Wer die Herausgabe Ihrer Authentifizierungsdaten anordnen kann

Was der CLOUD Act sagt

Der Clarifying Lawful Overseas Use of Data Act von 2018 fügte dem US-Recht einen Satz hinzu, auf den es hier ankommt: Ein Anbieter muss Daten sichern oder herausgeben, die sich in seinem Besitz, seiner Verwahrung oder unter seiner Kontrolle befinden, unabhängig davon, ob sie innerhalb oder außerhalb der Vereinigten Staaten gespeichert sind („possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States“). Die Reichweite folgt der Kontrolle über die Daten und der US-Gerichtsbarkeit über das Unternehmen, nicht dem Standort des Servers. Das US-Justizministerium stellt fest, dass eine EU-Tochtergesellschaft eines US-Unternehmens nicht automatisch außerhalb des Anwendungsbereichs liegt.

Die EU-Datenschutzbehörden haben 2019 Position bezogen: Solange kein internationales Abkommen eine solche Anordnung durchsetzbar macht, darf ein dem EU-Recht unterliegender Dienstleister eine Herausgabe nicht rechtmäßig darauf stützen. Ein solches Abkommen hat die EU mit den Vereinigten Staaten nicht. Ein US-Anbieter mit EU-Kunden kann also zu etwas verpflichtet werden, das ihm das EU-Recht untersagt. Als der Rechtsdirektor von Microsoft France im Juni 2025 vor einem Ausschuss des französischen Senats unter Eid gefragt wurde, ob er garantieren könne, dass Daten der französischen öffentlichen Hand niemals ohne französische Zustimmung an US-Behörden übergeben würden, antwortete er: „Non, je ne peux pas le garantir.“ (Nein, das kann ich nicht garantieren.)

Was er nicht tut

Der CLOUD Act schafft keine neue Art von Durchsuchungsbeschluss und erlaubt keine Massenerhebung. Für Inhalte ist weiterhin ein richterlicher Beschluss auf Grundlage eines hinreichenden Verdachts („probable cause“) auf eine konkrete Straftat nötig, und das Gesetz ist in Sachen Verschlüsselung ausdrücklich neutral: Es schafft keine Befugnis, eine Entschlüsselung zu erzwingen. Microsoft erklärte in derselben Anhörung, dass seit Beginn seiner Transparenzberichte kein europäischer Unternehmens- oder Behördenkunde betroffen gewesen sei.

Das realistische Risiko ist also ein rechtliches, kein operatives. Die Sorge ist nicht, dass jemand routinemäßig Ihre Authentifizierungsprotokolle liest. Die Frage, die eine Aufsichtsbehörde, ein Auditor oder eine NIS2-Risikobewertung stellt, ist enger gefasst: Wer kann unter welchem Recht verpflichtet werden, und kann Ihr Lieferant Ihnen eine Garantie geben? Für einen US-Cloud-Dienst lautet die ehrliche Antwort auf den letzten Teil: nein.

MFA ist meist ein US-Cloud-Dienst

Das ist kein Vorwurf an die Anbieter; es steht so in ihrer eigenen Dokumentation. Cisco Duo ist ein auf Amazon Web Services gehosteter Cloud-Dienst mit wählbaren EU-Regionen, und sein On-Premise-Authentication-Proxy leitet Anfragen an diese Cloud weiter. Sein Datenschutz-Datenblatt führt Benutzernamen, Telefonnummern, Gerätekennungen, IP-Adressen der Endbenutzer und Authentifizierungsprotokolle als im Dienst gespeicherte Daten auf. Okta gibt es nur als Cloud; seine EU-Zelle speichert Kundendaten in Deutschland und Irland, während seine Liste der Unterauftragsverarbeiter US-Anbieter für den SMS- und E-Mail-Versand nennt. Microsofts Dokumentation zur EU Data Boundary hält fest, dass Push- und telefonbasierte Anmeldungen über Authenticator außerhalb dieser Grenze verarbeitet werden können und dass mit Betrug in Verbindung gebrachte IP-Adressen weltweit veröffentlicht werden.

Ein europäischer Anbieter auf einem US-Hyperscaler ist eine Ebene tiefer ähnlich exponiert, weil der Hyperscaler die Infrastruktur kontrolliert. Das gilt auch für uns, wenn Sie unsere Cloud wählen – deshalb sagen wir es unten offen.

Notakey On-Premise: nichts, dessen Herausgabe man uns anordnen könnte

Die Notakey-Appliance ist eine virtuelle Maschine, die Sie in Ihrer eigenen Infrastruktur betreiben. Der Authentifizierungsserver, seine Verbindung zu Ihrem Active Directory, LDAP oder RADIUS, die Zertifikate der registrierten Geräte und jeder Bestätigungsdatensatz liegen dort. Notakey hat keinen Zugriff auf die Appliance, sofern Sie ihn nicht für einen Supportfall gewähren – es gibt also nichts in unserem Besitz, unserer Verwahrung oder unter unserer Kontrolle, das wir herausgeben könnten. Eine Anordnung für diese Daten müsste sich an Sie richten, nach dem Recht, das für Sie gilt.

Der private Schlüssel jedes Benutzers wird in der Sicherheitshardware des Telefons erzeugt und verlässt sie nie; eine Kopie existiert also nirgendwo sonst, auch nicht auf der Appliance. Der einzige externe Berührungspunkt bei einer Bestätigung ist die Push-Benachrichtigung. Sie enthält denselben lesbaren Text wie die Bestätigungskarte in der App – etwa Dienstname, Konto und Quelladresse, nach einer Vorlage, die Ihre Administratoren festlegen – und sonst nichts: keine Schlüssel und keine Möglichkeit, etwas zu bestätigen. Die Push-Dienste von Apple und Google leiten diesen Text weiter. Ein Tippen auf die Benachrichtigung öffnet die App; sie ruft die Anfrage per HTTPS von Ihrer Appliance ab, prüft, ob sie zur Benachrichtigung passt, und signiert erst dann die Bestätigung.

Notakey Cloud: die ehrliche Version

Notakey Latvia, SIA ist ein lettisches Unternehmen nach lettischem Recht, ohne US-Muttergesellschaft. Unser Cloud-Dienst notakey.cloud läuft auf Oracle Cloud Infrastructure in der Region Frankfurt. Oracle ist ein US-Unternehmen; Sie sollten also davon ausgehen, dass die Hosting-Ebene unserer Cloud in Reichweite von US-Rechtsverfahren liegt, wie bei jedem europäischen Dienst auf AWS, Azure oder Google Cloud. Wir nennen das Cloud-Angebot nicht souverän, weil es das nicht ist.

Was eine Cloud-Instanz speichert: Benutzernamen oder Kennungen Ihrer Wahl, die öffentlichen Schlüssel und Zertifikate der registrierten Geräte, Push-Tokens und die signierten Bestätigungsdatensätze. Niemals die privaten Schlüssel, und Passwörter nur dort, wo Sie lokale Benutzer im Dashboard anlegen, statt Ihr eigenes Verzeichnis anzubinden. Wenn dieses Risiko auf der Hosting-Ebene für Sie ins Gewicht fällt: Die On-Premise-Appliance ist dasselbe Produkt mit derselben mobilen App, und sie kostet pro Benutzer weniger.

Drei Fragen an jeden Anbieter

Das Wort „souverän“ wird derzeit an viele Produkte geheftet. Die Fragen, mit denen man dahinter blickt, sind für uns dieselben wie für alle anderen.

• ▪Unter welchem Recht arbeitet das Unternehmen, das die Daten hält, und hat es eine Muttergesellschaft in einem anderen Land?
• ▪Wer betreibt die Server, und unter welchem Recht arbeitet dieses Unternehmen?
• ▪Was geht an Apple und Google, wenn ein Telefon beteiligt ist, und gehört der Inhalt der Anfrage dazu?