Cloud Act und Microsoft 365: Können die USA mitlesen? Ja.

Der Cloud Act ist ein US-Gesetz von 2018.

‍

Er verpflichtet US-Unternehmen, Daten auf Anfrage US-amerikanischer Behörden herauszugeben – egal, ob diese Daten auf einem Server in den USA oder in Frankfurt liegen. Microsoft fällt darunter. Damit auch Microsoft 365.

Rein rechtlich heißt das: Die USA könnten theoretisch auf Ihre Daten zugreifen, selbst wenn sie brav in einem deutschen Rechenzentrum liegen. Genau das bringt den Cloud Act in Konflikt mit der DSGVO, die strenge Regeln für Datentransfers außerhalb der EU vorschreibt. Microsoft selbst hat vor dem französischen Senat eingeräumt, dass ein Zugriff durch US-Behörden nicht ausgeschlossen werden kann – auch ohne Zustimmung europäischer Behörden.

So weit die Theorie. Und jetzt zur Praxis.

Können vs. Tun

‍

"Können" und "Tun" sind zwei verschiedene Dinge. Ja, die USA könnten theoretisch mitlesen. Die Frage, die für ein 15-Mann-Büro eigentlich zählt, ist eine andere: Wie realistisch ist es, dass sich ein US-Geheimdienst für Ihre Rechnungen, Ihre Mandantenkorrespondenz oder Ihre internen Teams-Chats interessiert? Für die allermeisten kleinen Firmen: nicht sehr.

Und noch etwas, das in diesen Diskussionen gerne unter den Tisch fällt: Eine hundertprozentig abhörsichere IT-Lösung gibt es nicht. Auch europäische Anbieter unterliegen eigenen Gesetzen, eigenen Behörden, eigenen Grauzonen. Wer glaubt, mit einem deutschen oder europäischen Anbieter aus dem Spiel raus zu sein, hat sich nur ein anderes Risiko eingehandelt, nicht keines.

Was tatsächlich eine Rolle spielt

Hier ist der Punkt, der aus meiner Sicht wirklich zählt: Für die meisten kleinen Unternehmen ist das theoretische Mitlese-Risiko selten das, was ihnen tatsächlich schadet. Was ihnen schadet, ist, wenn sie aus Angst vor diesem Risiko Geld für Alternativen ausgeben, die genauso wenig hundertprozentige Sicherheit bieten – nur eben mit schlechteren Tools, höherem Schulungsaufwand und mehr Dienstleisterkosten obendrauf.

Kurz: Sie tauschen ein diffuses, für Sie kaum relevantes Risiko gegen ein sehr konkretes – nämlich schlechtere Produktivität und höhere Kosten.

Was das für Sie heißt

Dass Geheimdienste – amerikanische wie andere – theoretisch mitlesen können, werden weder Sie noch ich ändern. Das ist nicht schön, aber es ist so, ganz gleich, welchen Anbieter Sie nutzen. Die eigentlich sinnvolle Frage ist nicht "Kann irgendjemand theoretisch zugreifen?", sondern: Sind Ihre Daten sauber konfiguriert, Ihre Zugriffsrechte vernünftig gesetzt, Ihre Standardvertragsklauseln in Ordnung? Das sind Dinge, die Sie tatsächlich beeinflussen können – im Gegensatz zur Gesetzgebung eines fremden Landes.