Microsoft will Cloud-Daten weiter schützen können

„CLOUD Act“ soll wenigstens bürgerliche Grundrechte erfüllen

| Autor: Elke Witmer-Goßner

Strenge rechtliche Verfahren sollen Cloud-Anbieter wie -Nutzer vor rechtswidrigen Datenanforderungen schützen.
Strenge rechtliche Verfahren sollen Cloud-Anbieter wie -Nutzer vor rechtswidrigen Datenanforderungen schützen. (Bild: © pabrady63 - stock.adobe.com)

Microsoft gibt nicht auf und kämpft weiter darum, die Daten seiner Cloud-Kunden vor dem Zugriff durch staatliche Strafverfolgungsbehörden zu schützen. Das Unternehmen fordert, dass sowohl Cloud-Provider, als auch Cloud-Nutzer mehr Rechte haben sollen, staatliche Datenanforderungen anfechten zu können.

Besonders das Gesetz „Clarifying Lawful Overseas Use of Data Act”, kurz „CLOUD Act”, das Cloud-Anbietern wie Datenschützern seit seinem Inkrafttreten am 23. März dieses Jahres die die Zornesröte ins Gesicht treibt, räumt US-amerikanischen Strafverfolgungsbehörden explizit das Recht ein, auf Daten, die in ausländischen Rechenzentren US-amerikanischer Cloud-Anbieter liegen, zuzugreifen und diese Daten gegebenenfalls auch an entsprechende Stellen im befreundeten Ausland weiterzugeben. Somit werden nicht nur die Datenschutzgesetze anderer Staaten frech ignoriert, faktisch werden auch rechtsstaatliche Prinzipien im eigenen Land komplett ausgehebelt: Die betroffenen Provider und deren Kunden haben keinerlei rechtliche Handhabe, um sich gegen die staatlich verordnete und angewandte Spionage zu wehren.

Rechtsstaatlichkeit wiederherstellen

Diesen Zustand der Rechtlosigkeit will Microsoft nicht einfach so hinnehmen. In sechs Grundsätzen hat das Unternehmen formuliert, wie ein internationales Abkommen über den Zugang der Strafverfolgungsbehörden zu Daten aussehen müsste, um Cloud-Anbieter wie Kunden nicht im rechtlichen Niemandsland zu belassen und ihre Grundrechte gegenüber den Strafverfolgern wiederherzustellen. An erster Stelle steht daher die Forderung nach einem umfassenden Recht auf Benachrichtigung. Alle Nutzer, Einzelpersonen wie Unternehmen, hätten – abgesehen von wenigen außergewöhnlichen Umständen – Anspruch darauf zu erfahren, wann die Regierung auf ihre digitalen Informationen zugreift. Und Cloud-Anbieter sollten das Recht erhalten, ihre Kunden über solche Zugriffe zu informieren. Geheimhaltung sollte immer die Ausnahme und nicht die Regel sein.

Jede Forderung der Strafverfolgungsbehörden nach Inhalten und anderen sensiblen Benutzerdaten muss von einer unabhängigen Justizbehörde vor der Vollstreckung der Anordnung und erst nach einer aussagekräftigen rechtlichen und sachlichen Mindestdarstellung überprüft und genehmigt werden, lautet der nächste Punkt. Dieses Vorgehen sei, begründet Microsoft, für jeden Rechtsrahmen, der die Förderung der Rechtsstaatlichkeit und das Vertrauen der Öffentlichkeit in die Regierung zum Ziel habe, von wesentlicher Bedeutung: „Die vorherige Überprüfung und Genehmigung durch eine unabhängige Justizbehörde ist der einzige weltweit akzeptierte Strukturmechanismus, der die Privatsphäre und die Grundrechte sinnvoll schützt. Es schützt vor übermäßigen und unrechtmäßigen Anforderungen an Kundendaten. Es dient auch dazu, die allgemeine Legitimität der Strafverfolgungsuntersuchung selbst zu verbessern.“

Deshalb sollten die Standards, die eine vorherige, unabhängige gerichtliche Genehmigung regeln, ebenfalls streng sein und einen angemessenen Schutz der persönlichen Privatsphäre und gegen Übergriffe oder Missbrauch durch die Regierung gewährleisten. Anfragen sollten beispielsweise auf ein bestimmtes Konto, einen bestimmten Identifikator oder eine bestimmte Vorrichtung ausgerichtet sein. Darüber hinaus sollten Anträge nur dann genehmigt werden, wenn sie durch spezifische Beweise gestützt werden, die ein kriminelles Verhalten belegen und die geforderten Daten im Zusammenhang mit einer Untersuchung einer schweren Straftat benötigt werden.

Weltweite Nutzerrechte respektieren

Doch damit nicht genug. Microsoft fordert neben der gerichtlichen Anordnungspflicht auch die Möglichkeit, dass Cloud-Anbieter ein detailliertes Gerichtsverfahren erhalten. Dies soll einerseits die gründliche Überprüfung der Nachfrage nach Benutzerdaten ermöglichen. Und andererseits besteht so die Möglichkeit, rechtswidrige und unangemessene Forderungen nach Benutzerdaten zum Schutz der Menschenrechte anzufechten. Nur so kann ein Cloud-Provider kritisch überprüfen, dass die Regierungen bei der Nutzung ihrer Ermittlungsbefugnisse den Rechtsstaat strikt einhalten. Die gründliche Überprüfung der Anforderungen an die Strafverfolgung durch Cloud-Provider dient letztlich nur dazu, sicherzustellen, dass die Regierungen die Rechte der Internetnutzer auf der ganzen Welt respektieren. Und nur so können Nutzer dann unangemessene staatliche Anforderungen zur Freigabe sensibler Daten vor Gericht überhaupt anfechten.

Doch auch zwischen den Staaten müssen klare Absprachen getroffen werden, fordert Microsoft, um Rechtskonflikte mit Drittländern zu vermeiden oder zu lösen, sollten diese bereits aufgetreten sein: „Der Dialog zwischen den Regierungen und internationale Abkommen sind die einzigen legitimen Mechanismen, um die grenzüberschreitende Nachfrage nach elektronischen Beweismitteln in einer Weise zu erleichtern, die internationale Grenzen und Souveränität respektiert“, heißt im vierten Punkt.

Moderne Regeln für die Suche von Unternehmensdaten

Öffentliche und private Unternehmen – sogar Regierungen selbst – verlagern ihre digitalen Informationen zunehmend in die Cloud. Der Übergang zur cloud-basierten Infrastruktur sollte jedoch nicht an dem Grundprinzip ändern, dass diese Unternehmen das Recht haben, ihre Daten zu kontrollieren und Untersuchungsanforderungen direkt von der Strafverfolgung zu erhalten. Deshalb sollten Unternehmen als Rechteinhaber an ihren Daten auch direkt über beabsichtigte Zugriffe auf Daten zum Zweck der Vereitelung von Straftaten oder der Strafverfolgung informiert werden, fordert Microsoft weiter. Abgesehen von außergewöhnlichen Umständen werde die direkte Abfrage von Daten von Unternehmen eine Strafverfolgungsuntersuchung nicht gefährden oder zu einer Gefahr für die öffentliche Sicherheit führen. Dies gelte insbesondere dann, wenn die gesetzliche Forderung große Unternehmen betrifft, denen sehr wahrscheinlich selbst an der Zusammenarbeit mit der Strafverfolgung gelegen ist.

In Anbetracht der Tatsache, dass sich die Strafverfolgungspraktiken mit dem technologischen Wandel weiterentwickeln müssen, sind sich das US-Justizministerium ebenso wie die Europäische Kommission in ihrem Standpunkt einig, dass Ermittler Daten direkt vom Unternehmen selbst und nicht von Anbietern von Cloud-Speichern anfordern sollten, solange dies die Untersuchung nicht beeinträchtigt. Der gleiche Grundsatz, so Microsoft, sollte aber auch für Regierungen gelten, die versuchen Strafverfolgungsanforderungen direkt an ausländische Cloud-Anbieter im Rahmen eines internationalen Abkommens zu senden. Diese sollten ihre Ermittlungsregeln ebenfalls modernisieren, um sich vor unzulässigen Strafverfolgungsanforderungen für Unternehmensdaten zu schützen.

Das Recht der Öffentlichkeit auf Transparenz

Nicht zuletzt hält Microsoft eine umfassende Transparenz bei der Aushandlung und Umsetzung internationaler Abkommen für unerlässlich, um das Vertrauen der Öffentlichkeit in Regierung und Technologie zu erhalten. Im Einklang mit den demokratischen Traditionen und Prinzipien müssten die Regierungen bei der Aushandlung von Vereinbarungen, die die Standards für grenzüberschreitende Strafverfolgungsersuchen nach digitalen Beweismitteln und den für ihre jeweiligen Einwohner geltenden Schutz regeln, verständlich und nachvollziehbar sein. Daher sollten Regierungen auch mindestens dazu verpflichtet werden, den Text des vorgeschlagenen Abkommens vor seiner Annahme zu veröffentlichen, um einen sinnvollen öffentlichen Beitrag zu ermöglichen. Alle Vereinbarungen sollten zudem sicherstellen, dass Cloud-Anbieter das Recht haben, regelmäßige und angemessene Transparenzberichte zu veröffentlichen, die die Anzahl der eingehenden Anfragen, die Anzahl der betroffenen Kundenkonten und die Regierung, die diese Aufträge erteilt hat, dokumentieren. Microsoft sieht sich als Provider in der Verantwortung und sogar Pflicht, solche Informationen der Öffentlichkeit zur Verfügung zu stellen.

Ein langer Weg für mehr Rechtssicherheit

Das Sechs-Punkte-Papier lehnt die Datenanforderung durch Ermittler und Strafverfolger nicht grundsätzlich ab. Allerdings wird deutlich: Microsoft hält den „CLOUD Act“, der ausländische Datenschutzrichtlinien ignoriert und Cloud-Nutzer im schlimmsten Fall staatlicher Willkür und Missbrauch aussetzt, in dieser Form für untragbar. Schon seit Jahren wehrt sich der Konzern dagegen, Kundendaten, die in Rechenzentren außerhalb der USA gespeichert sind, an US-Behörden herausgeben zu müssen. Der seit 2001 geltende „Patriot Act“ erlaubte zwar den staatlichen Zugriff auf in der Cloud gespeicherte Daten, regelte aber nicht eindeutig den Umgang mit solchen Daten, die US-Anbieter auf ausländischen Servern speicherten. Deshalb konnte Microsoft auch mehrmals die Herausgabe von Daten auf irländischen Servern verweigern. Gleichzeitig initiierte man in Deutschland ein Treuhändermodell. Microsoft bot ausschließlich seine Cloud-Services an, hatte aber weder technischen noch inhaltlichen Zugriff auf das von T-Systems betriebene Rechenzentrum – ein sicheres und sinnvolles Angebot, das man aber aufgrund mangelnder Nachfrage wieder aufgeben musste. Und auch vor Gericht musste der Konzern aus Redmond am Ende klein beigeben, das Verfahren in den USA wurde eingestellt: Das von US-Präsident Donald J. Trump unterzeichnete Gesetz schloss die Gesetzeslücke im „Patriot Act“ per Handstreich und erweiterte somit die staatliche Handhabe auch für im Ausland gespeicherte Daten.

Der lange Arm der USA - Neues Cloud-Gesetz in Kraft

Die USA verschärfen Überwachung von Internet-Diensten

Der lange Arm der USA - Neues Cloud-Gesetz in Kraft

16.04.18 - Seit dem 23 März gilt in den USA der „Cloud Act“. Das Gesetz verschärft die bisherige Überwachungspraxis im Cloud Computing. Betroffene Provider und Anwender haben weniger Rechte. lesen

Kommentare werden geladen....

Kommentar zu diesem Artikel abgeben

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 45513839 / Recht und Datenschutz)