CLOUD Act: Warum ein deutsches Rechenzentrum US-Anbieter nicht schützt

Die kurze Antwort: Der CLOUD Act verpflichtet US-Anbieter, gespeicherte Daten auf richterliche Anordnung herauszugeben, auch wenn diese Daten in Deutschland liegen. Maßgeblich ist nicht der Serverstandort, sondern wer den Zugriff kontrolliert. Ein deutsches Rechenzentrum ändert daran nichts. Wirksam schützt nur Verschlüsselung, deren Schlüssel der Anbieter selbst nie besitzt.

Was im Gesetz wirklich steht

Der CLOUD Act, ausgeschrieben Clarifying Lawful Overseas Use of Data Act, wurde am 23. März 2018 als Teil eines Haushaltsgesetzes verabschiedet. Er entstand mitten in einem Rechtsstreit darüber, ob US-Ermittler Zugriff auf E-Mails verlangen dürfen, die auf einem Server in Irland lagen. Statt die Frage vom Obersten Gerichtshof klären zu lassen, hat der Kongress sie per Gesetz beantwortet.

Der zentrale Satz ist erstaunlich kurz. In der Kodifikation als 18 U.S.C. § 2713 heißt es im Original: „A provider of electronic communication service or remote computing service shall comply with the obligations of this chapter to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider's possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States.“ Den Wortlaut können Sie im Gesetzestext von 18 U.S.C. § 2713 nachlesen (abgerufen am 18. August 2026).

Sinngemäß auf Deutsch: Ein Anbieter von elektronischen Kommunikations- oder Fernrechendiensten muss Inhalte und Kundendaten sichern, aufbewahren oder herausgeben, sofern sie sich in seinem Besitz, seinem Gewahrsam oder seiner Kontrolle befinden, und zwar unabhängig davon, ob sie sich innerhalb oder außerhalb der Vereinigten Staaten befinden.

Lesen Sie den Satz ein zweites Mal und achten Sie darauf, was nicht darin vorkommt. Es fehlt jede Ortsangabe als Voraussetzung. Kein Bundesstaat, kein Rechenzentrum, kein Land. Stattdessen stehen dort drei Begriffe, die alle dasselbe beschreiben: Verfügungsmacht. Wer technisch und organisatorisch an die Daten herankommt, ist adressiert. Wo die Festplatte steht, ist für die Anwendbarkeit des Gesetzes schlicht unerheblich.

Der Denkfehler: Standort ist nicht gleich Zugriff

Die Werbeaussage „Rechenzentrum in Deutschland“ beantwortet eine andere Frage, als die meisten Leser hören. Sie beantwortet: Wo liegen die Bits physisch? Sie beantwortet nicht: Wer kann sie lesen und wem gegenüber ist diese Person weisungsgebunden?

Ein Bild macht den Unterschied deutlich. Stellen Sie sich ein Bankschließfach in einer Filiale in Köln vor. Die Filiale steht unstreitig in Deutschland. Wenn die Konzernzentrale in Übersee jedoch einen Zweitschlüssel verwahrt und die Kölner Belegschaft ihren Anweisungen folgt, dann entscheidet nicht die Adresse der Filiale darüber, wer das Fach öffnet. Genau diese Konstellation meint der Gesetzestext mit „control“.

Daraus folgt eine Faustregel, die Sie sich merken können: Der Serverstandort bestimmt, welches Recht auf das Gebäude Anwendung findet. Die Konzernstruktur bestimmt, welches Recht auf den Zugriff Anwendung findet. Für Ihre Privatsphäre zählt ausschließlich die zweite Frage.

Anzumerken ist eine Einschränkung, die selten erwähnt wird: Der CLOUD Act sieht durchaus vor, dass ein Anbieter eine Anordnung gerichtlich angreifen kann. Diese Möglichkeit ist jedoch an enge Voraussetzungen geknüpft und steht nicht in jedem Fall offen. Der Europäische Datenschutzausschuss hat genau darauf in seiner Bewertung hingewiesen. Ein Rechtsbehelf, den es zwar gibt, der aber nur unter Bedingungen greift, ist keine Garantie, sondern eine Chance.

Der Konflikt mit Artikel 48 DSGVO

Europäisches Recht sieht diese Konstellation ausdrücklich vor und stellt sich ihr entgegen. Artikel 48 DSGVO regelt Übermittlungen, die nach dem Unionsrecht nicht zulässig sind, und bestimmt, dass Urteile und Entscheidungen von Behörden eines Drittlands nur dann anerkannt oder vollstreckbar sind, wenn sie auf einer internationalen Übereinkunft beruhen, etwa einem Rechtshilfeabkommen.

Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte haben diesen Konflikt am 12. Juli 2019 im Auftrag des Innenausschusses des Europäischen Parlaments untersucht. Ihr Ergebnis in einem Satz: Eine Anordnung einer ausländischen Behörde macht eine Übermittlung nicht schon für sich genommen rechtmäßig. Erforderlich bleibt zusätzlich eine tragfähige Rechtsgrundlage nach der DSGVO. Die Bewertung ist als gemeinsame Antwort von EDSA und EDSB an den LIBE-Ausschuss öffentlich abrufbar (abgerufen am 18. August 2026).

Für den betroffenen Anbieter entsteht daraus eine unangenehme Zange. Die eine Rechtsordnung verlangt Herausgabe, die andere verbietet sie. Wie er sich entscheidet, ist eine unternehmerische Abwägung zwischen zwei Sanktionsrisiken, und Sie als Kunde sind an dieser Abwägung nicht beteiligt. Sie erfahren in aller Regel nicht einmal davon, denn Anordnungen sind häufig mit einem Mitteilungsverbot verbunden.

Wer diese Zange gar nicht erst entstehen lassen möchte, verschlüsselt vor dem Upload und behält den Schlüssel. Speicher mit eigener Schlüsselhoheit jetzt anlegen und die Rechtsfrage in eine technische Tatsache verwandeln.

Wie oft passiert das eigentlich? Ein Blick in die Zahlen

Über den CLOUD Act wird viel spekuliert und wenig gerechnet. Dabei veröffentlichen die großen Anbieter selbst Zahlen. Microsoft weist in seinem Bericht über behördliche Anfragen nach Kundendaten für den Zeitraum Juli bis Dezember 2025 insgesamt 27.412 Strafverfolgungsanfragen zu Privatkundendiensten aus. Die Aufschlüsselung ist aufschlussreich:

• 61,30 Prozent führten zur Herausgabe von Bestandsdaten ohne Inhalte, also etwa Kontoinformationen.
• 20,60 Prozent wurden zurückgewiesen.
• 12,96 Prozent blieben ohne Fund, es lagen keine Daten vor.
• 5,14 Prozent führten zur Herausgabe von Inhalten, das sind 1.408 Fälle.

Diese 1.408 Fälle sind der interessante Teil. Inhalte bedeutet hier: der tatsächliche Inhalt von Nachrichten und Dateien. Microsoft nennt in demselben Bericht ausdrücklich die betroffenen Privatkundendienste, darunter Outlook.com, OneDrive, Xbox Live und Skype. Der Cloud-Speicher ist also mitgemeint. Nachrechnen können Sie das im Bericht von Microsoft über behördliche Anfragen nach Kundendaten (abgerufen am 18. August 2026).

Zwei ehrliche Einordnungen gehören dazu. Erstens: Diese Zahlen umfassen Strafverfolgungsanfragen aus aller Welt, nicht ausschließlich Anordnungen nach dem CLOUD Act. Zweitens spricht die Statistik auch für Microsoft, denn jede fünfte Anfrage wurde zurückgewiesen. Das ist keine Beliebigkeit, sondern eine Prüfung. Die entscheidende Erkenntnis liegt trotzdem woanders: In gut 1.400 Fällen war eine Herausgabe von Inhalten technisch überhaupt möglich. Möglich ist sie nur, wenn jemand die Inhalte lesbar machen kann.

Was ein Anbieter selbst dazu sagt, wenn er unter Eid steht

Am 10. Juni 2025 befragte ein Untersuchungsausschuss des französischen Senats Vertreter von Microsoft France zur Frage der digitalen Souveränität. Senator Dany Wattebled stellte die Frage so direkt, wie sie sich stellen lässt: Ob unter Eid garantiert werden könne, dass Daten französischer Bürger niemals infolge einer Anordnung der US-Regierung ohne ausdrückliche Zustimmung französischer Behörden übermittelt würden.

Die protokollierte Antwort von Anton Carniaux, zuständig für Rechts- und Regierungsangelegenheiten bei Microsoft France, lautete: „Non, je ne peux pas le garantir, mais, encore une fois, cela ne s'est encore jamais produit.“ Übersetzt: Nein, das kann ich nicht garantieren, aber, um es noch einmal zu sagen, es ist bisher noch nie vorgekommen. Das Protokoll der Sitzung ist im Sitzungsbericht des französischen Senats öffentlich einsehbar (abgerufen am 18. August 2026).

Diese Anhörung ist ein dokumentierter Einzelfall und betraf einen konkreten französischen Beschaffungsvertrag, sie ist kein Urteil über eine ganze Branche. Der zweite Halbsatz verdient dieselbe Aufmerksamkeit wie der erste: Nach Darstellung des Unternehmens ist der Fall bislang nicht eingetreten. Genau darin liegt aber die Struktur des Problems. Die Aussage handelt vom bisherigen Verhalten, nicht von der Fähigkeit. Und die Fähigkeit besteht, sonst wäre die Garantie leichtgefallen.

Fairness gehört dazu: Was deutsche Gerichte entschieden haben

Aus alledem folgt nicht, dass die Nutzung eines US-Anbieters automatisch rechtswidrig wäre. Diese Behauptung wird häufig aufgestellt und ist in dieser Pauschalität von der Rechtsprechung nicht gedeckt.

Ein einschlägiges Beispiel liefert das Oberlandesgericht Karlsruhe. Eine Vergabekammer hatte einen Bieter ausgeschlossen, weil dieser für das Hosting eine Tochtergesellschaft eines US-Konzerns einsetzte, und dies mit einem „latenten Risiko“ des Zugriffs begründet. Das OLG Karlsruhe hob diese Entscheidung mit Beschluss vom 07.09.2022 (Aktenzeichen 15 Verg 8/22) auf. Ein öffentlicher Auftraggeber dürfe sich auf die verbindliche Zusage verlassen, dass die Verarbeitung ausschließlich in Deutschland stattfindet. Ein bloßes latentes Zugriffsrisiko begründet demnach keinen automatischen Ausschluss. Die Entscheidung ist im Volltext des Beschlusses 15 Verg 8/22 nachlesbar (abgerufen am 18. August 2026).

Ebenso wenig lässt sich behaupten, der transatlantische Datenverkehr stünde rechtlich in der Luft. Das Gericht der Europäischen Union hat am 3. September 2025 in der Rechtssache T-553/23 (Latombe gegen Kommission) eine Klage auf Nichtigerklärung des EU-US-Datenschutzrahmens abgewiesen. Bemerkenswert ist allerdings die Formulierung in der amtlichen Mitteilung: Bestätigt wird, dass die Vereinigten Staaten zum Zeitpunkt des Erlasses des angefochtenen Beschlusses ein angemessenes Schutzniveau gewährleisteten. Dieselbe Mitteilung erinnert daran, dass zwei Vorgängerregelungen in den Verfahren Schrems I und Schrems II für ungültig erklärt wurden. Die Pressemitteilung Nr. 106/25 des Gerichtshofs der Europäischen Union dokumentiert beides (abgerufen am 18. August 2026).

Und jetzt der Punkt, den fast alle Ratgeber übersehen: Diese Angemessenheitsfrage beantwortet ein anderes Problem. Sie regelt, unter welchen Bedingungen personenbezogene Daten in die USA übermittelt werden dürfen. Der CLOUD Act betrifft dagegen den Zugriff auf Daten, die europäisch gespeichert bleiben. Ein gültiger Angemessenheitsbeschluss löst das CLOUD-Act-Problem also nicht, weil er auf eine andere Frage antwortet. Wer beides gleichsetzt, kommt zu einem falschen Sicherheitsgefühl.

Der Konzern-Check: Ist mein Anbieter überhaupt betroffen?

Statt Anbieterlisten aus dem Internet zu glauben, prüfen Sie es selbst. Diese sechs Schritte dauern zusammen etwa fünfzehn Minuten und funktionieren bei jedem Dienst, auch bei kleinen und unbekannten.

1. Klären Sie, wer Ihr Vertragspartner ist

Öffnen Sie Impressum und Nutzungsbedingungen und suchen Sie die genaue Firmierung. Eine irische, luxemburgische oder deutsche Gesellschaft im Vertrag sagt für sich genommen nichts über die Konzernspitze aus. Suchen Sie im selben Dokument nach den Wörtern „verbundene Unternehmen“, „Konzern“ oder „affiliates“.

2. Lesen Sie die Rechtswahl- und Gerichtsstandsklausel

Ganz am Ende jeder AGB steht, welches Recht gilt und welches Gericht zuständig ist. Findet sich dort ein US-Bundesstaat, etwa Kalifornien, Delaware oder Washington, ist die Verbindung in die US-Jurisdiktion offen dokumentiert. Diese Klausel wird fast nie gelesen und ist eine der ehrlichsten Angaben im ganzen Vertrag.

3. Suchen Sie die Liste der Unterauftragnehmer

Nahezu jeder Dienst nennt seine Unterauftragsverarbeiter auf einer eigenen Unterseite, oft nur aus der Datenschutzerklärung heraus verlinkt. Steht dort ein US-Unternehmen für Infrastruktur, Support oder Analyse, verläuft die Zugriffskette weiter, als der Serverstandort vermuten lässt.

4. Prüfen Sie, ob es einen Transparenzbericht gibt

Große Anbieter veröffentlichen halbjährlich Zahlen zu behördlichen Anfragen. Achten Sie auf die Kategorie „Content“ oder „Inhaltsdaten“. Ein Anbieter ohne solchen Bericht ist deshalb nicht sicherer, sondern lediglich weniger transparent. Fehlt der Bericht, fehlt Ihnen die Datenbasis.

5. Suchen Sie in der Datenschutzerklärung nach dem Herausgabe-Abschnitt

Die Stichwörter lauten „Strafverfolgung“, „behördliche Anordnung“ oder „law enforcement“. Interessant ist weniger das Ob, das steht überall, sondern ob der Anbieter angibt, Sie über eine Anfrage zu informieren, soweit ihm das rechtlich erlaubt ist. Diese Zusage ist ein starkes Qualitätssignal.

6. Stellen Sie die eine Frage, die zählt

Schreiben Sie dem Support drei Sätze und bewahren Sie die Antwort auf: „Angenommen, Sie erhalten eine rechtmäßige behördliche Anordnung zur Herausgabe meiner gespeicherten Dateien. In welchem Zustand könnten Sie diese Dateien herausgeben, im Klartext oder ausschließlich verschlüsselt? Falls verschlüsselt: Wo liegt der Schlüssel?“ Diese Formulierung ist deshalb wirksam, weil sie keine Meinung abfragt, sondern eine technische Tatsache. Eine ausweichende Antwort ist ebenfalls eine Antwort.

Wenn Sie sich die Runde durch fremde Supportpostfächer sparen möchten, weil die Antwort für Ihre wichtigsten Dokumente ohnehin feststehen soll: 200 GB Zero-Knowledge-Speicher in Deutschland buchen.

Die einzige Maßnahme, die der CLOUD Act nicht aushebeln kann

Juristische Konstruktionen gegen den CLOUD Act gibt es einige, von Treuhandmodellen über Joint Ventures bis zu europäischen Betreibergesellschaften. Sie alle verschieben die Frage, wer weisungsbefugt ist. Keine von ihnen ändert etwas an der schlichten Tatsache, dass ein Betreiber mit Schlüsselzugriff lesbare Daten liefern kann.

Kryptografie dreht diese Logik um. Eine Herausgabeanordnung ist immer nur so wertvoll wie der Bestand, auf den sie trifft. Liegt beim Betreiber ausschließlich Chiffretext und hatte er den Schlüssel nie, dann fördert selbst die perfekt formulierte Anordnung nur unlesbare Datenblöcke zutage. Das ist kein Trotz gegenüber Behörden, sondern schlicht Datensparsamkeit in technischer Form: Was nicht vorgehalten wird, kann nicht weitergegeben werden. Wie diese Architektur im Detail funktioniert, haben wir in unserem Beitrag zur Zero-Knowledge-Verschlüsselung bei Cloud-Speichern aufgeschlüsselt.

Wie der Datenputzer Tresor die Standortfrage beantwortet

Wir beginnen mit dem, was wir nicht behaupten. Der Datenputzer Tresor ist kein rechtsfreier Raum. Wir sind ein deutsches Angebot, wir unterliegen deutschem und europäischem Recht, und wir behaupten nicht, gegen jede behördliche Anfrage immun zu sein. Jeder Anbieter, der Ihnen das verspricht, verspricht zu viel.

Der Unterschied liegt nicht in der Immunität, sondern im Bestand. Ihr Master-Schlüssel entsteht beim Einrichten in Ihrem Browser aus 32 zufälligen Bytes. Aus Ihrem Passwort wird lokal ein Schlüssel abgeleitet, der diesen Master-Schlüssel in einer verschlüsselten Hülle versiegelt. Dateien werden in Blöcken mit AES-GCM (256 Bit) verschlüsselt, bevor das erste Byte den Rechner verlässt. Auf den deutschen Servern liegen Chiffretext und technische Hüllen. Auch Dateinamen und Ordnerstrukturen sind verschlüsselt, sie stecken in einem verschlüsselten Änderungsjournal.

Die Kehrseite benennen wir wie immer offen, weil sie zum Prinzip gehört: Ihr Zugang hängt an Ihrem Passwort und an einer 12-Wörter-Wiederherstellungsphrase. Verlieren Sie beides, sind die Dateien endgültig verloren, auch für uns. Ebenso ehrlich: Betriebsdaten wie Speicherbelegung, Zeitstempel und Abrechnungsinformationen bleiben sichtbar, sonst ließe sich kein Konto führen. Diese Grenzen stehen ausformuliert in unserer öffentlichen technischen Dokumentation, und Sie können den Verschlüsselungsvorgang mit den Entwicklertools Ihres Browsers selbst mitverfolgen.

Was das im Ergebnis für dieses Thema bedeutet: Der Streit über Serverstandorte, Konzernstrukturen und Angemessenheitsbeschlüsse dreht sich immer um die Frage, wem Sie Ihre lesbaren Daten anvertrauen. Wenn niemand lesbare Daten hält, verliert die Frage ihren Gegenstand. Welche Klauseln die großen Anbieter sich daneben noch einräumen, haben wir im AGB-Check von Drive, OneDrive, Dropbox und iCloud Satz für Satz aufgeschlüsselt.

Häufige Fragen

Gilt der CLOUD Act auch für Daten in einem deutschen Rechenzentrum?

Ja, wenn der Anbieter der US-Jurisdiktion unterliegt. Der Gesetzestext knüpft an Besitz, Gewahrsam oder Kontrolle an, ausdrücklich unabhängig davon, ob die Daten innerhalb oder außerhalb der Vereinigten Staaten liegen. Der Standort der Festplatte ist damit kein Anknüpfungspunkt des Gesetzes.

Schützt mich die DSGVO vor dem CLOUD Act?

Sie stellt sich dem Zugriff entgegen, hebt ihn aber nicht auf. Artikel 48 DSGVO verlangt für Entscheidungen von Drittstaatsbehörden eine internationale Übereinkunft, etwa ein Rechtshilfeabkommen. Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte haben daraus 2019 einen echten Pflichtenkonflikt für betroffene Anbieter abgeleitet.

Reicht es, zu einem europäischen Cloud-Anbieter zu wechseln?

Nicht automatisch. Entscheidend ist, ob eine Konzernmutter der US-Jurisdiktion unterliegt und ob der Anbieter die Schlüssel zu Ihren Dateien besitzt. Ein europäischer Dienst, der Ihre Daten im Klartext verwaltet, kann sie auf jede rechtmäßige Anordnung hin im Klartext herausgeben. Erst clientseitige Verschlüsselung ändert daran etwas.