US Cloud Act

Was ist der US Cloud Act?

Der US CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ist ein US-amerikanisches Gesetz aus dem Jahr 2018. Es ermöglicht US-Behörden unter bestimmten Voraussetzungen, von US-Unternehmen (wie Microsoft) die Herausgabe von Daten zu verlangen – auch wenn diese Daten auf Servern außerhalb der USA gespeichert sind.

Da Psido auf Microsoft Azure gehostet wird, stellt sich berechtigterweise die Frage: Könnten US-Behörden auf Ihre Patient:innendaten zugreifen?

Warum der Cloud Act für Psido-Nutzer:innen kein Risiko darstellt

Psido hat technische Maßnahmen implementiert, die einen Zugriff auf Ihre Daten – selbst durch Microsoft – nicht möglich machen:

Applikationsseitige Verschlüsselung

Psido verschlüsselt alle Ihre Daten applikationsseitig (Application-Level Encryption), bevor sie in der Datenbank oder im Dateispeicher abgelegt werden:

Datenbank: Sämtliche Patient:innendaten werden von der Psido-Applikation mit AES-256-GCM verschlüsselt, bevor sie in die Azure-Datenbank geschrieben werden. Microsoft sieht nur verschlüsselte, unlesbare Daten.
Dateien: Hochgeladene Dateien (Befunde, Dokumente, etc.) werden durch die Psido-Applikation verschlüsselt und erst dann im Azure Blob Storage gespeichert.

Externer Verschlüsselungsschlüssel

Der entscheidende Punkt: Azure hat auf den Verschlüsselungsschlüssel keinen Zugriff. Microsoft hat zu keinem Zeitpunkt Zugriff auf diesen Schlüssel. Ohne den Schlüssel sind die gespeicherten Daten wertlos – sie bestehen nur aus nicht entschlüsselbarem Chiffretext.

Zusammenfassung der Schutzmaßnahmen

Maßnahme	Wirkung
Applikationsseitige Verschlüsselung (AES-256-GCM)	Daten sind in der Datenbank und im Dateispeicher nur verschlüsselt vorhanden
Schlüssel für Azure nicht erreichbar	Microsoft kann Daten nicht entschlüsseln
Verschlüsselung vor dem Speichern	Selbst bei Infrastruktur-Zugriff bleiben Daten unlesbar

Visualisierung

graph TD
    App["🖥️ Psido Applikation"]
    Key["🔑 Verschlüsselungsschlüssel"]
    
    subgraph azure["☁️ Microsoft Azure (EU)"]
        DB[("🔒 Datenbank
Verschlüsselte Daten")]
        Blob[("🔒 Dateispeicher
Verschlüsselte Dateien")]
    end

    subgraph us["🇺🇸 US-Behörde (Cloud Act)"]
        Request["📋 Herausgabe-
verlangen"]
    end

    App -->|"Klartext"| Key
    Key -->|"Verschlüsselter
Chiffretext"| DB
    Key -->|"Verschlüsselte
Dateien"| Blob
    Request -.->|"❌ Nur verschlüsselte
Daten ohne Schlüssel"| azure

    style azure fill:#f9f9f9,stroke:#999
    style us fill:#fee,stroke:#c99,stroke-dasharray: 5 5
    style Key fill:#d4edda,stroke:#28a745

Rechtliche Einordnung

Zusätzlich zur technischen Absicherung gelten folgende rechtliche Rahmenbedingungen:

DSGVO-Vorrang: Die DSGVO verbietet die Herausgabe personenbezogener Daten an Drittstaaten ohne angemessene Rechtsgrundlage. Microsoft hat öffentlich erklärt, Cloud-Act-Anfragen im Widerspruch zur DSGVO anzufechten und betroffene Kund:innen finanziell zu entschädigen.
EU-Datenresidenz: Alle Psido-Daten werden ausschließlich in der EU verarbeitet und gespeichert (Deutschland und Österreich).
Kein direkter Zugriff: US-Behörden können sich nicht direkt an Psido wenden – der Cloud Act richtet sich an US-Unternehmen (Microsoft). Und Microsoft hat keinen Zugriff auf die entschlüsselten Daten.

Fazit

Durch die Kombination aus applikationsseitiger Verschlüsselung und externem Schlüsselmanagement ist ein Zugriff auf Ihre Patient:innendaten über den Cloud Act technisch nicht möglich. Selbst wenn Microsoft zur Herausgabe verpflichtet würde, könnten nur verschlüsselte, unbrauchbare Daten übergeben werden.