Microsoft kann US-Zugriff auf EU-Cloud nicht verhindern – Was bedeutet das für unsere Cloud-Strategien in Europa?
Moin zusammen, aus meiner Sicht als Cloud Security Consultant und Datenschutzberater möchte ich heute eine Entwicklung teilen, die in vielen Projekten und Kundengesprächen aktuell für große Verunsicherung sorgt – und das völlig zurecht: Microsoft hat in einer Anhörung vor dem französischen Senat unter Eid bestätigt, dass es dem Unternehmen nicht möglich ist, US-Behörden den Zugriff auf Daten in der EU-Cloud grundsätzlich zu verwehren.
Die Daten physisch in europäischen Rechenzentren zu speichern – etwa im Rahmen der Microsoft EU Data Boundary – reicht demnach nicht aus, um den Zugriff durch US-Behörden auszuschließen. Grund dafür ist der US CLOUD Act, der amerikanische Unternehmen verpflichtet, auf Anforderung Daten bereitzustellen – unabhängig vom Speicherort.
Diese Klarstellung hat Signalwirkung. Denn viele Organisationen – sowohl aus dem öffentlichen Sektor als auch aus der Wirtschaft – haben in den vergangenen Jahren große Hoffnungen auf „europäische Cloud-Zonen“ gesetzt, um datenschutzrechtliche Risiken abzufedern. Die Realität ist jedoch komplexer: Wer mit einem US-Anbieter zusammenarbeitet, arbeitet auch mit US-Recht – und damit mit einem Rechtsrahmen, der in zentralen Punkten mit der DSGVO nicht vereinbar ist.
In der Praxis bedeutet das:
- Technische Maßnahmen wie Hosting in europäischen Regionen, Verschlüsselung und rollenbasierte Zugriffe sind wichtig – aber sie können eine Zugriffspflicht durch den Anbieter im Ernstfall nicht vollständig aushebeln.
- Vertragliche Maßnahmen wie Standardvertragsklauseln oder die Teilnahme am EU-US Data Privacy Framework helfen bei der Absicherung – aber sie bieten keine Garantie, wenn der Anbieter rechtlich verpflichtet wird, Daten herauszugeben.
- Transparente Risikoabwägungen sind deshalb heute unverzichtbar. Wer mit US-Cloud-Anbietern arbeitet, muss sich mit der Frage beschäftigen: Was passiert im Worst Case – wenn ein Zugriff erfolgt, von dem die betroffenen Personen nichts erfahren dürfen?
Was ich meinen Kunden aktuell empfehle:
- Kritische Datenverarbeitung identifizieren: Nicht alle Workloads sind gleich kritisch. Datenklassifizierung und Cloud-Mapping helfen, Risiken gezielt zu steuern.
- Transfer Impact Assessments durchführen: Ein fundiertes TIA ist kein rein rechtliches Dokument, sondern ein strategisches Werkzeug zur Bewertung der Zugriffsmöglichkeiten von Drittstaaten.
- Technische Kontrolle behalten: Wo möglich, sollten Verschlüsselung mit selbstverwalteten Schlüsseln (BYOK/HYOK), Mandantenisolation und pseudonymisierte Datenhaltung Standard werden.
- Cloud Governance neu denken: Souveränität heißt heute nicht zwingend Verzicht auf große Anbieter – sondern bewusste, nachvollziehbare Architektur- und Partnerentscheidungen.
- Alternative Dienste prüfen: Die europäische Cloud-Landschaft entwickelt sich – Anbieter wie IONOS, OVHcloud oder kleinere spezialisierte Dienstleister gewinnen an Bedeutung, gerade bei sensiblen Daten.
Aus meiner Sicht zeigt die aktuelle Diskussion vor allem eines: Cloud-Sicherheit und Datenschutz sind nicht mehr voneinander zu trennen. Wer in der Cloud Verantwortung trägt – sei es technisch oder strategisch – braucht ein tiefes Verständnis dafür, wie technische Architektur, regulatorische Rahmenbedingungen und geopolitische Realitäten zusammenspielen.
