CLOUD Act: Warum Hosting in Europa Sie nicht vor US-Recht schützt

Am 10. Juni 2025 erschien Anton Carniaux, Direktor für Public und Legal Affairs bei Microsoft France, vor dem Untersuchungsausschuss des französischen Senats zur europäischen digitalen Souveränität. Er leistete den Eid. Senator Dany Wattebled stellte eine einfache Frage: Könne er garantieren, dass die Daten französischer Bürger, die bei Microsoft gehostet sind, niemals ohne ausdrückliche Anfrage der französischen Regierung an US-Behörden übermittelt würden?

Seine im offiziellen Protokoll festgehaltene Antwort: "Nein, ich kann das nicht garantieren."

Dieser unter Eid ausgesprochene Satz beendet acht Jahre Marketing-Debatte über die "Sovereign Cloud" der amerikanischen Hyperscaler. Er bestätigt, was europäische Juristen und Verfechter der digitalen Souveränität seit 2018 vortragen: Ein amerikanisches Gesetz mit dem Namen CLOUD Act gibt den US-Behörden das Recht, jede Daten zu verlangen, die ein unter US-Jurisdiktion stehendes Unternehmen kontrolliert, unabhängig davon, wo diese Daten physisch gespeichert sind. Ihr Rechenzentrum in Frankfurt ist juristisch nicht europäischer als eines in Virginia.

Dieser Artikel erklärt, was der CLOUD Act tatsächlich sagt, warum er so funktioniert, was die europäischen Antworten erreicht haben (und warum die meisten gescheitert sind), und welche Anbieter 2026 wirklich außer Reichweite liegen.

Was das Gesetz wörtlich besagt

Der CLOUD Act, offiziell der Clarifying Lawful Overseas Use of Data Act, wurde am 23. März 2018 als Teil des Consolidated Appropriations Act jenes Jahres verabschiedet (Public Law 115-141). Der Text findet sich in Titel 18 des US Code, Kapitel 121, das die gespeicherten Kommunikationen regelt. Sein Kern besteht aus zwei Sätzen:

Ein Anbieter elektronischer Kommunikationsdienste oder von Remote-Computing-Diensten muss die Verpflichtungen dieses Kapitels in Bezug auf die Aufbewahrung, Sicherung oder Offenlegung des Inhalts einer drahtgebundenen oder elektronischen Kommunikation und jeglicher Aufzeichnung oder Information über einen Kunden oder Abonnenten erfüllen, die sich im Besitz, in der Obhut oder unter der Kontrolle dieses Anbieters befinden, unabhängig davon, ob diese Kommunikation, Aufzeichnung oder Information innerhalb oder außerhalb der Vereinigten Staaten gespeichert ist.

Das juristische Kriterium ist nicht mehr territorial. Es lautet nun "Besitz, Obhut oder Kontrolle". Wenn die betreffende Einheit dem US-Recht unterliegt, ist es gleichgültig, wo sich die Daten befinden. Das ist ein grundlegender Wandel im Verständnis digitaler Souveränität.

Das Gesetz wurde dringlich verabschiedet, um einer Entscheidung des Obersten Gerichtshofs zuvorzukommen (Microsoft Corp. v. United States). Microsoft hatte aus territorialen Gründen die Herausgabe von in Dublin gespeicherten E-Mails verweigert. Der Kongress legiferierte vor der Entscheidung. Der Fall wurde im April 2018 gegenstandslos.

Vier US-Instrumente, oft verwechselt

Der CLOUD Act ist nicht das einzige amerikanische Rechtsinstrument, das europäische Daten betrifft. Die Verwechslung schafft Verwirrung. Vier Mechanismen existieren nebeneinander:

CLOUD-Act-Warrants (18 U.S.C. § 2713) erfordern einen Bundesrichter, einen begründeten Verdacht (probable cause) und zielen auf eine bestimmte Person in einem Strafverfahren. Sie können mit Gag Orders (Schweigegeboten) versehen werden, sind verlängerbar und können über eine "Comity Analysis" angefochten werden, wenn das Ziel keine US-Person ist und die Offenlegung mit dem Recht einer "qualifying foreign government" kollidiert. Bisher haben nur das Vereinigte Königreich und Australien das nötige Abkommen unterzeichnet. Die Europäische Union verhandelt seit 2019, bisher ohne Ergebnis.

FISA Section 702 (50 U.S.C. § 1881a) autorisiert eine Massenüberwachung, die jährlich vom Attorney General und dem Director of National Intelligence zertifiziert wird und sich gegen Nicht-US-Personen im Ausland zu Zwecken der Auslandsaufklärung richtet. Es gibt keinen individualisierten Durchsuchungsbefehl, keine Benachrichtigung und keinen wirksamen europäischen Rechtsbehelf. Das war der zentrale Grund, weshalb der Gerichtshof der EU den Privacy Shield in Schrems II für ungültig erklärt hat. FISA 702 wurde im April 2024 erneuert und läuft am 20. April 2026 erneut aus.

National Security Letters (18 U.S.C. § 2709) sind administrative Anordnungen des FBI ohne richterliche Kontrolle. Sie dürfen nur Metadaten verlangen und sind systematisch mit unbefristeten Gag Orders verbunden.

FISA Section 215 (50 U.S.C. § 1861) erfasst die Sammlung von Geschäftsunterlagen (Business Records) zu Zwecken der Auslandsaufklärung.

Für einen europäischen CTO zählen alle vier Instrumente. Aber der CLOUD Act ist dasjenige, das ein privates Unternehmen am direktesten zwingt, Ihre Daten herauszugeben, nicht zu nachrichtendienstlichen Zwecken, sondern in ganz gewöhnlichen Strafverfahren.

Warum "Daten in Frankfurt" nicht schützt

Der Fall Microsoft Ireland ist gerade deshalb aufschlussreich, weil er das Prinzip etabliert hat, das der CLOUD Act später kodifiziert hat. Im Dezember 2013 erließ ein US-Bundesrichter im Southern District of New York einen Durchsuchungsbefehl, der von Microsoft die Herausgabe von E-Mails in einem Drogenermittlungsverfahren verlangte. Die E-Mails waren ausschließlich in Dublin gespeichert. Microsoft verweigerte die Herausgabe aus territorialen Gründen. Das Berufungsgericht des Second Circuit gab Microsoft im Juli 2016 Recht. Der Oberste Gerichtshof nahm den Fall an, hörte die Plädoyers im Februar 2018 und stand kurz vor der Entscheidung, als der Kongress am 23. März 2018 den CLOUD Act verabschiedete. Der Fall wurde für gegenstandslos erklärt. Das DOJ stellte umgehend einen neuen Durchsuchungsbefehl unter dem neuen Gesetz aus. Microsoft fügte sich.

Die Lehre: Die Frage ist nicht der Standort des Servers, nicht das Unternehmen, das das Rechenzentrum gebaut hat, und nicht die Flagge an der Fassade. Die Frage lautet, wer das Unternehmen kontrolliert, das Ihre Daten hält. Wenn dieses Unternehmen oder seine Muttergesellschaft dem US-Recht unterliegt, gilt der CLOUD Act. Microsoft France, Tochter von Microsoft Inc., ist betroffen. AWS Frankfurt, Tochter von Amazon.com Inc., ebenfalls. Google Belgium, Tochter von Alphabet Inc., auch.

Was Microsoft vor dem Senat eingeräumt hat

Das Protokoll vom 10. Juni 2025 ist Teil der Gesetzgebungsakte. Anton Carniaux leistete den Eid. Auf die Frage, ob Microsoft garantieren könne, dass europäische Daten niemals an US-Behörden übermittelt werden, antwortete er: "Nein, ich kann das nicht garantieren." Sein Kollege Pierre Lagarde, technischer Direktor für den öffentlichen Sektor, fügte hinzu, dass seit Januar 2025 die Daten europäischer Kunden "die EU unter normalen Bedingungen nicht verlassen". Die Frage zielte gerade auf die nicht-normalen Bedingungen.

Dieses Eingeständnis hat institutionelles Gewicht. Es ist weder ein Meinungsbeitrag eines Datenschützers noch ein Marketing-Slide eines Wettbewerbers. Es ist eine eidesstattliche Aussage des für die juristischen und öffentlichen Angelegenheiten von Microsoft in Frankreich Verantwortlichen, gegeben in Antwort auf einen gewählten Senator und im Protokoll festgehalten. Es bestätigt, was das Gesetz seit 2018 sagt.

Microsoft hat seit 2024 erheblichen Aufwand betrieben, um seine "EU Data Boundary" zu vermarkten, und im Juni 2025 die "Microsoft Sovereign Cloud" angekündigt. Diese Initiativen reduzieren möglicherweise das Volumen europäischer Daten, die die EU physisch verlassen. Sie ändern nichts am juristischen Status von Microsoft Inc. als Delaware-Gesellschaft, die US-Durchsuchungsbefehlen unterliegt.

Schrems II: die juristische Grundlage

Der Gerichtshof der Europäischen Union hat bereits entschieden. Im Urteil Data Protection Commissioner gegen Facebook Ireland und Schrems (Rechtssache C-311/18, 16. Juli 2020), bekannt als Schrems II, hat der Gerichtshof den EU-US Privacy Shield für ungültig erklärt. Randnummer 184 des Urteils ist unmissverständlich: Die US-Überwachungsgesetze, insbesondere FISA Section 702 und Executive Order 12333, bieten kein Schutzniveau, das demjenigen im Wesentlichen gleichwertig wäre, das durch Artikel 47 der Charta der Grundrechte garantiert wird.

Der Gerichtshof hat die Fortgeltung der Standardvertragsklauseln zugelassen, aber nur in Verbindung mit einer dokumentierten Transfer Impact Assessment und ergänzenden Maßnahmen, wenn das Recht des Drittlandes ein Risiko schafft. Der Europäische Datenschutzausschuss hat in seinen Empfehlungen 01/2020 die Ende-zu-Ende-Verschlüsselung mit ausschließlich im EWR gehaltenen Schlüsseln als die wichtigste wirksame ergänzende Maßnahme bezeichnet. Wichtig: Eine vom US-Anbieter verwaltete Verschlüsselung genügt nicht. Der Anbieter kann gezwungen werden, den Schlüssel herauszugeben.

Das im Juli 2023 verabschiedete Data Privacy Framework ändert an dieser Analyse nichts. Es wird vor dem Gerichtshof in der Rechtssache Latombe angefochten, deren Beschwerde am 31. Oktober 2025 eingereicht wurde. Im Januar 2025 hat die Trump-Regierung das Privacy and Civil Liberties Oversight Board lahmgelegt, eine Instanz, die im Angemessenheitsbeschluss des DPF 31 Mal zitiert wird. Die Stoßrichtung ist klar.

Einen breiteren Kontext dazu, wie europäische Unternehmen reagieren, bietet unser Leitfaden zur digitalen Souveränität.

Warum europäische Antworten nicht funktioniert haben

Frankreich hat am 26. Juli 1968 ein Blockierungsgesetz (loi 68-678) verabschiedet, um französische Unternehmen daran zu hindern, wirtschaftliche und kommerzielle Daten ohne diplomatischen Weg an ausländische Behörden zu übermitteln. Der Gauvain-Bericht, der dem französischen Premierminister am 26. Juni 2019 übergeben wurde, ist eindeutig: "Das Blockierungsgesetz funktioniert nicht. Und in Wahrheit ist es nie wirklich durchgesetzt worden." Ein Dekret vom Februar 2022 hat einen Meldemechanismus geschaffen, der vom Service de l'information stratégique et de la sécurité économiques (SISSE) gesteuert wird, aber die Durchsetzung bleibt sporadisch.

Die EU-Verordnung 2271/96 (das "Blocking Statute") stammt aus dem Jahr 1996 und wurde 2018 gegen US-Sanktionen gegenüber dem Iran reaktiviert. Der Gerichtshof hat in Bank Melli Iran gegen Telekom Deutschland (Rechtssache C-124/20, 21. Dezember 2021) entschieden, dass ihr Artikel 5 unmittelbare Wirkung hat. Aber die Verordnung erfasst nur die ausdrücklich im Anhang aufgeführten extraterritorialen US-Sanktionen gegen Kuba und Iran. Sie erfasst nicht den CLOUD Act.

Die institutionelle Reaktion verstärkt sich. Der Draghi-Bericht (9. September 2024) fordert ausdrücklich "souveräne EU-Kontrolle über Schlüsselelemente für Sicherheit und Verschlüsselung" bei Cloud-Diensten. Der EU Cloud and AI Development Act, dessen Konsultationsphase im April 2025 begann, soll Standards für eine "hochsichere EU-basierte Cloud- und KI-Rechenkapazität" definieren. Die EuroStack-Initiative, Anfang 2025 gestartet und inzwischen von über 300 europäischen CEOs unterstützt, fordert 300 Milliarden Euro Investitionen bis 2035.

Ob diese Initiativen innerhalb der nächsten 24 Monate verbindlichen Rechtsschutz schaffen, ist ungewiss. Sicher ist, dass CTOs nicht darauf warten können.

Welche Anbieter wirklich außerhalb der CLOUD-Act-Reichweite liegen

Angesichts dieser Realität sortiert sich der europäische Cloud-Markt in vier Stufen.

Tier 1: Strukturelle Immunität. Anbieter, die vier kumulative Kriterien erfüllen: 100 Prozent europäisches Eigentum, keine US-Tochtergesellschaft, ausschließlich europäisches Personal mit Datenzugriff und in Europa gehaltene Verschlüsselungsschlüssel. Scaleway (Frankreich, Iliad-Gruppe), Outscale (Frankreich, Dassault Systèmes, die erste öffentliche Cloud mit SecNumCloud-3.2-Qualifizierung im Dezember 2023), STACKIT (Deutschland, Schwarz-Gruppe), Hetzner (Deutschland, familiengeführt), IONOS (Deutschland, United Internet, seit 2023 in Frankfurt börsennotiert), UpCloud (Finnland), Clever Cloud (Frankreich), Infomaniak (Schweiz, mit der Einschränkung, dass die Schweiz nicht in der EU ist, aber unter ihrem eigenen Datenschutzrecht arbeitet), Exoscale (Schweiz, A1 Telekom Austria).

Tier 2: Europäisch mit struktureller US-Exposition. OVHcloud ist der komplexe Fall. An der Euronext Paris notiert mit der Familie Klaba als Mehrheitseignerin betreibt OVHcloud eine US-Tochter (OVHcloud US LLC) mit zwei Rechenzentren in Virginia und Oregon und rund 200 Mitarbeitern. Die offizielle Position des Unternehmens lautet, dass der CLOUD Act nicht für OVH France gilt. AWS widerspricht dieser Lesart öffentlich auf seiner eigenen Compliance-Seite. Am 25. September 2025 hat im Verfahren The King v. OVH Canada ein Gericht in Ontario OVH Canada zur Herausgabe von Daten verpflichtet, die auf Servern in Frankreich, Großbritannien und Australien gespeichert waren. Praktische Schlussfolgerung: OVHcloud bleibt ein souveräner Anbieter für SecNumCloud-qualifizierte Services in seinen Trusted Zones (Roubaix, Gravelines, Strasbourg) mit ausschließlich europäischem Personal und strikter logischer Isolation. Außerhalb dieser qualifizierten Perimeter ist eine Restexposition nicht auszuschließen.

Tier 3: Joint Ventures Hyperscaler/EU. Bleu (Capgemini und Orange, die Azure und Microsoft 365 vertreiben), S3NS (Thales mehrheitlich, Google unter 24 Prozent Kapitalanteil gedeckelt), Delos Cloud (SAP-Tochter, betrieben von Arvato Systems auf Microsoft-Technologie). S3NS hat im Dezember 2025 SecNumCloud 3.2 erhalten. Diese Konstruktionen isolieren den europäischen Betrieb von den weltweiten Operationen der US-Muttergesellschaft und reduzieren die CLOUD-Act-Exposition erheblich. Restrisiko: Die Software-Schicht bleibt amerikanisch, sodass eine kommerzielle Unterbrechung (SAP-Microsoft-Gespräche 2024, Ersetzung von Microsoft durch OpenDesk beim Internationalen Strafgerichtshof im Oktober 2025) die Plattform unverfügbar machen kann.

Tier 4: US-Hyperscaler mit "EU Data Boundary"- oder "European Sovereign Cloud"-Branding. Microsoft Azure, AWS European Sovereign Cloud (allgemein verfügbar seit 15. Januar 2026, erste Region Brandenburg, 7,8 Milliarden Euro Investition), Google Cloud, Oracle, IBM Cloud, Salesforce. Alle teilen denselben strukturellen Mangel: Die US-Muttergesellschaft kann einen CLOUD-Act-Durchsuchungsbefehl erhalten, der Daten erfasst, die von der europäischen Tochter verarbeitet werden. Marketing-Broschüren können das Gesellschaftsrecht von Delaware nicht aushebeln.

Für einen detaillierteren Vergleich europäischer Cloud-Anbieter und Preise siehe unseren Leitfaden Europäische Cloud-Anbieter vs AWS. Für den breiteren Rahmen der Cloud-Souveränitätsstufen siehe unseren Leitfaden zu den 4 Stufen der Cloud-Souveränität.

Der 6-Fragen-Test für CTOs

Bevor Sie einen Cloud-Vertrag unterzeichnen, prüfen Sie Ihren Anbieter anhand von sechs binären Fragen:

1. Kapital. Ist die Muttergesellschaft in der EU/EWR gegründet und zu über 60 Prozent von EU/EWR-Einheiten gehalten?
2. US-Tochter. Betreibt die Gruppe eine US-Rechtseinheit mit aktiver Geschäftstätigkeit, US-Personal oder US-Kundenverträgen?
3. Betriebspersonal. Sind die Systemadministratoren mit Zugriff auf Daten und Schlüssel ausschließlich Bewohner der EU/EWR, die dem europäischen Arbeitsrecht unterliegen?
4. Verschlüsselung. Werden die Verschlüsselungsschlüssel (at-rest und in-transit) ausschließlich im EWR gehalten, in einem Hardware Security Module unter Ihrer Kontrolle oder unter Kontrolle des Anbieters ohne US-Zugriff?
5. Quellcode. Ist die kritische Software-Schicht europäisch oder als Open Source auditierbar, oder hängt sie von einem US-Editor ab, der durch Exportkontrollen eingeschränkt werden kann?
6. Kontinuität. Kann das System im Falle einer Unterbrechung von US-Diensten (Sanktionen, Embargo, Exportkontrollen) im Notbetrieb mindestens 12 Monate ohne externe Abhängigkeit weiterlaufen?

Das praktische Handbuch

Für Workloads, die sensible Daten im Sinne von Artikel 9 DSGVO, strategische Daten, geistiges Eigentum oder kritische Infrastruktur verarbeiten: Migration zu Tier-1-Anbietern innerhalb der nächsten 90 Tage, oder zu Tier-3-Anbietern, wenn Microsoft- oder Google-Software-Abhängigkeiten nicht substituierbar sind. Aktivieren Sie clientseitige Verschlüsselung mit europäischem Schlüsselmanagement (HSM-Lösungen von Thales Luna, Atos, Utimaco).

Für Workloads, die auf Tier-4-Anbietern verbleiben, dokumentieren Sie innerhalb von 12 Monaten einen Exit-Plan. Das bedeutet, die Migrationsdauer, die Kosten, die angestrebte Tier-1-Alternative und die blockierenden Abhängigkeiten zu kennen (typischerweise proprietäre US-Software-Lizenzen). Überprüfen Sie den Plan alle 12 Monate.

Auslöser, die eine Beschleunigung erfordern: ein Urteil des Gerichtshofs, das das Data Privacy Framework im Fall Latombe für ungültig erklärt, eine Verlängerung der FISA Section 702 über den 20. April 2026 hinaus ohne substantielle Reform, die Veröffentlichung des Cloud and AI Development Act mit einem verbindlichen Kriterium "souveräne EU-Kontrolle" oder die Übernahme Ihres aktuellen Tier-2-Anbieters durch eine Nicht-EU-Einheit (die im November 2025 angekündigte Übernahme von Solvinity durch Kyndryl illustriert dieses Risiko).

Die Microsoft-Anhörung im Senat hat das Recht nicht verändert. Das Recht ist seit März 2018 klar. Was sich geändert hat, ist der öffentlich verfügbare Beleg, dass ein Hyperscaler-Manager unter Eid nicht garantieren kann, was sein Marketing verspricht. Planen Sie entsprechend.