Microsofts EU Datengrenze 🛃

Microsoft verkündet stolz, seine „EU Datengrenze“ endlich finalisiert und implementiert zu haben. Wir leben nun also in der Fiktion, dass Daten ein nationales Label haben. Und für die EU Datengrenze gilt, dass europäische Daten (was auch immer das sein soll) Europa nicht verlassen. Oder, in den Worten von Microsoft:

Die EU Datengrenze ist eine geografisch definierte Grenze, innerhalb derer sich Microsoft verpflichtet hat, Kundendaten und personenbezogene Daten für unsere Microsoft Enterprise Onlinedienste, einschließlich Azure, Dynamics 365, Power Platform und Microsoft 365, zu speichern und zu verarbeiten. Professional Services-Daten werden für diese Dienste im Ruhezustand gespeichert. Diese Verpflichtungen unterliegen begrenzten Umständen, in denen Kundendaten, personenbezogene Daten und Professional Services-Daten weiterhin außerhalb der EU-Datengrenze übertragen werden.

Microsoft

Microsoft hat also eine Grenzziehung für digitale Daten eingeführt und feiert sich nun selbst, die wohl absurdeste und für den tatsächlichen Schutz von Daten faktisch sinnloseste Aktion, von der ich je gehört habe, eingeführt zu haben.

Die ganze Sache ist so dermaßen [hier unschönes Wort einsetzen], dass ich mich frage, wie man als Jurist, CTO, Projektverantwortliche oder wer sonst noch an diesem Projekt beteiligt war, denn so drauf sein muss, um so etwas und die zugehörigen Entwicklungs-, Infrastruktur- und Implementierungskosten freizugeben. Was soll der [noch so ein Wort]? Noch dazu, wo diese ganze Chose (in puncto Datenschutz) ja auch faktisch nichts bringt, da die regionale Verortung von Daten keinerlei Auswirkung auf das Faktum hat, dass Microsoft ein US-amerikanisches Unternehmen ist und bleibt (und somit dem Cloud Act unterliegt)?!

In The Register gibt es ein paar ähnliche, aber nicht ganz so wüst formulierte Kommentare, die ich hier gesammelt abbilden möchte. Sie verdeutlichen ebenso die Sinnlosigkeit diese technisch sicherlich interessanten, in seiner Auswirkung jedoch stark infrage zu stellenden Projekts.

Was Bert Hubert zum Thema Regierungsdaten in einer US-Cloud zu sagen hat, habe ich ohnehin schon vor ein paar Tagen in einem Beitrag zitiert. Frank Karlitschek, CEO von Nextcloud, meint zur EU Datengrenze:

The Cloud Act grants US authorities access to cloud data hosted by US companies. It does not matter if that data is located in the US, Europe, or anywhere else. […] There is also the question of what happens if the US government decides to cut off services in Europe, making security updates impossible.“

Frank Karlitschek

Gleich auch Nader Henein, der noch einmal explizit darauf hinweist, dass die Verortung (oder geografische Eingrenzung) von Daten irrelevant ist, solange die sie verwaltende Firma ein US-Unternehmen ist.

Mark Boost sieht selbst in der von Microsoft implementierten EU Datengrenze auch nur eine halbe Sache, da sie ja nicht einmal durchgängig wirkt, sondern nur auf die in Kern-Services gespeicherten Daten angewendet wird. Ein Mal telefonieren mit dem Support und vorbei ist’s, möchte man fast meinen.

True data sovereignty ensures data is only ever subject to the jurisdiction in which it is stored and processed. Data residency, however, concerns where the data is stored geographically. With data residency, the data can be subject to the laws of a third country depending on where the cloud provider is headquartered. In addition, Microsoft’s EU Data Boundary only applies to core services. Any services outside this bracket, as well as technical support, will continue as is, with data being processed anywhere in the world. Until users are assured of total transparent data sovereignty, full transparency of data flows including a guarantee that their data will not be used to train AI models without their express consent, customers will continue to have valid concerns over security and privacy.

Mark Boost

Aber die Impotenz Europas – und damit den gewaltigen Elefanten im Raum – auf den Punkt bringt letztlich Alberto Marti, der unverhohlen ausspricht, was auch ihr, liebe Leserinnen und Leser, euch ohnehin schon seit dem ersten Satz dieses Artikels denkt:

While Microsoft and other hyperscalers market ‘sovereign cloud’ solutions, they keep expecting European customers to rely on them for providing the same critical infrastructures and technologies that have turned Europe into a digital colony. This raises concerns about the potential influence of external regulations on European data and operations, and doesn’t tackle the fundamental issues around EU digital sovereignty. The reality is that US corporations like Microsoft are one Executive Order away from unleashing absolute chaos across the EU.

Alberto Marti

Wenn man „digital“ so dermaßen verbockt, wie es die EU in den letzten zwanzig Jahren getan hat, wenn man sich in eine so dermaßen große Abhängigkeit begibt, dann kommt man da nicht so schnell wieder heraus. Und das schon gar nicht mit noch mehr sinnloser, weil, wie die Praxis beweist, faktisch unwirksamer Regulierung.