Die Cloud-Fallen - PCtipp zeigt, wo sie lauern

Die meisten Cloud-Speicheranbieter gibt es bereits seit 10 bis 15 Jahren – einige sogar noch länger. Ihr Siegeszug wurde immer schneller dank der vielen Smartphones. Denn eine der häufigsten Anwendungen ist das Speichern von Bildern. Meist geht das am einfachsten über einen Cloud-Speicher, der sich auch noch mit dem heimischen PC automatisch synchronisiert, Bild 1.

Die meisten bekannten Cloud-Speicher wie Google Drive, Apple iCloud, Box, Dropbox oder Microsoft OneDrive bieten zwischen 5 und 20 GB kostenlosen Speicherplatz an. Viele Anwender schwenken aber auf ein Monats- oder Jahresabo für mehr Speicherplatz um. Auch denken sich viele, dass ein bezahltes Abo mehr Sicherheit bietet. Das stimmt allerdings nur bedingt, wie wir später noch genauer erklären.

Da die Handhabung von Cloud-Speichern so einfach ist, nutzen sie viele private Anwender. Studien belegen für Europa, dass jeder Zweite bereits auf einen Speicher im Internet setzt. In der Schweiz soll die Nutzung sogar bei etwa 66 Prozent liegen. Die Spitzenreiter sind dabei die drei US-Clouds Apple iCloud, Google Drive und Microsoft OneDrive, Bild 2.

Viele Anwender kennen zwar meist die technischen Unterschiede der vielen Anbieter, aber nicht die rechtlichen.

DSG vs. CLOUD Act

Schweizer Bürger erwarteten vom DSG (Schweizer Bundesgesetz über den Datenschutz) den Schutz ihrer Daten, aber US-Clouds unterliegen dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act). In der Praxis bedeutet das: Das FBI oder andere US-Sicherheitsorgane können Daten fordern und die US-Cloud-Anbieter müssen liefern – ohne Rechtshilfe oder Gerichtsbeschluss. Das bedeutet, dass auf alle in den US-Clouds abgelegten privaten Daten – etwa die Steuererklärung, Arztberichte oder Fotos – zugegriffen werden kann, auch wenn der Server in der EU oder der Schweiz steht (siehe unten in der Tabelle).

Daten endgültig löschen

Werden Daten in Apples iCloud gelöscht, so stehen sie weitere 30 Tage zur Verfügung, Geräte-Backups sogar bis zu 180 Tage. Auch nach einer Kündigung und Account-Löschung bleiben die Daten weitere 30 Tage gespeichert. So verfährt auch Dropbox. Bei Google und Microsoft sind es 60 Tage. Bei inaktiven Konten bleiben die Daten sogar ganze 6 Monate bis 2 Jahre erhalten.

Europäische Anbieter gehen hier anders vor, denn sie müssen das DSG oder die DSGVO umsetzen. Dort haben Sie das Recht auf Vergessenwerden. Dadurch werden Daten in recht kurzer Zeit, meist um die 14 Tage, endgültig gelöscht. Auch nach der Kündigung eines Accounts sind die Löschfristen kaum länger als 30 Tage. Das betrifft etwa Schweizer Anbieter wie kDrive, Swisscom, pCloud oder Proton genauso wie deutsche Anbieter wie Ionos, Filen.io oder Strato.

Anbieter-Datenzugriff

Bei Anbietern wie Google oder Apple gibt es besondere Services wie das Durchsuchen von abgelegten Fotos, kombiniert mit einer Inhaltserkennung. Damit lassen sich sogar Personen oder Dinge wie Fahrzeuge in Fotos identifizieren und in Alben ablegen. Die Anbieter betonen, dass dieser Service nur funktioniert, wenn sie auch alle Schlüssel zu den Daten haben (dazu später noch mehr).

Was die Anbieter aber nicht explizit erwähnen, ist die Analyse der Daten für Werbung und die Auswertung von Bildern, ob diese Gewalt oder Missbrauch von Kindern darstellen. Bei Google steht das jedoch in den AGB und der Hilfefunktion: «Wir analysieren die Inhalte Ihres Google-Kontos mithilfe verschiedener Techniken auf CSAM (Children's Social Media).», Bild 3.

Datenschützer unterstützen zwar den Kampf gegen explizite Bilder, aber die Scans stellen jeden Nutzer unter Generalverdacht. Was bei einer Fehlerkennung passiert, mussten bereits einige Nutzer erfahren. So gibt es mehrere Fälle bei Google, bei denen eine Nutzersperre über alle ihre verwendeten Services verhängt wurde: Cloud-Speicher, Kalender, Kontakte und vieles mehr – für zehn Jahre! Obwohl die Nutzer durch die Polizei ihre Unschuld beweisen konnten, erlaubt Google trotzdem keinen Zugriff mehr – alle Daten, E-Mails und Kontakte waren verloren.

Apple gibt an, dass es das Scanverfahren gestoppt hat, da es mehrere Falscherkennungen gab, etwa durch Szenen wie das Wickeln eines Babys am Strand.

Verschlüsselter Zugriff

Wird zwischen dem Nutzer und dem Cloud-Speicheranbieter eine echte, sogenannte Ende-zu-Ende-Verschlüsselung genutzt, dann sieht der Anbieter eigentlich nur Datensalat. Der Anwender hat den Schlüssel. Auf dem Server werden die Daten in der Regel bei allen EU- und US-Anbietern mit einer 256 AES-Verschlüsselung abgelegt.

Hat der Anwender den Schlüssel, kann auch das FBI nicht mehr zugreifen. Daher liegen etwa bei den Onlinespeichern Google Drive, Microsoft OneDrive und Dropbox die Schlüssel bei den Anbietern, die sie bei US-Behördenanfragen herausgeben, Bild 4.

Lediglich Apple iCloud ist da teilweise eine Ausnahme: Aktiviert ein Nutzer auf seinem Gerät den Erweiterten Datenschutz, bleibt der Schlüssel auf dem Gerät. Da dies möglich ist, verlangt das FBI schon länger die Abschaltung der Funktion. In Grossbritannien wurde ein Verbot sogar bereits durchgesetzt.

Anders sieht es bei Anbietern in der Schweiz oder der EU aus. Bei vielen ist der Zugriff auf den Schlüssel durch den Anwender regelbar oder liegt beim Nutzer. Manchmal kostet das einen Aufpreis, so bei pCloud, Magenta­Cloud oder Ionos. Andere Anbieter überlassen die Schlüssel zum privaten Datenschatz den Anwendern. Das sind zum Beispiel Proton, Tresorit oder SecureSafe, Bild 5. Lediglich Swisscom ist hier eine Ausnahme, da der Schlüssel nur beim Anbieter liegt.

Cloud-Anbieter versuchen auch, Ressourcen zu sparen, und bieten den Anwendern einen speziellen Datentresor in ihrem Cloud-Bereich. Was dort hinein soll, legt der Anwender selbst fest, inklusive Zugangsschlüssel. Wird der Schlüssel verlegt, sind die Daten verloren. Die restlichen Daten im Cloud-Speicher sind zwar auch serverseitig verschlüsselt, aber für den Transport gibt es keine Ende-zu-Ende-Verschlüsselung (E2EE). Das machen zum Beispiel Anbieter wie kDrive, MagentaCloud oder GMX.

Achtung: Microsoft OneDrive bietet zwar auch einen Nutzertresor, aber der beim Anbieter verbliebene Schlüssel dient ebenfalls für den Zugriff auf die Tresordaten.

US-Clouds verschlüsseln

Wenn Sie völlige Kontrolle über Ihre privaten Daten erhalten möchten, aber Ihren aktuellen US-Cloud-Anbieter nicht verlassen wollen, hilft Cryptomator (cryptomator.org/de). Die Software ist Open Source für private Nutzer und ermöglicht es Ihnen, einen privaten Tresor zu erstellen. Der Schlüssel liegt nur bei Ihnen. Das Besondere an dem Tool: es funktioniert mit fast allen populären Cloud-Speichern. Dazu kommt, dass das Tool während der Nutzung immer nur veränderte Daten in Ihrem Tresor mit der Cloud und etwa Windows abgleicht. Andere Krypto-Tools sind meist container-basiert und müssen so immer den gesamten Container updaten. Das kostet Zeit und Datendurchsatz.

Der Einsatz unter Windows und Mac ist vollkommen kostenlos und einfach zu managen, Bild 6. Soll das Ganze auch mit Android oder iOS funktionieren, wird eine einmalige Gebühr von etwa 28 Franken fällig.

In der Praxis arbeitet das Tool wie eine Schnittstelle zwischen Cloud und Desktop. Die Daten werden einfach bei Zugriff ent- und verschlüsselt. Der Begriff Datentresor ist an dieser Stelle so nicht ganz korrekt. Im Prinzip kann der gesamte Cloud-Speicher ausgenutzt werden. Es muss keine Tresorgrösse festgelegt werden. Das einzige Limit ist die Dateigrösse, die bei maximal 4 GB liegt. Auch die Nutzung von tausenden Dateien in verschiedenen Ordnern kann die Nutzung verlangsamen.

Besserer Schutz mit 2FA

Bei einigen Cloud-Speicheranbietern ist die Zwei-Faktor-Authentifizierung (2FA) zwingend, bei anderen optional. Der klassische Schutz mit Benutzernamen und Passwort ist einfach zu unsicher. Auch die Meinung, dass die Angreifer an dem bisschen Cloud-Speicher kein Interesse haben, ist ein grosser Irrtum. Denn Angreifer suchen rund um die Uhr nach Cloud-Speichern mit vertrauenswürdigen Adressen, um dort für Aktionen etwa Skripte und Malware abzulegen.

Jeder Account eines Cloud-Speichers lässt sich per Zwei-Faktor-Authentifizierung schützen. Sie finden die Funktion in der Regel bei Ihren Kontoeinstellungen, Bild 7. Die Auswahl, was als zweiter Faktor dienen soll, ist sehr unterschiedlich. Alle bieten die Nutzung einer Authenticator-App an, wie etwa von Google oder Microsoft. Alternativ gibt es Codes per SMS, was aber immer weniger wird. Auch der Codeversand per E-Mail ist bei manchen Anbietern möglich, aber seltener, da der Weg recht unsicher ist.

Hinweis: Auch eine Zwei-Faktor-Authentifizierung kann bei US-Clouds den Zugriff auf den Speicher durch US-Behörden nicht verhindern. Sie greifen direkt auf den Server und die Daten zu.

Wenn Sie den 2FA-Schutz einsetzen, haben Sie in der täglichen Kommunikation mit Ihrem Cloud-Speicher wenig Aufwand. Denn sie müssen den Code nicht erneut eingeben. In der Regel lassen sich bestimmte, vertrauenswürdige Geräte freischalten. Aus Sicherheitsgründen kann es sein, dass Sie nach ein paar Monaten oder einem Jahr die Freischaltung erneuern müssen. Loggen Sie sich in Ihre Cloud mit einem anderen PC oder Browser ein, wird der zweite Faktor immer abgefragt.

Übrigens: Die Anbieter bieten bei der Einrichtung in der Regel einen zusätzlichen Notfallcode an. Den sollten Sie in Ihrem Passwortmanager speichern. Wenn Sie noch keinen nutzen, gibt Ihnen der Artikel auf Seite 14 im PCtipp 10/2025 praktische Tipps. Abonnenten lesen den Artikel auch online unter dem Link pctipp.ch/epaper.

EU- und Schweiz-Clouds

Der Artikel soll Ihnen keine Angst machen, dass Ihre Daten in falsche Hände gelangen könnten. Vielmehr sollten Sie die Hintergründe kennen, wer alles Zugriff auf Ihre Daten hat. Dazu passt, dass durch die geopolitischen Probleme der letzten Jahre der Begriff «Datenhoheit» ständig auftaucht. Nur in einer EU- oder Schweiz-Cloud haben Sie nach dem DSG bzw. der DSGVO die maximalen Rechte an Ihren Daten. Das Angebot an Anbietern ist gross. So gibt es viele Anbieter mit Firmensitz und Serverstandort in der Schweiz. Einige bieten sogar kostenlosen Cloud-Speicher an. Der reicht vielleicht nicht für den täglichen Bedarf, aber zum Testen reichen 1 bis 15 GB aus, Bild 9. Hier eine kleine Auswahl.

• Infomaniak kDrive, 15 GB: infomaniak.com/de/ksuite/kdrive

• pCloud, 10 GB: pcloud.com/de

• Swisscom myCloud, 10 GB (mit Werbung): mycloud.swisscom.ch

• Speicherbox.ch, 10 GB: speicherbox.ch

• Proton Drive, 5 GB: proton.me/de/drive

• Tresorit, 3 GB: tresorit.com/de

• Wölkli, 1 GB: woelkli.com/de

Interessante kostenlose Onlinespeicher innerhalb der EU sind:

• degoo.com, Schweden, 30 GB (mit Werbung)

• filen.io, Deutschland, 10 GB  

• koofr.eu, Slowenien, 10 GB

• jottacloud.com, Norwegen, 5 GB

• nordlocker.com, Litauen, 3 GB

Viele der Anbieter helfen Ihnen auch beim Umzug der Daten. So geben Sie zum Beispiel einfach die Zugangsdaten zu Ihrer US-Cloud an, und die Anbieter machen für Sie eine 1:1 Kopie Ihrer Daten – vorausgesetzt, der Speicherplatz ist gross genug. Früher hatten viele EU- oder Schweiz-Cloud-Anbieter keine Apps für iOS oder Android. Aber auch das ist inzwischen Geschichte. Alle der oben genannten Anbieter haben Apps, Bild 10.

Kopie auf dem NAS

Wenn Sie zu Hause einen aktuellen NAS-Speicher nutzen, können Sie die Daten aus der Cloud mit Ihrem Speicher spiegeln. Je nach Gerät und Anbieter gibt es Software, die den Stand Ihrer Daten automatisiert synchron hält. So finden Sie etwa bei Synology das Tool Cloud Sync. Damit können Sie ganze Speicher oder nur Ordner spiegeln. Sie können sogar verschiedene Clouds synchronisieren.