E-Evidence versus Confidential Computing Warum ganze Berufsgruppen von der Cloud-Nutzung ausgeschlossen sein könnten

Mit E-Evidence schickt sich ein neues, internationales Regelwerk an, Daten über Landesgrenzen hinweg für Behörden verfügbar zu machen. Doch auch ohne das neue EU-Gesetz bewegen sich bestimmte Berufsgruppen am Rande der Legalität, wenn sie Cloud-Dienste nutzen.

Anbieter zum Thema

Vogel IT-Medien GmbH

VMware Global Inc Zweigndl. Deutschland

Insider Research

uniscon - A member of TÜV Süd

Die als E-Evidence-Verordnung oder auch deutsch „Europäische Herausgabeanordnung“ bezeichneten Vorschriften sollen die länderübergreifende Datenfreigabe neu regeln, damit Polizei- und Justizbehörden schneller und einfacher an elektronische Beweise wie E-Mails oder Dokumente, die sich in der Cloud befinden, gelangen können. Dies alles ausschließlich zur Bekämpfung von Kriminalität und Terrorismus, betont die EU-Kommission.

Fordert also beispielsweise die Justizbehörde in Griechenland die Nutzerdaten eines deutschen Kunden an, so soll es zukünftig möglich sein, den deutschen Cloud-Anbieter zur Herausgabe dieser Daten zwingen zu können. Davon betroffen sind alle Informationen, die dem Cloud-Dienstleister über seinen Kunden zur Verfügung stehen: Angefangen von den gespeicherten Inhalten bis hin zu den Metadaten bezüglich des Zeitpunkts der Datenübertragung, IP-Adresse des Absenders sowie den Empfänger der Datenpakete.

Cloud-Anbieter können auf Kundendaten zugreifen

Nicht nur die deutschen Datenschutzbeauftragten des Bundes und der Länder sehen mit E-Evidence die Grundrechte der Nutzer und der Provider ausgehebelt. Auch Security-Spezialist Uniscon hat Bedenken: Der Entwurf möge zwar für eine effektive internationale Strafverfolgung hilfreich sein – doch die Forderung werfe grundsätzliche Fragen zur Datensicherheit von Cloud-Diensten auf.

Denn technisch sei der Zugriff auf Nutzerdaten – Inhaltsdaten sowie Metadaten – durch den Anbieter prinzipiell möglich. Viele Anbieter von Cloud-Diensten könnten, wenn sie wollten, auf die in der Cloud gespeicherten Daten ihrer Kunden zugreifen, so Uniscon. Das würde aber bedeuten, dass dieser Zugriff schon jetzt grundsätzlich auch ohne behördliche Anordnung erfolgen könne. Eine unangenehme Vorstellung für Unternehmen, die mit sensiblen Daten umgehen müssen. Denn wenn schon der Cloud-Betreiber jederzeit auf die Daten seiner Kunden zugreifen kann, wer dann noch alles?

Alleine die Möglichkeit zur Kenntnisnahme stellt für manche Berufsgruppen (Träger von Berufsgeheimnissen nach §203 StGB, wie z.B. Anwälte und Ärzte) sogar eine Offenbarung von Geheimnissen im Sinne des Strafgesetzbuches dar. Und mit E-Evidence werde es noch viel schlimmer: „So schließt man mit der Forderung nach der Möglichkeit des behördlichen Zugriffs gewisse Berufsgruppen von vornherein von der Nutzung von Cloud-Diensten aus und setzt sie den wirtschaftlichen Nachteilen aus, die sich daraus ergeben“, argumentiert Ulrich Ganz, Director Software Engineering bei der Münchner TÜV SÜD-Tochter Uniscon.

Confidential Computing: Technologie vs Anordnung

Unternehmen, die Zugriffe durch Dritte – auch durch den Dienstbetreiber – zuverlässig verhindern wollen, sollten bereits jetzt Dienste verwenden, die das Prinzip des Confidential Computing umsetzen, rät Uniscon. Dabei werden sensible Daten nicht nur bei der Speicherung und Übertragung verschlüsselt, sondern bleiben auch während der Verarbeitung geschützt. Ziel des Confidential Computing sei es, neben einer allgemeinen Verbesserung der Datensicherheit, die Vorteile des Cloud Computing auch denjenigen Branchen zugänglich zu machen, die schützenswerte Daten verarbeiten.

Es ist wichtig, dass gesetzgeberische Maßnahmen nicht mehr Schaden anrichten, als sie Nutzen generieren. Eine grenzübergreifende Auslieferung von Daten ist daher mit großer Skepsis zu betrachten und sollte auf keinen Fall überstürzt verabschiedet werden, kommentiert der Secure-Cloud-Provider.

E-Evidence-Verordnung der EU stößt auf Kritik

Neue Regeln gegen die Verbreitung terroristischer Inhalte im Internet

Gesetzentwurf zur Terrorismusbekämpfung und Strafverfolgung

EU plant grenzüberschreitenden Datenzugriff

(ID:47044957)