Digitales De-Risking durch Cloud-Genossenschaft
Seitdem US-Präsident Trump mit einer seiner ersten Amtshandlungen das „Privacy and Civil Liberties Oversight Board“ (PCLOB) praktisch lahmlegte, sind IT-Experten in Deutschland in heller Aufregung. Denn das Trans-Atlantic Data Privacy Framework (TADPF), das Datenschutz-Abkommen, das die Nutzung von US-Clouds in Europa legalisiert, basiert unter anderem auf dem Vertrauen in dieses zentrale Kontrollorgan für Datenschutz und Bürgerrechte in den USA. Wer Daten in US-Clouds speichert, muss sich fragen, ob dies morgen noch legal ist.
Die Realität holt Europa ein
Anstatt auf digitale Souveränität zu setzen, haben die Europäer ihre Abhängigkeit von US-Diensten mit labilen Datenschutz-Abkommen bemäntelt, die der Europäische Gerichtshof bereits zweimal gestoppt hat. Könnte nun der dritte Anlauf, das TADPF, ebenfalls kippen?
Die Situation, die sich durch Trump dramatisch zuspitzt, hat sich über ein Jahrzehnt lang angekündigt. Nach den Enthüllungen von Edward Snowden und dem Inkrafttreten der Europäischen Datenschutz-Grundverordnung (EU-DSGVO) haben die Europäer leider wenig bis nichts für ihre digitale Souveränität getan. Stattdessen versuchte die EU-Kommission, die Nutzung von US-Cloud-Diensten durch Datenschutzabkommen mit den USA weiter zu legalisieren. Doch der Europäische Gerichtshof kippte bereits zwei dieser Abkommen. Zunächst ging »Safe Harbour« im Jahr 2015 durch das sogenannte Schrems I-Urteil unter, fünf Jahre später kam mit Schrems II auch das Ende für den Nachfolger »Privacy Shield«. Das TADPF ist der dritte Anlauf der EU-Kommission, den Europäern die weitere Nutzung von US-Clouds trotz schwerer Datenschutzbedenken zu ermöglichen.
Rechtsunsicherheit droht
Da auch dieses Abkommen nun durch Trumps Politik zu scheitern droht, ist die Aufregung groß. Die Website CloudComputing Insider warnte bereits Ende Januar, dass »Unternehmen und Institutionen in Europa, die auf US-Cloud-Dienste setzen, schon bald in eine rechtliche Grauzone geraten« könnten. Die Computerwoche schlug in die gleiche Kerbe und titelte: Wird die US-Cloud in der EU bald illegal? Und das Magazin Elektronik Praxis sieht schwere Zeiten voraus und fragt: »Droht europäischen Unternehmen ein Datenchaos?«
Der Datenschutzticker.de erklärt die Hintergründe dieser Aufregung und betont die »Fragilität der rechtlichen Grundlage für den transatlantischen Datenaustausch«. Max Schrems, der bereits die beiden Vorgänger »Safe Harbour« und »Privacy Shield« durch Klagen vor dem EuGH zu Fall brachte, meint, dass auch das aktuelle Daten-Abkommen »auf Sand gebaut« sei. Unternehmen und Institutionen, die US-Clouddienste nutzen, müssen sich also, wie Fachanwälte warnen, »auf massive Rechtsunsicherheiten einstellen«.
Dr. Dennis-Kenji Kipker, Professor für IT-Sicherheitsrecht an der Universität Bremen, fordert für Deutschland dringend einen Plan B für digitale Souveränität. Denn Deutschland hat bei der Digitalisierung schwere Fehler gemacht, wie Nils Brettschneider in einem Gastbeitrag in CloudComputing Insider schreibt: »Was zunächst als pragmatische Entscheidung für Amazon Web Services (AWS), Azure und Google Cloud erschien, entwickelt sich in Zeiten geopolitischer Spannungen zunehmend zum strategischen Risiko.«
Schrittweiser Aufbau souveräner Alternativen
Um aus dieser Abhängigkeit herauszukommen, sei, so Experten, ein grundsätzlicher Strategiewechsel notwendig. Angesichts der scheinbar unauflöslichen Abhängigkeit deutscher Unternehmen und Institutionen fordert Dr. Kipker beispielsweise die schrittweise Nutzung souveräner Alternativen.
Dafür sind große Anstrengungen erforderlich, aber unmöglich ist es nicht. So haben IT-Experten mit der Hostsharing eG bereits vor 25 Jahren eine Hosting-Genossenschaft gegründet, um ihre Webanwendungen selbstbestimmt betreiben zu können. Sie haben eine Cooperative Community Cloud mit freier Software in Deutschland aufgebaut, die mit professionellen Features wie Storage Replikation und Remote Backup den Betrieb unternehmenskritischer Anwendungen ermöglicht. Als Konsumgenossenschaft ist Hostsharing unabhängig von externen Investoren und dient allein dem Kundennutzen. Die Kunden und Nutzer der Cooperative Community Cloud sind gleichzeitig Mitglieder der Genossenschaft. Sie bestimmen die Geschäftspolitik von Hostsharing und betreiben ihre Anwendungen damit im eigenen genossenschaftlichen Unternehmen.
