CLOUD Act, FISA 702 und andere US-Gesetze

Modul 1: Warum eine europäische Cloud? · Lesezeit: 12 Minuten

Lernziel: Nach dieser Lektion können Sie erklären, welche US-Gesetze Zugriff auf Daten bei US-Unternehmen gewähren, warum das auch gilt, wenn die Daten in Europa liegen, und wie der Stand der Dinge im November 2026 ist.

Kernbegriffe: CLOUD Act, 18 U.S.C. 2713, "possession, custody, or control", Anbieter eines elektronischen Kommunikationsdienstes, FISA Section 702, FISA-Gericht (FISC), Zertifizierung, Executive Order 12333, Geheimhaltungsanordnung, Strafrecht gegenüber nachrichtendienstlicher Tätigkeit

Warum US-Gesetze auch europäische Server betreffen

In Lektion 1.1 haben Sie gesehen, dass ein Unternehmen dem Recht des Landes unterliegt, in dem es niedergelassen ist. Für die meisten grossen Cloud-Dienste sind das die Vereinigten Staaten. Zwei US-Gesetze tauchen in jeder Diskussion über die europäische Cloud auf: der CLOUD Act und Section 702 des FISA. Sie haben einen unterschiedlichen Zweck und funktionieren unterschiedlich, daher lohnt es sich, sie auseinanderzuhalten.

Dies ist eine Erläuterung, kein Rechtsrat. Die US-Gesetzgebung und ihre Auslegung ändern sich; der Stand in dieser Lektion ist von November 2026.

Der CLOUD Act: Strafverfolgung

CLOUD Act steht für Clarifying Lawful Overseas Use of Data Act. Das Gesetz wurde am 23. März 2018 verabschiedet, als Teil eines umfangreichen Haushaltsgesetzes. Anlass war ein Rechtsstreit zwischen Microsoft und der US-Regierung: Das FBI wollte E-Mails eines Verdächtigen, die auf einem Server in Irland lagen, und Microsoft weigerte sich, weil die Daten ausserhalb der USA lagen. Bevor der Oberste Gerichtshof ein Urteil fällte, verabschiedete der Kongress den CLOUD Act, womit der Fall vom Tisch war.

Der Kern steht in einem einzigen Satz, heute zu finden als 18 U.S.C. 2713. In einfachen Worten: Ein Anbieter eines elektronischen Kommunikationsdienstes oder eines entfernten Speicherdienstes muss Daten aufbewahren oder herausgeben, die sich in seinem "possession, custody, or control" befinden, unabhängig davon, ob sich diese Daten innerhalb oder ausserhalb der Vereinigten Staaten befinden.

Was bedeutet das in der Praxis?

• Es geht um strafrechtliche Ermittlungen. Die Regierung muss eine richterliche Anordnung haben, etwa einen Durchsuchungsbeschluss, genau wie bei Daten in den USA.
• Es geht um Daten, die das Unternehmen in seiner Macht hat. Liegt Ihre E-Mail bei einer europäischen Tochtergesellschaft, kann aber das US-Mutterunternehmen darauf zugreifen, dann kann das Mutterunternehmen dafür herangezogen werden.
• Der Anbieter kann Einspruch erheben, wenn die Herausgabe mit dem Recht eines anderen Landes kollidiert, aber nur in bestimmten Fällen (vor allem bei Ländern, mit denen die USA ein spezielles Abkommen haben, wie das Vereinigte Königreich und Australien). Ein allgemeines Abkommen zwischen der EU und den USA über diese Art von Beweismitteln gibt es noch nicht.
• Der Kunde erfährt nicht immer davon. Ein Richter kann dem Anbieter eine Geheimhaltungsanordnung auferlegen, sodass er Sie nicht warnen darf.

Dem steht gegenüber, dass die DSGVO (Art. 48) besagt, dass ein ausländisches Urteil oder eine ausländische Anordnung zur Datenherausgabe nur anerkannt wird, wenn ein Abkommen besteht, etwa ein Rechtshilfeabkommen. Ein US-Anbieter kann also zwischen zwei Gesetzen eingeklemmt werden. Genau das ist das Problem: Sie als Kunde können nicht wählen, welches Gesetz gewinnt.

Ein vielsagender Moment: Im Juni 2025 fragte ein Untersuchungsausschuss des französischen Senats den Leiter der Rechtsabteilung von Microsoft Frankreich, ob er unter Eid garantieren könne, dass Daten französischer Bürger niemals ohne Zustimmung Frankreichs an US-Behörden übergeben werden. Seine Antwort: "Nein, das kann ich nicht garantieren." Er fügte hinzu, dass das Unternehmen unberechtigte Anfragen anfechte und dass ein solches Ersuchen in der Praxis noch nicht vorgekommen sei. Beide Teile dieser Antwort sind wichtig: Das Risiko ist gering, aber es besteht, und das Unternehmen kann es nicht ausschliessen.

FISA Section 702: Nachrichtendienste über Ausländer

FISA ist der Foreign Intelligence Surveillance Act. Section 702 wurde 2008 hinzugefügt. Das Ziel ist nicht die Verfolgung von Straftaten, sondern das Sammeln von ausländischen Nachrichtendienstinformationen. Darin liegt der grosse Unterschied zum CLOUD Act:

Unter Section 702 können US-Dienste Anbieter elektronischer Kommunikationsdienste verpflichten, bei der Sammlung von Kommunikation ausländischer "Targets" mitzuwirken. Für einen Europäer bietet das US-Recht hier wenig Schutz: Der verfassungsrechtliche Schutz vor Durchsuchung (der vierte Verfassungszusatz) gilt vor allem für US-Bürger. Dieses Programm spielte eine zentrale Rolle im Urteil Schrems II des Gerichtshofs der Europäischen Union (Lektion 1.4).

Stand im November 2026

Section 702 muss immer wieder vom Kongress verlängert werden. Im April 2024 verlängerte das Gesetz RISAA es um zwei Jahre, bis April 2026. Im April 2026 gelang keine lange Verlängerung; es kam zu zwei kurzen Verlängerungen. Am 12. Juni 2026 lief das Gesetz aus, zum ersten Mal seit 2008. Berichten zufolge läuft die Sammlung in der Praxis weiter, weil das FISA-Gericht im März 2026 die jährlichen Zertifizierungen bereits genehmigt hatte; diese laufen ungefähr bis März 2027. Der Kongress diskutiert in der Lame-Duck-Periode ab 9. November 2026 weiter über eine neue Verlängerung.

Für Ihre Entscheidung bedeutet das: Ob das Gesetz nun kurzzeitig ausgelaufen ist oder nicht, das zugrunde liegende Problem verschwindet nicht. Die Wahrscheinlichkeit ist gross, dass es eine neue Verlängerung gibt, und die Befugnisse können in anderer Form zurückkehren.

Executive Order 12333: ohne Richter

Neben diesen Gesetzen gibt es die Executive Order 12333 aus dem Jahr 1981, eine Präsidialverordnung über nachrichtendienstliche Tätigkeit. Darunter fallen beispielsweise das Abhören von Internetkabeln und das Sammeln von Daten ausserhalb der USA, ohne Einschaltung eines Richters und ohne dass ein Unternehmen mitwirken muss. Für Daten, die unterwegs verschlüsselt sind, ist das weniger ein Problem; für Daten bei einem US-Unternehmen sind der CLOUD Act und Section 702 die relevanten Wege.

Wie gross ist das Risiko wirklich?

Ehrlich gesagt: Für die meisten kleinen Organisationen ist die Wahrscheinlichkeit gering, dass US-Dienste sich gerade für ihre E-Mails interessieren. Dennoch gibt es Gründe, das ernst zu nehmen:

• Sie wissen es nicht. Durch Geheimhaltungsanordnungen erfahren Sie es möglicherweise nie.
• Sie sind nicht die einzige betroffene Person. In Ihrer E-Mail stehen Daten von Kunden, Lieferanten und Mitarbeitern. Sie müssen deren Daten schützen (Lektion 1.2).
• Manche Daten sind sensibel. Eine Anwaltskanzlei, eine Arztpraxis, ein Journalist oder eine Schule hat eine andere Abwägung als eine Bäckerei.
• Die Regeln können sich ändern, ohne dass Sie etwas dazu zu sagen haben.

Bakkerij De Korrel hat wenig von einem Nachrichtendienst zu befürchten. Aber Sanne überlegt, dass in ihrem Postfach auch die Krankmeldungen ihres Personals stehen. Das sind Gesundheitsdaten, und damit muss sie besonders sorgfältig umgehen.

In der Praxis: So sieht es bei einem Anbieter aus

Ein europäischer Anbieter ohne US-Mutterunternehmen und ohne US-Unterauftragsverarbeiter fällt nicht unter den CLOUD Act und ist kein "provider" im Sinne von Section 702. Er kann weiterhin verpflichtet werden, mit europäischer Polizei und Justiz zusammenzuarbeiten, dann jedoch nach europäischem und nationalem Recht, mit einem europäischen Gericht als Kontrolle. Bei WebOké steht im Nextcloud-Handbuch, dass Ihre Dateien nicht an US-amerikanische Cloud-Unternehmen gehen. Bei anderen Anbietern suchen Sie nach einer Liste der Unterauftragsverarbeiter und nach dem rechtlichen Eigentümer (Lektion 2.1).

Zusammenfassung

• Der CLOUD Act (2018) verpflichtet US-Anbieter, Daten in ihrer Macht bei einer strafrechtlichen Anordnung herauszugeben, auch wenn diese im Ausland liegen.
• FISA Section 702 gibt US-Diensten Zugriff auf Kommunikation von Nicht-US-Bürgern ausserhalb der USA, zu nachrichtendienstlichen Zwecken, ohne Anordnung pro Person.
• Section 702 lief am 12. Juni 2026 aus, Berichten zufolge läuft die Sammlung jedoch auf Grundlage von Zertifizierungen aus März 2026 weiter; eine neue Verlängerung wird verhandelt.
• Ein Server in Europa schützt nicht, wenn das dahinterstehende Unternehmen US-Recht unterliegt.
• Das Risiko ist für die meisten Organisationen gering, aber nicht auszuschliessen und nicht zu kontrollieren.

Quiz

Aufgabe

Aufgabe E1.3: Unter welches Recht fällt Ihr Dienst? Wählen Sie Ihren wichtigsten Cloud-Dienst. Finden Sie heraus, welches Unternehmen den Vertrag mit Ihnen abschliesst (steht in den Geschäftsbedingungen), wo dieses niedergelassen ist und wer das letztendliche Mutterunternehmen ist. Beantworten Sie: Kann der CLOUD Act auf diesen Dienst anwendbar sein, und warum?

Weiterführende Informationen

Die Schritte in diesen Artikeln gelten für die Dienste von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• Nextcloud-Anleitung 15.13: Häufig gestellte Fragen zu Sicherheit und Datenschutz
• 18 U.S.C. 2713, Required preservation and disclosure of communications and records (Cornell LII): https://www.law.cornell.edu/uscode/text/18/2713
• FISA Section 702 (50 U.S.C. 1881a) und der CRS-Bericht "FISA Section 702 and the 2024 Reforming Intelligence and Securing America Act" (congress.gov, R48592)
• Verordnung (EU) 2016/679 (DSGVO), Artikel 48 (ausländische Anordnungen zur Datenherausgabe)