--- title: "CLOUD Act Datenrisiko" description: "Warum AWS Frankfurt Ihre Daten nicht souverän macht. FISA 702 ausgelaufen, Latombe-Berufung beim EuGH anhängig." lastUpdated: "2026-06-23" canonical: "https://anvilstack.eu/compliance/cloud-act-data-risk" --- > Sitemap für Agenten: https://anvilstack.eu/llms.txt # CLOUD Act Datenrisiko Der US CLOUD Act (Clarifying Lawful Overseas Use of Data Act) von 2018 verpflichtet US-amerikanische Cloud-Anbieter, Daten auf Anfrage von US-Behörden herauszugeben – **unabhängig davon, wo die Server physisch stehen**. Ein Rechenzentrum in Frankfurt, München oder Dublin schützt Ihre Daten nicht vor US-Zugriff, solange der Betreiber ein US-Unternehmen ist. Für europäische Unternehmen entsteht ein unauflösbarer Rechtskonflikt zwischen DSGVO und US-Recht. > **Frist:** **Die Rechtsgrundlage von FISA Section 702 ist am 12. Juni 2026 ausgelaufen** – Zertifizierungen aus März 2026 erlauben den Behörden jedoch eine Fortführung der Überwachung bis voraussichtlich März 2027. Gleichzeitig prüft der EuGH die Berufung im Latombe-Fall gegen das EU-US Data Privacy Framework. Beide Entwicklungen können die Rechtsgrundlage für transatlantische Datenflüsse grundlegend ändern. ## Das Kernproblem: Rechtshoheit folgt dem Unternehmen, nicht dem Server Der CLOUD Act ermächtigt US-Behörden, von jedem Unternehmen unter US-Jurisdiktion die Herausgabe von Daten zu verlangen – unabhängig vom Speicherort. Das bedeutet konkret: ([Wire: CLOUD Act & EU Data Sovereignty](https://wire.com/en/blog/cloud-act-eu-data-sovereignty)) - **AWS Frankfurt**: Amazon ist ein US-Unternehmen → CLOUD Act gilt - **Azure Deutschland**: Microsoft ist ein US-Unternehmen → CLOUD Act gilt - **Google Cloud Europe**: Google ist ein US-Unternehmen → CLOUD Act gilt Die physische Lage der Daten ist irrelevant. Entscheidend ist, ob der Cloud-Anbieter oder seine Muttergesellschaft der US-Jurisdiktion unterliegt. Einen detaillierten Kosten- und Compliance-Vergleich zwischen EU- und US-Cloud-Anbietern finden Sie in unserem [Hetzner vs. AWS-Vergleich](https://anvilstack.eu/compare/hetzner-vs-aws.md). ([Akave: Europe's Cloud Sovereignty Crisis (2026)](https://akave.com/blog/europes-digital-sovereignty-dilemma-can-the-continent-break-free-from-us-cloud-dominance)) - **78%** – der CIOs priorisieren digitale Souveränität (Lünendonk-Studie 2025) - **43%** – der Unternehmen haben keine Exit-Strategie für einen schnellen Cloud-Provider-Wechsel (Lünendonk 2025) - **6–18** – Monate dauert eine Cloud-Migration im Durchschnitt - **3** – US-Gesetze mit extraterritorialem Datenzugriff: CLOUD Act, FISA 702, EO 12333 [Lünendonk: Digitale Souveränität wird zur Top-Priorität (2025)](https://www.luenendonk.de/digitale-souveraenitaet-wird-durch-hohe-abhaengigkeiten-von-it-und-cloud-providern-sowie-geopolitische-risiken-zur-top-prioritaet/) ## Datenresidenz vs. Datensouveränität: Der entscheidende Unterschied Viele deutsche Unternehmen wiegen sich in falscher Sicherheit: Solange der Server in Deutschland steht, seien die Daten geschützt. Das ist ein Irrtum. ([Xpert.digital: US-Behörden lesen mit](https://xpert.digital/en/us-behoerden-lesen-mit/)) | Kriterium | Datenresidenz | Datensouveränität | | --------------------- | ---------------------------------------------------------- | --------------------------------------------------------------------- | | Definition | Daten werden physisch in einem bestimmten Land gespeichert | Daten unterliegen ausschließlich der Rechtsordnung des Speicherlandes | | Schutz vor US-Zugriff | Nein – CLOUD Act umgeht den Speicherort | Ja – aber nur bei EU-eigenen Anbietern | | AWS Frankfurt | ✓ Daten liegen in DE | ✗ US-Unternehmen → CLOUD Act gilt | | Hetzner DE | ✓ Daten liegen in DE | ✓ EU-Unternehmen → kein CLOUD Act | Ein Rechtsgutachten der **Universität Köln**, das im Auftrag des Bundesministeriums des Innern erstellt und im Dezember 2025 über eine Informationsfreiheitsanfrage veröffentlicht wurde, bestätigt: Die Möglichkeit eines US-Behördenzugriffs auf Daten bei US-Cloud-Anbietern „**kann nicht zuverlässig ausgeschlossen werden**" – auch nicht durch technische oder organisatorische Schutzmaßnahmen. ([Igor's Lab: BMI-Gutachten bestätigt Risiken](https://www.igorslab.de/en/us-laws-allow-access-to-european-cloud-data-internal-report-by-interior-ministry-confirms-risks-to-digital-sovereignty/)) Selbst Verschlüsselung reicht nicht: Obwohl Anbieter den eigenen Zugriff technisch einschränken können, entbindet dies laut dem Gutachten nicht von den rechtlichen Herausgabepflichten nach US-Prozessrecht. ([TWINSOFT: EU-Daten in Gefahr](https://www.twinsoft.de/en/eu-daten-in-gefahr-was-das-neue-rechtsgutachten-ueber-us-behoerdenzugriffe-verraet/)) ## Microsoft unter Eid: „Nein, das kann ich nicht garantieren" Am 10. Juni 2025 wurde Anton Carniaux, Direktor für Öffentliche und Rechtsangelegenheiten bei Microsoft France, vor dem französischen Senat direkt gefragt, ob er garantieren könne, dass Daten französischer Bürger in der Microsoft-Cloud niemals an US-Behörden weitergegeben würden. Seine Antwort: **„Non, je ne peux pas le garantir"** – „Nein, das kann ich nicht garantieren." ([The Register: Microsoft exec admits cannot guarantee sovereignty](https://www.theregister.com/2025/07/25/microsoft_admits_it_cannot_guarantee)) Microsoft erklärte, man würde solche Anfragen juristisch anfechten und auf das Nötigste beschränken. Aber die rechtliche Realität bleibt: Es gibt kein Gesetz, das die extraterritoriale Wirkung des CLOUD Act aufhebt. ([DataBalance: Microsoft Cloud Sovereignty 2026](https://www.databalance.eu/en/microsoft-cloud-sovereignty-2026/)) > **Achtung:** Wenn der Rechtsberater eines der größten Cloud-Anbieter der Welt unter Eid zugibt, dass er Datensouveränität nicht garantieren kann – was bedeutet das für Ihr Unternehmen? ## FISA 702: Massenüberwachung ohne Richtervorbehalt Neben dem CLOUD Act ermöglicht **FISA Section 702** US-Geheimdiensten die Überwachung elektronischer Kommunikation von Nicht-US-Personen – ohne richterliche Einzelgenehmigung. ([SoftwareSeni: CLOUD Act & FISA 702 Legal Exposure](https://www.softwareseni.com/how-the-us-cloud-act-and-fisa-702-create-legal-exposure-for-eu-cloud-data/)) Die 2024 verabschiedete Verlängerung (RISAA) hat den Anwendungsbereich sogar erweitert: Jedes Unternehmen unter US-Jurisdiktion, das einen Dienst beliebiger Art anbietet und Zugang zu Kommunikationsinfrastruktur hat, kann zur Kooperation verpflichtet werden. ([CDT: FISA 702 Expansion Impact on DPF](https://cdt.org/insights/fisa-702-expansion-impact-on-the-eu-u-s-data-privacy-framework/)) **FISA Section 702 sollte ursprünglich am 20. April 2026 auslaufen (Sunset durch das RISAA von 2024).** Nach einer 10-tägigen Notverlängerung und einer 45-tägigen „Clean Extension" ist die gesetzliche Grundlage am 12. Juni 2026 tatsächlich ausgelaufen – bestehende Zertifizierungen aus März 2026 erlauben den Behörden jedoch eine Fortführung der Überwachung bis voraussichtlich März 2027. Jede neue Rechtsgrundlage wird die Grundlage für eine mögliche „Schrems III"-Entscheidung des EuGH bilden. ([EFF: Victory! 702 Has Expired (2026)](https://www.eff.org/deeplinks/2026/06/victory-702-has-expired)) ([Congressional Research Service: FISA Section 702](https://www.congress.gov/crs-product/R48592)) ## Schrems III: Die nächste juristische Erschütterung? Das EU-US Data Privacy Framework (DPF), der Nachfolger des 2020 gekippten Privacy Shield, steht bereits unter juristischem Beschuss: **Latombe-Fall:** - September 2025: Das EU-Gericht wies die Klage des französischen Abgeordneten Philippe Latombe gegen das DPF ab - 31\. Oktober 2025: Latombe legte Berufung beim EuGH ein - Die Kernfrage: Ist der US Data Protection Review Court (DPRC) wirklich unabhängig und unparteiisch? [Freshfields: DPF überlebt erste Klage](https://technologyquotient.freshfields.com/post/102l4m1/eu-us-data-privacy-framework-survives-its-first-judicial-challenge-but-more-are) [WilmerHale: CJEU to Review DPF Challenge](https://www.wilmerhale.com/en/insights/blogs/wilmerhale-privacy-and-cybersecurity-law/20251201-european-court-of-justice-to-review-challenge-to-eu-us-data-privacy-framework) **NOYB-Offensive:** NOYB, die von Max Schrems gegründete Datenschutzorganisation, die bereits zwei Vorgänger-Abkommen (Safe Harbor und Privacy Shield) zu Fall gebracht hat, erwägt eine eigenständige, umfassendere Klage vor dem EuGH. ([NOYB: Erste Reaktion auf Latombe-Urteil](https://noyb.eu/en/eu-us-data-transfers-first-reaction-latombe-case)) > **Frist:** **Schrems-Bilanz:** Zwei Abkommen wurden bereits gekippt. Ein drittes Verfahren läuft. Wer seine Cloud-Strategie auf das DPF baut, baut auf einem Fundament, das jederzeit wegbrechen kann. ## Der regulatorische Druck steigt: EU Data Act und NIS2 ### EU Data Act (seit September 2025 anwendbar) Artikel 32 des EU Data Act verpflichtet Cloud-Anbieter, „alle angemessenen technischen, organisatorischen und rechtlichen Maßnahmen" zu ergreifen, um den unrechtmäßigen internationalen Zugriff auf nicht-personenbezogene Daten in der EU zu verhindern. ([EU Data Act: Artikel 32](https://www.eu-data-act.com/Data_Act_Article_32.html)) Wenn ein US-Anbieter einer CLOUD-Act-Anfrage nachkommt, verstößt er potenziell gegen Artikel 32 – ein weiterer Rechtskonflikt ohne Lösung. ### NIS2 (seit Dezember 2025 in Kraft) Die NIS2-Richtlinie verlangt von 29.500 deutschen Unternehmen eine Bewertung der Cybersicherheit in der Lieferkette. Dazu gehört auch die Prüfung, ob Cloud-Anbieter dem Zugriff durch Drittstaaten-Behörden ausgesetzt sind. Die Jurisdiktion Ihres Cloud-Anbieters wird damit zum Compliance-Problem. ### EU e-Evidence-Verordnung (ab August 2026) Ab dem 18. August 2026 gilt die neue EU e-Evidence-Verordnung (Verordnung (EU) 2023/1543), die den grenzüberschreitenden Zugriff auf elektronische Beweismittel innerhalb der EU regelt – ein europäischer Gegenentwurf zum CLOUD Act. Die Verordnung trat am 18. August 2023 in Kraft und gilt nach dreijähriger Übergangsfrist ab dem 18. August 2026. ([eucrim: E-Evidence Regulation and Directive Published](https://eucrim.eu/news/e-evidence-regulation-and-directive-published/)) ([CMS: White Paper CLOUD Act vs EU Sovereignty](https://cms-lawnow.com/en/ealerts/2026/02/white-paper-demystifying-the-debate-on-the-us-cloud-act-vs-european-uk-data-sovereignty-in-the-context-of-cloud-services)) ## Die Alternative: EU-eigene Infrastruktur Echte Datensouveränität erfordert einen Cloud-Anbieter, der: - **Zu 100% in EU-Eigentum** ist (keine US-Muttergesellschaft) - **Ausschließlich EU-Recht** unterliegt - **Keine Entität** hat, die einen CLOUD-Act-Beschluss empfangen kann | Kriterium | Hetzner (DE) | AWS Frankfurt | | --------------------- | --------------------------------- | ------------------------------ | | Eigentümer | Hetzner GmbH, Gunzenhausen (DE) | Amazon.com Inc., Seattle (US) | | CLOUD Act Exposition | Keine – nicht US-jurisdiziert | Voll – US-Muttergesellschaft | | FISA 702 Risiko | Keines | Ja – als US-Unternehmen | | DSGVO-Konformität | Nativ – nur EU-Recht | Rechtskonflikte mit US-Recht | | EU Data Act Art. 32 | Kein Drittstaaten-Zugriff möglich | US-Zugriff nicht ausschließbar | | Rechenzentren | Nürnberg, Falkenstein, Helsinki | Frankfurt (US-Betreiber) | | Kosten (4 vCPU/16 GB) | Bruchteil der AWS-Kosten | Vielfaches der Hetzner-Kosten | Vergleichbare Server kosten bei Hetzner einen Bruchteil der AWS-Kosten. Den detaillierten Preis- und Leistungsvergleich finden Sie in unserem [Kostenvergleich Hetzner vs. AWS](https://anvilstack.eu/compare/hetzner-vs-aws.md). [Gart Solutions: EU Cloud Provider Guide (2026)](https://gartsolutions.com/digital-sovereignty-of-europe/) [Hetzner: Datenschutz FAQ](https://docs.hetzner.com/general/general-terms-and-conditions/data-privacy-faq/) ## Die Zeitbombe tickt: Warum jetzt handeln? **Die regulatorische Landschaft verschärft sich in eine einzige Richtung:** Weg von US-Abhängigkeiten, hin zu europäischer Souveränität. - **FISA 702 Sunset:** Rechtsgrundlage am 12. Juni 2026 ausgelaufen – Überwachung läuft per Zertifizierung bis voraussichtlich März 2027 weiter - **EU e-Evidence:** ab 18. August 2026 – europäischer Gegenentwurf zum CLOUD Act - **NIS2 Registrierung:** bereits fällig – verlangt Lieferketten-Risikobewertung - **EU Data Act:** seit September 2025 anwendbar – Compliance-Pflicht für Cloud-Anbieter - **Unser Planungsfazit:** Cloud-Migrationen dauern 6 bis 18 Monate – wer nicht bis 2026 mit der Planung beginnt, handelt 2028 unter regulatorischem und politischem Druck. Hintergrund: 78 % der CIOs priorisieren digitale Souveränität (Lünendonk 2025). ([Lünendonk: Digitale Souveränität wird zur Top-Priorität (2025)](https://www.luenendonk.de/digitale-souveraenitaet-wird-durch-hohe-abhaengigkeiten-von-it-und-cloud-providern-sowie-geopolitische-risiken-zur-top-prioritaet/)) Eine Cloud-Migration dauert 6 bis 18 Monate. Wer jetzt nicht anfängt, wird unter Zeitdruck und höheren Kosten migrieren müssen. Unser [Sovereign-Hosting-Guide](https://anvilstack.eu/insights/sovereign-hosting-guide.md) zeigt die konkreten Schritte für DACH-KMU. ## Wie AnvilStack hilft Wir nutzen KI-Tools für schnelle Entwicklung – aber jede Zeile Code wird von Senior Engineers geprüft und auf EU-souveräner Infrastruktur deployed: - **CLOUD-Act-frei:** Wir deployen ausschließlich auf Hetzner (Deutschland) – 100% EU-Eigentum, keine US-Jurisdiktion - **Architektur-Level Souveränität:** Kein Drittstaaten-Zugriff möglich, nicht durch technische Workarounds, sondern durch die Rechtsstruktur des Anbieters - **NIS2-konforme Lieferkette:** Unsere Infrastruktur besteht jede Lieferketten-Risikobewertung - **EU Data Act Art. 32 ready:** Alle Maßnahmen gegen unrechtmäßigen internationalen Zugriff dokumentiert - **[Migration von US-Cloud](https://anvilstack.eu/services/platform-development.md):** Wir migrieren bestehende Plattformen von AWS/Azure/GCP zu souveräner EU-Infrastruktur – typisch in 2–6 Wochen für einzelne Anwendungen Im kostenlosen Erstgespräch klären wir Ausgangslage und Ziel; die Analyse prüft anschließend Ihre Cloud-Infrastruktur auf CLOUD-Act-Exposition. Für €6.000 pro Monat über 6 Monate (€36.000 gesamt) migrieren und härten wir Ihre Plattform auf EU-souveräner Infrastruktur – mit einer funktionierenden App auf Hetzner als Ergebnis, nicht nur einem Migrationsplan. [Unverbindliches Erstgespräch vereinbaren](https://anvilstack.eu/contact) ## Häufig gestellte Fragen ### Was ist der CLOUD Act? Der Clarifying Lawful Overseas Use of Data Act (2018) verpflichtet US-amerikanische Cloud-Anbieter, Daten auf Anfrage von US-Behörden herauszugeben – unabhängig davon, wo die Server physisch stehen. AWS Frankfurt, Azure Deutschland und Google Cloud Europe unterliegen alle dem CLOUD Act. ### Schützt ein Rechenzentrum in Deutschland vor US-Zugriff? Nein. Der CLOUD Act folgt der Rechtshoheit des Unternehmens, nicht dem Serverstandort. Solange der Cloud-Anbieter oder seine Muttergesellschaft ein US-Unternehmen ist, gilt der CLOUD Act – unabhängig davon, ob die Daten in Frankfurt, München oder Dublin liegen. ### Was ist der Unterschied zwischen Datenresidenz und Datensouveränität? Datenresidenz bedeutet nur, dass Daten physisch in einem bestimmten Land gespeichert werden. Datensouveränität bedeutet, dass die Daten ausschließlich der Rechtsordnung dieses Landes unterliegen. AWS Frankfurt bietet Datenresidenz, aber keine Datensouveränität. ### Was passiert, wenn FISA Section 702 verlängert wird? FISA Section 702 sollte ursprünglich am 20. April 2026 auslaufen. Nach mehreren Verlängerungen lief die gesetzliche Grundlage am 12. Juni 2026 tatsächlich aus – Zertifizierungen aus März 2026 erlauben den Behörden jedoch eine Fortführung der Überwachung bis voraussichtlich März 2027. Jede neue Rechtsgrundlage könnte eine Schrems-III-Entscheidung des EuGH auslösen und das EU-US Data Privacy Framework kippen. Wer dann noch auf US-Infrastruktur hostet, steht unter sofortigem Handlungsdruck. ### Welche Cloud-Anbieter sind CLOUD-Act-frei? Nur Anbieter, die zu 100% in EU-Eigentum sind und ausschließlich EU-Recht unterliegen – etwa Hetzner (Deutschland), OVHcloud (Frankreich) oder Scaleway (Frankreich). Keine US-Muttergesellschaft bedeutet keine CLOUD-Act-Exposition. ### Wie lange dauert eine Migration weg von US-Cloud? Eine Cloud-Migration dauert je nach Komplexität 6 bis 18 Monate. Einfache Anwendungen können in 2–6 Wochen migriert werden, komplexe Multi-Service-Architekturen benötigen mehr Zeit. AnvilStack liefert die vollständige Migration im Engagement für €6.000/Monat über 6 Monate (€36.000 gesamt). ## Quellen - [Wire: What the CLOUD Act Really Means for EU Data Sovereignty](https://wire.com/en/blog/cloud-act-eu-data-sovereignty) - [Akave: Europe's Cloud Sovereignty Crisis (2026)](https://akave.com/blog/europes-digital-sovereignty-dilemma-can-the-continent-break-free-from-us-cloud-dominance) - [Igor's Lab: BMI-Gutachten zu US-Datenzugriff (2025)](https://www.igorslab.de/en/us-laws-allow-access-to-european-cloud-data-internal-report-by-interior-ministry-confirms-risks-to-digital-sovereignty/) - [TWINSOFT: Was das Rechtsgutachten über US-Behördenzugriffe verrät](https://www.twinsoft.de/en/eu-daten-in-gefahr-was-das-neue-rechtsgutachten-ueber-us-behoerdenzugriffe-verraet/) - [The Register: Microsoft exec admits cannot guarantee data sovereignty (2025)](https://www.theregister.com/2025/07/25/microsoft_admits_it_cannot_guarantee) - [DataBalance: Microsoft Cloud Sovereignty in 2026](https://www.databalance.eu/en/microsoft-cloud-sovereignty-2026/) - [SoftwareSeni: CLOUD Act & FISA 702 Legal Exposure for EU Cloud Data](https://www.softwareseni.com/how-the-us-cloud-act-and-fisa-702-create-legal-exposure-for-eu-cloud-data/) - [CDT: FISA 702 Expansion Impact on EU-US Data Privacy Framework](https://cdt.org/insights/fisa-702-expansion-impact-on-the-eu-u-s-data-privacy-framework/) - [Freshfields: EU-US DPF Survives First Challenge (2025)](https://technologyquotient.freshfields.com/post/102l4m1/eu-us-data-privacy-framework-survives-its-first-judicial-challenge-but-more-are) - [WilmerHale: CJEU to Review DPF Challenge](https://www.wilmerhale.com/en/insights/blogs/wilmerhale-privacy-and-cybersecurity-law/20251201-european-court-of-justice-to-review-challenge-to-eu-us-data-privacy-framework) - [NOYB: Erste Reaktion auf Latombe-Urteil](https://noyb.eu/en/eu-us-data-transfers-first-reaction-latombe-case) - [EU Data Act: Artikel 32 – International Governmental Access](https://www.eu-data-act.com/Data_Act_Article_32.html) - [CMS: White Paper – CLOUD Act vs EU/UK Data Sovereignty (2026)](https://cms-lawnow.com/en/ealerts/2026/02/white-paper-demystifying-the-debate-on-the-us-cloud-act-vs-european-uk-data-sovereignty-in-the-context-of-cloud-services) - [eucrim: E-Evidence Regulation and Directive Published](https://eucrim.eu/news/e-evidence-regulation-and-directive-published/) - [Gart Solutions: Digital Sovereignty – EU Cloud Provider Guide (2026)](https://gartsolutions.com/digital-sovereignty-of-europe/) - [Xpert.digital: US-Behörden lesen mit – Server in Frankfurt schützen nicht](https://xpert.digital/en/us-behoerden-lesen-mit/) - [EFF: Victory! 702 Has Expired (2026)](https://www.eff.org/deeplinks/2026/06/victory-702-has-expired) - [Lünendonk: Digitale Souveränität wird zur Top-Priorität (2025)](https://www.luenendonk.de/digitale-souveraenitaet-wird-durch-hohe-abhaengigkeiten-von-it-und-cloud-providern-sowie-geopolitische-risiken-zur-top-prioritaet/) - [Congressional Research Service: FISA Section 702 (R48592)](https://www.congress.gov/crs-product/R48592)