CLOUD-Gesetz

Der US-amerikanische „Clarifying Lawful Overseas Use of Data (CLOUD) Act“ wurde 2018 verabschiedet, um den rechtmäßigen Datenzugriff in einem globalen Umfeld zu modernisieren, in dem Daten regelmäßig Grenzen überschreiten. 

Es bestätigt, dass US-Behörden etablierte rechtliche Verfahren nutzen können, um Daten von in den USA ansässigen Anbietern elektronischer Kommunikationsdienste und Anbietern von Remote-Computing-Diensten anzufordern, unabhängig davon, wo diese Daten gespeichert sind. Das Gesetz führt zudem einen Rahmen für bilaterale Exekutivabkommen ein, die direkte, vereinfachte Auskunftsersuchen zwischen den Vereinigten Staaten und berechtigten Partnerländern ermöglichen, gestützt durch strenge Schutzvorkehrungen und Kontrollmechanismen. 

Der CLOUD Act schließt langjährige Lücken, die entstanden sind, als Cloud-Dienstleister, SaaS-Anwendungen und verteilte Architekturen zu zentralen Bestandteilen moderner Betriebsabläufe wurden. 

In der Praxis erfüllt es drei Hauptfunktionen: 

1. Bestätigt, dass US-amerikanische Anbieter bei Informationen, die sich in ihrem Besitz, ihrer Verwahrung oder unter ihrer Kontrolle befinden, die geltenden rechtlichen Verfahren einhalten müssen, unabhängig davon, wo diese Informationen gespeichert sind.  

2. Ermöglicht die Abschluss von Exekutivabkommen, die die grenzüberschreitende Zusammenarbeit im Bereich der Strafverfolgung zwischen den Vereinigten Staaten und berechtigten Partnerländern unter strengen Schutzvorkehrungen und einer strengen Aufsicht vereinfachen.  

3. Schafft einen auf gegenseitiger Rücksichtnahme basierenden Mechanismus, der es Anbietern ermöglicht, Anordnungen anzufechten, die im Widerspruch zu ausländischem Recht stehen, und der es den Gerichten ermöglicht, konkurrierende hoheitliche Interessen gegeneinander abzuwägen. 

Der Anwendungsbereich ist breit gefasst und umfasst Cloud-Dienstleister, E-Mail- und Messaging-Dienste sowie eine Vielzahl von SaaS-Umgebungen. Er gilt sowohl für Inhalte wie E-Mails, Dateien und Nachrichten als auch für Daten, die keine Inhalte darstellen, wie Metadaten und Teilnehmerdaten, je nach geltendem Rechtsstandard. 

Zwar erlegt das Gesetz in erster Linie den Anbietern Verpflichtungen auf, doch sind auch Unternehmen unmittelbar betroffen – durch ihre Beziehungen zu den Anbietern, ihre Entscheidungen hinsichtlich der Datenarchitektur und ihre betriebliche Bereitschaft, den rechtmäßigen Zugriff zu unterstützen. 

Der CLOUD Act gilt parallel zu Rechtshilfeabkommen (MLATs), nationalen Datenschutzregelungen und branchenspezifischen Vorschriften. Er schafft schnellere Wege für den rechtmäßigen Zugriff auf Daten und gewährleistet gleichzeitig Schutzvorkehrungen wie Verhältnismäßigkeit, Aufsicht und Rechenschaftspflicht. 

Für Behörden und Betreiber kritischer Infrastrukturen haben rechtmäßige Auskunftsersuchen direkten Einfluss auf die Erfüllung ihrer Aufgaben. Der CLOUD Act stellt sicher, dass Ermittler Beweismittel effizient beschaffen können, ohne dabei gegen rechtliche und verfahrensrechtliche Vorgaben zu verstoßen. 

Es stärkt wesentliche Schutzmechanismen, darunter die gerichtliche Kontrolle, die Konkretheit und den Grundsatz der Datenminimierung, und trägt so dazu bei, Übergriffe zu verhindern und gleichzeitig zeitnahe Maßnahmen zu ermöglichen. 

Wichtige Überlegungen: 

• Der Speicherort der Daten allein schränkt den rechtmäßigen Zugriff nicht ein, wenn ein US-amerikanischer Anbieter die Kontrolle darüber hat 

• Grenzüberschreitende Ermittlungen nehmen zu, was koordinierte rechtliche und operative Vorgehensweisen erfordert 

• Vertrauen basiert auf präzisen und überprüfbaren Offenlegungen, die durch eine lückenlose Protokollierung und Dokumentation untermauert werden. 

• Eine Angleichung der Rechtsvorschriften ist weiterhin erforderlich, sowohl zwischen Rahmenwerken wie der DSGVO als auch im Hinblick auf branchenspezifische Anforderungen. 

Der CLOUD Act legt fest, wie Führungskräfte Systeme konzipieren, die die Einhaltung gesetzlicher Vorschriften gewährleisten und gleichzeitig Vertraulichkeit, Integrität und Verfügbarkeit in großem Maßstab schützen. Er schafft ein Gleichgewicht zwischen den Erfordernissen der Ermittlungsarbeit und den Datenschutzverpflichtungen, was sich in klaren Anforderungen an Governance, Architektur und operative Disziplin niederschlägt. 

Rechtliche Verfahren und Standards 

Die US-Behörden stützen sich auf etablierte rechtliche Instrumente, darunter Vorladungen zur Herausgabe grundlegender Teilnehmerdaten, gerichtliche Anordnungen für bestimmte Daten, die keine Inhalte betreffen, sowie Durchsuchungsbefehle für Inhalte und sensible Daten. Für Durchsuchungsbefehle sind ein hinreichender Verdacht und eine gerichtliche Genehmigung erforderlich. 

Behörden außerhalb der USA können im Rahmen von Rechtshilfeabkommen oder gegebenenfalls durch Exekutivabkommen, die unter festgelegten Schutzvorkehrungen direkte Anfragen an US-Anbieter ermöglichen, auf Daten zugreifen. 

Führungskräftevereinbarungen 

Der CLOUD Act sieht bilaterale Abkommen mit Ländern vor, die hohe Standards in den Bereichen Rechtsstaatlichkeit, ordnungsgemäßes Verfahren und Schutz der Menschenrechte nachweisen können. 

Diese Vereinbarungen: 

• Gilt nur für Ermittlungen in schweren Strafsachen 

• Bei Anträgen sind Konkretheit und Verhältnismäßigkeit zu gewährleisten 

• Targeting von US-Personen ausschließen 

Sie verkürzen die Reaktionszeiten und gewährleisten gleichzeitig die Kontrolle und Rechenschaftspflicht. Für multinationale Organisationen wirken sich diese Vereinbarungen auf die Einsatzbereitschaft und die Bewertung der Dienstleister aus. 

Höflichkeit und Konfliktlösung 

Anbieter können rechtliche Forderungen, die im Widerspruch zu ausländischen Gesetzen stehen, anfechten, indem sie Anträge auf Änderung oder Aufhebung stellen. 

Die Gerichte berücksichtigen unter anderem folgende Faktoren: 

• Aufenthaltsort und Staatsangehörigkeit der betroffenen Person 

• Staatliche Interessen in verschiedenen Rechtsordnungen 

• Verfügbarkeit alternativer Quellen 

• Ermittlungsbedarf hinsichtlich der angeforderten Daten 

Dieser strukturierte Ansatz ermöglicht die Beilegung grenzüberschreitender Rechtsstreitigkeiten und unterstützt gleichzeitig rechtmäßige Ermittlungen. 

Gerichtliche Kontrolle und Rechenschaftspflicht 

Die gerichtliche Überprüfung stellt sicher, dass die Anfragen rechtmäßig bleiben und sich auf einen engen Rahmen beschränken.

Gerichte können: 

• Übermäßige oder unrechtmäßige Forderungen einschränken oder zurückweisen 

• Schutzmaßnahmen wie eine schrittweise Offenlegung oder Schwärzungen vorschreiben 

• Überprüfung und Durchsetzung von Standards für Geheimhaltungsanordnungen 

Die Transparenzberichterstattung ist zwar nicht vorgeschrieben, hat sich jedoch zu einer wichtigen Praxis entwickelt, die die Rechenschaftspflicht und das Vertrauen in die Institution fördert. 

Auswirkungen auf den Geschäftsbetrieb von Anbietern und Unternehmen 

Cloud-Anbieter müssen über schnelle und gut geregelte Reaktionsmöglichkeiten verfügen. Unternehmen müssen ihre internen Systeme und Prozesse an die Gegebenheiten des rechtmäßigen Zugriffs anpassen. 

Zu den operativen Auswirkungen gehören: 

• Der Speicherort der Daten schränkt den Zugriff nicht ein, sofern die Kontrolle beim Anbieter liegt 

• Protokollierungs- und Aufbewahrungsrichtlinien müssen eine präzise und nachvollziehbare Datenabfrage ermöglichen 

• Verträge müssen die Vorgehensweise der Strafverfolgungsbehörden, Benachrichtigungspraktiken und Transparenz regeln 

• Sicherheits- und Rechtsabteilungen müssen sich abstimmen, um die Integrität der Beweismittel zu wahren und unnötige Risiken zu minimieren 

Regierungen können das Risiko im Zusammenhang mit dem CLOUD Act verringern oder ganz beseitigen, indem sie staatliche Cloud-Anbieter nutzen, um sensible Informationen außerhalb der Gerichtsbarkeit und Kontrolle der Verpflichtungen von US-amerikanischen Dienstleistern zu speichern. Dieser Ansatz macht die Abhängigkeit von Unternehmen überflüssig, die andernfalls nach US-Recht zur Offenlegung von Informationen gezwungen werden könnten. 

Souveränes Hosting geht über die Speicherung von Daten innerhalb nationaler Grenzen hinaus. Es vereint Eigentumsverhältnisse, Betrieb, Verwaltung und rechtliche Verantwortlichkeit im Inland, sodass die Kontrolle über Systeme, Verschlüsselungsschlüssel und Kundendaten vollständig innerhalb der heimischen Rechtsordnung verbleibt. Dadurch wird sichergestellt, dass Zugriffsanfragen dem nationalen Recht unterliegen und nicht ausländischen Rechtsverfahren. 

Eine „Sovereign“-Hosting-Strategie umfasst in der Regel: 

• Inländische Eigentümerschaft und Betrieb durch Einrichtungen außerhalb der Zuständigkeit der USA 

• Datenspeicherung im jeweiligen Land mit lokaler Verwaltung und Support 

• Vom Kunden verwaltete Verschlüsselung oder „Hold-Your-Own-Key“-Verschlüsselung, um die alleinige Kontrolle über die Verschlüsselungsschlüssel zu behalten 

• Personal, Unternehmensführung und rechtliche Rechenschaftspflicht beschränken sich auf den Heimatstaat 

• Unabhängigkeit von ausländischen Cloud-Infrastrukturen oder Dienstleistungen, die zu externen rechtlichen Verpflichtungen führen könnten 

Für Regierungen und Betreiber kritischer Infrastrukturen stärken diese Maßnahmen die digitale Souveränität, indem sie sicherstellen, dass Entscheidungen über den Zugang zu sensiblen Informationen weiterhin den innerstaatlichen Gesetzen, der Aufsicht und den nationalen Sicherheitsanforderungen unterliegen. Zwar macht ein souveränes Hosting eine robuste Cybersicherheit, Governance und die Einhaltung gesetzlicher Vorschriften nicht überflüssig, doch bietet es eine praktische Strategie, um das Risiko extraterritorialer rechtlicher Forderungen zu begrenzen, einschließlich solcher, die sich aus dem CLOUD Act ergeben könnten. 

1) Grenzüberschreitende strafrechtliche Ermittlungen 

Ein US-amerikanischer Durchsuchungsbefehl verlangt die Herausgabe von Inhalten durch einen E-Mail-Anbieter, dessen Daten in einem ausländischen Land gespeichert sind. 

Zu den operativen Maßnahmen gehören: 

• Aktivierung eines Leitfadens zur rechtlichen Prüfung, um den Umfang zu bestätigen und Konflikte zu identifizieren 

• Einsatz kontrollierter Extraktionswerkzeuge, um ausschließlich die relevanten Daten zu erfassen 

• Anwendung von Minimierungsverfahren und Schutzmaßnahmen 

• Wahrung der Nachverfolgbarkeit durch detaillierte Prüfprotokolle 

Ergebnis: Rechtzeitige und begründete Offenlegung, die Betriebsstörungen minimiert und die Integrität der Beweismittel gewährleistet. 

2) Die „Executive Agreement“ in der Praxis 

Ein teilnahmeberechtigtes Partnerland richtet im Rahmen eines Exekutivabkommens eine direkte Anfrage an einen US-amerikanischen Anbieter. 

Zu den operativen Maßnahmen gehören: 

• Überprüfung der Anforderungskriterien wie Verhältnismäßigkeit und Berechtigung 

• Bestätigung, dass US-Personen von den Maßnahmen ausgenommen sind 

• Abstimmung zwischen den Teams für Rechtsangelegenheiten, Datenschutz und Sicherheit 

• Umfassende Dokumentation zur Rechenschaftspflicht 

Ergebnis: Beschleunigte rechtmäßige Zusammenarbeit unter Wahrung der Sicherheitsvorkehrungen und mit klarer Nachvollziehbarkeit 

3) Kollisionsnormen und Herausforderungen im Zusammenhang mit der gegenseitigen Rücksichtnahme 

Eine gerichtliche Anordnung steht im Widerspruch zu ausländischen Datenschutz- oder Lokalisierungsvorschriften. 

Zu den operativen Maßnahmen gehören: 

• Frühe rechtliche Analyse von Zuständigkeitskonflikten 

• Ausarbeitung von Argumenten zu staatlichen Interessen und alternativen Optionen 

• Antrag auf geänderte oder gestaffelte Offenlegung 

Ergebnis: Eine strukturierte Lösung, die ausländisches Recht respektiert und gleichzeitig rechtmäßige Ermittlungsbedürfnisse gegebenenfalls unterstützt. 

4) Regierungsbetrieb und Betrieb kritischer Infrastrukturen 

Behörden und Betreiber müssen die Bereitschaft für den rechtmäßigen Zugriff integrieren, ohne dabei wesentliche Dienste zu beeinträchtigen. 

Zu den operativen Maßnahmen gehören: 

• Implementierung rollenbasierter Zugriffskontrollen mit Just-in-Time-Berechtigungen 

• Segmentierung sensibler Workloads 

• Einsatz von unveränderlichen und manipulationssicheren Protokollierungssystemen 

• Abstimmung der rechtlichen Planung mit der Planung der Reaktion auf Vorfälle 

Ergebnis: Die Einhaltung der Vorschriften wird durch eine robuste Architektur und disziplinierte Betriebsprozesse gewährleistet. 

Der CLOUD Act steht im Zusammenhang mit Datenschutzregelwerken weltweit. Unternehmen müssen weiterhin rechtmäßige Grundlagen für die Datenverarbeitung ermitteln und gültige Übermittlungsmechanismen für grenzüberschreitende Datenströme aufrechterhalten, wie beispielsweise das EU-US-Datenschutzrahmenwerk oder Standardvertragsklauseln. Technische und organisatorische Maßnahmen – darunter Verschlüsselung, Zugriffskontrollen und Protokollierung – sind nach wie vor unerlässlich, um eine nachweisbare Compliance zu gewährleisten und die Folgenabschätzungen für Datenübermittlungen zu untermauern. 

Bei multinationalen Aktivitäten ist die Pflege aktueller Datenbestände und Datenflussdiagramme von entscheidender Bedeutung, um Speicherorte, für die Datenverarbeitung Verantwortliche, Auftragsverarbeiter und wichtige Datenverwalter zu identifizieren. Unternehmen sollten Folgenabschätzungen zu Datenübermittlungen dokumentieren, um potenzielle Risiken durch behördlichen Zugriff sowie die Wirksamkeit der implementierten Schutzmaßnahmen zu bewerten. Verträge sollten die Benachrichtigungspraktiken, Vorgehensweisen bei der Anfechtung zu weit gefasster Anforderungen sowie Verpflichtungen zur Transparenzberichterstattung widerspiegeln. Die Abstimmung mit den Aufsichtsbehörden bleibt erforderlich, wenn das lokale Recht eine Benachrichtigung im Zusammenhang mit der Offenlegung oder grenzüberschreitenden Datenübermittlungen vorschreibt. 

Der CLOUD Act hebt die Datenschutzverpflichtungen nicht auf. Vielmehr erfordert er eine Abstimmung zwischen den Bereichen Recht, Datenschutz und Sicherheit, damit Unternehmen eine rechtmäßige Zusammenarbeit unterstützen können, ohne die Einhaltung gesetzlicher Vorschriften oder das Vertrauen der Interessengruppen zu beeinträchtigen. 

Architektonische Entscheidungen können die Einhaltung des CLOUD Act vereinfachen und gleichzeitig die allgemeine Sicherheitslage stärken.

Die folgenden Vorgehensweisen reduzieren Risiken und tragen zu einer konsistenten Betriebsleistung bei:

• Die von Grund auf integrierte Datenminimierung stellt sicher, dass nur die notwendigen Daten aufbewahrt werden, wodurch Doppelungen vermieden werden und veraltete Datensätze automatisch gelöscht werden können.  

• Durch die getrennte Mandantenverwaltung werden sensible Workloads in dedizierten Konten oder Projekten isoliert, die durch separate Schlüssel und Protokollierungsdomänen unterstützt werden.  

• Schlüsselverwaltungsmodelle legen den Schwerpunkt, soweit möglich, auf vom Kunden verwaltete Schlüssel oder „Hold-Your-Own-Key“-Ansätze, unterstützt durch klare Richtlinien für die Schlüsselgenerierung, -speicherung, -rotation und -nutzung.  

• Durch die Abstufung privilegierter Zugriffsrechte werden Verwaltungsdomänen in den Bereichen Produktion, Sicherheit und Audit voneinander getrennt, um unnötige Zugriffe während des Routinebetriebs und bei der Offenlegung von Daten zu begrenzen.  

• Unveränderliche Protokollierungs- und Beweisspeicher zentralisieren Aufzeichnungen in einmal beschreibbaren Repositorien mit manipulationssicheren Kontrollmechanismen, die eine Überprüfung ermöglichen.  

• Die automatisierte Durchsetzung von Aufbewahrungsfristen stützt sich auf Policy-Engines, die Löschpläne umsetzen und Bescheinigungen für Audits und rechtliche Überprüfungen erstellen. 

Umfassende Sicherheitsmaßnahmen verringern das Risiko und verbessern die Präzision rechtmäßiger Maßnahmen im Rahmen des CLOUD Act.

Zu den empfohlenen Kontrollmaßnahmen gehören: 

• Verschlüsselung während der Übertragung und im Ruhezustand unter Verwendung moderner, validierter Bibliotheken, unterstützt durch strenge Verfahren zur Schlüsselverwaltung.  

• Hardwaregestützte Schutzmaßnahmen und Funktionen für vertrauliches Rechnen verringern das Risiko einer Gefährdung der Daten während ihrer Nutzung.  

• Eine attributbasierte Zugriffskontrolle mit kontinuierlicher Überprüfung der Berechtigungen und einer Just-in-Time-Erweiterung schränkt unnötige Zugriffe zusätzlich ein.  

• Durch Tokenisierung und formatkonservierende Verschlüsselung wird eine teilweise Datenfreigabe ermöglicht und die Offenlegung von Daten in eng begrenztem Umfang unterstützt.  

• Eine umfassende Zugriffsprotokollierung mit unveränderlichen, mit einem Zeitstempel versehenen Datensätzen, die getrennt von den Betriebssystemen gespeichert werden, verbessert die Rückverfolgbarkeit.  

• Im Rahmen von Prozessen zur Datenermittlung und -klassifizierung werden regulierte Datensätze gekennzeichnet und Abweichungen in nicht verwaltete oder ungeschützte Speicherorte überwacht. 

Diese Kontrollmechanismen ermöglichen präzise, nachprüfbare Antworten und unterstützen die gerichtliche Überprüfung. Zudem gewährleisten sie die Systemintegrität in Zeiten einer hohen Anzahl rechtlicher Anfragen. 

Wenn Anfragen eingehen, sind Schnelligkeit und Genauigkeit von entscheidender Bedeutung. Unternehmen sollten praktische Leitfäden erstellen und deren Anwendung üben, um Fehler zu reduzieren und die Kontinuität der Dienstleistungen zu gewährleisten. 

Rollen und Zuständigkeiten sollten in den Bereichen Recht, Sicherheitsbetrieb, IT, Datenschutz und den Geschäftsbereichen klar definiert sein, einschließlich einer festgelegten Abdeckung für Szenarien außerhalb der Geschäftszeiten. Es sollte ein zentraler Erfassungskanal für rechtliche Anfragen eingerichtet werden, der mit Authentifizierungs- und Validierungsverfahren ausgestattet ist und über ein formelles Fallmanagementsystem nachverfolgt wird. Für komplexe oder grenzüberschreitende Anordnungen sollten Eskalationsschwellen dokumentiert werden, mit definierten Kriterien für die Hinzuziehung externer Rechtsberater oder Aufsichtsbehörden. Vorbereitete Tools zur Datenextraktion und -minimierung ermöglichen eine Erfassung im Rahmen des erforderlichen Umfangs und reduzieren gleichzeitig die Offenlegung nicht relevanter Informationen. Verfahren zur Nachverfolgbarkeit der Datenkette sollten unter Verwendung digitaler Signaturen und zeitgestempelter Protokolle integriert werden, um die Beweiskraft zu wahren. Regelmäßige Übungen sollten Rechtskonflikte, Anordnungen mit eingeschränkter Benachrichtigungspflicht, verkürzte Fristen und Multi-Tenant-Betriebsumgebungen simulieren.

Verträge und interne Richtlinien sind der Ort, an dem rechtliche Verpflichtungen in die operative Praxis umgesetzt werden. Die Angleichung an den CLOUD Act sorgt für mehr Klarheit und Konsistenz hinsichtlich der Risikoposition des gesamten Unternehmens. 

Nachträge zur Datenverarbeitung und Nutzungsbedingungen sollten aktualisiert werden, um den Umgang mit rechtmäßigen Zugriffsanfragen, Benachrichtigungspraktiken gegenüber Kunden – soweit gesetzlich zulässig – sowie Erwartungen hinsichtlich der Transparenzberichterstattung zu regeln. Unternehmen sollten Verpflichtungen aushandeln, um zu weit gefasste Anforderungen anzufechten, Minimierungsmaßnahmen anzuwenden und von Kunden verwaltete Schlüsseloptionen zu unterstützen. Vertragsklauseln sollten Prüfungsrechte, Benachrichtigungen bei Offenlegungen, Optionen zur Datenverlagerung oder -lokalisierung sowie Anforderungen an die Datentrennung definieren. Interne Richtlinien sollten die Verpflichtungen des Anbieters widerspiegeln und Sonderfälle wie sich überschneidende Anfragen oder das Vorhandensein von Daten Dritter innerhalb der Betriebsumgebung behandeln. 

Der CLOUD Act schafft einen Rahmen für den rechtmäßigen grenzüberschreitenden Datenzugriff unter Wahrung wesentlicher Schutzvorkehrungen. Für Organisationen hängt eine wirksame Umsetzung von einer einheitlichen Governance, bewährten betrieblichen Abläufen und strengen technischen Kontrollmaßnahmen ab. 

Durchdachte architektonische und strategische Entscheidungen entscheiden darüber, ob Teams rechtmäßige Anfragen schnell und präzise bearbeiten können und dabei gleichzeitig die Systemverfügbarkeit sowie die Rechenschaftspflicht gegenüber Aufsichtsbehörden und Gerichten gewährleisten. Zu den Kernfunktionen zählen Verschlüsselung, Schlüsselverwaltung, Zugriff nach dem Prinzip der geringsten Berechtigungen, Segmentierung von Workloads und unveränderliche Protokollierung. 

Die Abstimmung mit Dienstleistern ist nach wie vor von entscheidender Bedeutung. Transparenzverpflichtungen legen die Benachrichtigungspraktiken fest, soweit dies zulässig ist, und eine lückenlose Dokumentation unterstützt sowohl die Einhaltung der Vorschriften als auch die Aufsicht. Mit einer ausgereiften Betriebsstruktur und einem klaren Verständnis des CLOUD Act können Unternehmen grenzüberschreitende rechtliche Anforderungen bewältigen, Rechtskonflikte meistern und geschäftskritische Systeme schützen, während sie gleichzeitig einen rechtmäßigen und die Rechte wahrenden Zugriff gewährleisten.