. Die Herausforderung, ohne die US-Giganten auszukommen, ist nicht so groß wie viele denken – es gibt genügend gute Alternativen.

Bildquelle: Getty Images / iStock / Getty Images Plus