110
}
3.9
Herausgabepflichten des Cloud-Anbieters
Bei der Entscheidung der Frage, ob Cloud-Services genutzt werden sollen
oder nicht, sollte auch in Betracht gezogen werden, dass verschiedene
Rechtsnormen den Anbieter unter Umständen verpflichten können, Dritten
Zugang zu den in der Cloud gespeicherten Daten des Kunden zu gewähren.
Solange ein Server sich in Deutschland befindet, kann er, ungeachtet der
Eigentümerstellung, von Strafbehörden konfisziert werden. Mittels
Durchsuchungs- und Beschlagnahmeanordnungen kann auf im Inland
gespeicherte Daten inländischer oder ausländischer Unternehmen
zugegriffen werden. Dies ist zumindest theoretisch der Fall. Bei großen
Serverfarmen hat die Staatsanwaltschaft kaum die Möglichkeit, gerade den
relevanten Server aus dem Feld zu pflücken. Entsprechend sind die
Staatsanwaltschaften auf die Kooperation seitens des Cloud-Anbieters
angewiesen. Ein Unternehmen mit Sitz in Deutschland wird sich aber gegen
eine solche Maßnahme oder eine Zeugenvernehmung der zuständigen
Mitarbeiter nicht mit dem Argument wehren können, dass die
Informationen auf Systemen im Ausland gespeichert sind, es sei denn, der
Zugriff auf diese Daten ist dem Unternehmen tatsächlich oder rechtlich
unmöglich.
Darüber hinaus existiert die gesetzliche Möglichkeit zur Durchsuchung
externer Speichermedien. Diese Regelung wurde in Umsetzung der so
genannten Cybercrime Convention eingeführt. Deutschland und Österreich
haben die Cybercrime Convention ratifiziert, für die Schweiz steht eine
Ratifizierung kurz bevor. Vereinfacht ausgedrückt gestattet es diese
Regelung, im Rahmen einer Durchsuchungsmaßnahme aus den zu
durchsuchenden Räumlichkeiten heraus auf Speichermedien zuzugreifen,
die sich nicht in den durchsuchten Räumlichkeiten befinden. Die
Strafverfolgungsbehörden dürfen dazu allerdings nicht Passwörter
knacken, sehr wohl über eine offene Schnittstelle aber auch Daten in
der Cloud durchsuchen.
Als Beispiel für eine derartige Gesetzgebung ist auch der USA PATRIOT-Act
zu nennen. Dieser ermöglicht es den amerikanischen
Strafverfolgungsbehörden, im Zusammenhang mit Terrorismus-Ermittlungen
ohne Wissen des Betroffenen auf Daten zuzugreifen. Dieses Gesetz zwingt
den US-Anbieter von Cloud-Diensten, in der Cloud gespeicherte Daten an
die Strafverfolgungsbehörden weiterzugeben, wobei der Anbieter sogar
verpflichtet werden kann, dem Kunden gegenüber über die Herausgabe der
Daten Stillschweigen zu bewahren. Diese Pflicht zur Herausgabe kann auch
