Viele Schweizer Unternehmen nutzen Microsoft 365, Google Workspace oder AWS mit Rechenzentren in der Schweiz und gehen davon aus, ihre Daten seien damit dem Zugriff ausländischer Behörden entzogen. Der CLOUD Act zeigt, warum das nicht ganz stimmt.
Was der CLOUD Act regelt
Der Clarifying Lawful Overseas Use of Data Act von 2018 stellt klar, dass Anbieter elektronischer Kommunikations- und Cloud-Dienste, die der US-Gerichtsbarkeit unterstehen, auf eine rechtmässige Anordnung hin Daten herausgeben müssen, die sich in ihrem Besitz, Gewahrsam oder unter ihrer Kontrolle befinden, auch wenn sie ausserhalb der USA gespeichert sind. Anbieter können sich gegen Anordnungen wehren, wenn sie ausländisches Recht verletzen würden; das Verfahren dafür ist aber begrenzt.
Bedeutung für Schweizer Unternehmen
Ein Speicherort in der Schweiz senkt viele Risiken, etwa beim Bekanntgeben von Daten ins Ausland nach DSG, schliesst den Zugriff über den CLOUD Act aber nicht aus, wenn der Anbieter ein US-Unternehmen oder Teil eines US-Konzerns ist. Ob das relevant ist, hängt von der Art der Daten ab: Für viele Geschäftsdaten ist das Risiko gering, für Berufsgeheimnisse, Gesundheitsdaten oder besonders sensible Kundendaten kann es entscheidend sein.
Massnahmen
Verschlüsselung mit Schlüsseln, die der Kunde selbst verwaltet, sodass der Anbieter keinen Zugriff auf Klartext hat; Datenminimierung, damit sensible Inhalte gar nicht erst in der Cloud liegen; die Wahl eines Anbieters ohne US-Bezug für besonders schützenswerte Daten; und eine dokumentierte Risikoabwägung, wie sie auch bei der Datenübermittlung in die USA verlangt wird.
Einordnung
Der CLOUD Act ist kein Grund, auf US-Cloud-Dienste grundsätzlich zu verzichten, aber ein Grund, bewusst zu entscheiden, welche Daten wo liegen. Die Abwägung zwischen Schweizer Anbietern und Hyperscalern beschreibt unsere Entscheidungshilfe Schweizer oder EU-Hosting.