Five Eyes Serverstandort: Warum das Recht des Anbieters über Ihre Daten entscheidet
Ein Server in Frankfurt fühlt sich sicher an. Ist er aber nicht automatisch. Über Ihre Firmendaten entscheidet nicht der Standort, sondern das Recht, dem Ihr Anbieter unterliegt. Was Five, Nine und 14 Eyes damit zu tun haben – und wann Sie sich das sparen können.
Ihre Buchhaltung liegt in der Cloud. Der Anbieter wirbt mit »Servern in Deutschland«, im Browser leuchtet ein grünes Schloss, alles fühlt sich sauber an. Sie haken das Thema Datenschutz ab.
Zu früh.
Denn wo die Festplatte steht, ist nur die halbe Wahrheit. Die andere Hälfte ist eine Frage, die kaum jemand stellt: Welchem Recht unterliegt eigentlich die Firma, der diese Festplatte gehört? Und genau hier kommen drei unscheinbare Zahlen ins Spiel – Five, Nine und 14 Eyes.
Five, Nine, 14 Eyes: Geheimdienste, die Daten teilen
Hinter den hübschen Namen stecken Geheimdienst-Allianzen. Länder, die sich vertraglich verpflichtet haben, abgefangene Daten untereinander weiterzureichen – Telefonate, Mails, Verbindungsdaten, wer mit wem wann kommuniziert. Was ein Dienst im eigenen Land nicht abhören darf, bekommt er unter Umständen vom Partnerland gereicht. Ein Ringtausch, der die eigenen Gesetze elegant umgeht.
Angefangen hat alles mit den »Five Eyes« (fünf Augen), einem Bündnis aus dem Kalten Krieg. Später kamen weitere Länder dazu, in Ringen abgestufter Nähe. Je weiter außen, desto loser die Kooperation. Ein Detail, das viele überrascht: Deutschland sitzt mit im 14-Eyes-Kreis.
| Allianz | Beteiligte Länder | Was das bedeutet |
|---|---|---|
| Five Eyes | USA, Großbritannien, Kanada, Australien, Neuseeland | Der harte Kern. Enger, weitgehend automatisierter Datenaustausch. |
| Nine Eyes | Five Eyes + Dänemark, Frankreich, Niederlande, Norwegen | Erweiterter Kreis, weniger tiefe Zusammenarbeit. |
| 14 Eyes | Nine Eyes + Deutschland, Belgien, Italien, Schweden, Spanien | Loser Verbund zum Austausch – ja, auch Deutschland ist dabei. |
Man muss das nicht dramatisieren. Diese Bündnisse zielen auf Terror und Spionage, nicht auf die Rechnung Ihres Malerbetriebs. Aber sie zeigen etwas Wichtiges: Sobald Daten in einem dieser Länder verarbeitet werden, gelten dort die Regeln dieses Landes. Und die sind manchmal weit weg von dem, was Sie unter Datenschutz verstehen.
Der teure Denkfehler: »Server in der EU, also sicher«
Jetzt der Teil, den die Werbebroschüren gern verschweigen. Ein US-Konzern kann verpflichtet werden, Ihre Daten herauszugeben – auch dann, wenn der Server physisch in Frankfurt oder Amsterdam steht. Möglich macht das der »CLOUD Act«, ein US-Gesetz aus dem Jahr 2018. Grob übersetzt: Ein amerikanisches Unternehmen muss US-Behörden Zugriff auf die von ihm verwalteten Daten gewähren. Egal, auf welchem Kontinent die Festplatte läuft.
Der Serverstandort in der EU ändert daran wenig. Entscheidend ist nicht, wo die Daten liegen, sondern welchem Recht die Firma unterliegt, die sie verwaltet. Ein Rechenzentrum bei Frankfurt, betrieben von der europäischen Tochter eines US-Konzerns, ist rechtlich betrachtet halb amerikanischer Boden. »Server in Deutschland« beruhigt das Bauchgefühl – die Rechtslage berührt es kaum.
Das ist kein Nischenproblem. Es betrifft die großen Namen, deren Logos auf fast jedem Bürorechner kleben. Warum ich Mandanten- und Patientendaten bei US-Diensten für schlecht aufgehoben halte, habe ich mir am direkten Vergleich zweier verbreiteter Systeme im Detail angesehen.
Was das für Ihre Anbieterwahl heißt
Die Konsequenz ist unbequem, aber simpel: Wer außerhalb der Reichweite dieser Allianzen bleiben will, schaut nicht auf die Landkarte der Server, sondern auf den Firmensitz und die Eigentümerstruktur des Anbieters. Wem gehört der Laden? Und welchem Recht unterliegt er im Ernstfall?
In der Praxis führt das zu zwei Wegen. Der erste: europäische Anbieter, die keiner US-Mutter gehören und sich an die DSGVO gebunden fühlen, weil sie müssen und nicht, weil es gut aussieht. Der zweite, konsequentere: Software, die auf einem Server läuft, den nur Sie kontrollieren – selbst gehostet, im eigenen Haus oder bei einem europäischen Hoster. Dann gibt es schlicht keinen Konzern, der irgendwem irgendetwas herausgeben könnte, weil niemand außer Ihnen den Schlüssel hat.
Selbst hosten heißt allerdings auch: Der Server will vernünftig abgesichert sein, sonst tauschen Sie den Geheimdienst gegen den erstbesten Einbrecher. Ein sauber getrenntes, geschütztes Netzwerk gehört zwingend dazu. Souveränität ohne Sicherheit ist nur die Hälfte der Miete.
Wann Sie sich das sparen können
Und jetzt die ehrliche Gegenrede, bevor Sie in Panik Ihre halbe IT umbauen: Nicht jede Datei ist ein Staatsgeheimnis.
Der Newsletter-Verteiler Ihres Sportvereins? Die Speisekarte als PDF? Die Öffnungszeiten auf der Website? Da ist der Serverstandort herzlich egal. Kein Geheimdienst dieser Welt interessiert sich für Ihr Sommerfest, und wer behauptet, Sie bräuchten dafür einen abhörsicheren Server, will Ihnen etwas verkaufen. Aufwand und Risiko müssen zueinander passen.
Anders wird es bei sensiblen Daten: Mandantenakten, Patientenunterlagen, Personaldaten, Konstruktionszeichnungen, unterschriebene Verträge. Alles, wofür Sie eine Verschwiegenheitspflicht tragen oder was einem Wettbewerber in die Hände spielen würde. Da lohnt der genaue Blick – und oft auch der Wechsel. Die Faustregel ist unspektakulär: Je heikler die Daten, desto genauer die Frage nach dem Recht des Anbieters. Alles andere darf entspannt bleiben.
Digitale Souveränität: bodenständiger, als der Begriff klingt
»Digitale Souveränität« klingt nach Politik-Talkshow. Gemeint ist etwas sehr Handfestes: Sie behalten die Kontrolle darüber, wer an Ihre Firmendaten kommt. Nicht ein Konzern, nicht ein Gesetz aus Washington, nicht ein Bündnisvertrag, von dem Sie noch nie gehört haben.
Ich arbeite selbst so, wie ich es Ihnen empfehle. Meine Mails laufen über Proton, einen Schweizer Anbieter außerhalb der Eyes-Kreise. Die Statistik meiner Website hoste ich selbst, kein Google-Skript liest im Hintergrund mit. Das ist keine Ideologie, sondern schlicht die datensparsamere Variante – und sie zeigt, dass es ohne die üblichen Big-Tech-Dienste geht.
Wenn Sie wissen wollen, welche Ihrer Daten überhaupt in Five-Eyes-Reichweite liegen und was ein Umzug auf einen europäischen oder selbst gehosteten Serverstandort bedeuten würde – das sehe ich mir mit Ihnen an. Ich sortiere, welche Daten wirklich schützenswert sind, plane den Umzug, richte die datensparsame Lösung ein und weise Sie und Ihr Team ein. Ihre Cloud, Ihre Regeln: Genau dafür gibt es das eigene Cloud-Büro.
Der erste Blick auf Ihre Anbieter und deren Rechtsraum ist kostenlos und unverbindlich. Wir klären in Ruhe, ob bei Ihnen überhaupt Handlungsbedarf besteht. »Bei Ihnen ist alles unkritisch, lassen Sie es so« gehört ausdrücklich zu den möglichen Antworten – und wenn nicht, wissen Sie danach genau, welcher Schritt sich lohnt.
