Cloud Act: Das eigentliche Problem ist nicht der Speicherort, sondern das Control Plane

In den meisten Diskussionen um den Cloud Act geht es ausschließlich um den Speicherort von Daten. Rechenzentrum in Frankfurt? ISO-zertifiziert? Verschlüsselt? Klingt gut.

Technisch betrachtet greift diese Diskussion aber viel zu kurz.

Der eigentliche Angriffspunkt sitzt an ganz anderer Stelle: dem Control Plane.

Wer das Control Plane kontrolliert, kontrolliert alles

In jeder Cloud-Infrastruktur gibt es zwei Ebenen:

• Data Plane: Hier liegen und bewegen sich die eigentlichen Nutzdaten.
• Control Plane: Hier wird gesteuert, wer was wie wo verarbeitet. Scheduling, Orchestrierung, APIs, IAM, Zugriffsrechte, Verschlüsselungsmanagement, Netzwerksteuerung, Policy Engines.

Die Kontrolle über das Control Plane entscheidet faktisch darüber, wer Zugriff auf welche Datenströme, Metadaten, Schlüssel und Steuerbefehle hat.

Und genau hier greift der Cloud Act.

Sobald die Plattform eines Anbieters aus einem nicht-europäischen Rechtsraum betrieben wird, kann dieser Anbieter auf Anordnung seiner nationalen Behörden sämtliche Steuerungsebenen offenlegen oder manipulieren. Und das betrifft eben nicht nur die Nutzdaten an sich, sondern alle Steuerungsinformationen darüber hinaus:

• Schlüsselmanagementsysteme (KMS)

• Authentifizierungssysteme (IAM)

• Scheduling-Prozesse

• Service Mesh und API-Konfigurationen

• Network Policies

• Logfiles und Metadaten

  \

Mit Zugriff auf diese Ebenen können Daten theoretisch jederzeit entschlüsselt, dupliziert, umgeleitet oder ausgewertet werden — auch wenn die Nutzdaten verschlüsselt im europäischen Rechenzentrum liegen. Die Verschlüsselung wird wertlos, wenn Key-Management, Zertifikatsverwaltung und Policy Enforcement unter Kontrolle Dritter stehen.

Verschlüsselung löst das Problem nicht

Viele Plattformanbieter argumentieren mit “Customer Managed Keys” oder bring-your-own-key-Programmen. Auch das ist in vielen Fällen nicht mehr als eine Verschiebung der Verantwortung.

Solange das Control Plane des Cloud-Anbieters außerhalb europäischer Gerichtsbarkeit betrieben wird, bleibt die Abhängigkeit bestehen. Denn Schlüsselverwaltung ist nur eine von vielen Steuerungskomponenten innerhalb eines modernen Cloud-Stacks. Der Zugriff auf Scheduling-Systeme, Container-Orchestrierung, Netzwerkkonfiguration und API-Steuerung bleibt davon unberührt.

Selbst vollständig verschlüsselte Daten können bei entsprechender Kontrolle über das Orchestrierungs- und Scheduling-System jederzeit im laufenden Betrieb entschlüsselt und abgegriffen werden.

Die entscheidende Frage lautet also nicht:

Wo liegen die Daten?

Sondern:

Wer steuert die Plattform?

Control Plane und Cloud Act sind technisch direkt miteinander verbunden

Die extraterritoriale Wirkung des Cloud Act greift nicht nur auf Rohdaten zu, sondern auf jede Komponente, die der Anbieter kontrolliert. Und das Control Plane gehört bei nahezu allen großen Plattformanbietern zur zentralen Steuerung, die global verwaltet wird.

Selbst wenn Subunternehmen oder europäische Joint Ventures betrieben werden, verbleiben zentrale Teile des Control Planes unter Kontrolle des Mutterunternehmens. Und genau hier entsteht die juristische Angriffsfläche, die aus einem reinen Datenhaltungsthema ein Steuerungsproblem macht.

Infrastrukturkontrolle fängt unterhalb der Applikationsebene an

Wer ernsthaft über Datensouveränität und Cloud-Unabhängigkeit spricht, muss sich nicht nur mit den Workloads beschäftigen, sondern mit der vollständigen Steuerungskette der Infrastruktur.

Das umfasst:

• Wer stellt Control Plane-Software bereit?
• Wer managed Scheduling und Orchestrierung?
• Wer betreibt die API-Gateways?
• Wer stellt das Key-Management bereit?
• Wer steuert Netzsegmentierung und Netzwerkzugriffe?
• Wer managed Zertifikate und Secrets?

Souveränität entsteht erst, wenn diese Steuerung vollständig transparent, nachvollziehbar und innerhalb der eigenen juristischen Hoheit betrieben wird.

Fazit

Der Cloud Act ist nur vordergründig ein Problem der Datenhaltung. In Wahrheit betrifft er die vollständige Steuerungsebene moderner Cloud-Infrastruktur.

Wer das Control Plane nicht kontrolliert, kontrolliert gar nichts.