Cloud-Act — extraterritoriale US-Zugriffe auf europäische Daten

Der CLOUD Act von 2018 verpflichtet US-amerikanische Cloud- Anbieter, Daten auf Anfrage US-amerikanischer Strafverfolgungs- und Geheimdienst-Behörden herauszugeben — unabhängig davon, in welchem Land die physischen Server stehen. Die Konstruktion „unsere Daten liegen in einem EU-Rechenzentrum” hilft dabei nicht; es zählt, wer den Konzern kontrolliert.

Das ist nicht Verschwörungs-Theorie. Es ist juristische Realität, die unter Eid bestätigt wurde — zuletzt bei der Anhörung Anthony Cirots vor dem französischen Senat im Juni 2025. Der Microsoft-France-Chef bestätigte, dass auch französische Daten auf französischen Microsoft-Servern dem Cloud-Act unterliegen könnten.

Für die EU sind die Konsequenzen mehrschichtig. Auf der politisch- juristischen Ebene hat das EuGH-Urteil Schrems II 2020 das EU-US-Privacy-Shield gekippt; die Nachfolge-Vereinbarung steht unter ähnlicher rechtlicher Beobachtung. Auf der praktischen Ebene ziehen Verwaltungen Konsequenzen: Schleswig-Holstein, Berlin, Bundeswehr, niederländische Behörden, dänisches Digitalministerium — alle sind 2024–2026 dabei, Microsoft 365 zu verlassen oder Ausstiegspfade zu definieren.

Für uns ist die Konsequenz einfach. Eine Vereins-Infrastruktur, die auf US-Cloud läuft, ist keine wirklich souveräne Infrastruktur, egal welche Vertragsklauseln dranstehen. Die einzige strukturelle Antwort ist Eigenbetrieb — Hardware, die wir besitzen, betreiben und kontrollieren, ergänzt um Verschlüsselung, die uns selbst (und damit auch jeden behördlichen Zugriff auf uns) ausschließt. Das ist mühsam und langsam. Es ist auch das einzige, das im juristischen Krisenfall hält.