Der CLOUD Act, nüchtern erklärt

Wenige Gesetze werden in Verkaufsgesprächen so oft zitiert und so selten gelesen wie der CLOUD Act. Die einen machen daraus ein Schreckgespenst, nach dem US-Behörden ständig in europäischen Daten wühlen. Die anderen winken ab, das sei doch reine Theorie. Beides ist falsch. Die Zahlen dazu sind öffentlich, auch die, die nicht in unsere Richtung zeigen.

Was das Gesetz sagt

Der CLOUD Act von 2018 hat unter anderem die Vorschrift 18 U.S.C. § 2713 geschaffen. Sie verpflichtet Anbieter von Kommunikations- und Cloud-Diensten, die der US-Gerichtsbarkeit unterliegen, gespeicherte Inhalte auf rechtmäßige Anordnung herauszugeben, und zwar im Wortlaut „regardless of whether such communication, record, or other information is located within or outside of the United States". Der Speicherort ist rechtlich egal. Maßgeblich ist, ob der Anbieter der US-Jurisdiktion unterliegt und die Daten in seiner Verfügungsgewalt hat.

Daraus folgt der Satz, der so viele Diskussionen beendet und eigentlich erst beginnen sollte: Ein Rechenzentrum in Frankfurt ändert daran nichts. Datenresidenz ist eine Speicherzusage, kein Rechtsschild.

Wen es trifft

Alle US-Anbieter samt ihrer weltweiten Konzernstruktur. Also Microsoft, AWS und Google genauso wie jeden US-KI-Dienst. Und damit auch jede Kanzlei, die Microsoft 365 oder Outlook nutzt. Wer den CLOUD Act gegen ein einzelnes Produkt ins Feld führt, muss ihn konsequenterweise gegen den halben eigenen IT-Stack gelten lassen. Deshalb lohnt der Blick auf die tatsächlichen Zahlen.

Was die Zahlen zeigen

Microsoft veröffentlicht halbjährlich, wie oft Strafverfolgungsbehörden Daten von Enterprise-Cloud-Kunden verlangt haben. Die jüngsten Berichte im Überblick:

Bericht	Befund
Microsoft, H2/2024	173 Anfragen weltweit, 26 Content-Herausgaben; darunter 5 Nicht-US-Kunden mit Speicherort außerhalb der USA, keiner in EU oder EFTA ansässig
Microsoft, H1/2025	Unter den betroffenen Nicht-US-Kunden erstmals einer mit Sitz in der EU, laut Microsoft ein Auftragnehmer der US-Regierung
Microsoft, H2/2025	3 Nicht-US-Kunden mit Speicherort außerhalb der USA betroffen, davon einer in EU/EFTA ansässig
AWS, Stand Juni 2025	Null Herausgaben von Enterprise- oder Government-Inhalten mit Speicherort außerhalb der USA seit Berichtsbeginn 2020

Was die Berichte erfassen und was nicht

Zwei Einschränkungen, ohne die diese Zahlen eine Halbwahrheit wären. Erstens erfassen die Berichte nur Strafverfolgungsanfragen; Anordnungen der nationalen Sicherheit (etwa nach FISA) werden separat, nur in groben Bändern und teils unter Geheimhaltungspflichten berichtet. Zweitens sind es Zahlen der Anbieter selbst. Sie zeigen aber die Größenordnung: Herausgaben von EU-Enterprise-Inhalten sind extrem selten und seit 2025 sind sie erstmals dokumentiert. Selten heißt nicht null.

Bemerkenswert offen war dazu Microsofts Frankreich-Chefjustiziar Anton Carniaux. In einer Anhörung des französischen Senats am 10.06.2025, unter Eid, gefragt, ob er garantieren könne, dass französische Daten nie ohne Zustimmung an US-Behörden übermittelt werden, antwortete er:

„Non, je ne peux pas le garantir, mais, encore une fois, cela ne s'est encore jamais produit." (Anton Carniaux, Microsoft France, Senatsanhörung vom 10.06.2025)

Sinngemäß: Nein, garantieren kann ich das nicht, aber es ist bislang auch noch nie vorgekommen. Beide Hälften des Satzes gehören zusammen und beide stimmen mit den Berichtszahlen überein.

Was hilft und was nur beruhigt

Verträge helfen graduell. Die großen Anbieter sagen zu, Anfragen anzufechten, Kunden zu benachrichtigen, Behörden an den Kunden zu verweisen. Das senkt die Wahrscheinlichkeit, beseitigt die Rechtspflicht aber nicht; abbedingen lässt sich ein Gesetz nicht per Vertrag.

Technik hilft strukturell. Interessanterweise sagt das AWS selbst am deutlichsten: „Encrypted content is useless without the applicable decryption keys." Was der Anbieter nicht im Klartext hat, kann er nicht lesbar herausgeben, egal was angeordnet wird. Confidential Computing treibt dieses Prinzip auf die Spitze: Beim Rechnen in einer vertraulichen Ausführungsumgebung bleiben Daten auch während der Verarbeitung verschlüsselt, der Betreiber hat zu keinem Zeitpunkt Klartextzugriff. Ein TEE ändert nicht die Rechtslage; es ändert, was faktisch herausgabefähig ist. Die technischen Grundlagen stehen im Ratgeber zum Confidential Computing, die Nachweisseite auf Datensouveränität.

Einordnung für die Kanzlei

Das realistische Bild: Die Wahrscheinlichkeit, dass ausgerechnet die eigenen Mandantendaten von einer US-Anordnung erfasst werden, ist nach allen verfügbaren Zahlen sehr klein. Das strukturelle Problem bleibt trotzdem bestehen, denn es ist eine Rechtslage und keine Praxisfrage und Mandatsgeheimnisse sind keine Datenkategorie, bei der man auf Seltenheit wettet. Wer das Thema strukturell statt statistisch lösen will, hat zwei Hebel: die Anbieterkette (kein US-Anbieter in der Verarbeitungskette) oder die Technik (kein Klartext beim Anbieter). Wie sich europäische Alternativen dazu entwickeln, haben wir in unserem Beitrag zur europäischen Souveränität aufgeschrieben.

Dieser Beitrag ist eine allgemeine redaktionelle Einordnung (Stand Juli 2026) und keine Rechtsberatung.

---

Quellen

• 18 U.S. Code § 2713, Required preservation and disclosure of communications and records, law.cornell.edu, abgerufen am 30.07.2026.
• Microsoft Government Requests Report, Enterprise-Herausgaben (Übersichtsseite mit One-Pagern, u. a. H2/2024, H1/2025, H2/2025), microsoft.com, abgerufen am 30.07.2026.
• „Amazon Web Services and the CLOUD Act", AWS, aws.amazon.com, abgerufen am 30.07.2026.
• Anhörung von Microsoft France vor der Untersuchungskommission des französischen Senats zur öffentlichen Auftragsvergabe, Sitzungsprotokoll vom 10.06.2025, senat.fr, abgerufen am 30.07.2026.