Datentreuhand als Abwehrmittel gegen NSA und Co.?

Fünf rechtliche Aspekte zur Microsoft-Cloud

Ab dem zweiten Halbjahr 2016 sollen die neuen Cloud-Dienste von Microsoft stufenweise in Deutschland ausgerollt werden, wobei Azure, Office 365 und CRM online dann ausschließlich aus deutschen Rechenzentren der T-Systems heraus betrieben werden. Mit der „deutschen Cloud“ versprechen beide Anbieter deutschen Kunden die volle Kontrolle über ihre Daten und damit letztlich auch Abhilfe gegen den Zugriff von ausländischen Behörden.

  • Dr. Michael Rath, Fachanwalt für Informationstechnologierecht und Partner der Luther Rechtsanwaltsgesellschaft mbH

  • Nicki Borell, Managing Consultant bei Experts Inside

*Die Autoren Dr. Michael Rath, Fachanwalt für Informationstechnologierecht und Partner der Luther Rechtsanwaltsgesellschaft mbH mit Sitz in Köln, und Nicki Borell, Managing Consultant bei Experts Inside, beleuchten die rechtlichen Aspekte der neuen deutschen Cloud von Microsoft.

I.  Europäisches Datenschutzrecht vs. US-Recht

Nicht zuletzt aufgrund der Entscheidung des EuGH zum Safe-Harbor-Abkommen und des noch anhängigen „Microsoft Ireland Case“ ist die Nachfrage nach einer deutschen Cloud offenbar groß: Laut der KPMG-Bitkom-Studie „Cloud-Monitor 2015“ entspricht ein nationales Microsoft-Angebot den Wünschen der Kunden, denn 83 Prozent der deutschen Unternehmen erwarten, dass ihr Cloud-Anbieter seine Rechenzentren ausschließlich in Deutschland betreibt. Das rechtliche Novum dieser Cloud: Es wird in dem neuen Modell nicht nur (ausschließlich) Rechenzentren und Datenleitungen in Deutschland geben, die (nur) durch einen deutschen Provider betrieben werden, sondern auch einen deutschen „Datentreuhänder“. Hintergrund: Unter bestimmten Umständen können US-Provider wie Microsoft verpflichtet werden, auch die in europäischen Rechenzentren gespeicherten Daten an US-Behörden herauszugeben.

II. Konzept für eine sichere „deutsche Cloud“

Die europäische Tochtergesellschaft Microsoft Irland Ltd. hat europäischen Kunden bereits bisher die Möglichkeit gegeben, durch den Abschluss von Zusatzverträgen die Datenverarbeitung im Rahmen ihrer Cloud-Produkte über die EU-Standardvertragsklauseln oder das Safe-Harbor-Abkommen zu legitimieren. Die Möglichkeit der ausschließlichen Datenverarbeitung in Rechenzentren innerhalb der Europäischen Union (für Azure insbesondere in Irland und den Niederlanden) bestand ebenfalls schon. Nun haben die Redmonder für die „deutsche Cloud“ verschiedene technische und vertragliche Neuerungen eingeführt.

III. Die neue Cloud aus technischer Sicht

Gemäß dem neuen Konzept befinden sich – technisch gesehen – sämtliche Kundendaten und Systeme in den Rechenzentren Magdeburg (Germany Northeast) und Frankfurt/Main (Germany Central). Zwischen beiden Rechenzentren erfolgt eine Spiegelung, um eine Notfallwiederherstellung zu ermöglichen. Zudem besteht zwischen den Rechenzentren ein eigenständiges deutsches, vom öffentlichen Internet getrenntes Datennetzwerk. Sogenannte „Role Based Access Control“-Tools (RBAC) kontrollieren dabei den  Zugriff auf Kundendaten, während Microsoft-Mitarbeiter keinerlei administrative Top-Level-Rechte haben.
Selbst im Rahmen von Wartung und Support sowie zur Installation von Software-Updates muss der Zugriff vom deutschen Datentreuhänder zugelassen werden. Dabei wird, basierend auf dem RBAC-Konzept, nur Zugriff auf die explizit betroffenen Komponenten wie z.B. betroffene Postfächer, Server oder andere Dienste gewährt. Das Rollenkonzept regelt dabei auch, ob lesende, teilnehmende oder administrative Rechte erteilt werden. Im Regelbetrieb hat Microsoft also keinerlei Zugriff auf Kundendaten und die dazugehörigen Systeme. Nur im Einzelfall werden zeitlich befristet Rechte gewährt. Die Rechtegewährung nimmt dabei einzig der Datentreuhänder vor. Der Zugriff auf Kundendaten wird im Bedarfsfall protokolliert und in einem Logbuch festgehalten, auf das Microsoft ebenfalls keinen Zugriff hat.

Ein weiterer Aspekt betrifft die Absicherung des Datenverkehrs innerhalb und den Datenabgleich zwischen beiden Rechenzentren. Die komplette Kommunikation ist SSL/TLS verschlüsselt. Die dazu benötigten Zertifikate werden nicht von Microsoft selbst (und auch nicht von dem Datentreuhänder T-Systems) ausgestellt. Dies geschieht durch einen weiteren unabhängigen Partner. So wird zusätzlich sichergestellt, dass auch der Datenverkehr innerhalb der Microsoft-Cloud in Deutschland sicher vor unbefugten Zugriffen ist. Anders sieht es mit dem Zugriff der Kunden auf ihre Daten und Systeme aus. Dieser Zugriff geschieht in der Regel weiterhin über das öffentliche Internet.

IV. Keine gemischten Umgebungen

Im Bereich der Benutzerverwaltung werden die Routing-Informationen allerdings voraussichtlich über die Microsoft-Rechenzentren weltweit verteilt. Diese dienen aber lediglich der Identifikation, wohin ein Aufruf gelenkt werden muss. Es werden dabei keine personenbezogenen Daten in dieser Indextabelle gespeichert. Die deutsche Cloud hat demnach auch keinerlei Verbindungen zu anderen Public-Cloud-Systemen der Redmonder. Daraus ergibt sich u.a. auch, dass es keine gemischten Umgebungen geben kann; es ist also nicht möglich, einen Teil des Services innerhalb einer Umgebung (z.B. E-Mail-Dienste in der deutschen Cloud) und andere Services innerhalb einer anderen Umgebung (wie z.B. Dokumentenablage in einem anderen Rechenzentrum in der Public Cloud von Microsoft) abzulegen.

Diese technisch bedingte Einschränkung kann für Bestandskunden, die ihre Systeme und Lösungen in die deutsche Cloud umziehen wollen, eine Herausforderung darstellen. So wie bei  vergleichbaren Szenarien wird es künftig wohl die Möglichkeit einer Migration für Kunden, die bereits Services in Microsoft-Rechenzentren nutzen, in die deutsche Cloud geben. In diesem Fall müssen dann aber ausnahmslos alle Komponenten umgezogen werden.

V. Die rechtliche Konstruktion der Datentreuhand

Zusätzlich zum Lizenzvertrag, den ein Kunde – in der Regel über einen Reseller – über die Nutzung der Cloud-Services mit Microsoft schließt, werden bei der deutschen Cloud „Treuhandvereinbarungen“ sowohl zwischen Microsoft und T-Systems als auch zwischen T-Systems und den jeweiligen Kunden geschlossen. Nach diesen Vereinbarungen kontrolliert allein T-Systems den physischen und technischen Zugriff auf die Kundendaten. Auch nach dem „Partnerschaftsvertrag“ zwischen beiden Anbietern ist allein der Datentreuhänder berechtigt und faktisch in der Lage, Zugriff auf die Kundendaten und/oder auf die Infrastruktur, auf der sich Kundendaten befinden, zu nehmen. Microsoft kann dagegen nur mithilfe von T-Systems und/oder mit Erlaubnis des Kunden Zugriff erhalten. Durch diese Konstruktion wird verhindert, dass US-Gerichte die Zugriffsmöglichkeit von Microsoft pauschal bejahen können. 

Bildquelle: Thinkstock / iStock

 

 

©2019Alle Rechte bei MEDIENHAUS Verlag GmbH

Unsere Website verwendet Cookies, um Ihnen den bestmöglichen Service zu bieten. Durch die weitere Nutzung der Seite stimmen Sie der Verwendung zu. Weitere Infos finden Sie in unserer Datenschutzerklärung.

ok