Der CLOUD Act: Fakten statt Angst, und was Azure External Key Management ändert

Der Clarifying Lawful Overseas Use of Data Act der Vereinigten Staaten (USA), besser bekannt als CLOUD Act, wird oft als Hintertür dargestellt, durch die die USA europäische Daten nach Belieben lesen könnten. Dieses Bild ist falsch, und darauf gestützte Entscheidungen sind es meist auch. So sehen wir es, und das ändert eine neue Azure-Funktion.

Was der CLOUD Act ist, und was nicht

Der CLOUD Act ist kein Spionagegesetz und kein Werkzeug für massenhaften Datenzugriff. Er ist ein strafprozessuales Instrument zur gezielten Beweiserhebung in konkreten Ermittlungen zu schweren Straftaten, immer auf Grundlage einer richterlichen Anordnung. Er gilt für in den USA ansässige Dienstanbieter, unabhängig davon, wo die Daten physisch gespeichert sind.

Das verlangt nüchternes Risikomanagement, keine Panik. Europa hat vergleichbare eigene Befugnisse, über das nationale Strafrecht und die e-Evidence-Verordnung der Europäischen Union (EU). Für die meisten Organisationen ist das CLOUD-Act-Risiko gering und weitgehend theoretisch, solange kein strafrechtlicher Kontext besteht.

Die relevante Frage lautet also nicht „Ist der CLOUD Act beängstigend?“, sondern „Wer hat technischen und rechtlichen Zugriff auf meine Daten, und wie schränke ich ihn ein?“

Wie wir den Zugriff einschränken

Wir gehen den CLOUD Act sachlich und über die Architektur an, nicht durch eine grundsätzliche Ablehnung der Cloud. Ziel ist, das Risiko messbar und beherrschbar zu machen. In der Praxis beraten und implementieren wir:

• Kundenseitig verwaltete Verschlüsselungsschlüssel, damit die Schlüssel, die Ihre Daten schützen, von Ihnen kontrolliert und widerrufen werden.
• Double Key Encryption und Hold Your Own Key für die sensibelsten Informationen, damit die Daten ohne Ihre Mitwirkung nicht lesbar sind.
• Strikte Identitäts- und Zugriffsmodelle, damit nur die Personen und Dienste, die Daten benötigen, an sie herankommen.
• Datenklassifizierung, denn nicht alle Daten brauchen denselben Grad an Souveränität.

Das Prinzip: technische Maßnahmen vor vertraglichen Zusagen.

Was External Key Management ändert

Bis vor Kurzem ließen die meisten dieser Kontrollen noch eines beim Anbieter: die Vertrauenswurzel. Selbst mit kundenseitig verwalteten Schlüsseln in einem dedizierten Hardware-Sicherheitsmodul (HSM) lag der Schlüssel selbst in Microsofts Infrastruktur.

Im Juli 2026 veröffentlichte Microsoft External Key Management für Azure Key Vault Managed HSM als öffentliche Vorschau. Damit liegt der Schlüssel, der Ihre übrigen Schlüssel schützt, in einem HSM, das Sie besitzen und betreiben, in Ihren eigenen Räumen oder bei einem vertrauenswürdigen Dritten. Managed HSM hält diesen Schlüssel nicht mehr. Es leitet die kryptografischen Operationen über einen von Ihnen betriebenen Proxy an Ihr HSM weiter, und Sie können Ihr HSM jederzeit trennen, um die Entschlüsselung in Azure zu stoppen.

Das verlagert die Diskussion von Microsofts rechtlicher Position zu Microsofts technischer Unfähigkeit. Selbst mit einer gültigen richterlichen Anordnung in der Hand kann ein Anbieter, der den Schlüssel nie besitzt, ihn weder herausgeben noch die Daten entschlüsseln. Für Vorstände, Risikoausschüsse und Aufsichtsbehörden, die auf digitale Souveränität achten, wiegt dieser Unterschied schwer.

Ein Realitätscheck

• Es ist eine Vorschau. Ihr Microsoft-Account-Team muss sie für Ihr Abonnement freischalten, und Vorschaufunktionen bieten keine Produktionsgarantien.
• Der Umfang ist begrenzt. Sie deckt das Wrapping und Unwrapping von Schlüsseln ab, für Azure-Dienste, die kundenseitig verwaltete Schlüssel in Managed HSM bereits unterstützen.
• Die Verfügbarkeit liegt bei Ihnen. Ist Ihr HSM oder Ihr Proxy nicht erreichbar, stehen die davon abhängigen Dienste still. Es gibt kein Microsoft-Service-Level für den externen Schlüssel, und jede Operation fügt eine Netzwerk-Rundreise hinzu.
• Die meisten Organisationen brauchen es nicht. Microsoft selbst empfiehlt für die Mehrheit der Fälle das Standard-Managed-HSM. External Key Management ist für Organisationen mit der harten Anforderung, dass die kryptografische Vertrauenswurzel außerhalb des Cloud-Anbieters liegt.

Fakten statt Angst

External Key Management beseitigt nicht jedes rechtliche Risiko. Es stärkt aber wesentlich die Position von Organisationen, die nachweisen müssen, dass ihre sensibelsten Schlüssel unter ihrer eigenen physischen und betrieblichen Kontrolle stehen. Gute Governance heißt, das Gesetz zu kennen, zu verstehen, wie es angewendet wird, und die Architektur entsprechend zu gestalten. Steht Datensouveränität weit oben in Ihrem Risikoregister, lohnt sich eine Bewertung, und wir prüfen den Business Case gern mit Ihnen.

Sehen Sie, was wir in Cybersecurity und Compliance und Private und Hybrid Cloud anbieten.