Wenn dein Cloud-Anbieter in den USA ansässig ist, kann ein gültiger US-Gerichtsbeschluss das Unternehmen dazu zwingen, die Daten deines Unternehmens von Servern überall auf der Welt herauszugeben.

Unternehmen wie Google, Microsoft und Amazon sind anfällig für diesen Eingriff, der durch den CLOUD Act ermöglicht wird, ein Gesetz von 2018, das amerikanischen Strafverfolgungsbehörden weltweite Zugriffsmöglichkeiten gibt.

Besonders für EU-Unternehmen ist das ein Problem. Wenn dein US-Anbieter deine E-Mails oder Dateien herausgibt, könnte das einen Verstoß gegen die GDPR wegen der Preisgabe personenbezogener Daten darstellen, was mit Geldstrafen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden kann, je nachdem, welcher Betrag höher ist.

Das ist die Realität, die amerikanische Unternehmen verschleiern, wenn sie in ihrem Marketing „DSGVO-konform“ und „europäische souveräne Cloud“ sagen. Ein EU-Rechenzentrum eines US-Anbieters wird immer noch von einem Unternehmen betrieben, das der US-Gerichtsbarkeit unterliegt. Für dein Unternehmen bedeutet das, dass Beschaffungsentscheidungen eine Compliance-Haftung mit sich bringen, die du möglicherweise nicht einkalkuliert hast. Für deine Kunden bedeutet es, dass die personenbezogenen Daten, die sie dir anvertraut haben, in einem Rechtsverfahren landen könnten, auf das sie keinen Einfluss haben (und von dem sie möglicherweise nie erfahren).

Hier ist eine einfache Erklärung des CLOUD Act, warum diese invasive Gesetzgebung für Unternehmen wichtig ist und wie du dein Risiko begrenzen kannst. Wo deine Daten liegen, entscheidet nicht mehr, wer darauf zugreifen kann.

Was ist der CLOUD Act?

Der Clarifying Lawful Overseas Use of Data Act (CLOUD Act(neues Fenster)) ist ein US-Bundesgesetz, das 2018 in Kraft trat. Es erlaubt den Bundesstrafverfolgungsbehörden – in erster Linie dem Justizministerium und dem FBI, aber auch der Bundes-, Landes- und Kommunalpolizei – einen Durchsuchungsbeschluss, Gerichtsbeschluss oder eine Vorladung zu erwirken, die Technologieunternehmen unter US-Gerichtsbarkeit dazu zwingt, Daten herauszugeben, unabhängig davon, wo auf der Welt diese Daten physisch gespeichert sind.

Wenn das FBI beispielsweise einen Durchsuchungsbeschluss erwirkt, der Microsoft dazu zwingt, die E-Mails eines europäischen Unternehmens herauszugeben, muss Microsoft dem nachkommen – selbst wenn ein europäisches Gericht die Anfrage ablehnt.

Der CLOUD Act hat einen legitimen polizeilichen Zweck. Er soll den Bundesstrafverfolgungsbehörden helfen, schwere Straftaten wie Terrorismus, Kindesausbeutung und Cyberkriminalität zu untersuchen. Er ist nicht für die nachrichtendienstliche Informationsbeschaffung gedacht, die über eine separate US-Behörde läuft (FISA Section 702), die oft damit verwechselt wird.

Dieser legitime Zweck entfernt jedoch nicht das strukturelle Problem für Unternehmen: Der CLOUD Act kann einen Anbieter unter US-Gerichtsbarkeit in die Lage versetzen, dass die Erfüllung einer rechtmäßigen US-Anordnung einen Verstoß gegen EU-Recht bedeutet. Er lässt Unternehmen zwischen zwei Compliance-Regimen gefangen, ohne beide erfüllen zu können.

Was ist der Ursprung des CLOUD Act?

Der CLOUD Act wurde 2018 von der US-Regierung verabschiedet, um den Stored Communications Act (SCA) von 1986 zu ändern. Diese Änderung war zu großen Teilen eine Reaktion auf einen laufenden Gerichtsfall(neues Fenster), den „Microsoft-Ireland“-Fall.

Im Jahr 2013 focht Microsoft einen Bundesdurchsuchungsbeschluss an, der die E-Mails eines Kunden verlangte, der wegen Drogenhandels untersucht wurde – E-Mails, die Microsoft auf Servern in Irland gespeichert hatte. In diesem Fall ging es um eine knifflige Rechtsfrage: Konnte ein nach dem SCA ausgestellter US-Durchsuchungsbeschluss digitale Kommunikation erreichen, die von einem US-amerikanischen Unternehmen kontrolliert, aber auf einem Datenserver außerhalb der USA gespeichert wurde?

Im Jahr 2018 war der Fall beim Obersten Gerichtshof im Berufungsverfahren anhängig, als der US-Kongress den CLOUD Act verabschiedete. Dies machte den „Microsoft-Ireland“-Fall sowohl gegenstandslos als auch die Frage nach den extraterritorialen Befugnissen der US-Regierung über Daten, die auf ausländischem Boden gespeichert sind, zumindest auf dem Papier geklärt.

Welche Befugnisse gibt der CLOUD Act der US-Regierung?

Der CLOUD Act ermächtigte die US-Regierung, gezielt Daten anzufordern, wo immer sie gespeichert waren, indem er extraterritoriale SCA-Anordnungen an US-Anbieter stärkte. Das Gesetz stellte klar, dass US-Strafverfolgungsbehörden Durchsuchungsbeschlüsse, Vorladungen und Gerichtsbeschlüsse nutzen können, um elektronisch gespeicherte Kommunikationsdaten außerhalb der USA abzurufen, wenn der Speicheranbieter der US-Gerichtsbarkeit unterliegt und die angeforderten Daten für eine laufende strafrechtliche Untersuchung relevant und erheblich sind. Eine CLOUD Act-Anfrage geht direkt an den Anbieter und umgeht den viel langsameren MLAT-Prozess (Mutual Legal Assistance Treaty)(neues Fenster), auf den sich die US-Regierung zuvor verlassen hatte.

Der CLOUD Act ermächtigte auch Regierungen, die bereit waren, ein bilaterales Exekutivabkommen mit der US-Regierung zu unterzeichnen, das es Strafverfolgungsbehörden in Partnerländern ermöglichen würde, direkte, grenzüberschreitende, fallspezifische Anfragen nach Daten von US-amerikanischen Dienstanbietern zu stellen.

Exekutivabkommen beschleunigen die Beweiserhebung in schweren Strafverfahren wie Terrorismus und Kindesausbeutung, bei denen der MLAT-Prozess Monate dauern könnte. Zum Zeitpunkt der Erstellung existieren nur zwei Exekutivabkommen: zwischen den USA und dem Vereinigten Königreich (in Kraft getreten im Oktober 2022(neues Fenster)) und zwischen den USA und Australien (in Kraft getreten im Januar 2024(neues Fenster)). Verhandlungen zwischen der US-Regierung und der EU und Kanada(neues Fenster) wurden eingeleitet, sind aber noch nicht abgeschlossen.

Technologieanbieter haben einen Sicherheitsmechanismus: Sie können eine US-Anordnung unter „Comity“ anfechten oder ihre Änderung beantragen – dem Rechtsprinzip, dass Gerichte die Gesetze anderer Gerichtsbarkeiten respektieren –, wenn die Befolgung bedeuten würde, gegen ausländisches Recht zu verstoßen, insbesondere gegen eines, das durch ein Exekutivabkommen abgedeckt ist. Außerhalb des Vereinigten Königreichs und Australiens ist diese Common-Law-Comity-Anfechtung die einzige Option.

Wie The Electronic Privacy Information Center (EPIC)(neues Fenster) jedoch argumentiert, lässt der CLOUD Act selbst mit Comity Kunden, einschließlich Unternehmen, kaum echte Rechtsmittel. Anbieter sind nicht verpflichtet, einen Kunden zu benachrichtigen, dessen Daten abgerufen wurden, Kunden haben kein unabhängiges Recht, eine Anfrage anzufechten (das hängt ganz davon ab, ob der Anbieter Einspruch erhebt), und Exekutivabkommen schließen ausdrücklich die Schaffung neuer Rechtsbehelfe für die betroffenen Personen aus.

Der CLOUD Act vs. GDPR

In Europa, wo Protons eigene Forschung zeigt, dass über 74 % aller börsennotierten Unternehmen von US-amerikanischen Tech-Diensten abhängen, ist der CLOUD Act besonders besorgniserregend, da er mit der Datenschutz-Grundverordnung (GDPR) der EU kollidiert.

Nach Artikel 48(neues Fenster) der GDPR wird eine ausländische Gerichtsentscheidung oder Entscheidung einer Verwaltungsbehörde (einschließlich einer SCA-Anordnung) zur Übertragung oder Offenlegung personenbezogener Daten in der EU nicht automatisch anerkannt oder durchgesetzt, es sei denn, sie erfolgt im Rahmen eines internationalen Abkommens wie eines MLAT.

Obwohl es noch keinen Fall gibt, in dem die GDPR ein Unternehmen im Zusammenhang mit einer CLOUD Act-Anordnung mit einer Geldstrafe belegt hat, gibt es Präzedenzfälle dafür, dass Regulierungsbehörden bei dieser Risikokategorie tätig werden: Im Jahr 2023 verhängte Irlands Datenschutzkommission eine Rekordstrafe von 1,2 Milliarden Euro gegen Meta(neues Fenster) wegen EU-US-Datenübermittlungen, die dem US-Überwachungsrecht ausgesetzt waren – insbesondere FISA Section 702, nicht der CLOUD Act.

Für US-amerikanische Cloud-Anbieter bedeutet dies, dass die Einhaltung des CLOUD Act einen Verstoß gegen die GDPR bedeuten könnte, wenn die US-Regierung Daten anfordert, die sie verarbeiten, die aber von europäischen Unternehmen kontrolliert werden. Nach Artikel 28(neues Fenster) darf der Anbieter (Auftragsverarbeiter) nur auf dokumentierte Weisung des Verantwortlichen handeln, und „Daten an eine ausländische Regierung offenzulegen“ gehört nicht zu diesen Weisungen.

Das Risiko ist nicht auf den Anbieter beschränkt. Wenn der Anbieter die Daten eines Kunden als Reaktion auf eine erzwungene Anordnung ohne die von Artikel 48 geforderte internationale Abkommensgrundlage offenlegt (was, da derzeit kein CLOUD Act-Exekutivabkommen zwischen den USA und der EU besteht, ein MLAT bedeutet), trägt das Unternehmen, dem diese Daten gehören, seine eigene Haftung, nicht nur der Anbieter, den es mit der Speicherung beauftragt hat.

Warum der Datenstandort nicht Datensouveränität bedeutet

Im Juni 2025(neues Fenster) wurde der eigene Direktor für öffentliche und rechtliche Angelegenheiten von Microsoft Frankreich, Anton Carniaux, unter Eid im französischen Senat(neues Fenster) gefragt, ob er garantieren könne, dass die Daten französischer Bürger niemals ohne französische Zustimmung an US-Behörden übergeben würden.

Seine Antwort: „Nein. Ich kann das nicht garantieren.“ Er fügte hinzu, dass „es noch nie vorgekommen ist“, was natürlich nicht bedeutet, dass es in Zukunft nicht passieren könnte.

Die Botschaft war klar: Datensouveränität bedeutet nicht mehr, wo Daten gespeichert sind, sondern wer diese Daten kontrolliert. Der Standort deiner Datenserver und die Regierungen, die die Hoheit über sie haben, sind nicht mehr unbedingt dasselbe.

Diese Tatsache steht unangenehm neben den „DSGVO-konformen“ Cloud-Angeboten, die US-Cloud-Giganten (oder „Hyperscaler“) europäischen Unternehmen vermarkten. Diese Produkte der „europäischen souveränen Cloud“ werden von Unternehmen betrieben, die ihren Hauptsitz in den USA haben oder von einem US-Mutterunternehmen kontrolliert werden, und die Schutzmaßnahmen der GDPR reichen nur so weit, wie es das US-Recht zulässt.

Wie Zero-Access-Verschlüsselungsarchitektur das Risiko durch den CLOUD Act mindert

Wenn dein Cloud-Speicheranbieter der US-Gerichtsbarkeit unterliegt und US-Strafverfolgungsbehörden Zugriff auf deine Daten verlangen (aus legitimen rechtlichen Gründen), können weder du noch dein Anbieter das verhindern. In diesem Moment ist die einzige Verteidigung deiner Daten die Verschlüsselung.

Verschlüsselung macht Daten für Cyberkriminelle und Regierungen gleichermaßen unlesbar und unbrauchbar und verwandelt sie in „Chiffretext“, den nur jemand mit dem richtigen Schlüssel lesen kann.

Die Verschlüsselung der meisten US-Cloud-Anbieter hat jedoch einen fatalen Haken: Sie behalten die Entschlüsselungsschlüssel selbst. Das bedeutet, dass sie deine Daten lesen oder dazu gezwungen werden können, eine lesbare Kopie an Dritte wie US-Strafverfolgungsbehörden herauszugeben.

Für echten Schutz vor der Preisgabe von Datei- und Nachrichtendaten, sei es an Cyberkriminelle oder Regierungen, brauchst du Ende-zu-Ende-Verschlüsselung oder Zero-Access-Verschlüsselung, die den Anbieter daran hindert, auf die Daten zuzugreifen.

Ein Anbieter, der Zero-Access-Verschlüsselung verwendet, hat nicht den Schlüssel, um Dateien zu entschlüsseln, die er verarbeitet und auf seinen Servern speichert. Er kann immer noch gezwungen werden, Daten offenzulegen, wenn Strafverfolgungsbehörden dies verlangen, selbst wenn die Daten in einer Gerichtsbarkeit gespeichert sind, die strenge Datenschutzstandards durchsetzt, wie die Schweiz. Aber die herausgegebenen Dateien wären verschlüsselt und unlesbar.

Wie Proton Unternehmen vor dem CLOUD Act schützt

Proton wird auf zwei wichtige Arten vor dem CLOUD Act geschützt:

  • Schweizer Gerichtsbarkeit, die einschränkt, wer Proton dazu zwingen kann, Daten herauszugeben
  • Und starke Verschlüsselung, die einschränkt, was sie mit dem tun können, was Proton herausgibt

Proton hat seinen Hauptsitz in Genf, Schweiz, außerhalb der US-Gerichtsbarkeit und der Reichweite von CLOUD Act-Anordnungen. US-Behörden können auch nicht auf eine bilaterale Abkürzung zurückgreifen: Die Schweiz ist keine Partei eines CLOUD Act-Exekutivabkommens.

Dies beseitigt nicht das gesamte Rechtsverfahren. Die Schweiz hat ihr eigenes Rechtshilferahmenwerk, das Schweizer Behörden die Zusammenarbeit mit ausländischen Ermittlungen ermöglicht. Aber jede Anfrage muss zuerst Schweizer Recht erfüllen, vor Schweizer Gerichten – es kann kein direkt an den Anbieter zugestellter Durchsuchungsbeschluss sein.

Protons Rechtsgeschichte zeigt, dass wir bereit und in der Lage sind, Schweizer Recht anzufechten. Im Jahr 2020 fochten wir ein Schweizer Datenspeicherungsgesetz an, das wir für einen unzulässigen Versuch hielten, Telekommunikationsgesetze zu nutzen, um die Privatsphäre zu untergraben. Im Jahr 2021 entschied das Bundesverwaltungsgericht, dass E-Mail-Dienste keine Telekommunikationsanbieter sind und daher nicht den Aufbewahrungspflichten des Gesetzes unterliegen.

Und selbst eine erfolgreiche Schweizer Anordnung hat Grenzen, was sie erhalten kann. Protons Ende-zu-Ende- und Zero-Access-Verschlüsselung bedeutet, dass Nachrichteninhalte und Dateien für Proton selbst unlesbar sind und es keinen Schlüssel zum Herausgeben gibt, egal wer fragt. Der Inhalt deiner E-Mails, Dokumente, Dateien und anderer Daten bleibt außer Reichweite.

Proton for Business testen

Häufig gestellte Fragen zum CLOUD Act

Hebelt der CLOUD Act die GDPR aus?

Der CLOUD Act hebt die GDPR nicht auf, steht aber im Konflikt mit ihr. Eine Anordnung nach dem CLOUD Act kann einen US-Anbieter in die Lage versetzen, in der die Befolgung gegen Artikel 48 der GDPR verstößt (keine automatische Anerkennung einer ausländischen Anordnung ohne internationales Abkommen). Keines der Gesetze tritt hinter das andere zurück, und der Anbieter – und jedes europäische Unternehmen, das er bedient – ist zwischen ihnen gefangen.

Gilt der CLOUD Act nur für US-Unternehmen?

Der CLOUD Act gilt nicht nur für Unternehmen mit Hauptsitz in den USA oder die von einem übergeordneten US-Unternehmen kontrolliert werden. Er erfasst auch jeden Anbieter mit ausreichender rechtlicher Präsenz oder Geschäftsverbindung in den USA. Eine US-Tochtergesellschaft, in den USA ansässige Mitarbeiter oder Büros oder Unternehmen, die gezielt auf US-Kunden ausgerichtet sind, können ausreichen, um eine Organisation mit Hauptsitz außerhalb der USA in den Anwendungsbereich des CLOUD Act zu bringen.

Kann ich eine Anfrage nach dem CLOUD Act ablehnen?

Der Kunde (Verantwortlicher) ist im Allgemeinen nicht derjenige, dem die Anordnung zugestellt wird – der Anbieter ist es. Der Anbieter kann eine Comity-Anfechtung erheben, wenn die Befolgung gegen ausländisches Recht verstößt, oder sich wehren, wenn eine Anfrage rechtlich mangelhaft ist. Aber wenn die Rechtsmittel erschöpft sind und die Anordnung weiterhin gültig ist, wäre der Anbieter gezwungen, sie zu befolgen.

Was ist der Unterschied zwischen dem CLOUD Act und einem MLAT?

Wenn digitale Beweise über ein Mutual Legal Assistance Treaty (MLAT) angefordert werden, wird diese Anfrage gerichtlich überprüft – ein gründlicher und langsamer Prozess. Die durch den CLOUD Act ermöglichten Exekutivabkommen erlauben es Strafverfolgungsbehörden, den MLAT-Prozess zu umgehen, wenn sie Daten aus einem Partnerland anfordern. Bisher haben nur das Vereinigte Königreich und Australien Exekutivabkommen mit den USA.

Stoppt Verschlüsselung Anfragen nach dem CLOUD Act?

Verschlüsselung stoppt keine rechtliche Anordnung, aber wenn ein Anbieter Kundendaten mit Ende-zu-Ende-Verschlüsselung oder Zero-Access-Verschlüsselung speichert, dann hat er keine lesbaren Daten, die er den Behörden geben könnte, weil er nicht über die Entschlüsselungsschlüssel verfügt. Er würde somit nur verschlüsselte Dateien aushändigen.