Anbieter zum Thema

Amazon Web Services EMEA SARL,

Kendox AG

xSuite Group GmbH

Yorizon GmbH & Co. KG

US-Hyperscaler und der US Cloud Act – digitale Souveränität light?

Was uns die US-Cloud-Anbieter aber gerne verschweigen: Die souveränen Cloud-Angebote haben doch keinerlei Auswirkungen auf die Anwendbarkeit des US Cloud Act…

Mustafa Isik: Bei AWS haben Kundendatenschutz und -sicherheit höchste Priorität. Der Cloud Act (Clarifying Lawful Overseas Use of Data Act) von 2018 hat der US-Regierung keinerlei neue Befugnisse eingeräumt, Daten von Anbietern anzufordern. Vielmehr schafft er wichtige rechtliche Leitplanken zum Schutz von Inhalten. Das Ziel des Cloud Act ist, bei schweren Straftaten Zugang zu elektronischen Beweismitteln für die Ermittlungen zu erhalten, unabhängig vom Speicherort der Beweise. Dabei gilt der Cloud Act nicht nur für Unternehmen mit Hauptsitz in den USA, sondern für alle Anbieter, die Geschäfte in den Vereinigten Staaten tätigen. Beispielsweise unterliegen Cloud-Anbieter mit Hauptsitz in Europa, die Geschäfte in den USA tätigen, genauso den Anforderungen des Gesetzes. 

AWS erkennt die legitimen Bedürfnisse von Strafverfolgungsbehörden bei der Untersuchung krimineller und terroristischer Aktivitäten an, aber diese müssen die rechtlichen Schutzmaßnahmen für solche Ermittlungen beachten. Wir geben Kundendaten auf keinerlei behördliche Anfragen heraus, es sei denn, wir sind dazu durch eine rechtlich gültige und verbindliche Anordnung verpflichtet. Dies haben wir in unseren rechtlichen Bedingungen öffentlich zugesichert. Darüber hinaus werden wir behördliche Anfragen anfechten, die gegen das Gesetz verstoßen, zu weitreichend oder anderweitig unangemessen sind.

Es hat also niemand Zugriff auf die Daten europäischer Kunden?

Mustafa Isik: AWS verfügt über eine Reihe von Produkten und Services, die sicherstellen, dass niemand – nicht einmal Mitarbeiter von AWS – auf Kundeninhalte zugreifen können. AWS-Kunden verfügen auch über eine Reihe zusätzlicher technischer Maßnahmen und operativer Kontrollen, um den Zugriff auf Daten zu verhindern. Beispielsweise sind viele der AWS-Kernsysteme und Services mit Zero-Operator-Zugriff konzipiert, was bedeutet, dass die Services keine technischen Möglichkeiten für AWS-Mitarbeiter bieten, auf Kundendaten als Reaktion auf eine rechtliche Anfrage zuzugreifen.

Das AWS-Nitro-System, das die Grundlage der AWS-Rechendienstleistungen bildet, verwendet spezialisierte Hardware und Software, um Daten während der Verarbeitung auf Amazon Elastic Compute Cloud (Amazon EC2) vor externem Zugriff zu schützen. Durch eine starke physische und logische Sicherheitsgrenze ist Nitro so konzipiert, dass keine unbefugte Person – nicht einmal AWS-Mitarbeiter – auf Workloads von Kunden auf EC2 zugreifen kann.

Ein deutlicher Beleg für die Wirksamkeit unserer Maßnahmen und der strengen gesetzlichen Anforderungen ist die Tatsache, dass AWS seit Beginn der statistischen Erfassung im Jahr 2020 keine außerhalb der USA gespeicherten Kundeninhalte von Unternehmens- oder Regierungskundendaten an die US-Regierung weitergegeben hat.

AWS hat seit Beginn der statistischen Erfassung im Jahr 2020 keine außerhalb der USA gespeicherten Kundeninhalte von Unternehmens- oder Regierungskundendaten an die US-Regierung weitergegeben.

Mustafa Isik, Chief Technologist Digital Sovereignty bei Amazon Web Services (AWS)

Der US Cloud Act ermöglicht es den US-Behörden, weltweit auf Daten von Unternehmen und Behörden zuzugreifen, wenn diese bei einem Diensteanbieter aus den USA oder bei einem ausländischen Tochterunternehmen gespeichert sind. Was macht also AWS, wenn die US-Behörden mal einen Blick in die AWS European Sovereign Cloud werfen wollen?

Mustafa Isik: Der Zugriff auf Daten durch US-Behörden ist bei weitem nicht uneingeschränkt oder automatisch möglich, und Strafverfolgungsbehörden müssen strenge rechtliche Standards erfüllen. Seit Beginn unserer statistischen Erfassung von Anfragen im Jahr 2020 hat es keine Datenanfrage an AWS gegeben, die zur Offenlegung von außerhalb der USA gespeicherten Kundeninhalten von Unternehmens- oder Regierungsdaten gegenüber der US-Regierung geführt haben. Wir haben mehrschichtige Schutzmaßnahmen implementiert, um die Daten unserer Kunden zu schützen und prüfen jede behördliche Anfrage auf ihre Rechtmäßigkeit. Hinzu kommen technische Schutzmaßnahmen: Eine Vielzahl unserer Produkte und Services gewährleisten, dass niemand – also nicht einmal AWS Mitarbeiter – Zugriff zu Kundeninhalten haben.

Im Übrigen ist der Cloud Act kein rein amerikanisches Phänomen. Viele Länder verlangen bei schweren Straftaten die Offenlegung von Kundendaten, unabhängig vom Speicherort. So ermöglicht beispielsweise der britische Crime (Overseas Production Orders) Act britischen Strafverfolgungsbehörden auf elektronische Daten zuzugreifen, die außerhalb des Vereinigten Königreichs gespeichert sind. Tatsächlich kommt seit 2023 die Mehrheit der Strafverfolgungsanfragen, die AWS erhält, von Behörden außerhalb der Vereinigten Staaten. 

Auf Ihrer Webseite schreiben Sie zur AWS European Sovereign Cloud: „Kunden haben die volle Kontrolle über ihre Daten in AWS und bestimmen, wo ihre Daten gespeichert werden, wie sie gespeichert werden und wer Zugriff darauf hat.“ Den Teil mit dem Zugriff kann AWS also nur teilweise einhalten?

Mustafa Isik: Bei AWS herrscht der Grundsatz, dass unsere Kunden die Kontrolle über ihre Daten haben und selbst entscheiden können, wie sie ihre Daten in der Cloud sichern und verwalten. Wir sorgen dafür, dass den Kunden Mittel an die Hand gegeben werden, wie sie es auch technisch unmöglich machen können, dass Daten rausgegeben werden könnten, beispielsweise mithilfe von Verschlüsselung. Oder indem man Systeme verwendet, die zwar auf unseren eigenen basieren, aber bei denen wir keinen Zugriff auf die Daten haben. Wir waren der erste große Cloud-Anbieter, der es Kunden ermöglichte, den Standort und die Bewegung ihrer Daten zu kontrollieren. Zudem haben wir Datenschutzfunktionen und -kontrollen auf Basis von Kunden-Rückmeldungen aus den Bereichen Finanzdienstleistungen, Gesundheitswesen und öffentliche Verwaltung entwickelt – Organisationen, die zu den sicherheits- und datenschutzbewusstesten der Welt gehören.

Handelt es sich aber bei diesen Sovereign Clouds dennoch nicht vielmehr um eine Art Souveränität light?

Mustafa Isik: Nein. Die AWS European Sovereign Cloud wird die einzige vollumfängliche, unabhängig betriebene souveräne Cloud sein, die durch starke technische Kontrollen, souveräne Zusicherungen und rechtliche Schutzmaßnahmen abgesichert ist. Kunden und Partner, die die AWS European Sovereign Cloud nutzen, profitieren von der vollen Leistungsfähigkeit von AWS, einschließlich des gleichen Serviceportfolios, der Sicherheit, Verfügbarkeit, Leistung, der vertrauten Architektur, den gewohnten APIs und Innovationen wie dem AWS Nitro System.

Amazon arbeitet seit Anfang dieses Jahres auch mit dem BSI zusammen. Ziel der Kooperation ist „die Förderung digitaler Freiheit in Deutschland und der Europäischen Union (EU)“. Wie sorgt diese Zusammenarbeit für eine sichere Cloud?

Mustafa Isik: Wir waren der erste Cloud-Anbieter mit BSI C5-Testat – ein Beleg für unsere langjährige, konstruktive Zusammenarbeit. Gemeinsam wollen wir ein Umfeld schaffen, das technologischen Fortschritt unterstützt und gleichzeitig die Sicherheit digitaler Infrastrukturen erhöht. Das BSI setzt wichtige Rahmenbedingungen für digitale Souveränität – insbesondere durch hohe Cybersicherheitsanforderungen, die für unsere Kunden von zentraler Bedeutung sind. Ein Schwerpunkt liegt auf der Entwicklung und Anpassung von Standards und Validierungsprozessen an Cloud-Umgebungen, die ursprünglich für On-Premises-Systeme entwickelt wurden. Das unterstützt Organisationen, ihre Compliance- und Sicherheitsanforderungen mit Cloud-Technologien zu erfüllen. Die Erkenntnisse aus unserem Austausch im Rahmen der BSI-Kooperation fließen direkt in die Entwicklung unserer Services und der AWS European Sovereign Cloud ein.