cloud ist ein marketingbegriff. er beschreibt technisch präzise: computer von jemand anderem.

wenn dateien in der cloud gespeichert werden, liegen sie auf servern, die einem konzern gehören, in rechenzentren die dieser konzern betreibt, unter zugangsbedingungen die dieser konzern kontrolliert.

das ist nicht inhärent schlecht. es ist eine entscheidung mit konsequenzen — die die meisten nicht kennen, weil niemand ein interesse daran hat, sie zu erklären.

was anbieter mit gespeicherten daten machen

google drive scannt dateien. das steht in den nutzungsbedingungen. der zweck ist offiziell: erkennung von schadsoftware, kinderpornografie, verstößen gegen die nutzungsbedingungen.

der effekt ist weiter: google hat zugriff auf den inhalt gespeicherter dateien. diese daten fließen in das google-profil. ein google-konto, das fotos, dokumente, e-mails, und suchanfragen kombiniert, erzeugt ein profil das tiefer geht als jedes aktives tracking.

2022 wurden mehrere fälle bekannt, in denen google accounts von nutzern sperrte, die fotos ihrer kinder in der cloud gespeichert hatten — fotos von badewannenszenen, arztbesuchen, normalem familienalltag. die ki die content moderation betreibt, produziert falsch-positive. die konsequenz: konto weg. e-mails weg. drive weg. kontakte weg. alles was am google-konto hängt.

kein vorabwarnung. keine menschliche überprüfung im ersten schritt. kein einfacher einspruchsweg.

was behörden können

us-amerikanische cloud-anbieter — google, microsoft, apple, amazon, dropbox — unterliegen us-recht. das bedeutet unter anderem: nationale sicherheitsbehörden können unter bestimmten bedingungen auf daten zugreifen, ohne dass der nutzer informiert wird.

der cloud act von 2018 verpflichtet us-anbieter, auf anfrage von us-behörden daten herauszugeben — unabhängig davon, wo die daten physisch gespeichert sind. ein nutzer in deutschland, dessen dateien auf einem microsoft-server in irland liegen, ist durch den cloud act nicht geschützt.

das gilt für alle großen anbieter: google workspace, microsoft onedrive, apple icloud, amazon s3, dropbox.

die dsgvo schützt in diesem kontext nicht vollständig. sie regelt was europäische unternehmen dürfen. sie kann us-gesetze nicht außer kraft setzen.

was verschlüsselung leistet und wo sie endet

einige anbieter bieten client-side encryption an — dateien werden auf dem gerät des nutzers verschlüsselt, bevor sie den server erreichen. der anbieter hat keinen schlüssel.

proton drive und tresorit sind beispiele. both haben ihren sitz in der schweiz — schweizerisches recht bietet mehr schutz vor ausländischen behördenanfragen als us- oder uk-recht.

das schützt vor inhalts-scanning, vor datenlecks auf server-ebene, und vor dem meisten behördlichen zugriff.

was es nicht schützt: metadaten. wann werden dateien hochgeladen. von wo. wie groß. wie oft. diese informationen sind auch bei client-side encryption sichtbar.

was alternative infrastruktur bedeutet

wer die kontrolle über eigene daten behalten will, hat grundsätzlich zwei optionen.

nextcloud ist eine open-source-software, die auf einem eigenen server betrieben werden kann. wer einen home-server oder einen gemieteten server bei einem europäischen anbieter betreibt, hat vollständige kontrolle: kein drittanbieter hat zugriff, keine nutzungsbedingungen regeln was gespeichert werden darf, keine automatische ki-analyse.

der aufwand ist real. server-wartung, backups, updates — das erfordert technisches verständnis und zeit. für die meisten nutzer ist es keine alltagsoption.

selektive cloud-nutzung ist der realistische mittelweg: welche daten sind sensibel genug, dass sie nicht in fremde hände gehören? finanzdaten, persönliche dokumente, medizinische unterlagen, private fotos — diese kategorien rechtfertigen entweder lokale speicherung oder einen anbieter mit nachgewiesener zero-knowledge-architektur.

welche daten sind unkritisch genug für standard-cloud? öffentlich zugängliche dokumente, arbeitsdateien ohne persönlichen bezug, geteilte projekte ohne sensiblen inhalt.

die unterscheidung ist eine individuelle entscheidung. sie setzt voraus, dass sie bewusst getroffen wird — nicht durch standard-einstellungen vorgegeben.

das grundprinzip

daten die bei anderen liegen, werden nach den regeln der anderen verwaltet. diese regeln können sich ändern. unternehmen werden übernommen. gesetze werden verschärft. konten werden gesperrt.

wer kontrollieren will was mit seinen daten passiert, muss kontrollieren wo sie liegen.

das ist keine technische forderung. es ist eine konsequenz aus dem verständnis wie cloud-dienste funktionieren. wer das versteht, kann entscheiden. wer es nicht versteht, entscheidet trotzdem — durch die standard-einstellungen die andere gesetzt haben.