Cloud-Dienste sind laengst Teil des normalen Unternehmensalltags. E-Mails, Dateien, Teams, Backups, Warenwirtschaft, Telefonie, KI-Werkzeuge und Fachanwendungen laufen oft nicht mehr nur auf einem Server im eigenen Haus. Damit entsteht eine neue Fuehrungsfrage: Wer hat unter welchen Bedingungen Zugriff auf Unternehmensdaten, und wie gut kann das Unternehmen diesen Zugriff technisch und organisatorisch steuern?
1. Kurzantwort fuer Geschaeftsfuehrer
Ein Cloud-Dienst ist nicht automatisch unsicher, nur weil ein Anbieter international arbeitet. Ein deutsches oder europaeisches Rechenzentrum allein loest die Frage aber ebenfalls nicht vollstaendig. Entscheidend ist das Gesamtbild aus Anbieterstruktur, Vertrag, Datenart, Verschluesselung, Identitaeten, Administratorrechten, Protokollierung, Backup und Wiederherstellung.
Der EU Data Act und der US CLOUD Act regeln unterschiedliche Dinge. Der Data Act ist eine EU-Verordnung, die unter anderem Datenzugang, Datennutzung, Wechsel zwischen Datenverarbeitungsdiensten und Schutzmechanismen gegen unrechtmaessige Zugriffe aus Drittstaaten adressiert. Der CLOUD Act ist ein US-Gesetzesrahmen, der sich mit dem Zugriff auf elektronische Daten bei Anbietern unter US-Rechtsbezug beschaeftigt. Beides sollte man kennen, aber nicht vermischen.
Fuer Geschaeftsfuehrer ist vor allem wichtig: Die Frage ist nicht nur juristisch. Sie ist auch technisch. Wer seine Benutzerrechte, Cloud-Freigaben, Backups, Verschluesselung, Protokolle und Dienstleister nicht kennt, hat schon vor jeder Behoerdenfrage ein Governance-Problem.
2. Warum dieses Thema Unternehmen betrifft
Viele Unternehmen arbeiten heute mit Microsoft 365, Google Workspace, AWS, Azure, gehosteten Telefonanlagen, Cloud-Backups, CRM-Systemen oder branchenspezifischen SaaS-Diensten. Das ist praktisch, skalierbar und oft wirtschaftlich sinnvoll. Gleichzeitig wandern Daten aus dem klar abgegrenzten Serverraum in verteilte technische und vertragliche Strukturen.
Das bedeutet nicht, dass Cloud schlecht ist. Es bedeutet aber, dass Verantwortung nicht verschwindet. Unternehmen muessen wissen, welche Daten wo liegen, wer sie administriert, welche Subdienstleister beteiligt sind, wie Zugriffe protokolliert werden und wie Daten im Notfall wiederhergestellt werden koennen.
Definition
Mit digitaler Souveraenitaet ist hier gemeint: Ein Unternehmen kennt seine Daten, Zugriffe, Dienstleister und Abhaengigkeiten so gut, dass es bewusst entscheiden und im Notfall handlungsfaehig bleiben kann.
Praxis
In der Praxis beginnt die Bewertung nicht beim Gesetzestext, sondern bei einer Bestandsaufnahme: Welche Cloud-Dienste werden genutzt, welche Daten liegen dort und wer kann technisch darauf zugreifen?
3. Was der EU Data Act wirklich regelt
Der EU Data Act ist keine einfache Datenschutzregel und auch kein reines Cloud-Gesetz. Die Europaeische Kommission beschreibt ihn als Regelwerk, das die Datenwirtschaft der EU staerken, Daten besser nutzbar machen und fairere Bedingungen fuer Datennutzung schaffen soll. Ein Schwerpunkt liegt auf Daten aus vernetzten Produkten und verbundenen Diensten, also zum Beispiel Maschinen, Fahrzeugen, Sensorik oder IoT-Geraeten.
Fuer Unternehmen relevant sind mehrere Punkte: Nutzer vernetzter Produkte sollen besseren Zugang zu mitgenerierten Daten bekommen. Unternehmen sollen vor unfairen Vertragsbedingungen im Zusammenhang mit Datenzugang geschuetzt werden. Oeffentliche Stellen koennen in bestimmten Ausnahmefaellen Daten anfordern. Ausserdem enthaelt die Verordnung Regeln zum Wechsel zwischen Datenverarbeitungsdiensten wie Cloud- und Edge-Diensten.
Wichtig ist die Einordnung: Der Data Act ist kein Freibrief fuer beliebige Datenzugriffe. Er schafft Pflichten, Rechte, Grenzen und Verfahren. Fuer personenbezogene Daten bleibt die DSGVO weiter zentral.
4. Was der US CLOUD Act wirklich regelt
Der US CLOUD Act steht fuer „Clarifying Lawful Overseas Use of Data Act“. Er wird haeufig in Diskussionen genannt, wenn es um US-Anbieter und Daten in der Cloud geht. Vereinfacht gesagt geht es um die Frage, unter welchen Voraussetzungen US-Behoerden elektronische Daten von Anbietern verlangen koennen, auch wenn Daten ausserhalb der USA gespeichert sind.
Das bedeutet nicht, dass jeder Mitarbeiter einer US-Behoerde jederzeit in Unternehmensdaten schauen kann. Solche Zugriffe laufen nicht wie ein normaler Administrator-Login im Unternehmen. Es geht um formelle rechtliche Verfahren, Anbieterpflichten, Widerspruchsmoeglichkeiten und internationale Vereinbarungen. Trotzdem ist das Thema fuer Unternehmen relevant, wenn sie Anbieter nutzen, die einem US-Rechtsbezug unterliegen.
Achtung
Der Standort eines Rechenzentrums ist wichtig, ersetzt aber keine Pruefung von Anbieterstruktur, Vertr?gen, Administratorrechten, Verschluesselung und Backup.
5. Data Act und CLOUD Act im Vergleich
Der EU Data Act und der US CLOUD Act werden oft in einem Atemzug genannt, verfolgen aber unterschiedliche Ziele. Der Data Act ist ein europaeisches Regelwerk fuer Datenzugang, Datennutzung, Fairness, Wechsel zwischen Cloud-Diensten und Schutzmechanismen. Der CLOUD Act ist ein US-Rechtsrahmen fuer den Zugriff auf elektronische Daten bei Anbietern mit US-Bezug im Kontext rechtlicher Verfahren.
Fuer die Unternehmenspraxis ist dieser Unterschied wichtig. Der Data Act kann relevant werden, wenn ein Unternehmen Daten aus vernetzten Maschinen nutzen will oder den Cloud-Anbieter wechseln moechte. Der CLOUD Act wird diskutiert, wenn es um moegliche staatliche Zugriffspflichten gegenueber Anbietern mit US-Bezug geht.
Vergleichstabelle
| Bereich | EU Data Act | US CLOUD Act | Einordnung fuer Unternehmen |
|---|---|---|---|
| Zielrichtung | Datenzugang, Datennutzung und Wechsel zwischen Diensten | Rechtliche Herausgabe elektronischer Daten bei Anbietern mit US-Bezug | Ziele und Risiken getrennt bewerten |
| Betroffene Daten | Je nach Anwendungsfall unter anderem Produkt-, Nutzungs- und Dienstedaten | Elektronische Daten im Rahmen rechtlicher Verfahren | Datenarten und Schutzbedarf sauber klassifizieren |
| Technische Prueffrage | Welche Daten muessen portierbar, zugaenglich oder geschuetzt sein? | Welche Anbieterstruktur und welche Schutzmassnahmen bestehen? | Vertraege, Identitaeten, Verschluesselung und Backup pruefen |
Mythos
Ein haeufiger Irrtum lautet: Cloud-Daten in Deutschland seien automatisch vollstaendig vor jedem auslaendischen Zugriff geschuetzt. So einfach ist es nicht; technische, vertragliche und organisatorische Faktoren gehoeren zusammen.
6. Reicht ein deutsches Rechenzentrum?
Ein deutsches oder europaeisches Rechenzentrum ist ein wichtiger Baustein. Es kann Latenz, Datenschutzanforderungen, Vertragsgestaltung und Vertrauen verbessern. Es ist aber keine vollstaendige Antwort auf alle Zugriffsfragen.
Der Standort klaert nicht automatisch, welches Unternehmen den Dienst betreibt, welche Muttergesellschaft beteiligt ist, welche Administratoren Zugriff haben, welche Subdienstleister eingesetzt werden, wo Supportdaten verarbeitet werden und wer die Verschluesselungsschluessel kontrolliert.
7. Welche Anbieter koennen betroffen sein?
Betroffen sein koennen grundsaetzlich alle Anbieter, bei denen Unternehmensdaten verarbeitet, gespeichert, synchronisiert oder gesichert werden. Dazu gehoeren grosse Plattformen wie Microsoft 365, Google Workspace, AWS, Azure und andere Cloud-Dienste. Genauso relevant koennen kleinere SaaS-Anbieter, gehostete Telefonanlagen, Ticketsysteme, Backup-Dienste, Fernwartungsloesungen, KI-Werkzeuge und Branchenanwendungen sein.
Die Groesse des Anbieters ist nicht der einzige Massstab. Ein kleiner Dienst kann riskant sein, wenn Vertraege unklar sind, kein Backup-Konzept existiert oder Administratorrechte schlecht geschuetzt sind. Ein grosser Dienst kann gut beherrschbar sein, wenn Konfiguration, Identitaeten, Schutzfunktionen und Prozesse sauber umgesetzt sind.
8. Welche Rolle spielt die DSGVO?
Die DSGVO bleibt bei personenbezogenen Daten zentral. Sie verlangt unter anderem eine rechtmaessige Verarbeitung, passende technische und organisatorische Massnahmen, Transparenz, Auftragsverarbeitungsvertraege und eine Bewertung von Risiken. Der EU Data Act hebt diese Anforderungen nicht auf.
Dieser Beitrag ersetzt keine Rechtsberatung. Er soll helfen, die technischen und organisatorischen Fragen so vorzubereiten, dass Datenschutzbeauftragte, Geschaeftsfuehrung, IT und Dienstleister auf einer gemeinsamen Grundlage sprechen koennen.
9. Was bedeutet das fuer Microsoft 365?
Microsoft 365 ist fuer viele Unternehmen die zentrale Arbeitsplattform. Exchange Online, Teams, SharePoint, OneDrive, Entra ID, Defender, Intune und Copilot-nahe Funktionen greifen tief in den Arbeitsalltag ein. Deshalb ist Microsoft 365 ein gutes Beispiel dafuer, dass Cloud-Sicherheit nicht nur vom Anbieter abhaengt, sondern stark von der Einrichtung.
Microsoft beschreibt mit der EU Data Boundary, wie Kundendaten fuer bestimmte Dienste in der EU gespeichert und verarbeitet werden sollen. Das ist ein wichtiger Punkt fuer die Bewertung. Es ersetzt aber nicht die eigene Pruefung der Umgebung: Welche Lizenzen werden genutzt? Welche Dienste sind aktiv? Welche Benutzer haben Adminrechte? Gibt es externe Freigaben? Ist MFA konsequent aktiviert? Werden Protokolle ausgewertet? Gibt es ein separates Backup?
10. Warum Cloud-Speicher kein Backup ersetzt
Cloud-Speicher ist bequem, aber kein vollstaendiges Backup-Konzept. OneDrive, SharePoint, Google Drive oder andere Dienste synchronisieren Daten, halten Versionen vor und bieten Papierkorb-Funktionen. Das hilft im Alltag, ersetzt aber nicht automatisch eine unabhaengige, getestete Sicherung.
Wenn ein Benutzer Daten loescht, ein Konto kompromittiert wird, Ransomware Dateien verschluesselt oder ein Fehler erst spaet auffaellt, braucht das Unternehmen eine klare Wiederherstellungsstrategie. Ein Backup muss geschuetzt, nachvollziehbar, regelmaessig kontrolliert und praktisch wiederherstellbar sein.
11. Digitale Souveraenitaet einfach erklaert
Digitale Souveraenitaet bedeutet nicht, alles selbst zu bauen und jede Cloud zu vermeiden. Fuer ein mittelstaendisches Unternehmen bedeutet sie vor allem: wichtige IT-Entscheidungen bewusst treffen, Abhaengigkeiten kennen und handlungsfaehig bleiben.
Dazu gehoert, dass Daten nicht unkontrolliert verteilt sind. Es gehoert dazu, dass Passwoerter, MFA, Administratorrechte, Backups und Dokumentation stimmen. Es gehoert auch dazu, dass ein Anbieterwechsel zumindest planbar ist und nicht erst im Notfall verstanden wird.
12. Europaeische Alternativen und Hybrid-Cloud-Modelle
Europaeische Anbieter, deutsche Rechenzentren und spezialisierte Hosting-Modelle koennen fuer bestimmte Daten und Anwendungen sinnvoll sein. Das gilt besonders, wenn Unternehmen sehr sensible Daten verarbeiten, besondere Branchenanforderungen haben oder Abhaengigkeiten reduzieren moechten.
Gleichzeitig muss eine Alternative technisch und wirtschaftlich passen. Ein Dienst ist nicht automatisch besser, nur weil er kleiner oder naeher ist. Wichtig sind Sicherheitsnachweise, Verfuegbarkeit, Support, Backup, Schnittstellen, Identitaetsmanagement, Vertragsklarheit und die Faehigkeit, im Alltag wirklich sauber betrieben zu werden.
Tipp
Lassen Sie Cloud-Dienste, Benutzerrechte, externe Freigaben und Backups regelmaessig gemeinsam pruefen. Einzelne Sicherheitsfunktionen helfen nur, wenn sie im Gesamtkonzept zusammenpassen.
13. Geschaeftsfuehrer-Checkliste
- Welche Cloud-Dienste nutzt das Unternehmen wirklich?
- Welche Daten liegen in Microsoft 365, Google Workspace, AWS, Azure oder anderen Plattformen?
- Welche Daten sind personenbezogen, vertraulich oder geschaeftskritisch?
- Welche Anbieter und Unterauftragnehmer sind beteiligt?
- Gibt es Auftragsverarbeitungsvertraege und dokumentierte Verantwortlichkeiten?
- Welche Administratoren haben Zugriff auf zentrale Daten?
- Ist MFA fuer Benutzer und Administratoren konsequent aktiv?
- Gibt es externe Freigaben, Gastkonten oder alte Benutzer?
- Wer kontrolliert Verschluesselung und Wiederherstellung?
- Gibt es ein separates, getestetes Backup?
- Kann ein Anbieterwechsel vorbereitet werden?
- Ist dokumentiert, wer im Notfall entscheidet und handelt?
14. FAQ
Erlaubt der EU Data Act Behoerden den freien Zugriff auf Unternehmensdaten?
Nein. Der Data Act regelt unter anderem Datenzugang, Datennutzung, Wechsel zwischen Datenverarbeitungsdiensten und bestimmte Verfahren fuer aussergewoehnliche Bedarfslagen. Er ist kein allgemeiner Freibrief fuer beliebige Zugriffe.
Ist der US CLOUD Act automatisch ein Ausschlusskriterium fuer US-Anbieter?
Nicht pauschal. Unternehmen sollten die konkrete Datenart, Anbieterstruktur, Schutzmassnahmen, Verschluesselung, Vertragslage und Alternativen bewerten. Fuer besonders sensible Daten kann eine andere Architektur sinnvoll sein.
Reicht es, wenn Daten in Deutschland gespeichert werden?
Ein deutscher Standort ist hilfreich, aber nicht allein entscheidend. Wichtig sind auch Betreiberstruktur, Supportprozesse, Subdienstleister, Schluesselkontrolle, Administrationsrechte, Protokollierung und Backup.
Welche Rolle spielt die DSGVO?
Bei personenbezogenen Daten bleibt die DSGVO zentral. Sie verlangt eine rechtmaessige Verarbeitung und passende technische und organisatorische Schutzmassnahmen. Data Act und DSGVO muessen zusammen betrachtet werden.
Was sollte ein Unternehmen zuerst pruefen?
Am Anfang steht eine Bestandsaufnahme: Welche Cloud-Dienste werden genutzt, welche Daten liegen dort, wer hat Zugriff, welche Freigaben existieren und ob ein getestetes Backup vorhanden ist.
Infografik: EU Data Act vs. US CLOUD Act
Platzhalter fuer eine spaetere Infografik. Die Bilddatei wird erst eingebunden, wenn sie tatsaechlich vorhanden ist.
- Geplanter Dateiname
assets/infografiken/webp/eu-data-act-vs-cloud-act-unternehmen.webp- Geplanter Alt-Text
- Infografik zum Vergleich von EU Data Act und US CLOUD Act fuer Unternehmen
15. Quellen
Die Einordnung stuetzt sich auf folgende offizielle Quellen:
Weiterführende Fachartikel
Verwandte Themen
Nächster empfohlener Artikel
Ist Microsoft 365 DSGVO-konform?
Passt als nächster Schritt, wenn Sie Cloud-Risiken konkret am Beispiel Microsoft 365 einordnen möchten.
Checkliste Data Act, CLOUD Act und Cloud-Daten prüfen
Die Checkliste hilft Ihnen, Cloud-Dienste strukturiert zu bewerten: Datenstandorte, Anbieterstruktur, Rechtsraum, Supportzugriffe, Backup, Anbieterwechsel und dokumentierte Schutzmaßnahmen.
Praxis-Check
Die Auswahl wird nicht gespeichert und bleibt rein lokal im Browser.
0 von 5 Punkten erfüllt
Alle Punkte wurden geprüft.
16. Cloud-Daten und Microsoft 365 sauber einordnen
Wenn Sie wissen moechten, wo Ihre Unternehmensdaten liegen, welche Zugriffe moeglich sind und ob Backup, Rechte und Microsoft-365-Konfiguration zusammenpassen, pruefen wir Ihre Umgebung strukturiert und verstaendlich.