EU E-Evidence-Verordnung in Kraft: Drastisch erhöhtes Risiko für Datenabfluss in der Cloud zwingt Berufsgeheimnisträger zum Handeln

„Mit der neuen Verordnung können Ermittlungsbehörden aus dem gesamten EU-Ausland direkt auf Cloud-Anbieter zugreifen und die Herausgabe von Inhalts-, Bestands- und Verkehrsdaten fordern. Wenn der Cloud-SaaS-Hoster die Schlüssel zu diesen Daten besitzt, sind Mandanten- oder Patientengeheimnisse unweigerlich kompromittiert“, warnt Detlef Schmuck, Geschäftsführer von TeamDrive Systems. „Unsere klare Empfehlung an jedes Unternehmen und jeden Berufsgeheimnisträger lautet daher: Speichern Sie Ihre Daten in der Cloud ausschließlich mit einer echten Ende-zu-Ende-Verschlüsselung. Die Schlüssel müssen ausnahmslos beim Anwalt, Arzt oder dem Unternehmen selbst liegen – und niemals beim Cloud-Hoster.“

Die neuen Rechtsinstrumente: EPOC und EPOC-PR

Anstelle der bisherigen rechtshilfegestützten Verfahren können Ermittlungsbehörden der EU-Mitgliedstaaten Daten nun direkt bei Dienstanbietern wie Hosting- und Cloud-Anbietern, SaaS-Dienstleistern oder Messenger-Diensten in anderen Mitgliedstaaten anfordern. Dafür stehen zwei Instrumente zur Verfügung:
Europäische Herausgabeanordnungen (EPOC): Verpflichten Anbieter zur Übermittlung spezifischer Daten im Rahmen von Strafverfahren.
Europäische Sicherungsanordnungen (EPOC-PR): Dienen der vorsorglichen Sicherung von Daten zur Verhinderung einer Löschung bis zum Erlass einer Herausgabeanordnung.

Die Verordnung setzt Cloud-Anbieter enorm unter Druck: Reguläre Anordnungen sind innerhalb von 10 Tagen zu beantworten, in begründeten Eilfällen sogar innerhalb von nur 8 Stunden. Bei Nichtbefolgung rechtmäßiger Anordnungen drohen Geldbußen von bis zu 2 Prozent des weltweiten Jahresumsatzes.

Hohes Risiko für Berufsgeheimnisträger – Cloud-Anbieter können nicht filtern

Für Berufsgeheimnisträger erfordert diese Auslagerung von Daten in Cloud-Systeme eine völlig neue und genaue Prüfung der Schutzmechanismen. Zwar bestehen im nationalen Recht (wie z. B. § 97 StPO) Regelungen zum Schutz vertraulicher Informationen, im grenzüberschreitenden Datenverkehr können diese jedoch leicht ausgehebelt werden. Der entscheidende Schwachpunkt: Cloud-Dienstanbieter können bei behördlichen Anfragen in der Regel keine inhaltliche Bewertung bezüglich etwaiger Berufsgeheimnisse vornehmen. Liegen die Daten unverschlüsselt oder nur mit Anbieter-seitiger Verschlüsselung vor, werden die Dokumente im Ernstfall schlichtweg herausgegeben.

Technische Schutzkonzepte als einzige rechtssichere Lösung

Um die Vertraulichkeit und Compliance-Anforderungen im Zeitalter der E-Evidence-Verordnung zu wahren, rückt die Ausgestaltung der Datenarchitektur in den Fokus. Moderne Cloud-Architekturen, wie die von TeamDrive, lösen das Problem durch kompromisslose Verschlüsselungsverfahren (Privacy by Design):
Schlüsselverwaltung beim Nutzer: Durch echte Ende-zu-Ende-Verschlüsselung (E2EE) erfolgt die Ver- und Entschlüsselung ausschließlich auf den Endgeräten des Anwenders. Der Cloud-Anbieter hat zu keinem Zeitpunkt Zugriff auf die Schlüssel ("Zero-Knowledge-Prinzip").
Verschlüsselung von Metadaten: Neben den Dateiinhalten werden auch Ordnerstrukturen und Bezeichnungen hochsicher verschlüsselt verarbeitet.
Auskunftsfähigkeit im Rahmen technischer Grenzen: Kommt es zu rechtmäßigen Auskunftsersuchen gemäß E-Evidence-Verordnung durch EU-Behörden, werden systembedingt ausschließlich die beim Anbieter vorliegenden, unlesbaren "Datensalate" übermittelt. Das Berufsgeheimnis bleibt technisch und physikalisch gewahrt.

„Wer heute noch auf Cloud-Dienste setzt, die Daten mitlesen können, handelt grob fahrlässig. Vertrauen reicht nicht mehr aus – mathematische Sicherheit durch Ende-zu-Ende-Verschlüsselung ist heute eine zwingende Voraussetzung für berufliche Geheimnisträger“, resümiert Schmuck.

Weitere Informationen zur sicheren Cloud-Speicherung und den Angeboten von TeamDrive finden Sie unter: www.teamdrive.com