US-Clouds: Erste Warnungen vor Gefährdung der Datensouveränität in Europa

Unternehmen und Organisationen speichern und verarbeiten sensible Daten bei US-basierten „Cloud“-Anbietern – mangels europäischer Alternativen

[datensicherheit.de, 21.03.2025] Laut einer aktuellen Stellungnahme der Eperi GmbH warnen Norwegen und Dänemark bereits vor „Cloud“-Service-Anbietern aus den USA. Dies werfe nun die Frage auf, ob auch Deutschland und weitere europäische Länder diesem Beispiel folgen werden, wann Regeln zum Datenschutz verschärft werden und wie Unternehmen diese Hürde meistern können.

Verarbeitung und Speicherung sensibler Daten in US-Clouds könnte gemäß europäischer Gesetzgebung unzulässig werden

Dass zunehmend mehr Unternehmen und Organisationen viele ihrer sensiblen Daten bei US-basierten „Cloud“-Anbietern speichern und verarbeiten, sei mangels europäischer Alternativen Fakt. Aktuelle politische Trends in den USA veranlassten jedoch europäische Sicherheitsbehörden zu deutlichen Warnungen, da die Daten auch dort nicht mehr sicher sein könnten.

„Im schlimmsten Fall könnte die Verarbeitung und Speicherung sensibler Daten in den US-Clouds sogar gemäß der europäischen Sicherheitsgesetzgebung unzulässig werden!“ Die proaktive Lösung des Problems könne eine funktionserhaltende Verschlüsselung sensibler Daten sein – egal für welche „Cloud“ und egal wo auf der Welt.

Strategie vorbereiten, falls Datentransfer in US-„Clouds“ plötzlich nicht mehr zulässig ist

Europäische Datenschutzexperten seien besorgt – und mit Norwegen und Dänemark schlagen demnach die ersten beiden Länder offiziell Alarm: Die norwegische Datenschutzbehörde habe die klare Empfehlung ausgesprochen, dass Unternehmen eine Strategie vorbereiten sollten, wie sie mit US-amerikanischen „Cloud“-Diensten umgehen, falls der Datentransfer in die USA plötzlich nicht mehr zulässig werde.

Eine ähnliche offizielle Empfehlung der dänischen Datenschutzbehörde nur einige Tage zuvor betone, dass sich Unternehmen nicht auf den aktuellen Angemessenheitsbeschluss verlassen dürften, da die rechtliche Lage viel zu unsicher sei.

Unternehmen sollten sich nicht auf anhaltende Rechtssicherheit für Nutzung von US-„Cloud“-Diensten verlassen

Dass deutsche Datenschutzbehörden mit einer vergleichbaren Warnung nachziehen, sei wahrscheinlich: „Die deutschen Aufsichtsbehörden standen in der Vergangenheit bei vielen Risikoeinschätzungen und Datenschutzinitiativen Seite an Seite mit den europäischen Partnerstaaten.“

Bereits jetzt ließen Aufsichtsbehörden keinen Zweifel daran, dass deutsche Unternehmen sich nicht auf langfristige Rechtssicherheit beim Einsatz von US-„Cloud“-Diensten verlassen sollten. Sie hätten in der Vergangenheit immer wieder betont, dass der Schutz personenbezogener Daten oberste Priorität habe – auch wenn dies für Unternehmen unbequem in der Umsetzung sei.

Gesamteuropäische „Cloud“-Problematik

Die jüngsten Warnungen der beiden nordeuropäischen Länder begründeten sich auf einem zentralen und für gesamt Europa existenten Risiko: „Sollten sich europäische Unternehmen zu stark an US-,Cloud’-Dienste binden, stehen diese bei einem plötzlichen Wegfall der Rechtsgrundlage vor einer Herausforderung, die sowohl die Sicherheit der Unternehmen, aber auch deren Handlungsfähigkeit elementar stören kann!“

Das Problem liege darin, dass für viele US-„Cloud“-Dienste keine europäischen Alternativen existierten. Beschlüsse oder regulatorische Entscheidungen, welche den Transfer sensibler Daten in die USA untersagten, würden die Nutzung vieler „Cloud“-Dienste, auf die Unternehmen im Tagesgeschäft angewiesen seien, abrupt unterbrechen. Mit einem Verbot der Datenflüsse würden Kritische Arbeitsprozesse unterbrochen, was in den meisten Fällen zu Betriebsunterbrechungen und in Folge zu Reputationsschäden führen könne.

Kurzfristige Konsequenzen von „Cloud“-Neuregulierungen wären gravierend

„Sollten offizielle Regelungen und Handlungsanweisungen in den europäischen Staaten oder aus Brüssel heraus konkretisiert und in einem neuen Regelwerk manifestiert werden, müssen viele Unternehmen sehr kurzfristig handeln – insbesondere dann, wenn geschäftskritische Prozesse ausschließlich mit ,Cloud’-Diensten von US-Unternehmen durchgeführt werden.“ Die kurzfristigen Konsequenzen derartiger Neuregulierungen seien gravierend. Dazu gehörten

• die sofortige Neubewertung bestehender Verträge mit US-„Cloud“-Anbietern
• die Risikobewertungen für alle Datenflüsse in die USA
• das Erstellen und Umsetzen von Plänen für die Gewährleistung der Datensicherheit
• ein enorm hoher Zeitdruck, da Datenschutzbehörden in solchen Fällen kurze Fristen setzten
• und die wesentlich strengere Prüfung bei künftigen „Cloud“-Projekten, ob diese den Datenschutzanforderungen entsprechen.

Vertrauen in „Cloud“- und IT-Partner in den USA steht auf der Kippe

Warten sei in der aktuellen Abhängigkeitssituation keine gute Option. Das weitreichende und zu einem Teil berechtigte Vertrauen in die „Cloud“- und IT-Partner in den USA stehe im Moment jedoch zunehmend auf der Kippe und die Wahrscheinlichkeit, dass sich die europäischen Datenschutzorgane zugunsten der Sicherheit der europäischen Wirtschaft aussprechen, sei groß.

Noch hätten die Unternehmen gute Chancen, die Weichen zu ihren Gunsten zu stellen. „In einem ersten Schritt sorgt eine Dateninventur für das valide Wissen darüber, welche Daten mit welchen Grad an Sensibilität wo verarbeitet und gespeichert werden.“ Darüber hinaus gelte es zu prüfen, welche Prozesse unausweichlich mit Anbietern aus den USA durchgeführt werden müssten und welche vielleicht anders organisiert oder mit europäischen Anbietern umgesetzt werden könnten.

Danach folgten möglichst rasch die Strategie und konkrete Pläne, wie sich Kritische Daten kurzfristig schützen ließen. Dabei stehe immer die maximale Datensouveränität im Vordergrund, bei der mit geeigneten Technologien und Diensten sichergestellt sei, dass der Schutz und der Zugriff auf Unternehmensdaten stets unter eigener Kontrolle blieben.

Verschlüsselung bei „Cloud“-Nutzung erfüllt Regulatorik und Compliance auch unter besonderen Umständen

„Da es in einigen Fällen an Alternativen und Optionen zu den US-basierten ,Cloud’-Anwendungen und -Diensten mangelt und keine kurzfristigen Ausweichmöglichkeiten bestehen, ist die gezielte Verschlüsselung ein probates und vor allem sicheres Mittel, um die Regulatorik und Compliance einzuhalten.“ Bei einer geeigneten Datenverschlüsselung werde sichergestellt, dass der Klartext ausschließlich im Unternehmen verbleibe – auch wenn die Speicherung und Datenverarbeitung weiterhin bei nicht europäischen Anbietern liege. „Wichtig dabei ist, dass die Unternehmensdaten bereits vor dem Upload in die ,Cloud’ verschlüsselt werden. Erst damit ist der Zugriff auf die Daten durch Dritte ausgeschlossen.“

Eine die Kriterien einer Regulatorik und der Compliance erfüllende Datenverschlüsselung sei allerdings nur dann hilfreich, wenn mit den Daten in der „Cloud“ und in den Applikationen trotz Verschlüsselung uneingeschränkt gearbeitet werden kann. Daher sorge ausschließlich eine funktionserhaltende Verschlüsselung für Abhilfe und Sicherheit zugleich.

Unternehmen sollten bei Auswahl einer „Cloud“-Verschlüsselungslösung auf besondere Merkmale achten

Verschlüsselung vor der „Cloud“
Daten verlassen das Unternehmen nur in verschlüsselter Form!

Schlüsselkontrolle
Nur das Unternehmen besitzt die Schlüssel – kein „Cloud“-Anbieter, keine Behörde, kein Partner!

Volle Funktionalität
Trotz Verschlüsselung bleiben Funktionen wie Suche, Sortierung und Kollaboration erhalten!

Flexible Anwendbarkeit
Kompatibel mit „Microsoft 365“, „Salesforce“ und fast jeder weiteren (auch hybriden) „Cloud“-Umgebung!

Die erfolgten Warnungen aus Norwegen und Dänemark seien ein deutliches Signal: „Es ist davon auszugehen, dass weitere europäische Länder dem Beispiel folgen oder auch konkrete Verbote und Regeln für das ungeschützte Übertragen sensibler Daten in die USA oder andere Regionen der Welt in Kraft treten werden.“ Die abschließenden Empfehlung: „Unternehmen, die sich jetzt unabhängig machen und eine echte Datensouveränität etablieren, brauchen keine Unterbrechung der Betriebsabläufe und Prozesse aufgrund strengeren Regeln zu fürchten.“

Weitere Informationen zum Thema:

EPERI, 12.03.2025
Norwegen und Dänemark warnen vor US-Clouds: Wann folgt Deutschland? / Europäische Datenschutzbehörden schlagen Alarm: Erfahren Sie, warum US-Clouds ein Risiko sind und wie Unternehmen ihre Daten schützen können

datensicherheit.de, 05.12.2024
Finanzsektor: Digitalisierung und Cloud bieten idealen Nährboden für Cyber-Angriffe / Tiho Saric erörtert Cyber-Risiken des Finanzsektors im Rahmen der Digitalisierung und der oftmals damit einhergehenden Migration in die „Cloud“

datensicherheit.de, 14.09.2024
SANS Institute gibt eBook zur Cloud-Sicherheit heraus / Im Fokus: „Cloud“-Sicherheit mit „AWS“, „Google Cloud“ und „Microsoft Azure“

datensicherheit.de, 10.06.2024
Cloud-Sicherheit unter sich verändernden Rahmenbedingungen / Wie man einen „Vergnügungspark“ sichert

datensicherheit.de, 13.09.2023
Cloud: Rückverlagerung von Daten nimmt an Bedeutung zu / Massives Datenwachstum, steigende Kosten für Cloud-Dienste und der Wunsch nach mehr Flexibilität geben dem Hosting von Daten und Workloads vor Ort neuen Auftrieb

datensicherheit.de, 01.06.2023
Neuer TeleTrusT-Leitfaden: Cloud Supply Chain Security / TeleTrusT warnt vor Attacken über vertrauenswürdig eingestufte Komponenten und IT-Services Dritter