Nachdem die USA mit dem neuen „CLOUD Act“ (Clarifying Lawful Overseas Use of Data Act) die weltweite Überwachung von Internet-Diensten verschärft haben, bleibt Anwendern keine Möglichkeit mehr, sich vor Datenzugriffen zu schützen. Mehr denn je empfiehlt sich für Unternehmen daher die Verschlüsselung und Pseudonymisierung sensibler Informationen, bevor diese zum Cloud-Provider gelangen.

Mit dem am 23. März in Kraft getretenen CLOUD Act dürfen US-Behörden nun auch auf Daten zugreifen, die US-Unternehmen auf Servern im Ausland verarbeiten. So haben die Behörden das Recht, von den Cloud-Anbietern die Herausgabe sämtlicher Daten einer Person oder eines Unternehmens zu verlangen. Dagegen können die Provider nur dann vor Gericht Einspruch erheben, wenn die Betroffenen entweder keine US-Bürger sind oder die Herausgabe der Daten gegen das Recht des Landes verstoßen würde, in dem sich diese befinden. Dem Gericht obliegt dann die Abwägung zwischen den Interessen der US-Behörden und dem wirtschaftlichen Wohl der Provider.

Keine Gegenwehr mehr möglich

Die Folgen für die Betroffenen sind fatal: Da der CLOUD Act vorsieht, dass sie weder vom Provider noch irgendeiner anderen Instanz über den Zugriff informiert werden müssen, können sie sich nicht dagegen wehren. Verschärfend kommt hinzu, dass der Präsident der USA nach Belieben mit anderen Staaten Abkommen zum erweiterten Datenabfluss abschließen kann. Das heißt konkret, dass die Behörden dieser Staaten ebenfalls Daten von US-Cloud-Anbietern erhalten können – ohne Gerichtsbeschluss. Während der CLOUD Act von US-amerikanischen Bürgerrechtsorganisationen stark kritisiert wird, leisten IT-Riesen wie Microsoft, Apple und Google keinen Widerstand.

Verschlüsselung schützt vor Zugriffen

Cloud-Anwender sollten dafür sorgen, dass personenbezogene Daten erst gar nicht das Unternehmen verlassen – zumal wenn sie im EU-Raum ansässig sind und damit der am 25. Mai in Kraft tretenden EU-Datenschutzgrundverordnung (DSGVO) unterliegen. Einen technisch praktikablen Ansatz bieten Lösungen wie das eperi Gateway, das kritische Daten verschlüsselt und pseudonymisiert und damit unlesbar macht, bevor sie an den Cloud-Anbieter übertragen werden. Die Informationen werden erst dann wieder entschlüsselt, wenn sie zurück ins Unternehmen gelangen.

Mehr zum neuen US-amerikanischen CLOUD Act und seine Folgen auf CloudComputing-Insider.de

Auch interessant: