Publiziert:

US Cloud Act und Sovereign Cryptography

Der US Cloud Act erlaubt es US-Behörden, auf Daten zuzugreifen, die von US-Unternehmen verwaltet werden, unabhängig davon, wo sich der Server physisch befindet (zum Beispiel auch in der Schweiz).

Kernkonzept

Das Gesetz schafft einen potenziellen Konflikt mit dem Schweizer nDSG und der EU-DSGVO. Kundenseitige souveräne Kryptografie, bei der die Schlüsselgewalt ausschliesslich beim Kunden verbleibt (BYOK / Hold Your Own Key), reduziert die Exponierung, ist aber keine vollständige rechtliche oder technische Lösung. Der Cloud Act greift auf Daten im Gewahrsam, Besitz oder unter der Kontrolle eines Anbieters zu, unabhängig vom Speicherort (18 U.S.C. § 2713). Metadaten, Support-Zugriffe, entschlüsselte Verarbeitung, das Schlüsselmanagement, Tochtergesellschaften und rechtmässige Anordnungen bleiben gesondert zu bewerten.

Relevanz

  • Risk Assessment: Bewertung des Risikos bei der Nutzung von US-Hyperscalern für sensible Daten.
  • Encryption Standards: Konsequente Nutzung von kundenverwalteten Schlüsseln (CMK).
  • Alternative Anbieter: Evaluierung von Schweizer Providern. Auch sie können exponiert sein, wenn sie eine US-Präsenz, eine US-Muttergesellschaft, US-Tochtergesellschaften oder US-Unterauftragsverarbeiter aufweisen; geringere Exponierung haben Anbieter ohne US-Anknüpfung und ohne erfasste US-Unterauftragsverarbeiter.

Verwandte Themen