Ein US-Gericht kann einen Anbieter, der der US-Gerichtsbarkeit unterliegt, unter bestimmten Umst\u00e4nden dazu verpflichten, Daten zu Konten eines europ\u00e4ischen Unternehmens herauszugeben \u2013 selbst wenn dessen Server in Frankfurt oder Paris stehen. Das bedeutet nicht, dass ein Gerichtsbeschluss unmittelbar Zugriff auf Passw\u00f6rter im Klartext erm\u00f6glicht: Der CLOUD Act erlaubt US-Beh\u00f6rden, die Herausgabe von Daten anzuordnen, die sich im Besitz, in der Verwahrung oder unter der Kontrolle eines Anbieters befinden. Was tats\u00e4chlich herausgegeben werden kann, h\u00e4ngt jedoch von der Art der rechtlichen Anordnung, dem technischen Zugriff des Anbieters auf die Daten und davon ab, ob der Passworttresor tats\u00e4chlich nach dem Zero-Knowledge-Prinzip verschl\u00fcsselt ist. Das Interesse an europ\u00e4ischen Passwortmanagern w\u00e4chst, weil Einkauf und Compliance belastbare Antworten auf Fragen zu Datenstandort und rechtlicher Exponierung ben\u00f6tigen \u2013 nicht weil Verschl\u00fcsselung allein unzureichend w\u00e4re, sondern weil der Rechtsraum ein eigenst\u00e4ndiger zus\u00e4tzlicher Faktor ist, den Verschl\u00fcsselung nicht von selbst kl\u00e4rt.<\/p>\n\n\n\n
Ein Wechsel des Passwortmanagers steht bei kleinen Unternehmen selten auf der IT-Roadmap \u2013 bis ein Kundenvertrag, eine Pr\u00fcfung des NIS2-Anwendungsbereichs oder ein Fragebogen zur Cyberversicherung pl\u00f6tzlich einen Nachweis dar\u00fcber verlangt, wo Zugangsdaten gespeichert werden und wer ihre Herausgabe anordnen kann. Weitverbreitete Tools wie 1Password, LastPass und Dashlane werden h\u00e4ufig als weltweit konform vermarktet. Doch die Vertragspartei, beteiligte Unterauftragsverarbeiter und verf\u00fcgbare Datenregionen k\u00f6nnen je nach Tarif und Region variieren. Diese Angaben sollten deshalb in den aktuellen Rechtshinweisen und der Liste der Unterauftragsverarbeiter des jeweiligen Anbieters gepr\u00fcft werden, statt sie aus der Herkunft der Marke abzuleiten. F\u00fcr ein \u00fcberwiegend in der EU t\u00e4tiges Unternehmen wird das relevant, sobald Einkauf, Audit oder Versicherung konkret nachfragen und sich nicht mit einer allgemeinen Compliance-Aussage zufriedengeben.<\/p>\n\n\n\n
In der Praxis dominieren meist wenige konkrete Ausl\u00f6ser: eine Pr\u00fcfung, ob NIS2 anwendbar ist (NIS2 erweitert den Kreis der erfassten Einrichtungen gegen\u00fcber der vorherigen Richtlinie deutlich, wobei die genaue Betroffenheit von Branche und Gr\u00f6\u00dfenklasse abh\u00e4ngt), eine B2B-Vertragsklausel, die eine ausschlie\u00dfliche Datenverarbeitung in der EU verlangt, oder die Verl\u00e4ngerung einer Cyberversicherung, f\u00fcr die Standorte von Unterauftragsverarbeitern dokumentiert werden m\u00fcssen. Dahinter steht keine Vorliebe f\u00fcr \u201eeurop\u00e4ische Software\u201c an sich, sondern ein konkretes Dokument oder eine Klausel, deren Anforderungen erf\u00fcllt werden m\u00fcssen. Serverstandort, Unternehmenssitz und Verschl\u00fcsselungsarchitektur beantworten jeweils einen anderen Teil dieser Frage; keiner dieser Faktoren ist allein entscheidend. Ein Anbieter mit einer passenden Hosting-Region kann zu einer Unternehmensstruktur geh\u00f6ren, aus der andere rechtliche Risiken entstehen. Umgekehrt ist ein Anbieter mit europ\u00e4ischem Rechtssitz nicht automatisch sicherer oder besser gepr\u00fcft. Europ\u00e4ische Alternativen k\u00f6nnen diese L\u00fccke adressieren \u2013 sofern Funktionen wie SSO, gemeinsame Nutzung und Audit-Protokolle tats\u00e4chlich vergleichbar sind.<\/p>\n\n\n\n
Zero-Knowledge-Verschl\u00fcsselung begrenzt, welche Inhalte eines Passworttresors ein Anbieter technisch herausgeben kann. Sie nimmt den Rechtsraum jedoch nicht vollst\u00e4ndig aus der Gleichung. Metadaten wie Anmeldezeitpunkte, IP-Adressen, Ordnerstrukturen und Teamzugeh\u00f6rigkeiten sowie Backup-Infrastruktur und Prozesse zur Reaktion auf Sicherheitsvorf\u00e4lle liegen h\u00e4ufig au\u00dferhalb der Zero-Knowledge-Grenze. Sie k\u00f6nnen f\u00fcr den Anbieter zug\u00e4nglich bleiben und damit potenziell einer rechtlichen Anordnung in seinem Rechtsraum unterliegen. Ein Anbieter kann die Inhalte des Passworttresors Ende-zu-Ende verschl\u00fcsseln und dennoch aufgrund einer wirksamen Anordnung zur Herausgabe zugeh\u00f6riger Kontometadaten verpflichtet sein.<\/p>\n\n\n\n
Der praktische Unterschied zwischen \u201eServer in der EU\u201c und \u201eUnternehmen mit Hauptsitz in der EU\u201c ist vor allem rechtlicher und nicht rein technischer Natur. Es geht dabei um Abstufungen, nicht um eine absolute Garantie. Ein US-Unternehmen, das Daten in einem EU-Rechenzentrum hostet, bleibt eine US-amerikanische juristische Person. Im Rahmen des anwendbaren US-Rechts kann es verpflichtet werden, Daten herauszugeben, die sich in seinem Besitz oder unter seiner Kontrolle befinden \u2013 unabh\u00e4ngig vom physischen Speicherort. Ein in einem EU-Mitgliedstaat gegr\u00fcndetes Unternehmen mit dortigem Hauptsitz unterliegt in erster Linie dem EU-Recht und dem jeweiligen nationalen Recht. Der Zugriff der US-Justiz erfolgt bei einem solchen Unternehmen \u00fcblicherweise \u00fcber langsamere und st\u00e4rker begrenzte Wege, etwa Rechtshilfeabkommen. Das reduziert bestimmte Risiken, beseitigt aber weder s\u00e4mtliche grenz\u00fcberschreitenden Rechtsrisiken noch sagt es etwas \u00fcber die Sicherheitspraktiken des Anbieters aus. Hinzu kommt die Eigent\u00fcmerstruktur: Einige als \u201eeurop\u00e4isch\u201c vermarktete Anbieter haben Investoren au\u00dferhalb der EU. Das schafft f\u00fcr sich genommen keine direkte rechtliche Exponierung, kann aber langfristige Entscheidungen zur Daten-Governance beeinflussen, insbesondere bei \u00dcbernahmen.<\/p>\n\n\n\n
| Faktor<\/th>\n | DSGVO-Konformit\u00e4t (Frage der Datenverarbeitung)<\/th>\n | Rechtsraum (Frage der rechtlichen Exponierung)<\/th>\n<\/tr>\n<\/thead>\n |
|---|---|---|
| Grundlage<\/td>\n | Ein verbindlicher Auftragsverarbeitungsvertrag sowie die tats\u00e4chlichen Verarbeitungs- und Sicherheitspraktiken<\/td>\n | Rechtlicher Unternehmenssitz, Konzernstruktur und Kontrolle \u00fcber die Daten<\/td>\n<\/tr>\n |
| Anwendbarkeit des CLOUD Act<\/td>\n | Wird durch einen Auftragsverarbeitungsvertrag nicht unmittelbar geregelt<\/td>\n | H\u00e4ngt davon ab, ob eine beteiligte Gesellschaft der US-Gerichtsbarkeit unterliegt, welche rechtliche Anordnung vorliegt und auf welche Daten tats\u00e4chlich zugegriffen werden kann<\/td>\n<\/tr>\n |
| Was wird abgedeckt?<\/td>\n | Vertragliche und operative Datenschutzpflichten<\/td>\n | Welche Beh\u00f6rden grunds\u00e4tzlich eine Herausgabe anordnen k\u00f6nnen<\/td>\n<\/tr>\n |
| Pr\u00fcfaufwand<\/td>\n | Auftragsverarbeitungsvertrag, Liste der Unterauftragsverarbeiter und Sicherheitsdokumentation pr\u00fcfen<\/td>\n | Handelsregistereintr\u00e4ge, offengelegte Eigentumsverh\u00e4ltnisse und Vertragspartei pr\u00fcfen<\/td>\n<\/tr>\n |
| Relevanz f\u00fcr Audits<\/td>\n | H\u00e4ufig notwendiger Bestandteil der Due Diligence, allein jedoch nicht ausreichend<\/td>\n | Wird h\u00e4ufig erg\u00e4nzend zur DSGVO-Dokumentation gepr\u00fcft, nicht als deren Ersatz<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n\n\n\n DSGVO-Konformit\u00e4t und Rechtsraum beantworten unterschiedliche Fragen. Sie sollten gemeinsam bewertet und nicht als austauschbare Nachweise f\u00fcr \u201eCompliance\u201c behandelt werden. Weder ein unterzeichneter Auftragsverarbeitungsvertrag noch ein Rechtssitz in der EU reicht f\u00fcr sich allein aus. Einkaufsteams sollten beide Dimensionen zusammen mit Vertragspartei, Unterauftragsverarbeitern, Datenregionen und Verschl\u00fcsselungsgrenzen pr\u00fcfen.<\/p>\n\n\n\n |