Cloud: Auch Auslandsserver von US-Firmen sind nicht sicher

Microsoft hat einen Prozess vor einem New Yorker Bundesgericht verloren. Auch Kundendaten, die auf Cloud-Servern in Europa liegen, sind damit nicht vor dem Zugriff der US-Behörden geschützt.

Artikel veröffentlicht am 28. April 2014, 17:25 Uhr, Achim Sawall

Microsoft-Logo in Prag (Bild: David W Cerny/Reuters)

US-Unternehmen müssen ihren Sicherheitsbehörden auch dann Zugang zu Kundendaten gewähren, wenn diese auf Servern im Ausland gespeichert sind. Das hat ein New Yorker Bundesgericht entschieden. Danach muss Microsoft einem Durchsuchungsbefehl folgen und auch Kundendaten übergeben, die im irischen Dublin liegen.

Laut dem Urteil (PDF) von Richter James Francis wäre die "Belastung für die Regierung sonst erheblich und Strafverfolgungsmaßnahmen würden ernsthaft behindert." Microsoft will gegen das Urteil in die Revision gehen.

Dazu erklärte der ehemalige Bundesdatenschützer Peter Schaar in seinem Blog: "Die Kunden von US-Unternehmen, die ihre Daten etwa in einer Cloud speichern, müssen also davon ausgehen, dass ihre Daten dem Zugriff durch US-Behörden nach amerikanischem Recht ausgesetzt sind. Damit gelangen die US-Behörden an im Ausland gespeicherte Daten, für die sie ansonsten den Weg der internationalen Rechtshilfe begehen müssten. Dies widerspricht internationalem Recht."

Schaar betont, dass betroffene EU-Bürger nicht einmal das Recht hätten, sich vor US-Gerichten gegen die Praktiken der Behörden beim Umgang mit ihren Daten zu wehren. Zudem seien die Zugriffsbefugnisse der National Security Agency (NSA) und des FBI nach dem 11. September 2001 massiv ausgeweitet worden. "Wie wir durch die Snowden-Papiere wissen, machen die Behörden von diesen Überwachungsmöglichkeiten auch rege Gebrauch", so Schaar.

Mit seiner Entscheidung durchkreuze das Gericht die von einigen US-Konzernen unternommenen Anstrengungen, Cloud-Daten im Ausland sicher vorzuhalten. So hatte IBM vor kurzem angekündigt, in Deutschland ein neues Rechenzentrum zu errichten, in dem die Daten "unter Einhaltung sämtlicher Datenschutzvorgaben aus Deutschland und der EU ins Netzwerk aufgenommen werden." Derartige Zusagen seien nicht einzuhalten, wenn sich - wie zu erwarten - die von dem New Yorker Gericht bezogene Position in den USA durchsetzt.