Ich habe mir die technischen Details der neuen EU-Altersverifikation angesehen, und mein Urteil könnte nicht vernichtender ausfallen. Um es direkt auf den Punkt zu bringen: Wer auch immer als CTO, CIO oder Datenschutzbeauftragter bei der EU für diese Lösung der Altersverifikation verantwortlich ist, sollte sofort entlassen werden. Es ist mir völlig unbegreiflich, wie man mit einer solchen Selbstsicherheit ein Produkt präsentieren kann, das nicht einmal ansatzweise aktuellen technischen Sicherheitsstandards entspricht. Die simplen „Hacks“, die nur Minuten nach der Veröffentlichung publik wurden, sind kein Zufall – sie sind das Ergebnis einer Architektur, die jedes einzelne Prinzip der eigenen EU-DSGVO ignoriert.

Wo bleiben die Datenminimierung oder die Sicherheit als oberste Direktive? Fehlanzeige. Stattdessen sehen wir einen pureren Dilettantismus, der unter dem Deckmantel des Jugendschutzes auf Hunderte Millionen Bürger losgelassen werden soll. Wir reden hier nicht von einem kleinen Bug in einer Gaming-App. Wir reden von der Infrastruktur, die künftig darüber entscheiden soll, wer in Europa welche Inhalte konsumieren darf. Und diese Infrastruktur ist, gelinde gesagt, konzeptionell kaputt.

In diesem massiven Artikel werde ich dieses Kartenhaus Stein für den Stein abtragen. Wir schauen uns an, wie Paul Moore die App in 120 Sekunden lächerlich gemacht hat, warum der „Digital Omnibus“ die DSGVO von innen heraus auffrisst und wie eine echte, technisch saubere Lösung auf Basis von Passkeys und Zero-Knowledge Proofs (ZKP) aussehen müsste, die Anonymität wirklich ernst nimmt.

I. Der regulatorische Masterplan: Schutz als Vorwand für Kontrolle?

Die Europäische Union hat mit dem Gesetz über digitale Dienste (Digital Services Act, DSA) und der novellierten eIDAS-Verordnung (eIDAS 2.0) einen Rahmen geschaffen, der angeblich die Sicherheit im Netz erhöhen soll. Ein zentrales Element ist dabei die Altersverifikation. Ab 2026 sollen Online-Plattformen verpflichtet werden, den Zugriff auf „schädliche“ Inhalte wie Pornografie, Glücksspiel oder den Erwerb von Alkohol für Minderjährige radikal zu reglementieren.

Das Ende des „Ich bin 18“-Buttons

Bisher reichte oft eine einfache Selbstdeklaration. Die Kommission hat jedoch klargestellt, dass das sogenannte „Tick-Box“-Verfahren rechtlich nicht mehr ausreicht. Die neuen Leitlinien fordern „effektive, robuste und nicht-intrusive“ Methoden. Doch was die EU unter „nicht-intrusiv“ versteht, ist ein schlechter Witz. Am 15. April 2026 präsentierte Kommissionspräsidentin Ursula von der Leyen eine Referenz-App als „technisch bereit“ und „datenschutzfreundlich“.

Diese App fungiert als eine Art „Mini-Wallet“, eine Vorstufe zur umfassenden EUDI-Wallet (EU Digital Identity), die bis Ende 2026 für jeden Mitgliedstaat verpflichtend wird. Das Ziel klingt in der Theorie edel: Nutzer sollen beweisen können, dass sie über 18 sind, ohne ihren Namen oder ihr Geburtsdatum preiszugeben. Doch wie wir gleich sehen werden, ist der Weg dorthin gepflastert mit technischer Inkompetenz.

II. Die Anatomie des Versagens: Der Paul Moore Hack

Es dauerte keine zwei Stunden, nachdem die Kommission den Quellcode der App veröffentlicht hatte, bis der Sicherheitsberater Paul Moore demonstrierte, dass das gesamte Sicherheitskonzept ein schlechter Scherz ist. Wenn von der Leyen von „höchsten Datenschutzstandards“ spricht, während ein Profi das System mit einem einfachen Datei-Explorer aushebelt, dann ist das politischer Selbstmord auf Raten.

Die „Clown-Tier“-Designentscheidungen

Moore identifizierte Schwachstellen, die so basal sind, dass man sich fragen muss, ob die Entwickler jemals ein Buch über Mobile Security gelesen haben.

1. Unsichere lokale Speicherung (PIN-Bypass): Die App speichert die PIN des Nutzers in einer einfachen XML-Datei im Verzeichnis shared_prefs. Diese PIN ist nicht kryptografisch an den Datentresor (Vault) gebunden, in dem die Identitätsnachweise liegen. Moore löschte einfach die Einträge PinEnc und PinIV. Nach einem Neustart akzeptierte die App die Erstellung einer neuen PIN und gewährte vollen Zugriff auf die Identität des ursprünglichen Nutzers.
2. Der Biometrie-Schalter: Ob eine biometrische Authentifizierung (Face ID/Fingerabdruck) nötig ist, wird über ein simples Flag gesteuert: UseBiometricAuth. Moore änderte diesen Wert in der Konfigurationsdatei einfach von „true“ auf „false“. Ergebnis: Die App fragte gar nicht erst nach dem Gesichtsscan. Wer das Handy physisch in der Hand hält, ist der Chef – Jugendschutz adé.
3. Manipulation der Ratenbegrenzung: Um Brute-Force-Angriffe auf die PIN zu verhindern, gibt es einen Zähler. Dieser Zähler wurde jedoch als einfache Ganzzahl in derselben ungeschützten Datei gespeichert. Ein Angreifer kann ihn jederzeit manuell auf Null zurücksetzen und unendlich viele Kombinationen testen.
4. Hardware-Sicherheitsanker ignoriert: Moderne Smartphones besitzen eine „Secure Enclave“ (Apple) oder ein „Trusted Execution Environment“ (Android). Das sind physikalisch isolierte Bereiche für kryptografische Schlüssel. Die EU-App nutzt diese jedoch nicht konsequent, sondern lässt sensible Sicherheits-Flags im regulären, editierbaren Dateisystem liegen. Das ist so, als würde man ein Hochsicherheitsschloss kaufen, den Schlüssel aber unter die Fußmatte legen.

III. Biometrie-Lecks: Wenn der Datenschutz zur Falle wird

Ein besonders brisanter Aspekt der App ist das Onboarding. Nutzer müssen ihren Reisepass via NFC scannen und ein Selfie aufnehmen, um die Echtheit ihrer Daten zu beweisen.

Unverschlüsselte Bilder im Cache

Die technische Analyse offenbarte ein Horrorszenario für Datenschützer:

• Die aus dem NFC-Chip extrahierten hochauflösenden Gesichtsbilder (DG2-Daten) werden als unverschlüsselte PNG-Dateien auf dem Gerät abgelegt.
• Diese Bilder werden nur gelöscht, wenn der Verifizierungsprozess erfolgreich abgeschlossen wurde. Stürzt die App ab oder bricht der Nutzer ab, verbleiben diese sensiblen Biometriedaten ungeschützt auf dem Smartphone.
• Selfies werden teilweise im externen Speicher abgelegt und laut Berichten überhaupt nicht gelöscht.

Gemäß Artikel 9 der DSGVO sind biometrische Daten besonders schutzwürdig. Dass eine offizielle EU-App solche Daten unverschlüsselt im Dateisystem „vergisst“, ist ein massiver Verstoß gegen die eigenen Gesetze. Paul Moore warnte Ursula von der Leyen direkt: Dieses Produkt wird der Katalysator für einen gigantischen Daten-Breach sein.

IV. Das legislative Schlupfloch: Der „Digital Omnibus“

Während die Technik versagt, bereitet die EU im Hintergrund eine gesetzliche Aufweichung vor, die noch viel gefährlicher ist. Das am 19. November 2025 vorgestellte „Digital Omnibus“-Paket wird von Organisationen wie noyb (Max Schrems) und EDRi als massiver Angriff auf die digitalen Grundrechte gewertet.

Die subjektive Identifizierbarkeit

Der Kern der Kritik liegt in einer geplanten Neudefinition von „personenbezogenen Daten“ in Artikel 4(1) der DSGVO. Bisher gilt ein objektiver Maßstab: Daten sind personenbezogen, wenn sie irgendjemand einer natürlichen Person zuordnen kann.

Der neue Vorschlag führt einen subjektiven Ansatz ein: Informationen sollen für eine bestimmte Firma dann nicht als personenbezogen gelten, wenn diese Firma die Person mit vernünftigerweise wahrscheinlichen Mitteln nicht identifizieren kann.

Die Gefahr für die Altersverifikation: Plattformen könnten künftig behaupten: „Wir erhalten von der EU-App nur einen kryptografischen Token. Wir wissen nicht, wer dahintersteckt, also ist das für uns kein personenbezogenes Datum.“ Dass Datenbroker im Hintergrund diese Token längst wieder mit Klarnamen verknüpft haben, würde dann keine Rolle mehr spielen. Dies entzieht den Bürgern ihre Rechte auf Auskunft, Löschung und Widerspruch.

KI-Training als „legitimes Interesse“

Zudem soll das Training von KI-Modellen als „legitimes Interesse“ (Art. 88c) eingestuft werden. Das bedeutet das Ende der Opt-In-Kultur. Firmen könnten Ihre Daten ohne explizite Einwilligung für ihre Algorithmen nutzen. Wir bewegen uns weg vom Schutz der Privatsphäre hin zu einem System, in dem der Mensch nur noch als Datenquelle für die europäische KI-Industrie dient.

V. Der dezentrale Ausweg: Anonymität durch Passkeys und ZKP

Es gibt eine Lösung für das Problem der Altersverifikation, die keine Überwachungsinfrastruktur benötigt. Die Technologie ist bereits in unseren Taschen vorhanden: Passkeys auf Basis von FIDO2/WebAuthn kombiniert mit Zero-Knowledge Proofs (ZKP).

Warum Passkeys die Basis sind

Ein Passkey ist ein kryptografisches Schlüsselpaar, das hardwaregebunden auf dem Gerät erzeugt wird. Der private Schlüssel $K_{priv}$ verlässt die „Secure Enclave“ niemals. Im Gegensatz zu Passwörtern sind Passkeys resistent gegen Phishing und Server-Breaches.

Die Magie der Zero-Knowledge Proofs (ZKP)

Der entscheidende Fehler der EU-App ist die Verknüpfung von Identität und Attestierung. Eine Website braucht nicht zu wissen, wer ich bin, sondern nur, was ich bin (über 18).

Ein anonymes System funktioniert in vier Phasen:

1. Einmaliges Onboarding: Der Nutzer weist sein Alter gegenüber einer vertrauenswürdigen Stelle nach (z.B. staatliches Register). Diese stellt ein kryptografisch signiertes Attest aus, das lokal auf dem Handy gespeichert wird.
2. Anonymer Passkey: Für jede Plattform wird ein einzigartiger, domain-spezifischer Passkey generiert. Dies verhindert, dass verschiedene Webseiten Nutzerprofile verknüpfen können.
3. ZKP-Präsentation: Wenn eine Plattform das Alter anfordert, generiert das Handy einen mathematischen Beweis (ZKP). Die Aussage lautet: „Ich besitze ein gültiges Zertifikat für ‚Alter $\geq$ 18‘, ohne das Geburtsdatum zu verraten.“
4. Double-Blind Prinzip: Weder der Staat noch die Plattform wissen alles. Der Staat weiß, wem er das Attest gab, aber nicht, wo es genutzt wird. Die Plattform weiß, dass der Nutzer über 18 ist, aber nicht, wer er ist.

Vergleich der Modelle

VI. Das Scheitern hat Tradition: Von der ID Wallet zum Führerschein-Chaos

Man sollte meinen, die EU hätte aus den Fehlern der Vergangenheit gelernt. Doch weit gefehlt. Das Scheitern der deutschen „ID Wallet“ im Jahr 2021 war eine Vorwarnung. Auch damals wurde eine blockchain-basierte Lösung mit großer Fanfare (Andreas Scheuer, Dorothee Bär) gelauncht, nur um Tage später wegen Sicherheitsmängeln und mangelnder Skalierbarkeit aus den App-Stores entfernt zu werden.

Die Sicherheitsforscherin Lilith Wittmann sprach damals von einem „Kaiser ohne Kleider“. IT-Experten warnten Monate im Voraus, doch die Politik ignorierte die Realität zugunsten von PR-Terminen kurz vor der Wahl. Heute sehen wir dasselbe Muster auf europäischer Ebene: Man forciert einen Rollout, bevor die Wissenschaft konsolidiert ist und bevor die Sicherheitsarchitektur überhaupt den Namen verdient.

VII. Die Rolle von Big Tech und die Souveränitätslüge

Ein weiteres Problem ist die Abhängigkeit von Google und Apple. Die EUDI-Wallet und die Altersverifikations-App sind auf die Betriebssysteme und App-Stores dieser Giganten angewiesen. Wenn die EU-App Sicherheitsstandards fordert, die nur durch die Integration in die proprietären Hardware-Enklaven von Apple oder Google erreicht werden können, zementiert sie die Marktmacht dieser Unternehmen.

Gleichzeitig positionieren sich Konzerne wie Meta als Unterstützer von Initiativen wie OpenAge, um von den eigentlichen Problemen – ihren schädlichen Algorithmen und der Datenausbeutung – abzulenken. Eine Altersverifikation, die lediglich den Zugang regelt, aber das „Engagement-Mining“ der Plattformen unberührt lässt, bekämpft nur die Symptome, nicht die Ursache der Gefährdung von Minderjährigen.

Fazit: Zeit für digitale Notwehr

Die Altersverifikation in der EU befindet sich in einer Sackgasse aus technischer Inkompetenz und legislativer Übergriffigkeit. Das aktuelle Modell hebelt den Datenschutz aus, indem es einerseits unsichere Apps bereitstellt und andererseits durch den „Digital Omnibus“ rechtliche Schlupflöcher schafft, die die Zweckbindung personenbezogener Daten untergraben.

Wer als Verantwortlicher zulässt, dass biometrische Daten unverschlüsselt in Cache-Ordnern liegen, hat jede Glaubwürdigkeit verloren. Wir brauchen keine staatliche App, die unsere Ausweise scannt. Wir brauchen eine Altersverifikation, die nur ein Merkmal bestätigt, aber niemals eine Identität preisgibt.

Forderungen für einen echten Jugendschutz:

1. Sofortiger Stopp der Referenz-App: Keine produktive Nutzung einer App, die lokale Sicherheitsflags in Textdateien speichert.
2. Hardware-Zwang: Altersnachweise dürfen nur in zertifizierten Hardware-Sicherheitsmodulen (HSM/Secure Enclave) verarbeitet werden.
3. ZKP-Standardisierung: Die EU muss offene kryptografische Standards für Zero-Knowledge Proofs forcieren, statt auf „Gaffa-Tape-Lösungen“ zu setzen.
4. Stopp des Digital Omnibus: Die DSGVO darf nicht für die Interessen der KI-Lobby geopfert werden.

Nur durch eine radikale Abkehr vom jetzigen Modell der „staatlich kontrollierten Identitäts-App“ hin zu einer „nutzerzentrierten Attributs-Kryptografie“ kann der Schutz von Kindern im Netz realisiert werden, ohne das Recht auf Anonymität für uns alle zu opfern.

Stellen Sie sich vor, Sie verschlüsseln Ihre sensibelsten Geschäftsdaten mit einem digitalen Hochsicherheitsschloss, nur um festzustellen, dass der Hersteller des Schlosses dem FBI heimlich einen Zweitschlüssel ausgehändigt hat. Was wie ein Plot aus einem Cyber-Thriller klingt, wurde im Januar 2026 bittere Realität. Ein aktueller Bericht enthüllte, dass Microsoft im Rahmen strafrechtlicher Ermittlungen BitLocker-Wiederherstellungsschlüssel an US-Behörden übergeben hat.

Dieser Vorfall wirft ein grelles Licht auf eine unbequeme Wahrheit: In der modernen Cloud-Ära ist Ihre Verschlüsselung nur so sicher wie der Ort, an dem der Schlüssel aufbewahrt wird. Für deutsche Unternehmen, die massiv auf Microsoft 365 und Azure setzen, stellt dies nicht nur ein technisches Risiko, sondern ein massives rechtliches Dilemma dar. In diesem Artikel analysieren wir den „Guam-Fall“, die Macht des US-CLOUD-Acts und zeigen Ihnen, wie Sie die Kontrolle über Ihre Datenhoheit zurückgewinnen.

1. Der Guam-Fall: Ein Präzedenzfall für die Cloud-Sicherheit

Anfang 2025 leitete das FBI Ermittlungen wegen eines großangelegten Betrugs mit COVID-19-Hilfsgeldern auf der Insel Guam ein. Im Zuge der Razzien wurden drei Laptops beschlagnahmt. Diese waren mit Microsoft BitLocker geschützt – einer Technologie, die eigentlich als unknackbar gilt, sofern man den Schlüssel nicht besitzt.

Das technische Versagen der Ermittler

Trotz modernster Forensik-Tools bissen sich die Ermittler an der Verschlüsselung die Zähne aus. Eine „Brute-Force“-Attacke auf BitLocker ist bei komplexen Passwörtern praktisch aussichtslos. Doch hier kam der entscheidende Faktor ins Spiel: Die Bequemlichkeit der Cloud-Synchronisation.

Die Cloud als Schwachstelle

Die betroffenen Nutzer hatten ihre Geräte mit ihren privaten oder geschäftlichen Microsoft-Konten verknüpft. Standardmäßig bietet Windows an, den BitLocker-Wiederherstellungsschlüssel automatisch in der Microsoft-Cloud zu sichern. Das FBI nutzte diesen Umstand und zwang Microsoft per Durchsuchungsbeschluss zur Herausgabe dieser Schlüssel.

Das Ergebnis: Microsoft händigte die Schlüssel aus. Das FBI konnte die Laptops ohne weitere Gegenwehr entsperren. Laut Microsoft werden jährlich etwa 20 solcher Anfragen für BitLocker-Keys bearbeitet, doch erst jetzt wurde die Tragweite durch eine öffentliche Dokumentation für die Welt sichtbar.

2. Der CLOUD Act: Der lange Arm der US-Justiz

Um zu verstehen, warum ein US-Unternehmen wie Microsoft Daten herausgeben muss, auch wenn diese vielleicht auf europäischen Servern liegen, muss man den CLOUD Act (Clarifying Lawful Overseas Use of Data Act) von 2018 kennen.

Extraterritoriale Reichweite ohne Grenzen

Das wichtigste Merkmal des CLOUD Act ist seine extraterritoriale Wirkung. Er besagt, dass US-Provider verpflichtet sind, Daten herauszugeben, die sich in ihrem Besitz, Gewahrsam oder unter ihrer Kontrolle befinden – völlig unabhängig davon, wo die Daten physisch gespeichert sind.

• Beispiel: Selbst wenn ein deutsches Unternehmen seine Daten ausschließlich in der Microsoft-Region „Germany West Central“ (Frankfurt) speichert, kann eine US-Behörde Zugriff verlangen, da die Muttergesellschaft Microsoft Corp. ihren Sitz in den USA hat.

Umgehung internationaler Standards

Früher mussten US-Behörden über langwierige Rechtshilfeabkommen (MLAT) gehen, bei denen deutsche Behörden prüfen konnten, ob die Anfrage rechtmäßig ist. Der CLOUD Act hebelt diesen Prozess aus und erlaubt den direkten Zugriff über den Provider.

Die Mauer des Schweigens: Gag Orders

Oftmals sind diese Anordnungen mit sogenannten „Gag Orders“ verbunden. Das bedeutet: Microsoft darf Sie als Kunden nicht einmal darüber informieren, dass Ihre Schlüssel oder Daten gerade an das FBI übergeben wurden. Sie wiegen sich in Sicherheit, während Ihre Verschlüsselung bereits kompromittiert wurde.

3. Die Zwickmühle für deutsche Kunden: DSGVO vs. US-Recht

Für deutsche Unternehmen, die der strengen Datenschutz-Grundverordnung (DSGVO) unterliegen, ist diese Situation brandgefährlich. Wir befinden uns in einer rechtlichen Pattsituation, die oft als „Zwickmühle“ bezeichnet wird.

Das rechtliche Dilemma

1. US-Recht (CLOUD Act): Zwingt US-Unternehmen zur Kooperation bei Vorliegen eines US-Interesses.
2. EU-Recht (DSGVO): Verlangt den Schutz personenbezogener Daten. Die Weitergabe an Behörden eines Drittstaates ohne ein angemessenes Schutzniveau ist grundsätzlich untersagt.

Ein deutsches Unternehmen, das Microsoft-Dienste nutzt, trägt das Risiko, dass Daten ohne richterlichen Beschluss in Deutschland abfließen. Viele Datenschutzbeauftragte werten eine solche Herausgabe allein auf Basis eines US-Warrants als klaren DSGVO-Verstoß mit drohenden Bußgeldern in Millionenhöhe.

Strategisches Risiko: Verlust von Betriebsgeheimnissen

Es geht nicht nur um den Datenschutz. Für den deutschen Mittelstand und die Industrie steht der Schutz von Betriebsgeheimnissen auf dem Spiel. Wenn Schlüssel zentral bei einem Anbieter liegen, der staatlichem Zwang unterliegt, ist Industriespionage oder politisch motivierte Datenabfrage kein theoretisches Szenario mehr, sondern eine reale Bedrohung der Wettbewerbsfähigkeit.

4. Handlungsempfehlungen: So sichern Sie Ihre Datenhoheit

Der Vorfall zeigt: Blindes Vertrauen in Standard-Cloud-Konfigurationen ist riskant. Um sich vor unbefugten Zugriffen durch Drittstaaten zu schützen, sollten Sie folgende Maßnahmen implementieren:

A. Lokale Schlüsselverwaltung (On-Premise Key Management)

Die einfachste und effektivste Methode: Sorgen Sie dafür, dass Microsoft den Schlüssel gar nicht erst besitzt.

• Deaktivieren Sie das automatische Hochladen von BitLocker-Keys in das Microsoft-Konto per Gruppenrichtlinie (GPO).
• Speichern Sie Wiederherstellungsschlüssel lokal auf verschlüsselten USB-Sticks oder in einem dedizierten, internen Key-Management-System (KMS).

B. Double Key Encryption (DKE) und BYOK

Für hochsensible Daten in Microsoft 365 oder Azure sollten Sie auf „Double Key Encryption“ setzen.

• Prinzip: Die Daten werden mit zwei Schlüsseln verschlüsselt. Einen hält Microsoft, den zweiten halten ausschließlich Sie.
• Ohne Ihren privaten Schlüssel kann selbst Microsoft (und damit auch keine US-Behörde) die Daten lesbar machen. Dies wird oft auch als „Bring Your Own Key“ (BYOK) bezeichnet.

C. Wechsel zu souveränen Cloud-Lösungen

Prüfen Sie, ob für besonders kritische Workloads alternative Cloud-Modelle in Frage kommen:

• Souveräne Clouds: Anbieter wie die „T-Systems Sovereign Cloud“ bieten Azure-Dienste an, bei denen die Kontrolle über die Verschlüsselung und den Betrieb strikt von der US-Muttergesellschaft getrennt ist.
• Europäische Alternativen: Nutzen Sie für Backup oder Storage rein europäische Provider (z.B. OVHcloud, Ionos), die keiner US-Jurisdiktion unterliegen.

Fazit: Zeit für ein neues Sicherheitsbewusstsein

Der Fall Microsoft gegen FBI ist ein Weckruf. Er beweist, dass technischer Schutz (Verschlüsselung) wertlos ist, wenn der rechtliche Rahmen (CLOUD Act) Hintertüren erzwingt. Als deutsches Unternehmen oder sicherheitsbewusster Nutzer müssen Sie jetzt handeln.

Prüfen Sie Ihre IT-Infrastruktur: Wo liegen Ihre Schlüssel? Wer hat theoretischen Zugriff darauf? Echte digitale Souveränität erreichen Sie nur, wenn Sie der alleinige Herr über Ihre kryptografischen Schlüssel bleiben.

Disclaimer: Dieser Artikel dient der Information und stellt keine Rechtsberatung dar. Bei spezifischen Fragen zur DSGVO-Konformität konsultieren Sie bitte Ihren Datenschutzbeauftragten oder einen spezialisierten Rechtsanwalt.

I. Die explosive Abhängigkeit: Wo globale Clouds an nationale Gesetze stoßen

Die Nutzung von Cloud-Diensten, insbesondere der großen US-Hyperscaler wie Amazon Web Services (AWS), Microsoft Azure und Google Cloud, ist heute die Norm für Unternehmen und oft auch für öffentliche Verwaltungen. Sie bieten beispiellose Skalierbarkeit, Innovation und Kosteneffizienz. Doch diese Abhängigkeit kommt mit einem hohen Preis: dem Verlust der Cloud Act Datenschutz Souveränität.

Das Kernproblem ist der direkte Konflikt zwischen den Gesetzen, die US-Unternehmen in ihrem Heimatland befolgen müssen, und den strengen Datenschutzbestimmungen der Europäischen Union (DSGVO) sowie der Schweiz (DSG). Daten, die in Deutschland, der EU oder der Schweiz gespeichert werden, gelten nur vermeintlich als geschützt, sobald der Dienstleister seinen Hauptsitz in den USA hat.

Dieser Artikel analysiert diesen fundamentalen Rechtskonflikt, beleuchtet den jüngsten und drastischen Präzedenzfall in der Schweiz und zieht den Vergleich zur oft zögerlichen, aber strategischen Reaktion in Deutschland und der gesamten EU. Erfahren Sie, welche Schritte Sie unternehmen müssen, um Ihre Daten wirklich souverän und rechtskonform zu halten.

II. Das juristische Fundament des Konflikts: Der US CLOUD Act und seine Folgen

Der „Clarifying Lawful Overseas Use of Data Act“ (kurz CLOUD Act) ist der zentrale rechtliche Dreh- und Angelpunkt, der die Datensicherheit in Europa massiv infrage stellt. Verabschiedet im Jahr 2018, nur kurz vor Inkrafttreten der DSGVO, stellt er eine direkte Bedrohung für die Datensouveränität dar.

1. Was der CLOUD Act US-Behörden erlaubt

Der CLOUD Act ermächtigt US-Strafverfolgungsbehörden, von in den USA ansässigen Cloud-Dienstanbietern die Herausgabe elektronischer Daten zu verlangen. Das Entscheidende daran ist die extraterritoriale Reichweite dieses Gesetzes:

• Unabhängig vom Speicherort: Die US-Behörden können Daten herausverlangen, selbst wenn diese physisch auf Servern in Deutschland, Frankreich, der Schweiz oder einem anderen europäischen Land gespeichert sind.
• Umgehung internationaler Rechtshilfe: Der CLOUD Act umgeht die traditionellen, zeitraubenden Mechanismen der internationalen Rechtshilfe (Mutual Legal Assistance Treaties, MLATs). Anstatt offizielle Ersuchen über diplomatische Kanäle zu stellen, kann eine US-Behörde direkt eine Vorladung an das US-Mutterunternehmen senden.
• Geheimhaltung (Gag Orders): In vielen Fällen ist es dem US-Cloud-Anbieter untersagt, seine europäischen Kunden oder die betroffenen Personen über die erfolgte Datenherausgabe zu informieren. Dies verhindert eine wirksame Rechtsverteidigung durch die Betroffenen.

Das bedeutet im Klartext: Ein US-Unternehmen, das Daten europäischer Kunden speichert, ist in einem Dilemma: Entweder es verstößt gegen US-Recht (Verweigerung der Herausgabe) oder es verstößt gegen europäisches Recht (unzulässige Drittlandsübermittlung ohne angemessene Garantie).

2. DSGVO vs CLOUD Act: Ein unlösbarer Widerspruch

Die DSGVO ist in ihren Anforderungen an die Datenübermittlung in sogenannte Drittstaaten (wie die USA) unmissverständlich.

Auch wenn das transatlantische Datenaustausch-Rahmenwerk (Trans-Atlantic Data Privacy Framework, TADPF) existiert, wurde von Kritikern, darunter Max Schrems, bereits gewarnt, dass die zugrundeliegenden US-Überwachungsgesetze nicht grundlegend geändert wurden. Die rechtliche Unsicherheit bleibt bestehen und wird durch die Möglichkeit des jederzeitigen Zugriffs über den CLOUD Act zementiert.

3. Die reale Gefahr: Digitale Sanktionen gegen den Internationalen Strafgerichtshof (ICC)

Die Gefahr der Abhängigkeit von US-Technologie geht über den CLOUD Act hinaus und wird durch die Möglichkeit politisch motivierter Sanktionen unterstrichen. Ein prägnantes Beispiel ist der Vorfall, bei dem der Chefankläger des Internationalen Strafgerichtshofs (ICC) in Den Haag, Karim Khan, Berichten zufolge den Zugang zu seinem Microsoft-E-Mail-Konto gesperrt bekam.

• Der Auslöser: Die Maßnahme erfolgte mutmaßlich aufgrund einer Executive Order der US-Regierung, die Sanktionen gegen ICC-Personal vorsah. Die US-Regierung unter dem damaligen (und späteren) Präsidenten Donald Trump hatte dies als Reaktion auf Ermittlungen des ICC gegen die USA und ihren Verbündeten Israel angeordnet.
• Die Konsequenz: Ein US-Unternehmen (Microsoft), das dem US-Recht unterliegt, war gezwungen, die Dienste für eine unabhängige internationale Justizbehörde einzustellen.
• Die Bedeutung für die Souveränität: Dieser Vorfall demonstriert auf erschreckende Weise, dass die US-Regierung über US-Tech-Dienstleister einen „digitalen Notschalter“ besitzt, der nicht nur auf Unternehmen, sondern auch auf internationale Organisationen und sogar die Justiz angewendet werden kann. Für alle Nutzer von US-Hyperscalern, auch in Europa, ist dies ein Weckruf: Technologische Abhängigkeit bedeutet immer auch politische und rechtliche Verwundbarkeit.

III. Der Präzedenzfall Schweiz: Ein breites Cloud-Verbot für Behörden

Während in der EU lange über die korrekte Anwendung von Standardvertragsklauseln (SCCs) diskutiert wurde, hat die Schweiz einen deutlich klareren, wenn auch drastischeren Weg eingeschlagen. Die Konferenz der kantonalen und eidgenössischen Datenschutzbeauftragten, kurz Privatim, hat eine Resolution verabschiedet, die faktisch ein breites Cloud-Verbot für Behörden bedeutet.

1. Schweizer Cloud-Verbot Behörden: Analyse der Privatim-Resolution

Die am 18. November 2025 verabschiedete Resolution von Privatim stellt klar: Die Auslagerung besonders schützenswerter oder geheimhaltungspflichtiger Daten an große internationale SaaS-Anbieter ist aus Sicht des Datenschutzes heute in den meisten Fällen unzulässig.

Die Analyse der Resolution, wie sie in den Berichten von Heise und Privatim selbst dargelegt wird, legt die tiefgreifenden Bedenken der Schweizer Datenschützer offen:

1. CLOUD Act als Kernproblem: Die Resolution identifiziert den CLOUD Act explizit als Hauptrisiko. Da US-Anbieter zur Datenherausgabe verpflichtet werden können, widerspricht dies den Geheimhaltungspflichten und der Datensicherheit der Schweizer Behörden.
2. Unzureichende Verschlüsselung: Die gängigen Verschlüsselungsmechanismen der Hyperscaler (z.B. bei Microsoft 365, Google Workspace) reichen nicht aus, solange der Cloud-Anbieter theoretisch Zugriff auf die Schlüssel hat oder der Entschlüsselungsprozess in einem US-dominierten System stattfindet.
3. Fehlende Hilfsperson-Eigenschaft: Bei Daten, die einer gesetzlichen Geheimhaltung unterliegen (wie das Amtsgeheimnis), stellt sich die Frage, ob der externe Cloud-Anbieter überhaupt als „Hilfsperson“ im Sinne des Strafrechts gelten kann. Oftmals ist dies nicht der Fall, was eine Auslagerung von vornherein verbietet.

Die Resolution richtet sich dabei insbesondere an Daten mit erhöhter Schutzbedürftigkeit, wie beispielsweise Steuerdaten, Sozialdaten, Gesundheitsdaten oder vertrauliche Informationen, die dem Amtsgeheimnis unterliegen. Für diese Daten ist eine Migration auf souveräne, Schweizer oder europäische Alternativen unumgänglich.

2. Die Reaktion: Warum die Schweiz so konsequent ist

Der Schweizerische Weg ist bemerkenswert konsequent. Im Gegensatz zur EU, wo die Umsetzung der DSGVO durch die Aufsichtsbehörden oft zersplittert ist, zeigt die Schweiz mit der Privatim-Resolution eine geschlossene Front:

• Klare Gesetzgebung (revDSG): Das revidierte Schweizer Datenschutzgesetz (revDSG) hat die Anforderungen an die Datenübermittlung und -sicherheit verschärft. Die Datenschützer interpretieren diese Regeln nun sehr restriktiv, wenn es um Drittstaaten mit fragwürdiger Rechtslage geht.
• Schutz des Amtsgeheimnisses: Für Behörden ist die Einhaltung des Amtsgeheimnisses eine zentrale gesetzliche Pflicht. Die Existenz des CLOUD Acts schafft eine rechtliche Grauzone, die als unvereinbar mit dieser Pflicht angesehen wird.
• Pragmatismus: Anstatt sich auf komplizierte rechtliche Konstrukte wie SCCs und TMPs zu verlassen, setzt die Schweiz auf klare Verbote für sensible Bereiche. Die einzige akzeptierte Lösung für internationale SaaS-Lösungen ist die vollständige Client-Side-Encryption, bei der die Behörden die Daten selbst verschlüsseln und der Cloud-Anbieter keinen Zugriff auf die Schlüssel hat.

Die Schweizer Entscheidung stellt damit einen bedeutenden Impuls für ganz Europa dar und beweist, dass Datensouveränität im öffentlichen Sektor keine Option, sondern eine Notwendigkeit ist.

IV. Deutschland und die EU: Zwischen Zögerlichkeit und dem Wunsch nach Datensouveränität Deutschland

Die Situation in Deutschland und der EU ist von einer ähnlichen Erkenntnis geprägt wie in der Schweiz, unterscheidet sich aber in der Geschwindigkeit und dem Grad der Umsetzung. Während die Schweiz ein Verbot ausspricht, arbeitet die EU an einem komplexen Rahmenwerk zur Stärkung der EU Cloud-Verordnung und der digitalen Unabhängigkeit.

1. Die Rolle von Schrems II und die Haltung der deutschen Aufsichtsbehörden

Seit dem wegweisenden Schrems II-Urteil des Europäischen Gerichtshofs (EuGH) im Juli 2020 ist klar: Die USA bieten kein angemessenes Schutzniveau für personenbezogene Daten im Sinne der DSGVO. Das Urteil kippte das Abkommen „Privacy Shield“ und zwang Unternehmen, bei Datentransfers in die USA Standardvertragsklauseln (SCCs) zu verwenden, die jedoch nur wirksam sind, wenn „zusätzliche Maßnahmen“ (Technical and Organisational Measures, TOMs) ergriffen werden, die den Zugriff durch US-Behörden effektiv verhindern.

Die Position der Deutschen DPCs:

Die deutschen Datenschutzkonferenzen (DPCs) haben immer wieder betont, dass für Cloud-Dienste, die dem CLOUD Act unterliegen, eine Konformität mit der DSGVO kaum zu gewährleisten ist, insbesondere im Kontext von Telemetrie- und Metadaten.

• Öffentlicher Sektor in Deutschland: Die Nutzung von US Cloud-Anbietern im öffentlichen Sektor ist in vielen Bundesländern stark eingeschränkt oder nur unter Vorbehalt erlaubt. Das prominenteste Beispiel ist Microsoft 365 (M365): Obwohl Datenschutzkonferenzen und Aufsichtsbehörden (wie kürzlich der HBDI in Hessen) die Nutzung für sensible Daten wegen des CLOUD Acts und der unklaren Telemetrie-Kontrolle untersagten oder stark einschränkten, wird M365 aufgrund des Digitalisierungsdrucks und mangels praktikabler Alternativen weiterhin häufig von Bundes- und Landesbehörden eingesetzt. Dies unterstreicht den enormen Konflikt zwischen operativer Notwendigkeit und der Pflicht zur Datensouveränität Deutschland.
• Konkrete Anleitung aus Hessen: Der Hessische Datenschutzbeauftragte (HBDI) veröffentlichte kürzlich eine detaillierte Orientierungshilfe zur datenschutzkonformen Nutzung von Microsoft 365. Diese Anleitung unterstreicht die extrem hohen technischen und organisatorischen Anforderungen (TOMs), die erfüllt werden müssen – insbesondere in Bezug auf Telemetriedaten und die Schlüsselverwaltung (Key Management), um die europäische Cloud Act Datenschutz Souveränität zu gewährleisten. Sie bekräftigt im Grunde die Notwendigkeit einer Client-Side-Encryption für schützenswerte Daten.
• Unzureichende „Sovereign Cloud“-Angebote: US-Anbieter reagieren mit sogenannten „European Sovereign Cloud“ oder „EU Data Boundary“-Angeboten. Diese versprechen, dass Daten in europäischen Rechenzentren bleiben und die Datenverarbeitung europäischen Mitarbeitern unterliegt. ABER: Wie aus den Suchergebnissen hervorgeht, bestätigen selbst Manager von Microsoft in Anhörungen, dass die rechtliche Zuständigkeit des US-Mutterunternehmens bestehen bleibt und der CLOUD Act somit weiter greift. Der Standort Europa allein schützt nicht vor US-Zugriff.

Die deutsche Rechtslage ist damit zwar nuancierter als das Schweizer Verbot, läuft aber auf dieselbe Erkenntnis hinaus: Ohne technische Garantie, dass der US-Anbieter keinen Zugriff auf die unverschlüsselten Daten hat, ist die Nutzung für sensible Daten nach DSGVO nicht konform.

2. Europas Antwort: GAIA-X und der regulatorische Rahmen

Die EU reagiert auf die Herausforderungen des CLOUD Acts nicht nur mit Verboten, sondern vor allem mit dem Aufbau einer eigenen, souveränen digitalen Infrastruktur und einem starken Regulierungsrahmen.

Das Projekt GAIA-X: Ein souveräner Datenraum

GAIA-X ist eine der wichtigsten strategischen Initiativen zur Verwirklichung digitaler Souveränität in Europa. Es ist kein Cloud-Anbieter im klassischen Sinne, sondern ein föderiertes System, das europäische Dateninfrastrukturen zusammenführen soll.

• Zielsetzung: Schaffung eines transparenten und sicheren Datenökosystems, das den europäischen Werten und Standards entspricht (Datenschutz, Transparenz, Portabilität).
• Prinzipien: Zentral sind die Prinzipien der Datensouveränität (der Nutzer behält die Kontrolle über seine Daten), Interoperabilität (Daten und Dienste können leicht zwischen Anbietern gewechselt werden) und Vertrauen (durch die Einhaltung definierter Regeln).
• Herausforderungen: Das Projekt wird oft kritisiert für seine langsame Umsetzung, seine Komplexität und die Tatsache, dass auch US-Unternehmen teilnehmen können – allerdings nur unter der Bedingung, dass sie sich den GAIA-X-Regeln unterwerfen, was die rechtliche Herausforderung des CLOUD Acts nicht automatisch löst. Es ist ein notwendiger Schritt, aber noch kein Garant für vollständige Unabhängigkeit.

Die Regulatorische Offensive der EU

Flankiert wird GAIA-X durch eine Reihe neuer EU-Gesetze und -Verordnungen, die die digitale Autonomie Europas stärken sollen:

1. EU Data Act: Zielt darauf ab, fairen Zugang und Nutzung von Daten zu gewährleisten. Er stärkt die Portabilität und soll es Nutzern erleichtern, zwischen Europäische Cloud-Alternativen zu wechseln, was die Abhängigkeit von einzelnen Hyperscalern verringert.
2. NIS 2-Richtlinie: Verbessert die Cybersicherheit und die Resilienz kritischer Infrastrukturen. Sie fordert höhere Sicherheitsstandards und engere Zusammenarbeit, was indirekt die Notwendigkeit souveräner, sicherer Cloud-Lösungen unter europäischer Kontrolle verstärkt.
3. Cyber Resilience Act: Fokussiert auf die Sicherheit vernetzter Produkte (Hardware und Software), was die gesamte Lieferkette, einschließlich der Cloud-Dienste, in die Pflicht nimmt.

Die EU setzt somit auf einen doppelten Ansatz: Aufbau eigener Infrastruktur (GAIA-X) und Schaffung eines regulatorischen Rahmens, der eine echte Cloud Act Datenschutz Souveränität erzwingen soll, auch wenn die Anbieter außerhalb Europas sitzen.

V. Strategien für Unternehmen: Den Weg zur Datensouveränität gestalten

Der Fall Schweiz zeigt, dass die Zeit der unverbindlichen Diskussionen vorbei ist. Unternehmen und Verwaltungen in Deutschland und der EU müssen jetzt proaktiv handeln, um die rechtlichen Risiken und Bußgelder nach DSGVO zu vermeiden und die Datensouveränität zu wahren.

1. Risikobewertung und Klassifizierung der Daten

Der erste Schritt ist die ehrliche Bestandsaufnahme:

• Datenschutz-Folgenabschätzung (DSFA): Führen Sie eine detaillierte DSFA für jeden Cloud-Dienst durch. Das Risiko des CLOUD Acts muss explizit bewertet und dokumentiert werden.
• Datenklassifizierung: Klassifizieren Sie Ihre Daten nach ihrem Schutzbedarf (öffentlich, intern, vertraulich, geheim). Sensible und besonders schützenswerte Daten (Gesundheitsdaten, Finanzdaten, Betriebsgeheimnisse) sollten niemals unverschlüsselt bei einem US-Anbieter gespeichert werden.

2. Technische und Organisatorische Maßnahmen (TOMs) als Schlüssel

Um die Lücke zwischen CLOUD Act und DSGVO zu schließen, sind die TOMs entscheidend. Standortgarantien von US Cloud Anbieter DSGVO-konform zu machen, reicht nicht aus.

3. Der Fokus auf Europäische Cloud-Alternativen

Langfristig ist die digitale Unabhängigkeit nur durch die Nutzung von Anbietern zu erreichen, die technologisch, organisatorisch und rechtlich vollständig dem europäischen Recht unterliegen.

• Rechtssicherheit: Die Wahl eines Anbieters mit Hauptsitz in der EU (z.B. Deutschland, Frankreich, Skandinavien) und Rechenzentren in der EU/Schweiz bietet die größtmögliche Sicherheit, da dieser nicht dem CLOUD Act unterliegt.
• Open Source-Lösungen: Die Nutzung von Open Source-Plattformen, deren Quellcode transparent und überprüfbar ist, fördert das Vertrauen und die Cloud Act Datenschutz Souveränität.
• Föderierte Ansätze: Lösungen, die es erlauben, Daten dezentral und auf verschiedenen Clouds zu speichern, reduzieren die Abhängigkeit von einem einzigen Hyperscaler.

Technologische Basis: KVM und Proxmox VE

Für den Aufbau souveräner europäischer Cloud-Infrastrukturen auf Hypervisor-Ebene (IaaS) bieten KVM (Kernel-based Virtual Machine) und Proxmox Virtual Environment (VE) ideale technische Voraussetzungen. Als stabile, quelloffene und in Europa entwickelte bzw. stark genutzte Lösungen ermöglichen sie eine hohe Kontrolle über die Virtualisierungsebene. Die größte Herausforderung ist derzeit jedoch die Schaffung einer umfassenden, mandantenfähigen und modularen Verwaltungsschicht (Management Plane), die es Kunden erlaubt, ihre eigene Infrastruktur so einfach und flexibel „zusammenzuklicken“, wie dies bei den IaaS-Angeboten von Azure oder AWS der Fall ist. Hier besteht noch Entwicklungsbedarf, um die Wettbewerbsfähigkeit zu gewährleisten.

Angesichts dieser dringenden rechtlichen und souveränitätspolitischen Notwendigkeit ist es umso verwunderlicher, dass bisher keine europäische Firma oder kein Dienstleister in der Lage war, eine marktreife, EU-eigene Lösung zu etablieren, die in ihrer Benutzerfreundlichkeit und Modulhaftigkeit (Verwaltungsebene) den US-Hyperscalern ebenbürtig ist. Hier muss dringend die EU und müssen Länder wie Deutschland die Schirmherrschaft übernehmen und eine dedizierte Task Force gründen, um diese existenzielle Lücke schnellstmöglich zu schließen und europäische Lösungsanbieter gezielt zu unterstützen.

Die Cloud Act Datenschutz Souveränität ist kein technisches, sondern ein rechtliches Problem. Es erfordert einen Paradigmenwechsel: Von der Akzeptanz des geringsten Widerstands (US-Hyperscaler) hin zur bewussten Wahl souveräner und rechtskonformer Lösungen.

VI. Schlussfolgerung und Ihr Weg zur Datensouveränität (CTA)

Der Konflikt zwischen dem US CLOUD Act und den europäischen Datenschutzgesetzen ist eine der größten Herausforderungen der digitalen Ära. Die klare Position der Schweizer Datenschützer, die ein faktisches Schweizer Cloud-Verbot Behörden für sensible Daten verhängen, unterstreicht die Realität der Bedrohung: Der Zugriff durch US-Behörden, selbst auf europäisch gespeicherte Daten, ist ein ungelöstes Problem. Der Vorfall mit dem Internationalen Strafgerichtshof (ICC) zeigt zudem die extreme Verwundbarkeit durch digitale Sanktionen auf.

Deutschland und die EU reagieren mit strategischen Infrastrukturprojekten wie GAIA-X und einer verschärften Regulierung (Data Act, NIS 2), um die Datensouveränität Deutschland zu sichern. Doch diese Initiativen brauchen Zeit.

Für Ihr Unternehmen oder Ihre Behörde bedeutet dies:

1. Akzeptieren Sie das Risiko: Die bloße Speicherung in europäischen Rechenzentren eines US-Anbieters schützt nicht vor dem CLOUD Act oder politischen Sanktionen.
2. Verschlüsseln Sie selbst: Nur die vollständige Client-Side-Encryption, bei der Sie die Schlüsselkontrolle behalten, bietet echten Schutz für sensible Daten.
3. Evaluieren Sie Alternativen: Prüfen Sie proaktiv Europäische Cloud-Alternativen, die unter rein europäischer Jurisdiktion operieren.

Die Cloud Act Datenschutz Souveränität ist die Basis für das Vertrauen Ihrer Kunden und die Einhaltung Ihrer gesetzlichen Pflichten. Warten Sie nicht auf das nächste Schrems-Urteil oder ein Verbot; handeln Sie jetzt.

Einleitung

Die Digitale Souveränität Europas steht auf dem Prüfstand. Während die Europäische Union stets betont, die Daten ihrer Bürger schützen zu wollen, offenbart der Umgang mit Datentransfers in die USA eine bemerkenswerte juristische Akrobatik. Faktisch sind die Daten von EU-Bürgern in den USA nicht vor dem Zugriff von Behörden und Providern geschützt. Doch anstatt durch klare Gesetzgebung die eigene Souveränität einzufordern, passt die EU lieber bestehendes Recht an, um die Nutzung US-amerikanischer Clouds weiterhin zu ermöglichen. Dies wirft ernsthafte Fragen zur Glaubwürdigkeit und zum effektiven Datenschutz auf. Dieser Beitrag beleuchtet die komplexen Verwicklungen und die daraus resultierenden Herausforderungen für die Datensouveränität Europas.

Der heikle Start von EU-Kommissar McGrath im transatlantischen Kreuzfeuer

Michael McGrath, der EU-Kommissar für Demokratie, Justiz und Verbraucherschutz, fand sich kurz nach seinem Amtsantritt inmitten einer transatlantischen Krise wieder. Seine Treffen in Washington, D.C. mit einflussreichen US-Tech-Lobbyisten von Konzernen wie Meta, Apple und Amazon zeigten, wie sehr die Datenschutz-Grundverordnung (DSGVO) im Zentrum der Diskussionen steht. Diese Gespräche dürften, angesichts der angespannten Lage, alles andere als angenehm gewesen sein.

Besonders aufschlussreich war McGraths Treffen mit Beth Williams vom Privacy and Civil Liberties Oversight Board (PCLOB). Seine Aussage auf X, man habe das „volle Engagement für die Umsetzung des EU-US-Datenschutzrahmens“ erörtert, erhielt eine unfreiwillig komische Note, als bekannt wurde, dass Williams zum Zeitpunkt des Treffens das einzige verbleibende Mitglied des PCLOB war. Alle anderen Mitglieder waren zuvor von Donald Trump entlassen worden.

Das PCLOB, angeblich ein unabhängiges Gremium zur Überwachung der US-Geheimdienste, ist damit derzeit handlungsunfähig. Diese Situation verunsichert viele europäische Unternehmen, die Daten in US-Clouds speichern und verarbeiten. Die Rechtsgrundlage für ihre Datentransfers könnte durch zukünftige Handlungen der US-Regierung, insbesondere unter Donald Trump, jederzeit entzogen werden.

Der Angemessenheitsbeschluss und seine fragile Grundlage

Die aktuelle Rechtsgrundlage für Datentransfers in die USA basiert auf einem Angemessenheitsbeschluss, den die EU-Kommission im Juli 2023 gemäß Art. 45 DSGVO verabschiedet hat. Dieser Beschluss bestätigt, dass die USA ein vergleichbares Datenschutzniveau wie die DSGVO bieten. Voraussetzung hierfür ist, dass sich das verarbeitende US-Unternehmen dem „EU-US Trans-Atlantic Data Privacy Framework“ (TADPF) unterwirft und sich jährlich selbst zertifiziert.

Diesem Beschluss gingen lange Verhandlungen zwischen der EU-Kommission und der US-Regierung unter Präsident Joe Biden voraus. Biden musste zusichern, dass der Zugriff auf Daten von EU-Bürgern durch US-Behörden auf das „Notwendige“ und „Verhältnismäßige“ beschränkt wird. Ähnliche Zusicherungen waren zuvor zweimal gescheitert, was zur Folge hatte, dass die beiden vorherigen Angemessenheitsbeschlüsse – „Safe Harbour“ und „Privacy Shield“ – durch Klagen des österreichischen Datenschutz-Aktivisten Max Schrems vom Europäischen Gerichtshof (EuGH) gekippt wurden.

Die „heilende“ Biden-Verordnung: Eine temporäre Lösung?

Im Oktober 2022 etablierte Joe Biden ein neues Regime. Er rief das PCLOB ins Leben, um das Verhalten von US-Geheimdiensten im Hinblick auf das EU–Datenschutzniveau zu überwachen. Ein Civil Liberties Protection Officer (CLPO) soll intern die Aktivitäten der US-Inlandsgeheimdienste überwachen und Beschwerden von EU-Bürgern annehmen. Des Weiteren wurde der „Data Protection Review Court“ (DPRC) geschaffen, der diese Beschwerden unabhängig in zweiter Instanz prüfen soll. Doch Bürgerrechtler zweifeln an der tatsächlichen Unabhängigkeit dieses Pseudogerichts.

Die größte Kritik, allen voran von Max Schrems, richtet sich jedoch gegen die Form der Biden’schen Zusicherungen. Der US-Präsident änderte keine Gesetze, sondern erließ lediglich eine Verordnung (Executive Order – EO 14086), die von seinem Nachfolger jederzeit widerrufen werden kann. EO 14086 definiert viele Mechanismen, auf denen der EU-Angemessenheitsbeschluss fußt. Mit der Quasi-Ausschaltung des PCLOB hat Donald Trump bereits einen ersten Grundpfeiler des Abkommens erschüttert. Es ist wahrscheinlich, dass er noch in der ersten Jahreshälfte 2025 die gesamte EO 14086 annullieren könnte.

Kein Plan B in Sicht: Die Konsequenzen eines Scheiterns

Auf ein solches Worst-Case-Szenario scheint die EU-Kommission nicht vorbereitet zu sein. Ein Plan B ist bislang nicht in Sicht. Fiele die EO 14086 weg, entfiele de facto die Grundlage für den Angemessenheitsbeschluss, der dann ebenfalls umgehend fallen müsste. Das EU-Parlament, insbesondere der Ausschuss für bürgerliche Freiheiten, Justiz und Inneres (LIBE), fordert die Kommission bereits auf, den Beschluss zumindest infrage zu stellen.

Was wären die konkreten Folgen, wenn der auf dem TADPF beruhende Angemessenheitsbeschluss wegfiele? Sowohl EU-Unternehmen als auch US-Konzerne, die auf dieser Basis Daten von EU-Bürgern in die USA transferieren, könnten sich nicht mehr darauf berufen. Dies beträfe Giganten wie Meta, Google, Amazon, Apple, Microsoft und X. Sie müssten, wie zuletzt vor dem TADPF, die Transfers wieder auf die sogenannten Standardvertragsklauseln nach Art. 46 DSGVO stützen, was mit erheblichem Compliance-Aufwand und Unsicherheiten verbunden wäre.

Es ist jedoch anzumerken, dass EU–Datenschutz-Aufsichtsbehörden den Einsatz dieser Klauseln bisher nie ernsthaft kritisiert haben. In Deutschland sind keine nennenswerten Sanktionen aufgrund illegaler US-Datentransfers seit Inkrafttreten der DSGVO im Mai 2018 bekannt. Unternehmen und Behörden müssen folglich eher damit rechnen, dass der Datentransfer unbequemer wird, als dass ihnen in naher Zukunft ernsthaft an den Kragen geht. Dies ist jedoch ein schleichender Prozess, der die Digitale Souveränität und den Datenschutz massiv untergräbt.

US-Gesetze: Die eigentliche Wurzel des Problems

All diese Probleme existieren, weil US-amerikanische Gesetze sowohl den Geheimdiensten als auch Strafverfolgungsbehörden weitreichenden Zugriff auf personenbezogene Daten ohne ausreichende Widerspruchsmöglichkeiten gewähren. Dies macht es für die EU so kompliziert, den Transfer dieser Daten auf US-Server zu legitimieren, selbst wenn diese physisch auf EU-Gebiet stehen.

Konkret geht es um den Electronic Communications Privacy Act (ECPA) aus dem Jahr 1986 und den Foreign Intelligence Surveillance Act (FISA) aus dem Jahr 1978. Der FISA ermächtigt US-Nachrichtendienste, ohne individuelle Genehmigung Telekommunikation im Ausland abzuhören und Personen zu überwachen, die in den USA wohnen. Die Snowden-Enthüllungen haben spätestens gezeigt, dass Daten von EU-Bürgern, die auf US-Servern gespeichert sind, jederzeit im Zugriff von US-Behörden liegen.

Ein Teil des ECPA ist der Stored Communications Act (SCA). Dieser wurde durch den Clarifying Lawful Overseas Use of Data Act (CLOUD Act) im Jahr 2018 ergänzt. Der CLOUD Act bestimmt, dass US-Cloudanbieter personenbezogene Daten auch dann herausgeben müssen, wenn sich diese außerhalb des US-Territoriums befinden, beispielsweise auf Microsoft-Servern in der EU. Die Transparenzreports der US-Konzerne belegen, dass die US-Behörden umfangreich Gebrauch von diesen Gesetzen machen.

Für die EU-Kommission gleicht es daher der Quadratur des Kreises, eine DSGVO-konforme Angemessenheit zu bescheinigen, obwohl diese eindeutig nicht existiert. Weder eine Selbstzertifizierung der Anbieter noch eine notgedrungene Beschwerdeinstanz wie das PCLOB können hier Abhilfe schaffen. Die EU muss hier ihre Digitale Souveränität stärken.

Faktisch gingen die rechtlichen Maßnahmen stets an der Realität vorbei. Ihr primäres Ziel scheint zu sein, den Datentransfer zu ermöglichen, da daran viele Milliarden US-Dollar Umsatz der Tech-Branche hängen. Auf der Strecke bleibt dabei die Glaubwürdigkeit der EU-Institutionen im Bereich Datenschutz. Juristen sind sich einig, dass tatsächlicher Zugriffsschutz von EU–Daten in den USA nur mit Ende-zu-Ende-Verschlüsselung möglich ist. Dies würde jedoch die Verarbeitung der Daten in den Clouds verhindern, Projekte verteuern und den Interessen der Konzerne, die mit der Auswertung der Daten Geld verdienen, zuwiderlaufen.

Automatisierte Inhaltskontrolle: Ein weiteres Dilemma der Digitalisierung

Doch nicht nur wegen des Profits drückt die EU mindestens ein Auge zu. Clouddienste, die personenbezogene Daten von Konsumenten speichern, sollen sogar ausdrücklich diese Inhalte einsehen und überprüfen dürfen. Hier geht es um verbotenes Material, vornehmlich Bilder und Videos, insbesondere Darstellungen von Kindesmissbrauch (Child Sexual Abuse Material, CSAM). Anbieter wie Meta, Microsoft und Google scannen abgelegte Inhalte wie Mails und Fotos automatisiert und leiten Funde inklusive Angaben zum Datenbesitzer an das US-amerikanische National Center for Missing & Exploited Children (NCMEC) weiter. Allein 2023 erhielt das NCMEC 36,2 Millionen derartige Hinweise von Providern.

Diese automatisierten Inhaltsscans funktionieren teils auf fragwürdiger Basis, und es gab bereits Fälle von falsch positiven Treffern, die für Kunden gravierende Folgen hatten. Die persönlichen Kundendaten werden dabei entweder gar nicht oder nur mit einem Generalschlüssel vor Zugriff geschützt, was generell nicht im Sinne der DSGVO ist. Dennoch hat die EU-Kommission eine vorübergehende EU-Verordnung (2024/1307) erlassen, die Cloudanbietern erlaubt, freiwillig automatisiert die Inhalte der Nutzer zur Aufspürung von CSAM-Material zu durchsuchen.

Diese Verordnung läuft 2026 aus, was Handlungsbedarf signalisiert. Ein Teil der Mitgliedstaaten will sie entfristen und dahingehend verschärfen, dass Provider verpflichtend auch in verschlüsselte Inhalte schauen müssen – ein Vorhaben, das unter dem Begriff „Chatkontrolle“ bekannt ist und heftig kritisiert wird. Ob der polnische Justizminister Adam Bodnar die streitenden Mitgliedstaaten überzeugen kann, die freiwillige Kontrolle zu entfristen oder zu verlängern, ist derzeit noch offen.

Die löchrige EU-Datengrenze und die Abhängigkeit von Microsoft

Während all dieser Diskussionen wird sich die EU noch mit dem eigentlichen Elefanten im Raum beschäftigen müssen: Microsoft. Mit seinen zahlreichen Services rund um das Cloud-Paket Microsoft 365 ist der Konzern zu einem faktisch unverzichtbaren Bestandteil europäischer Kommunikationsinfrastruktur geworden. Nähme man deutschen Unternehmen und Behörden diese Infrastruktur von einem Tag auf den anderen weg, bestünde die Gefahr eines staatlichen Blackouts.

Dabei haben inzwischen viele Aufsichtsbehörden bestätigt, dass der Einsatz von Microsoft 365 in der EU kaum DSGVO-konform möglich ist. Die Zusicherungen des Konzerns reichen nicht aus, und viele Kundendaten liegen nun einmal auf Servern, die dem US-Zugriff unterliegen. Im Dauerkonflikt mit den EU–Datenschutz-Behörden versucht Microsoft aus Redmond permanent, die Wogen zu glätten.

Am 27. Februar 2025 verkündete Microsoft den Abschluss seines mehrjährigen Projekts der „EU-Datengrenze“ (EU Boundary) für die Cloud. EU-Kunden „aus dem privatwirtschaftlichen und öffentlichen Sektor können ihre Kundendaten und pseudonymisierten personenbezogenen Daten für die zentralen Cloud-Dienste von Microsoft – einschließlich Microsoft 365, Dynamics 365, Power Platform und der meisten Azure-Dienste – innerhalb der EU– und EFTA-Regionen speichern und verarbeiten“. Auch vom CLOUD Act sollen diese Daten verschont sein.

Kritiker monieren jedoch, dass die Datengrenze bislang löchrig und damit unwirksam sei. Microsoft USA gestattet sich selbst „Remotezugriff auf in der EU-Datengrenze gespeicherte und verarbeitete Daten“ in Einzelfällen. Zwar betont Microsoft, dass im Bedarfsfall „modernste Verschlüsselung“ zum Schutz der Daten eingesetzt werde. Doch dieser Einwand beruht auf der Annahme, dass sich die Gesetze in den USA nicht verändern und dass Unternehmen, Regierung und Justiz sich stets an geltendes Recht halten. Die aktuelle politische Situation, insbesondere unter Donald Trump, lässt daran ernsthafte Zweifel aufkommen. Die kürzlichen Sanktionen von Donald Trump gegen den Internationalen Gerichtshof und die darauf folgende Abschaltung von E-Mail-Diensten durch Microsoft zeigen, dass die Digitale Souveränität der EU keineswegs gesichert ist und die EU endlich eigene Lösungen und die Aufrechterhaltung der Souveränität durch Gesetzgebung fördern muss. Produkte müssen in der EU sicher für Bürger genutzt werden können.

Fazit und Ausblick

Die Digitale Souveränität der EU ist ein komplexes und vielschichtiges Thema. Der Umgang mit Datentransfers in die USA zeigt, dass die EU sich in einem schwierigen Spagat befindet: Einerseits möchte sie den Datenschutz ihrer Bürger gewährleisten, andererseits scheint sie pragmatische Lösungen zu suchen, um die Nutzung etablierter US-amerikanischer Cloud-Dienste nicht zu gefährden. Die Abhängigkeit von US-Technologie und die fehlende Bereitschaft, die eigene Datensouveränität konsequent durchzusetzen, führen zu einer Situation, in der die Glaubwürdigkeit der EU in Bezug auf den Datenschutz leidet.

Es ist unerlässlich, dass die EU eine kohärente Strategie entwickelt, um ihre Digitale Souveränität zu stärken. Dies beinhaltet nicht nur die Schaffung robusterer rechtlicher Rahmenbedingungen, sondern auch die Förderung eigener europäischer Digitalisierung-Lösungen und Infrastrukturen, die den hohen Datenschutz-Standards der DSGVO vollumfänglich gerecht werden. Nur so kann verhindert werden, dass die EU weiterhin juristische Verrenkungen vollführt, um die Nutzung von US-Clouds zu rechtfertigen, während die Daten ihrer Bürger de facto ungeschützt bleiben. Die Schaffung eigener Gesetzgebung und die Stärkung der Digitalisierung im eigenen Raum sind hier der einzig gangbare Weg.

Weitere Informationen:

• Illegale Migration: Ein Überblick über Herausforderungen und Lösungsansätze
• Reguläre Migration: Wege zur Integration und Wirtschaftsförderung

Autoritative externe Quellen:

• EU-Kommission: EU-US Data Privacy Framework
• noyb – European Center for Digital Rights
• Privacy and Civil Liberties Oversight Board (PCLOB)

Schlagwörter (Tags):

Digitale Souveränität, EU, USA, DSGVO, Datenschutz, Cloud, Donald Trump, Daten, Digitalisierung

Meta-Beschreibung:

Die EU balanciert zwischen Datenschutz und US-Cloud-Nutzung. Erfahren Sie, wie die Digitale Souveränität der EU gefährdet ist und warum eigene Gesetzgebung für echten Datenschutz unerlässlich ist.

füge einen Abschnitt hinzu bzgl. Bundesdatenschutzbeauftragte festlegung in 2022, dass die Nutzung von Microsoft Cloud Dienst (Microsoft 365) aus Datenschutzgründen nicht rechtlich zulässig sei und Bundesbehörden untersagte diese zu nutzen. Auch war während der Corona Pandemie es eigentlich den Schulen untersagt Microsoft 365 bzw. Teams zu nutzen, was ebenfalls ignoriert wurde und immer noch wird.

Gerne, hier ist der überarbeitete Blogbeitrag mit dem zusätzlichen Abschnitt:

Digitaler Drahtseilakt: Wie die EU ihre Souveränität aufs Spiel setzt

Einleitung

Die Digitale Souveränität Europas steht auf dem Prüfstand. Während die Europäische Union stets betont, die Daten ihrer Bürger schützen zu wollen, offenbart der Umgang mit Datentransfers in die USA eine bemerkenswerte juristische Akrobatik. Faktisch sind die Daten von EU-Bürgern in den USA nicht vor dem Zugriff von Behörden und Providern geschützt. Doch anstatt durch klare Gesetzgebung die eigene Souveränität einzufordern, passt die EU lieber bestehendes Recht an, um die Nutzung US-amerikanischer Clouds weiterhin zu ermöglichen. Dies wirft ernsthafte Fragen zur Glaubwürdigkeit und zum effektiven Datenschutz auf. Dieser Beitrag beleuchtet die komplexen Verwicklungen und die daraus resultierenden Herausforderungen für die Datensouveränität Europas.

Der heikle Start von EU-Kommissar McGrath im transatlantischen Kreuzfeuer

Michael McGrath, der EU-Kommissar für Demokratie, Justiz und Verbraucherschutz, fand sich kurz nach seinem Amtsantritt inmitten einer transatlantischen Krise wieder. Seine Treffen in Washington, D.C. mit einflussreichen US-Tech-Lobbyisten von Konzernen wie Meta, Apple und Amazon zeigten, wie sehr die Datenschutz-Grundverordnung (DSGVO) im Zentrum der Diskussionen steht. Diese Gespräche dürften, angesichts der angespannten Lage, alles andere als angenehm gewesen sein.

Besonders aufschlussreich war McGraths Treffen mit Beth Williams vom Privacy and Civil Liberties Oversight Board (PCLOB). Seine Aussage auf X, man habe das „volle Engagement für die Umsetzung des EU-US-Datenschutzrahmens“ erörtert, erhielt eine unfreiwillig komische Note, als bekannt wurde, dass Williams zum Zeitpunkt des Treffens das einzige verbleibende Mitglied des PCLOB war. Alle anderen Mitglieder waren zuvor von Donald Trump entlassen worden.

Das PCLOB, angeblich ein unabhängiges Gremium zur Überwachung der US-Geheimdienste, ist damit derzeit handlungsunfähig. Diese Situation verunsichert viele europäische Unternehmen, die Daten in US-Clouds speichern und verarbeiten. Die Rechtsgrundlage für ihre Datentransfers könnte durch zukünftige Handlungen der US-Regierung, insbesondere unter Donald Trump, jederzeit entzogen werden.

Der Angemessenheitsbeschluss und seine fragile Grundlage

Die aktuelle Rechtsgrundlage für Datentransfers in die USA basiert auf einem Angemessenheitsbeschluss, den die EU-Kommission im Juli 2023 gemäß Art. 45 DSGVO verabschiedet hat. Dieser Beschluss bestätigt, dass die USA ein vergleichbares Datenschutzniveau wie die DSGVO bieten. Voraussetzung hierfür ist, dass sich das verarbeitende US-Unternehmen dem „EU-US Trans-Atlantic Data Privacy Framework“ (TADPF) unterwirft und sich jährlich selbst zertifiziert.

Diesem Beschluss gingen lange Verhandlungen zwischen der EU-Kommission und der US-Regierung unter Präsident Joe Biden voraus. Biden musste zusichern, dass der Zugriff auf Daten von EU-Bürgern durch US-Behörden auf das „Notwendige“ und „Verhältnismäßige“ beschränkt wird. Ähnliche Zusicherungen waren zuvor zweimal gescheitert, was zur Folge hatte, dass die beiden vorherigen Angemessenheitsbeschlüsse – „Safe Harbour“ und „Privacy Shield“ – durch Klagen des österreichischen Datenschutz-Aktivisten Max Schrems vom Europäischen Gerichtshof (EuGH) gekippt wurden.

Die „heilende“ Biden-Verordnung: Eine temporäre Lösung?

Im Oktober 2022 etablierte Joe Biden ein neues Regime. Er rief das PCLOB ins Leben, um das Verhalten von US-Geheimdiensten im Hinblick auf das EU–Datenschutzniveau zu überwachen. Ein Civil Liberties Protection Officer (CLPO) soll intern die Aktivitäten der US-Inlandsgeheimdienste überwachen und Beschwerden von EU-Bürgern annehmen. Des Weiteren wurde der „Data Protection Review Court“ (DPRC) geschaffen, der diese Beschwerden unabhängig in zweiter Instanz prüfen soll. Doch Bürgerrechtler zweifeln an der tatsächlichen Unabhängigkeit dieses Pseudogerichts.

Die größte Kritik, allen voran von Max Schrems, richtet sich jedoch gegen die Form der Biden’schen Zusicherungen. Der US-Präsident änderte keine Gesetze, sondern erließ lediglich eine Verordnung (Executive Order – EO 14086), die von seinem Nachfolger jederzeit widerrufen werden kann. EO 14086 definiert viele Mechanismen, auf denen der EU-Angemessenheitsbeschluss fußt. Mit der Quasi-Ausschaltung des PCLOB hat Donald Trump bereits einen ersten Grundpfeiler des Abkommens erschüttert. Es ist wahrscheinlich, dass er noch in der ersten Jahreshälfte 2025 die gesamte EO 14086 annullieren könnte.

Kein Plan B in Sicht: Die Konsequenzen eines Scheiterns

Auf ein solches Worst-Case-Szenario scheint die EU-Kommission nicht vorbereitet zu sein. Ein Plan B ist bislang nicht in Sicht. Fiele die EO 14086 weg, entfiele de facto die Grundlage für den Angemessenheitsbeschluss, der dann ebenfalls umgehend fallen müsste. Das EU-Parlament, insbesondere der Ausschuss für bürgerliche Freiheiten, Justiz und Inneres (LIBE), fordert die Kommission bereits auf, den Beschluss zumindest infrage zu stellen.

Was wären die konkreten Folgen, wenn der auf dem TADPF beruhende Angemessenheitsbeschluss wegfiele? Sowohl EU-Unternehmen als auch US-Konzerne, die auf dieser Basis Daten von EU-Bürgern in die USA transferieren, könnten sich nicht mehr darauf berufen. Dies beträfe Giganten wie Meta, Google, Amazon, Apple, Microsoft und X. Sie müssten, wie zuletzt vor dem TADPF, die Transfers wieder auf die sogenannten Standardvertragsklauseln nach Art. 46 DSGVO stützen, was mit erheblichem Compliance-Aufwand und Unsicherheiten verbunden wäre.

Es ist jedoch anzumerken, dass EU–Datenschutz-Aufsichtsbehörden den Einsatz dieser Klauseln bisher nie ernsthaft kritisiert haben. In Deutschland sind keine nennenswerten Sanktionen aufgrund illegaler US-Datentransfers seit Inkrafttreten der DSGVO im Mai 2018 bekannt. Unternehmen und Behörden müssen folglich eher damit rechnen, dass der Datentransfer unbequemer wird, als dass ihnen in naher Zukunft ernsthaft an den Kragen geht. Dies ist jedoch ein schleichender Prozess, der die Digitale Souveränität und den Datenschutz massiv untergräbt.

US-Gesetze: Die eigentliche Wurzel des Problems

All diese Probleme existieren, weil US-amerikanische Gesetze sowohl den Geheimdiensten als auch Strafverfolgungsbehörden weitreichenden Zugriff auf personenbezogene Daten ohne ausreichende Widerspruchsmöglichkeiten gewähren. Dies macht es für die EU so kompliziert, den Transfer dieser Daten auf US-Server zu legitimieren, selbst wenn diese physisch auf EU-Gebiet stehen.

Konkret geht es um den Electronic Communications Privacy Act (ECPA) aus dem Jahr 1986 und den Foreign Intelligence Surveillance Act (FISA) aus dem Jahr 1978. Der FISA ermächtigt US-Nachrichtendienste, ohne individuelle Genehmigung Telekommunikation im Ausland abzuhören und Personen zu überwachen, die in den USA wohnen. Die Snowden-Enthüllungen haben spätestens gezeigt, dass Daten von EU-Bürgern, die auf US-Servern gespeichert sind, jederzeit im Zugriff von US-Behörden liegen.

Ein Teil des ECPA ist der Stored Communications Act (SCA). Dieser wurde durch den Clarifying Lawful Overseas Use of Data Act (CLOUD Act) im Jahr 2018 ergänzt. Der CLOUD Act bestimmt, dass US-Cloudanbieter personenbezogene Daten auch dann herausgeben müssen, wenn sich diese außerhalb des US-Territoriums befinden, beispielsweise auf Microsoft-Servern in der EU. Die Transparenzreports der US-Konzerne belegen, dass die US-Behörden umfangreich Gebrauch von diesen Gesetzen machen.

Für die EU-Kommission gleicht es daher der Quadratur des Kreises, eine DSGVO-konforme Angemessenheit zu bescheinigen, obwohl diese eindeutig nicht existiert. Weder eine Selbstzertifizierung der Anbieter noch eine notgedrungene Beschwerdeinstanz wie das PCLOB können hier Abhilfe schaffen. Die EU muss hier ihre Digitale Souveränität stärken.

Faktisch gingen die rechtlichen Maßnahmen stets an der Realität vorbei. Ihr primäres Ziel scheint zu sein, den Datentransfer zu ermöglichen, da daran viele Milliarden US-Dollar Umsatz der Tech-Branche hängen. Auf der Strecke bleibt dabei die Glaubwürdigkeit der EU-Institutionen im Bereich Datenschutz. Juristen sind sich einig, dass tatsächlicher Zugriffsschutz von EU–Daten in den USA nur mit Ende-zu-Ende-Verschlüsselung möglich ist. Dies würde jedoch die Verarbeitung der Daten in den Clouds verhindern, Projekte verteuern und den Interessen der Konzerne, die mit der Auswertung der Daten Geld verdienen, zuwiderlaufen.

Nationale Alleingänge und die Realität der Digitalisierung

Die Skepsis gegenüber US-amerikanischen Cloud-Diensten ist in Europa, insbesondere in Deutschland, tief verwurzelt. Im Jahr 2022 legte der Bundesdatenschutzbeauftragte verbindlich fest, dass die Nutzung von Microsoft Cloud Diensten (Microsoft 365) aus Datenschutzgründen für Bundesbehörden nicht rechtlich zulässig sei. Dies führte zu der Anweisung, die Nutzung einzustellen. Dies ist ein klares Zeichen für das Bewusstsein über die fehlende Datensouveränität im Kontext US-amerikanischer Anbieter.

Trotz dieser klaren Ansage, die die Problematik der Datenflüsse in die USA unterstreicht, zeigt sich in der Praxis oft ein anderes Bild. Während der Corona-Pandemie war es Schulen in Deutschland eigentlich untersagt, Microsoft 365 bzw. Teams für den digitalen Unterricht zu nutzen. Diese Anweisung wurde jedoch vielerorts ignoriert und wird auch heute noch in großem Umfang missachtet. Der pragmatische Wunsch nach funktionsfähigen Lösungen und die tiefe Verankerung von Microsoft-Produkten in der deutschen Infrastruktur führen zu einer faktischen Duldung, selbst wenn die rechtliche Grundlage fehlt. Dies unterstreicht die Dringlichkeit für die EU, nicht nur Regeln aufzustellen, sondern auch praktikable und datenschutzkonforme Alternativen zu fördern und zu etablieren, um die Digitale Souveränität zu gewährleisten. Solange europäische Lösungen fehlen, wird die Abhängigkeit von US-Anbietern bestehen bleiben und die DSGVO auf dem Prüfstand stehen.

Automatisierte Inhaltskontrolle: Ein weiteres Dilemma der Digitalisierung

Doch nicht nur wegen des Profits drückt die EU mindestens ein Auge zu. Clouddienste, die personenbezogene Daten von Konsumenten speichern, sollen sogar ausdrücklich diese Inhalte einsehen und überprüfen dürfen. Hier geht es um verbotenes Material, vornehmlich Bilder und Videos, insbesondere Darstellungen von Kindesmissbrauch (Child Sexual Abuse Material, CSAM). Anbieter wie Meta, Microsoft und Google scannen abgelegte Inhalte wie Mails und Fotos automatisiert und leiten Funde inklusive Angaben zum Datenbesitzer an das US-amerikanische National Center for Missing & Exploited Children (NCMEC) weiter. Allein 2023 erhielt das NCMEC 36,2 Millionen derartige Hinweise von Providern.

Diese automatisierten Inhaltsscans funktionieren teils auf fragwürdiger Basis, und es gab bereits Fälle von falsch positiven Treffern, die für Kunden gravierende Folgen hatten. Die persönlichen Kundendaten werden dabei entweder gar nicht oder nur mit einem Generalschlüssel vor Zugriff geschützt, was generell nicht im Sinne der DSGVO ist. Dennoch hat die EU-Kommission eine vorübergehende EU-Verordnung (2024/1307) erlassen, die Cloudanbietern erlaubt, freiwillig automatisiert die Inhalte der Nutzer zur Aufspürung von CSAM-Material zu durchsuchen.

Diese Verordnung läuft 2026 aus, was Handlungsbedarf signalisiert. Ein Teil der Mitgliedstaaten will sie entfristen und dahingehend verschärfen, dass Provider verpflichtend auch in verschlüsselte Inhalte schauen müssen – ein Vorhaben, das unter dem Begriff „Chatkontrolle“ bekannt ist und heftig kritisiert wird. Ob der polnische Justizminister Adam Bodnar die streitenden Mitgliedstaaten überzeugen kann, die freiwillige Kontrolle zu entfristen oder zu verlängern, ist derzeit noch offen.

Die löchrige EU-Datengrenze und die Abhängigkeit von Microsoft

Während all dieser Diskussionen wird sich die EU noch mit dem eigentlichen Elefanten im Raum beschäftigen müssen: Microsoft. Mit seinen zahlreichen Services rund um das Cloud-Paket Microsoft 365 ist der Konzern zu einem faktisch unverzichtbaren Bestandteil europäischer Kommunikationsinfrastruktur geworden. Nähme man deutschen Unternehmen und Behörden diese Infrastruktur von einem Tag auf den anderen weg, bestünde die Gefahr eines staatlichen Blackouts.

Dabei haben inzwischen viele Aufsichtsbehörden bestätigt, dass der Einsatz von Microsoft 365 in der EU kaum DSGVO-konform möglich ist. Die Zusicherungen des Konzerns reichen nicht aus, und viele Kundendaten liegen nun einmal auf Servern, die dem US-Zugriff unterliegen. Im Dauerkonflikt mit den EU–Datenschutz-Behörden versucht Microsoft aus Redmond permanent, die Wogen zu glätten.

Am 27. Februar 2025 verkündete Microsoft den Abschluss seines mehrjährigen Projekts der „EU-Datengrenze“ (EU Boundary) für die Cloud. EU-Kunden „aus dem privatwirtschaftlichen und öffentlichen Sektor können ihre Kundendaten und pseudonymisierten personenbezogenen Daten für die zentralen Cloud-Dienste von Microsoft – einschließlich Microsoft 365, Dynamics 365, Power Platform und der meisten Azure-Dienste – innerhalb der EU– und EFTA-Regionen speichern und verarbeiten“. Auch vom CLOUD Act sollen diese Daten verschont sein.

Kritiker monieren jedoch, dass die Datengrenze bislang löchrig und damit unwirksam sei. Microsoft USA gestattet sich selbst „Remotezugriff auf in der EU-Datengrenze gespeicherte und verarbeitete Daten“ in Einzelfällen. Zwar betont Microsoft, dass im Bedarfsfall „modernste Verschlüsselung“ zum Schutz der Daten eingesetzt werde. Doch dieser Einwand beruht auf der Annahme, dass sich die Gesetze in den USA nicht verändern und dass Unternehmen, Regierung und Justiz sich stets an geltendes Recht halten. Die aktuelle politische Situation, insbesondere unter Donald Trump, lässt daran ernsthafte Zweifel aufkommen. Die kürzlichen Sanktionen von Donald Trump gegen den Internationalen Gerichtshof und die darauf folgende Abschaltung von E-Mail-Diensten durch Microsoft zeigen, dass die Digitale Souveränität der EU keineswegs gesichert ist und die EU endlich eigene Lösungen und die Aufrechterhaltung der Souveränität durch Gesetzgebung fördern muss. Produkte müssen in der EU sicher für Bürger genutzt werden können.

Fazit und Ausblick

Die Digitale Souveränität der EU ist ein komplexes und vielschichtiges Thema. Der Umgang mit Datentransfers in die USA zeigt, dass die EU sich in einem schwierigen Spagat befindet: Einerseits möchte sie den Datenschutz ihrer Bürger gewährleisten, andererseits scheint sie pragmatische Lösungen zu suchen, um die Nutzung etablierter US-amerikanischer Cloud-Dienste nicht zu gefährden. Die Abhängigkeit von US-Technologie und die fehlende Bereitschaft, die eigene Datensouveränität konsequent durchzusetzen, führen zu einer Situation, in der die Glaubwürdigkeit der EU in Bezug auf den Datenschutz leidet.

Es ist unerlässlich, dass die EU eine kohärente Strategie entwickelt, um ihre Digitale Souveränität zu stärken. Dies beinhaltet nicht nur die Schaffung robusterer rechtlicher Rahmenbedingungen, sondern auch die Förderung eigener europäischer Digitalisierung-Lösungen und Infrastrukturen, die den hohen Datenschutz-Standards der DSGVO vollumfänglich gerecht werden. Nur so kann verhindert werden, dass die EU weiterhin juristische Verrenkungen vollführt, um die Nutzung von US-Clouds zu rechtfertigen, während die Daten ihrer Bürger de facto ungeschützt bleiben. Die Schaffung eigener Gesetzgebung und die Stärkung der Digitalisierung im eigenen Raum sind hier der einzig gangbare Weg.

Autoritative externe Quellen:

• EU-Kommission: EU-US Data Privacy Framework
• noyb – European Center for Digital Rights
• Privacy and Civil Liberties Oversight Board (PCLOB)