Was ist der CLOUD Act und warum betrifft er auch mich?

Der US CLOUD Act verpflichtet amerikanische Unternehmen dazu, Daten offenzulegen – selbst wenn sie auf Servern außerhalb der USA gespeichert sind. Nutzen Sie US-basierte Cloud-Anbieter, besteht somit das Risiko, dass Behörden auf Ihre Daten zugreifen können – ohne Ihr Wissen oder eine Kontrolle durch europäische Gerichte.

Ist die Nutzung von US-Cloud-Diensten mit der DSGVO vereinbar?

Nach dem Wegfall des „Privacy Shield“-Abkommens ist die Nutzung vieler US-Dienste rechtlich problematisch. Die Übermittlung personenbezogener Daten in Drittländer ohne angemessenen Datenschutz ist laut DSGVO nur unter sehr engen Voraussetzungen zulässig – und birgt Haftungsrisiken.

Was bedeutet "digitale Souveränität" für mein Unternehmen konkret?

Digitale Souveränität bedeutet, dass Sie jederzeit wissen und steuern können, wo Ihre Daten liegen, wer darauf Zugriff hat und unter welches Recht Ihre Infrastruktur fällt. Das schützt Sie nicht nur vor Datenabflüssen, sondern auch vor rechtlichen Unsicherheiten und Imageverlust.

Welche Alternativen gibt es zu US-Anbietern für sichere Infrastruktur?

Mit Anbietern wie Myra als deutsche Cloudflare Alternative setzen Sie auf eine europäische, DSGVO-konforme Alternative mit Fokus auf Compliance, Transparenz und Sicherheit. So bleiben Sie unabhängig, auditierbar und erfüllen regulatorische Anforderungen – z. B. für KRITIS, den öffentlichen Sektor oder datensensible Branchen.

Neu: AI Workspace – Sichere KI für Organisationen mit sensiblen Daten. Jetzt mehr erfahren.

MYRA SOUVERÄNITÄTS-CHECK

Wie steht es um Ihre digitale Souveränität?

Digitale Souveränität ist keine Option, sondern eine strategische Notwendigkeit, um ausfallsichere Verfügbarkeit, reibungslosen Geschäftsbetrieb und DSGVO-konformen Datenschutz sicherzustellen – insbesondere angesichts geopolitischer Spannungen und einer verschärften Cyberbedrohungslage. Unser Souveränitäts-Check liefert Ihnen einen ersten Anhaltspunkt, ob Ihre Daten und Dienste durch kritische Abhängigkeiten potenziell gefährdet sind.

Prüfen Sie mit einem Klick, wie (un)abhängig das Hosting Ihrer Webseite ist:

Geben Sie die Domain Ihrer Webseite (z.B. example.com) ein.
Starten Sie den Check durch Auswahl des Buttons „Scannen“.
Erhalten Sie Ihre individuellen Ergebnisse und Empfehlungen.

Wie (un)abhängig ist Ihr Hosting?

Automatisch www-Domain prüfen

Möchten Sie Ihre digitale Souveränität mit BSI-zertifizierten und rechtssicher DSGVO-konformen Anwendungs- und Netzwerksicherheitslösungen verbessern? Kontaktieren Sie uns jetzt, wir helfen Ihnen gerne weiter.

Jetzt Kontakt aufnehmen

Welche Risiken gehen vom Einsatz nicht-europäischer Dienstleister aus?

Cloud Services werden weithin geschätzt, weil sie effizient, skalierbar und hochverfügbar sind. Aber was, wenn bisher eingesetzte Cloud-Dienste plötzlich nicht mehr zur Verfügung stehen?

Laut dem „Cloud Report 2025“ des Branchenverbandes Bitkom würden knapp zwei Drittel (62 Prozent) der Unternehmen in Deutschland ohne Cloud-Dienste stillstehen. In der Wirtschaft wächst daher die Sorge vor einer zu hohen Abhängigkeit von nicht-europäischen Dienstleistern. Mehr als drei Viertel (78 Prozent) halten Deutschland für zu abhängig von US-Anbietern. Und jedes zweite Unternehmen (50 Prozent) sieht sich angesichts der Politik der Trump-Regierung gezwungen, die eigene Cloud-Strategie zu überdenken.

Folgende Risiken gilt es beim Einsatz nicht-europäischer Dienstleister zu beachten:

Politische Einflussnahme

Aggressive Zollpolitik oder politische Anordnungen können zu abrupten Preiserhöhungen oder sogar zur Einschränkung des Zugriffs auf zentrale Cloud-Dienste (z.B. Google, Microsoft, Amazon) führen, was massive Dienstausfälle und wirtschaftliche Schäden in Europa verursachen würde. Die Folgen für Organisationen aller Branchen und insbesondere kritische Infrastrukturen wären verheerend.

Zugangsbeschränkungen

Wie schnell Cloud-Anbieter auf politischem Druck hin die Zugänge zu zentralen Diensten blockieren, hat der Fall des Chefanklägers des Internationalen Strafgerichtshofs, Karim Khan, eindringlich veranschaulicht: Nach Sanktionen von US-Präsident Donald Trump gegen das Den Haager Gericht im Februar 2025, sperrte Microsoft kurzerhand Khans E-Mail-Konto, um nicht selbst ins Visier von US-Behörden zu geraten.

Verlust der Datenhoheit

Die Abhängigkeit von Unternehmen, die nicht der europäischen Jurisdiktion unterstehen, gefährdet die Hoheit über die eigenen Daten und den Datenschutz. Beispielsweise haben US-Ermittlungsbehörden potenziell Zugriff auf alle bei US-Dienstleistern gespeicherten Daten, selbst wenn diese auf deutschen oder europäischen Servern liegen. Denn Überwachungsgesetze wie der CLOUD Act und FISA Section 702 verpflichten US-Dienstleister, Behörden den Zugriff auf alle Daten zu gewähren – auch wenn diese außerhalb der USA gespeichert sind.

Besonders problematisch ist dies bei der SSL/TLS-Terminierung: Zur Identifizierung bösartigen Traffics und zur Abwehr verschlüsselter Angriffe müssen Anbieter von CDN-Services und Webapplikationsschutz die HTTPS-Verschlüsselung kurzfristig aufbrechen. Dabei werden auch personenbezogene Daten und vertrauliche Informationen wie Geschäftsgeheimnisse, medizinische Diagnosen oder Strategiepapiere offengelegt. Nur der Einsatz europäischer Dienstleister gewährleistet dauerhaft die Wahrung der Datenhoheit und DSGVO-Konformität.

Stimmen aus der Praxis: Weshalb Fachleute mehr digitale Souveränität einfordern

Interview-Auszug

Digitaler Aufbruch: Europas Weg zur Souveränität

"Die Abhängigkeiten sind oft bekannt, werden aber zu spät oder nicht mit der nötigen Konsequenz adressiert. Ein wesentlicher Grund ist, dass wirtschaftliche Effizienz und kurzfristige Kostenersparnis lange Priorität hatten, während strategische Resilienz und digitale Souveränität erst in Krisenmomenten ins Zentrum rücken. Für digitale und technische Souveränität braucht es eine vorausschauende Digital- und Industriepolitik, die gezielt europäische Technologien und Infrastrukturen stärkt."

- Prof. Dr. Louisa Specht-Riemenschneider, Bundesbeauftragte für den Datenschutz und die Informationsfreiheit

Zum kompletten Interview

Louisa Specht-Riemenschneider (Bild: Johanna Wittig/BfDI)

Studie „State of Digital Sovereignty 2025”

Digitale Souveränität: zwischen Anspruch und Wirklichkeit

Die Bedeutung der digitalen Souveränität wird in Fachkreisen und Politik regelmäßig betont. Die von Myra Security beauftragte Studie „State of Digital Sovereignty 2025“ zeigt jedoch, dass zwischen den formulierten Ansprüchen und der gelebten Praxis eine eklatante Lücke klafft:

Deutsche Unternehmen sind stark von US-Dienstleistern abhängig, insbesondere in den Bereichen Cloud-Services und IT-Sicherheit.
Weniger als ein Viertel nutzt bereits europäische Cloud-Dienste.
IT-Entscheidende unterschätzen häufig die eigene Abhängigkeit von nicht-europäischen Anbietern.

Zur Studie

Digitale Souveränität in der Cybersicherheit

0:00 / 0:00

Transkript

Podcast Sneak Peek

Myra Minds Folge 1: Digitale Souveränität mit Prof. Dr. Dennis-Kenji Kipker

Im Podcast begrüßt Christof Klaus, Director Global Network Defense bei Myra Security, den Cybersecurity-Experten Prof. Dr. Dennis-Kenji Kipker. Gemeinsam sprechen sie u. a. über die Compliance-Herausforderungen bei der TLS-Terminierung und darüber, warum Europa heute mehr denn je auf lokale und souveräne Schutzlösungen setzen muss.

Digitale Souveränität
IT-Compliance
Risiken bei der Providerwahl

Zum Podcast

Interview-Auszug

Digitaler Aufbruch: Europas Weg zur Souveränität

- Prof. Dr. Louisa Specht-Riemenschneider, Bundesbeauftragte für den Datenschutz und die Informationsfreiheit

Zum kompletten Interview

Studie „State of Digital Sovereignty 2025”

Digitale Souveränität: zwischen Anspruch und Wirklichkeit

Deutsche Unternehmen sind stark von US-Dienstleistern abhängig, insbesondere in den Bereichen Cloud-Services und IT-Sicherheit.
Weniger als ein Viertel nutzt bereits europäische Cloud-Dienste.
IT-Entscheidende unterschätzen häufig die eigene Abhängigkeit von nicht-europäischen Anbietern.

Zur Studie

Best Practices

Schritt für Schritt zu mehr digitaler Souveränität

Digitale Souveränität ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess, der individuell auf Ihre Organisation zugeschnitten sein muss. Um Risiken zu minimieren, langfristige Unabhängigkeit zu sichern sowie die Wettbewerbsfähigkeit zu stärken, empfiehlt sich ein systematisches, mehrstufiges Vorgehen, das sowohl strategische als auch operative Maßnahmen umfasst. Die folgenden Schritte haben sich dabei als Best Practices etabliert:

Strategische Standortbestimmung

Identifikation der geschäftskritischen Prozesse, Produkte und Services: Analysieren Sie, welche Bereiche für Ihr Geschäftsmodell essenziell sind und wo digitale Abhängigkeiten am stärksten wirken (z.B. Infrastruktur, Software, Daten, Know-how).
Bewertung der bestehenden Abhängigkeiten: Untersuchen Sie, von welchen externen Anbietern (z.B. Cloud, SaaS, proprietäre Software) Sie abhängig sind und wie kritisch diese Abhängigkeiten für Ihr Geschäft sind.
Erfassung regulatorischer Anforderungen: Berücksichtigen Sie Compliance-Vorgaben wie DSGVO, NIS-2, DORA und branchenspezifische Richtlinien.

Zieldefinition und Ambitionsniveau

Festlegung eines Zielbilds für digitale Souveränität: Definieren Sie, wie viel Unabhängigkeit und Kontrolle Sie in den verschiedenen Dimensionen (Infrastruktur, Software, Daten, Know-how) erreichen wollen.
Abstimmung mit der Unternehmensstrategie: Digitale Souveränität sollte integraler Bestandteil Ihrer Gesamtstrategie sein, um langfristige Kontrolle und Wettbewerbsfähigkeit zu sichern.

Entwicklung und Auswahl von Maßnahmen

Technologische Maßnahmen: Prüfen Sie Alternativen zu proprietären Lösungen, z.B. durch den Einsatz von Open Source Software, Multi-Vendor-Strategien oder Migration auf souveräne Cloud-Angebote.
Organisatorische Maßnahmen: Fördern Sie internes Know-how (z.B. durch Schulungen), etablieren Sie Verantwortlichkeiten für digitale Souveränität und bauen Sie interne Kompetenzen auf.
Prozessuale Maßnahmen: Implementieren Sie ein kontinuierliches Monitoring der IT-Infrastruktur und führen Sie regelmäßige Sicherheits- und Compliance-Audits durch.
Vertragliche Maßnahmen: Verhandeln Sie Verträge gezielt zur Sicherstellung von Datenportabilität, Exit-Strategien und Interoperabilität.

Umsetzung und kontinuierliche Überprüfung

Implementierung der Maßnahmen: Setzen Sie die priorisierten Maßnahmen um, z.B. durch Migration kritischer Systeme, Einführung von Open Source, Aufbau redundanter Systeme.
Monitoring und Erfolgskontrolle: Überwachen Sie kontinuierlich die Wirksamkeit der Maßnahmen und passen Sie die Strategie regelmäßig an neue technologische und regulatorische Entwicklungen an.

Mehr digitale Unabhängigkeit mit Myra

IT-Sicherheitslösungen made in Germany

Myra entwickelt alle Sicherheitslösungen in Deutschland und dient so als sichere europäische Alternative zu US-Lösungen

Rechtssicher DSGVO-konform

Unsere Lösungen sind rechtssicher DSGVO-konform und bieten ein umfassendes Compliance-Level für höchste Anforderungen.

Datenverarbeitung in Europa

Bei Myra erfolgt die SSL/TLS-Terminierung auf Kundenwunsch ausschließlich in Deutschland bzw. in Europa.

PoPs in vielen europäischen Ländern

Wir haben viele PoP-Standorte in ganz Europa, außerhalb des Einflussbereichs US-amerikanisher Gesetze wie dem CLOUD Act.

So steht Myra beim Thema digitale Souveränität im Vergleich zu Wettbewerbern da

Hier geht's zum kompletten Vergleich.

MYRA SECURITY

TYPISCHER US-WETTBEWERBER

Rechtssicher DSGVO-konform (unterliegt nicht dem US CLOUD Act oder FISA Section 702)

Option zur ausschließlichen Verarbeitung von Daten in deutschen Rechenzentren

Technologieentwicklung in der EU / Deutschland

Unternehmensführung in der EU / Deutschland

Es gilt EU-Recht / deutsches Recht

Rechtssicher DSGVO-konform (unterliegt nicht dem US CLOUD Act oder FISA Section 702)

Option zur ausschließlichen Verarbeitung von Daten in deutschen Rechenzentren

Technologieentwicklung in der EU / Deutschland

Unternehmensführung in der EU / Deutschland

Es gilt EU-Recht / deutsches Recht

Kontakt aufnehmen – Risiken minimieren

Sie haben Ihren Souveränitäts-Check abgeschlossen – jetzt können Sie den nächsten Schritt zur Stärkung Ihrer Sicherheit und digitalen Unabhängigkeit unternehmen. Egal, ob Sie fachkundige Unterstützung, eine individuelle Sicherheitsberatung oder weitere Informationen zu unseren DSGVO-konformen, souveränen Lösungen „Made in Germany“ benötigen, wir sind für Sie da.

Alle Anfragen werden zeitnah und streng vertraulich behandelt.

Mit über 11 Jahren Erfahrung in der IT Sicherheit sind wir der richtige Ansprechpartner für Sie.

Unsere Geschäftszeiten sind Montag bis Freitag, 9 bis 18 Uhr (CET).

Füllen Sie das Kontaktformular aus oder nutzen Sie eine der weiteren Kontaktmöglichkeiten.

FAQ: Datenschutzabkommen, Überwachungsgesetze und Co.

Safe Harbor war ein Datenschutzabkommen zwischen der EU und den USA, das von 2000 bis 2015 galt und den Datentransfer zwischen beiden Regionen ermöglichen sollte. Es basierte auf einer Selbstzertifizierung von US-Unternehmen, die sich verpflichteten, bestimmte Datenschutzprinzipien einzuhalten, ohne dass eine externe Kontrolle stattfand. Der Europäische Gerichtshof erklärte Safe Harbor 2015 für ungültig, da das Datenschutzniveau in den USA als unzureichend angesehen wurde und EU-Bürgern keine ausreichenden Rechtsschutzmöglichkeiten eingeräumt wurden (Schrems I).

Der EU-US Privacy Shield wurde 2016 als Nachfolger von Safe Harbor eingeführt und sollte ein höheres Datenschutzniveau für EU-Bürger bei der Übermittlung personenbezogener Daten in die USA gewährleisten. US-Unternehmen konnten sich freiwillig zertifizieren und mussten sich an strengere Datenschutzregeln halten, wobei die Einhaltung kontrolliert und Verstöße sanktioniert werden konnten. Auch dieses Abkommen wurde 2020 durch den Europäischen Gerichtshof für ungültig erklärt, da weiterhin Bedenken bezüglich des Schutzes vor Zugriffen durch US-Behörden und fehlende Rechtsbehelfe für EU-Bürger bestanden (Schrems II).

Das EU-US Data Privacy Framework ist seit Juli 2023 der aktuelle Rechtsrahmen für den Datentransfer zwischen der EU und den USA. Es sieht neue Schutzmaßnahmen vor, darunter eine Beschränkung des Zugriffs von US-Nachrichtendiensten und die Einführung eines unabhängigen „Data Protection Review Court“ für Beschwerden von EU-Bürgern. Nur zertifizierte US-Unternehmen dürfen personenbezogene Daten aus der EU empfangen, wobei die Europäische Kommission das Datenschutzniveau in diesen Unternehmen als angemessen anerkennt.

Internationale Datenschutzabkommen wie das Trans-Atlantic Data Privacy Framework (TADPF) sollen den Datenaustausch zwischen der EU und den USA rechtlich absichern. Allerdings stehen solche Abkommen häufig in der Kritik, da sie keinen gleichwertigen Schutz wie die DSGVO gewährleisten. Frühere Abkommen wie Safe Harbor und Privacy Shield wurden vom Europäischen Gerichtshof bereits gekippt – Unternehmen sollten sich daher nicht ausschließlich auf solche Vereinbarungen verlassen.

Wie steht es um Ihre digitale Souveränität?

Möchten Sie Ihre digitale Souveränität mit BSI-zertifizierten und rechtssicher DSGVO-konformen Anwendungs- und Netzwerksicherheitslösungen verbessern? Kontaktieren Sie uns jetzt, wir helfen Ihnen gerne weiter.