Weder der Standort noch die US-Unternehmen sind das Problem Cloud Act – Darum geht die Re­chen­zen­t­rums­de­bat­te am Kern vorbei

Anbieter zum Thema

Digital Realty Germany GmbH

Portus Data Centers

DAXTEN GmbH

Data Center Group GmbH

Die Debatte um den US Cloud Act dreht sich oft um den Standort von Rechenzentren. Volker Ludwig von Digital Realty erklärt, warum diese Sichtweise regulatorische Risiken nur unzureichend abbildet und worauf Unternehmen stattdessen achten sollten.

In der öffentlichen Diskussion wird der US Cloud Act häufig verkürzt dargestellt: Befindet sich ein Rechenzentrum in der Hand eines US-Unternehmens, gelten die dort gespeicherten Daten als potenziell gefährdet. Tatsächlich greift diese Annahme zu kurz.

Kontroverse über Souveränitätsstufen

EU-Souveränitätskriterien für Clouds: zu restriktiv? Zu stark?

Denn der Cloud Act knüpft nicht an den Speicherort von Daten oder die Besitzverhältnisse beim Provider an, sondern an die Zugriffsmöglichkeiten. US-Anbieter von Kommunikations- oder Cloud-Diensten müssen Daten ihrer Kunden an US-Behörden herausgeben, wenn sie darauf zugreifen können. Der Speicherort spielt dabei keine Rolle (18 U.S.C § 2713). Die zentrale Frage lautet daher nicht, wo Daten liegen, sondern wer Zugriff darauf hat.

Cloud-Dienste und Rechenzentrumsbetrieb werden häufig gleichgesetzt, obwohl sie technisch und organisatorisch grundlegend verschieden sind. Nach der Definition des NIST SP 800-145 handelt es sich bei Cloud Computing um ein Modell, das einen flexiblen, bedarfsgesteuerten Netzwerkzugriff auf einen gemeinsam genutzten Pool konfigurierbarer IT-Ressourcen ermöglicht.

Charakteristisch sind dabei unter anderem standardisierte Service- und Bereitstellungsmodelle sowie zentrale Merkmale wie Self-Service, geteilte Ressourcen und automatisierte Bereitstellung. Diese Struktur geht mit einer aktiven Rolle des Anbieters in Betrieb und Verwaltung der Systeme einher und damit auch mit potenziellen Zugriffsmöglichkeiten auf Daten.

Europäisches Recht setzt klare Grenzen

Der Cloud Act ist aus europäischer Sicht kein Freifahrtschein für den Zugriff auf Daten. Artikel 48 der Datenschutz-Grundverordnung (DSGVO) stellt klar, dass Herausgabe-Anordnungen aus Drittstaaten nur unter bestimmten Voraussetzungen anerkannt und vollstreckbar sind. Darüber hinaus verdeutlichen die aktuellen Leitlinien des Europäischen Datenschutzausschusses, dass Unternehmen solche Anfragen stets im Einklang mit dem europäischen Datenschutzrecht prüfen müssen.

Der eigentliche Konflikt verläuft damit weniger entlang geopolitischer Linien wie ‚USA versus Europa‘ oder ‚US-Anbieter versus EU-Anbieter‘, sondern vielmehr entlang der Trennlinie zwischen Anbietern mit tatsächlichem Datenzugriff und solchen, die lediglich die Infrastruktur bereitstellen, ohne Zugriff auf die Daten zu haben.

Digital Realty-SVP Volker Ludwig im Gespräch

„Das erste denkmalgeschützte Großrechenzentrum“

Warum Colocation oft falsch eingeordnet wird

In der Praxis wird der Betrieb eines Rechenzentrums häufig mit Datenverarbeitung gleichgesetzt, wodurch die tatsächliche Rolle vieler Colocation-Provider verzerrt wird. Sie stellen in der Regel ausschließlich die physische Infrastruktur bereit: wie Fläche, Strom, Kühlung und Konnektivität.

Kunden betreiben ihre IT-Systeme ganz eigenständig. Damit behalten sie die vollständige Kontrolle über ihre Daten und Anwendungen. Anbieter sollten sich als cloud- und carrierneutrale Plattformen verstehen, die den Zugang zu einem breiten Ökosystem aus Cloud- und Netzwerkanbietern ermöglichen, ohne selbst in die Datenverarbeitung einzugreifen.

Die Architektur entscheidet über Risiken

Colocation-Modelle zeigen, wie sich Risiken im Kontext des Cloud Acts gezielt steuern lassen. Es gibt Plattformen, die es Unternehmen ermöglichen, ihre IT-Umgebungen direkt und privat mit Cloud- und Netzwerkanbietern zu vernetzen und Datenflüsse bewusst zu gestalten. Dadurch lassen sich Abhängigkeiten reduzieren und Architekturen flexibler aufbauen, ohne die Kontrolle über Systeme und Daten abzugeben. Der operative Zugriff bleibt so beim Kunden.

Damit wird deutlich: Nicht die Infrastruktur an sich ist entscheidend, sondern die Frage, wer die Daten verarbeitet und darauf zugreifen kann.

Mehr Präzision statt Pauschalurteile

Deshalb sollte die Diskussion um den Cloud Act deutlich differenzierter geführt werden. Wer Infrastrukturentscheidungen trifft, sollte nicht primär auf den Standort eines Rechenzentrums oder die Herkunft des Betreibers schauen, sondern auf das Betriebsmodell.

Entscheidende Fragen sind: Wer kontrolliert die Systeme? Wer hat Zugriff auf die Daten? Und in welcher Rolle agiert der Provider?

Für 200 Megawatt einen Datacenter-Campus

Co-Location-Anbieter Digital Realty will in Frankfurt Nah- und Fernwärme liefern

(ID:50905392)