Ein Serverstandort in Deutschland oder der EU schützt Ihre Daten nicht vor dem Zugriff durch US-Behörden, wenn der Betreiber ein US-Unternehmen ist. Der CLOUD Act verpflichtet US-Anbieter zur Herausgabe von Daten unabhängig davon, wo diese gespeichert sind. Gerade bei Sicherheitsprotokollen, die detailliert dokumentieren, wer in Ihrem Unternehmen wann was tut, ist das eine Frage, die Geschäftsführung und Datenschutzbeauftragte beantworten müssen. Dieser Beitrag ordnet ein, was Datenhoheit wirklich bedeutet, ohne Panik, aber auch ohne Beschönigung.
Der „Clarifying Lawful Overseas Use of Data Act" ist ein US-Gesetz aus dem Jahr 2018. Es stellt klar, dass US-Behörden von Unternehmen, die US-Recht unterliegen, die Herausgabe gespeicherter Daten verlangen können, unabhängig davon, in welchem Land die Server stehen. Entscheidend ist nicht der Standort der Daten, sondern die Rechtszugehörigkeit des Unternehmens, das sie kontrolliert.
Für die Praxis heißt das: Ob ein US-Anbieter Ihre Daten in Virginia, Dublin oder Frankfurt speichert, ändert an der rechtlichen Zugriffsmöglichkeit nichts. Auch Tochtergesellschaften in der EU sind davon nicht ausgenommen, solange die Muttergesellschaft dem US-Recht unterliegt.
Viele Anbieter werben mit „EU-Region", „Rechenzentrum Frankfurt" oder Programmen wie der EU Data Boundary. Diese Angebote regeln die Datenresidenz: den physischen Speicherort und teilweise den Ort der Verarbeitung. Das ist für Latenz und einzelne Compliance-Anforderungen relevant, beantwortet aber nicht die Kernfrage, wer rechtlich zum Zugriff verpflichtet werden kann.
Auch Testate wie der BSI-Kriterienkatalog C5 belegen wichtige Mindeststandards für Cloud-Sicherheit, ändern aber nichts an der Rechtslage: Ein US-Anbieter mit C5-Testat und Frankfurt-Region bleibt ein US-Anbieter. Datenhoheit im engeren Sinn haben Sie erst, wenn der Betreiber selbst keinem Drittstaaten-Zugriffsrecht unterliegt.
Sicherheitsprotokolle sind kein gewöhnlicher Datenbestand. Ein SIEM sammelt zwangsläufig hochsensible Informationen: Anmeldungen aller Mitarbeitenden, genutzte Anwendungen, Netzwerkverbindungen, teils Inhalte aus E-Mail- und Cloud-Diensten. Zusammengenommen ergeben diese Daten ein präzises Bild der Arbeitsweise Ihres Unternehmens.
Unsere Antwort auf diese Gemengelage ist bewusst einfach gehalten: Die RedCastle-Plattform läuft vollständig auf eigenen Servern in deutschen Rechenzentren, betrieben von einer deutschen Genossenschaft, auf Basis quelloffener Software. Es gibt keinen US-Konzern in der Betreiberkette und damit keinen CLOUD-Act-Durchgriff auf Ihre Sicherheitsdaten, keine Datenresidenz-Fußnote, kein Sternchen.
Wichtig ist uns dabei die ehrliche Abgrenzung: Das ist kein Argument gegen jede US-Software. Viele Unternehmen nutzen Microsoft 365 produktiv und gut, deren Sensorik binden wir als Datenquelle in die Überwachung ein. Der Unterschied liegt darin, wo die zusammengeführten Sicherheitsprotokolle liegen und wer den Auswertungs-Stack kontrolliert: bei Ihnen und uns, nicht bei einem Anbieter in einem fremden Rechtsraum.
Ja. Der CLOUD Act knüpft an das Unternehmen an, nicht an den Speicherort. Ein US-Anbieter kann zur Herausgabe von Daten verpflichtet werden, unabhängig davon, ob diese in den USA oder in einem Frankfurter Rechenzentrum liegen.
Nein. Die EU Data Boundary regelt, wo Daten gespeichert und verarbeitet werden (Datenresidenz), mit dokumentierten Ausnahmen. Sie ändert nichts daran, dass Microsoft als US-Unternehmen dem CLOUD Act unterliegt.
Ein C5-Testat belegt geprüfte Sicherheitsstandards des Cloud-Betriebs und ist dafür wertvoll. Die Frage des rechtlichen Drittstaaten-Zugriffs beantwortet es nicht, beides sollte getrennt bewertet werden.
Nein, das wäre unrealistisch und meist auch unnötig. Sinnvoll ist eine Abwägung je Datenkategorie: Für die zusammengeführten Sicherheitsprotokolle Ihres Unternehmens, den sensibelsten Datenbestand der Überwachung, spricht viel für einen Betreiber ohne Drittstaaten-Zugriffsrisiko. Vorhandene Werkzeuge lassen sich als Datenquellen weiterhin einbinden.
Nein. Wir ordnen die technisch-organisatorische Seite ein; die rechtliche Bewertung im Einzelfall gehört zu Ihrem Anwalt oder Datenschutzbeauftragten. Auf Wunsch arbeiten wir direkt mit Ihrem Datenschutzbeauftragten zusammen.
Sie möchten wissen, wo Ihre Sicherheitsdaten heute liegen und welche Zugriffswege bestehen? In einem kostenlosen Analysegespräch gehen wir die Checkliste gemeinsam durch. Wie unser Betrieb in deutschen Rechenzentren konkret aussieht, beschreibt der Beitrag Managed Wazuh: Open-Source-SIEM ohne Lizenzkosten.
Hinweis: Die Informationen stellen keine Rechtsberatung dar. Maßgeblich sind die jeweils geltenden gesetzlichen Regelungen und die individuelle Situation des Unternehmens.
Wir unterstützen Sie bei der Einschätzung Ihrer Betroffenheit und bei der praktischen Umsetzung der Anforderungen.