Was heißt schon „souverän“? – Teil 3 Schützt Gaia-X vor Behördenzugriffen auf Daten?

Anbieter zum Thema

netfiles GmbH

Cloudgermany.de GmbH

STACKIT GmbH & Co. KG

Das europäische Vorzeigeprojekt Gaia-X war unter anderem dafür angetreten, einen Gegenentwurf zu den amerikanischen Hyperscalern zu entwickeln und für souveräne Datenräume zu sorgen. Kann es vor den Zudringlichkeiten von US-Behörden schützen? Und vor europäischen auch?

Das Gaia-X Hub Deutschland hat mit Dr. Abel Reiberg einen neuen Projektleiter. Er musste sich frisch im Amt unserer Frage stellen, inwieweit das Gaia-X-Framework vor Zudringlichkeiten durch Behörden schützen kann. Hilft es dabei, Kundendaten vor den Augen des Gesetzes zu verbergen?

Reiberg erläutert gegenüber CloudComputing-Insider, dass die Initiative dafür auf ein dezentrales System setzt: Die Daten bleiben in der Regel bei ihren Inhabern. Erst wenn es wirklich nötig ist und die Inhaber zustimmen, werden Daten weitergegeben. Ein wichtiger Baustein dafür seien sogenannte „Digital Clearing Houses“, die prüfen, wer Daten erhalten möchte, und sicherstellen, dass nur berechtigte Personen oder Unternehmen Zugriff bekommen. Mit dem Gaia-X Trust-Framework könnten Dateninhaber genau festlegen, wer welche Daten sehen darf und wofür sie genutzt werden dürfen. „Das geschieht über klare Regeln, die für alle verständlich sind“, so Reiberg.

Der Zugriff auf Daten werde über sogenannte Usage und Consumer Policies gesteuert. Das sind konkrete Anforderungen an Nutzer und Anbieter, die in einer offenen Sprache – Open Digital Rights Language (ODRL) – festgelegt werden. Diese Regeln werden im sogenannten Policy Enforcement Point überprüft. So wird laut Reiberg sichergestellt, dass Daten nur an vertrauenswürdige Partner im europäischen Raum transferiert werden.

Die Übermittlung der Daten erfolge direkt zwischen Dateninhaber und Datenempfänger – ohne Zwischenspeicherung bei einem Dritten. Dafür werde spezielle Konnektor-Technologie genutzt. Jeder Beteiligte kann seinen eigenen Konnektor betreiben und bleibt so unabhängig von großen externen Anbietern. So werde die Gefahr, dass Daten durch unrechtmäßige Anfragen von Dienstleistern oder Vermittlern weitergegeben werden, minimiert.

Durch die Wahl europäischer Partner und Dienste könne zudem verhindert werden, dass Daten an außereuropäische Behörden gelangen. Aber: Gerichtlichen Anordnungen muss Folge geleistet werden, wenn sie direkt an die Dateninhaber gerichtet werden. Diese können zwar prüfen, ob die Anordnung berechtigt ist, müssen dann aber entsprechend reagieren.

Rechtliche Grundlagen für die Datenweitergabe

Damit ist nun klar: Im Prinzip sind alle Provider – amerikanische wie europäische - verpflichtet, auf berechtigtes Verlangen hin Kundendaten an die jeweils zuständigen Behörden auszuliefern. Das betrifft auch Anwender des Gaia-X-Frameworks. Hier einige der Gesetze, die dies fordern und für Europa gelten (den in den USA dominierenden CLOUD Act haben wir bereits in Teil 1 erläutert):

Zum einen und allen voran kommt hier die EU-DSGVO ins Spiel, insbesondere der Art.6, Absatz 1, Satz c. Er besagt, dass Provider einer rechtlichen Verpflichtung unterliegen können und daher zur „Verarbeitung von Daten“ verpflichtet sind. Eine „Verarbeitung“ kann auch dem Zweck einer Herausgabe von Daten dienen. Die konkrete Verpflichtung zur Datenherausgabe findet sich in der Strafprozessordnung (StPO) in Paragraph 95, Absatz 1:

Nach Paragraph 94, Absatz 1 der Strafprozessordnung können solche Gegenstände wohl auch Daten sein, weil sie nicht näher spezifiziert werden, aber als Beweismittel dienen können:

Juristen werden ohne Zweifel noch weitere Gesetze ausfindig machen, die eine Weitergabe von Kundendaten an Behörden ermöglichen bzw. gebieten. Aber EU-DSGVO und StPO alleine sind schon unwiderstehliche Geschütze.

Fazit

Eigentlich ist es traurig: Die Aussage eines mir gut bekannten CIOs von vor 20 Jahren, wonach jeder IT-Manager, der seinen Job behalten wolle, besser niemals kritische Unternehmensdaten in die Public Cloud geben sollte, hat auch heute noch Gültigkeit, allen Rufen nach souveränen Datenräumen zum Trotz. Und der Ausweg aus der Misere ist nach wie vor der selbe: Nur in einer Private Cloud gehören einem die Daten ganz alleine. Nur dort sind sie vor Zudringlichkeiten durch Behörden und Übeltäter geschützt. Zumal sie ja auch noch verschlüsselt werden könnten.

Und damit kehren wir noch einmal an den Ausgang unserer Recherche zurück. Kevin Miller wies ausdrücklich auf die Möglichkeit der Verschlüsselung von Kundendaten in der AWS-Cloud hin. Den Schlüssel dafür halte ausschließlich der Datenbesitzer – selbst wenn also Daten an ein Gericht oder eine Behörde übergeben würden, wären diese nicht zu gebrauchen. Vorausgesetzt, der Schlüsselinhaber wird nicht weich. Oder die Behörden haben einen unwiderstehlichen Code-Knacker zur Hand. Dafür gibt es aktuell leider aber starke Tendenzen, sowohl in der EU als auch in den USA. Das ist aber ein anderes Thema.

Was heißt schon „souverän“? – Teil 1

US-Provider würden Kundendaten aushändigen

Was heißt schon „souverän“? – Teil 2

Hoster in der EU: Immun gegen US-Gesetz, nicht gegen nationale Anfragen

(ID:50478318)