在德国设置安全的服务器位置？云端数据主权：为什么服务器位于德国还不够！——图片来源：Xpert.Digital
为什么服务器位置无法保证数据安全
“德国是安全服务器所在地”的错觉
认为存储在德国服务器上的数据会自动免受境外访问是一种危险的误解。本文分析阐明了为什么仅凭物理位置并不能保证数据安全，以及实现真正数据主权需要采取哪些措施。
许多德国公司误以为将数据存储在德国境内的服务器上就能充分防止未经授权的访问。然而，这种想法忽略了一个关键因素：云服务提供商的国籍及其相关的法律义务远比数据处理的物理位置重要得多。
《澄清合法海外数据使用法案》（CLOUD Act）是一项于2018年生效的美国法律，它要求美国IT公司（包括其海外子公司）应美国当局要求移交存储的数据，无论这些数据实际存储在何处。具体而言，这意味着如果一家公司使用AWS、谷歌云、微软Azure或其他美国境内的服务，即使数据存储在法兰克福、柏林或慕尼黑的服务器上，这些数据也可能受到美国当局的访问。
这项法律的影响常常被低估：“《云法案》强制要求谷歌云、微软Azure、亚马逊网络服务和Dropbox等美国云服务提供商应美国当局要求，提供存储在云端的数据。”其后果显而易见：“它实际上凌驾于GDPR法规之上。”
适合：
美国法律与欧洲数据保护之间的根本冲突
《云法案》与欧盟《通用数据保护条例》（GDPR）之间的冲突给企业带来了一个无法解决的困境。服务器位于欧盟的美国服务提供商有义务允许美国当局访问其服务器，尽管GDPR明确禁止他们这样做。这种法律上的矛盾造成了持续的紧张关系，使得企业几乎不可能同时遵守这两个法律框架。
这个问题不仅限于数据保护，还触及了数据主权这一根本问题。由于美国当局可能拥有访问数据的权利，“企业实际上失去了对其数据的控制权，从而也失去了对其知识产权的控制权”，而知识产权对于商业秘密和商业机密尤为重要。
法律发展：从 Schrems II 到欧盟-美国数据隐私框架
法律形势随着多项法院判决和新协议的达成而不断演变。2020年7月，欧洲法院在“Schrems II”案中裁定“欧盟-美国隐私盾”协议无效，理由是美国的监控做法与欧洲数据保护标准不符。该裁决严重阻碍了向美国传输数据。
作为回应，欧盟委员会于2023年7月通过了新的欧盟-美国数据隐私框架（DPF）。该框架旨在解决Schrems II裁决提出的担忧：“新框架旨在通过保障措施来解决这些担忧，这些保障措施限制美国情报机构访问欧盟数据，并设立一个审查法院，如果欧盟公民的数据是在违反保障措施的情况下收集的，该法院可以下令删除这些数据。”
然而，这一框架仍存在争议。它仅有效至2025年6月27日，而欧盟委员会近期提议将英国的充分性认定再延长六个月。因此，这一法律基础的稳定性远未得到保障。
德国公司面临的实际风险
使用美国云服务会给德国企业带来一些特殊风险：
- 数据泄露：《云法案》允许美国当局在未经实际数据所有者知情的情况下访问敏感数据，这违反了 GDPR。
- 法律困境：企业面临两难选择——要么遵守《云法案》，从而违反《通用数据保护条例》(GDPR)；要么拒绝向美国当局传输数据，从而违反美国法律。无论哪种情况，都将面临罚款。
- 失去对知识产权的控制权：尤其关键的是可能获取商业秘密、战略计划和研究成果。
- 缺乏透明度：美国当局可以在不通知相关公司的情况下获取数据。
适合：
真正的数据主权：美国云服务提供商的替代方案
要实现真正的数据主权，企业必须考虑其他策略：
1. 欧洲云服务提供商作为一种安全的替代方案
一个有效的解决方案是转而使用位于欧盟境内且不受《云法案》约束的云服务提供商。例如：
- IONOS 云：作为一家欧洲服务提供商，IONOS 完全遵守欧盟严格的数据保护法律，并保证对数据拥有完全控制权。由于数据存储在德国，因此可防止境外访问。IONOS 的运营符合 GDPR 的要求，并满足最高的安全和合规标准，包括 ISO 27001、BSI IT 基线保护和 C5 认证。
- Hetzner：提供符合 GDPR 标准的托管服务，不会将客户数据传输到第三国。即使是其位于美国和新加坡的云服务也符合 GDPR 标准，因为客户数据保留在 Hetzner Online GmbH，不会传输给子公司。
欧洲供应商的优势显而易见：“作为一家欧洲供应商，IONOS 完全受欧盟严格的数据保护法律约束，因此保证您对数据的完全控制权。”
2. 成功迁移案例
开放数据丹麦（Open Data Denmark）的案例证明了此类迁移的可行性。该机构从谷歌云平台（GCP）迁移到了位于德国的Hetzner数据中心。此次迁移的动机源于对GCP的信任、数据保护和数据主权方面日益增长的担忧。此次迁移带来了三个关键优势：
- 成本效益：运营成本降低30%以上
- 数据主权：在德国托管确保了完全符合欧盟法规，特别是 GDPR。
- 性能：更佳的硬件和网络基础设施
实现真正数据主权的切实步骤
为了真正实现数据主权，企业应考虑以下步骤：
- 确定云服务提供商：检查您当前的云服务提供商是否为美国公司或受美国法律管辖。
- 进行风险评估：评估哪些数据特别敏感，以及在美国服务提供商处传输这些数据可能会面临哪些风险。
- 评估其他供应商：考虑选择 IONOS 或 Hetzner 等欧洲云供应商作为替代方案，这些供应商可保证完全符合 GDPR 标准。
- 制定迁移策略：规划将关键数据和应用程序分阶段迁移到欧洲供应商。
- 实施数据保护措施：实施额外的安全措施，例如加密和严格的访问控制。
更多相关信息请点击这里：
主权而非依赖
仅仅将数据存储在德国的服务器上不足以确保真正的数据主权。云服务提供商的法律结构和来源地对于有效保护敏感的公司数据至关重要。
鉴于目前法律的不确定性以及美国法律与欧洲数据保护法之间的根本冲突，迁移到欧洲云服务提供商是许多公司获得真正数据控制权的最安全途径。虽然这一决定可能需要付出努力，但从长远来看，它为数据保护和数字主权提供了最可靠的基础。
企业不应坐等法律的进一步发展或下一个“施雷姆斯案”判决，而应积极主动地重新掌控自身的数字基础设施。唯有如此，才能真正实现数据主权，而不仅仅依靠所谓安全的服务器位置来实现“纸面安全”。
适合：
您的全球营销和业务发展合作伙伴
☑️我们的业务语言是英语或德语
☑️ 新：用您的国家语言进行通信！
Konrad Wolfenstein
我很乐意作为个人顾问为您和我的团队提供服务。
您可以通过填写此处的联系表，或者直接致电+49 89 89 674 804 （慕尼黑）。我的电子邮件地址是： wolfenstein ∂ xpert.digital
我很期待我们的联合项目。
