Das Dilemma US Cloud Act

Diese Maßnahmen allein genügen freilich nicht, um die hochgradige Abhängigkeit von den US-Clouds in absehbarer Zeit entscheidend zu verringern. Nicht einmal die erste Amtszeit Donald Trumps, in der sich die Feindseligkeit gegenüber der Europäischen Union bereits abzeichnete, hatte zu einem Erkenntnisprozess in Europa geführt. Dabei hatten die USA mit dem Cloud Act die Europäer, die damals mit der Trump-Administration darüber verhandeln wollten, im Jahr 2018 regelrecht überfahren .

Und dieses Gesetz sieht seither vor, dass die US-Behörden Zugriff auf sämtliche Daten haben, die in den Clouds von Amazon, Google oder Microsoft gespeichert werden. Und zwar ganz unabhängig davon, wo sich diese Datensätze physisch befinden. Für europäische Behörden wie das BSI, die für die Datensicherheit verantwortlich sind, ist das natürlich ein Dilemma.

Bild 1/3: Oberste Priorität hat für die Mercedes-Benz AG die Unterstützung der diversen Open-Source-Entwicklergruppen. Das ist doch einigermaßen überraschend, zumal die deutsche Autoindustrie eher für proprietäre Patente und weniger für freie Software bekannt ist (Hervorhebung durch den Autor). (Screenshot: Erich Moechel)

Bild 2/3: Auch in der Stellungnahmen der Deutschen Industrie- und Handelskammer finden sich dieselben Prioritäten wie im Statement der Mercedes-Benz AG. Man sorgt sich angesichts der zumeist eher lose bis informell organisierten Developer um Nachhaltigkeit in der Entwicklung freier Software. (Screenshot: Erich Moechel)

Bild 3/3: Der Stellungnahme von Heinlein, einem zufällig ausgewählten deutschen IT-Unternehmen, ist zu entnehmen, was das österreichische Bundesheer auf Anfrage von Golem nicht verraten wollte. Das Bundesheer hat anstelle von Microsoft Teams, Cisco Webex oder Zoom nun das freie Opentalk implementiert. (Screenshot: Erich Moechel)

Troubleshooting in der Cloud

Wie aus dem Antwortschreiben des BSI hervorgeht, ist man sich dieser Problematik durchaus bewusst und hat bereits erste Maßnahmen gesetzt, um Zugriffe zu erschweren. Derzeit werden "sogenannte Kontrollschichten eingezogen" , die Zugriffe Dritter auf Datensätze in der Cloud unmöglich machen sollen. Eine " Sicherheitsarchitektur einschließlich Verschlüsselung und externem Schlüsselmanagement kann den Klartextzugriff durch den Cloud Service Provider selbst unterbinden" , heißt es dazu vom BSI.

Wenn der Cloud-Provider keinen Zugriff auf die Schlüssel hat, gehen solche Anordnungen von US-Behörden naturgemäß ins Leere. Und deshalb arbeitet das BSI mit Amazon daran, die AWS-Infrastruktur im EU-Raum "physisch wie auch logisch von der globalen AWS-Infrastruktur abzukoppeln" .

Das ist keine triviale Angelegenheit, denn das beinhaltet "die Prüfung eingehender Steuerungsbefehle und Cloud Updates, die Unterbindung ausgehender Telemetriedaten sowie den Betrieb durch EU-Personal" .

1. Digitale Souveränität: Wie Deutschland sich von US-Software löst
2. Die Doppelstrategie des BSI
3. Das Dilemma US Cloud Act
4. Die Rechnung mit dem 'Kill Switch'