Trump: US-Cloud-Provider müssen Daten über Ausländer speichern

US-Präsident Donald Trump ist immer für eine Überraschung gut. Seine Executive Order über die Pflicht für US-Cloud-Provider wenige Stunden vor der Amtsübergabe enthält folgendes: Amerikanische Cloud-Anbieter sollen von ausländischen Kunden die Namen, physischen und E-Mail-Adressen, nationalen Identifikationsnummern, Zahlungsmittel und -quellen, bei denen es sich um Kreditkarten- oder Bankkontodaten handeln könnte, Telefonnummern und IP-Adressen, die für den Zugriff auf die Dienste verwendet wurden, bei jedem Zugriff auf die Dienste aufbewahren.

„Ausländische Akteure nutzen Infrastructure as a Service (IaaS)-Produkte der Vereinigten Staaten für eine Vielzahl von Aufgaben bei der Durchführung bösartiger Cyber-Aktivitäten, was es für die Behörden der Vereinigten Staaten extrem schwierig macht, Informationen auf dem Rechtsweg zu verfolgen und zu erhalten, bevor diese ausländischen Akteure zu einer Ersatzinfrastruktur übergehen und Beweise für ihre früheren Aktivitäten vernichten“, schrieb Trump in einem Brief an die Sprecherin des Repräsentantenhauses, Nancy Pelosi, und den Vizepräsidenten des Senats, Mike Pence, in seiner Funktion als Präsident.

„Ausländische Wiederverkäufer von US-amerikanischen IaaS-Produkten machen es ausländischen Akteuren leichter, auf diese Produkte zuzugreifen und sich der Entdeckung zu entziehen.“

Obwohl die Executive Order und der Brief den Begriff „Infrastructure as a Service“ (IaaS) verwenden, erklärt die Order, dass die Definition auch andere Cloud-Dienste umfasst.

Der Begriff [IaaS] bezeichnet jedes Produkt oder jede Dienstleistung, die einem Verbraucher angeboten wird, einschließlich kostenloser oder „Test“-Angebote, die Verarbeitungs-, Speicher-, Netzwerk- oder andere grundlegende Rechenressourcen bereitstellt und mit denen der Verbraucher in der Lage ist, nicht vordefinierte Software, einschließlich Betriebssysteme und Anwendungen, einzusetzen und auszuführen“, heißt es.

„Der Verbraucher verwaltet oder kontrolliert typischerweise den größten Teil der zugrundeliegenden Hardware nicht, hat aber die Kontrolle über die Betriebssysteme, den Speicher und die installierten Anwendungen. Der Begriff umfasst ‚gemanagte‘ Produkte oder Dienste, bei denen der Anbieter für einige Aspekte der Systemkonfiguration oder -wartung verantwortlich ist, und ’nicht gemanagte‘ Produkte oder Dienste, bei denen der Anbieter nur dafür verantwortlich ist, dass das Produkt für den Kunden verfügbar ist.

„Der Begriff schließt auch ‚virtualisierte‘ Produkte und Dienstleistungen ein, bei denen die Rechenressourcen einer physischen Maschine zwischen virtualisierten Computern aufgeteilt werden, auf die über das Internet zugegriffen werden kann (z. B. ‚Virtual Private Server‘), und ‚dedizierte‘ Produkte oder Dienstleistungen, bei denen die gesamten Rechenressourcen einer physischen Maschine einer einzelnen Person zur Verfügung gestellt werden (z. B. ‚Bare-Metal‘-Server).“

Die Verordnung gibt dem Handelsminister die Möglichkeit, den Zugang zu US-Cloud-Diensten einzuschränken, wenn in einem Land „eine signifikante Anzahl ausländischer Personen IaaS-Produkte aus den Vereinigten Staaten anbietet, die für böswillige Cyber-Aktivitäten genutzt werden“ oder den Zugang bestimmter Ausländer einschränken. Dieser Abschnitt und die Aufzeichnungspflichten werden nach 180 Tagen in Kraft treten.

Nach 120 Tagen muss die US-Regierung darüber beraten, wie der Informationsaustausch zwischen den Cloud-Anbietern selbst sowie mit der Regierung verbessert werden kann, um „den Missbrauch von US-IaaS-Produkten zu verhindern“. Nach 240 Tagen sollen dem Präsidenten ein Bericht und Empfehlungen vorgelegt werden.