Im Auftrag des Präsidiums und des CIO der TU Berlin schätzen wir die Risiken von Cloud-Produkten US-amerikanischer Hersteller ein. Aktueller Anlass ist die angedachte Nutzung von Microsoft 365-Diensten an der TU Berlin.
Wir skizzieren die datenschutzrechtliche Situation rund um die Nutzung US-amerikanischer Dienste, deren Einsatz wir als datenschutzrechtlich äußerst kritisch beurteilen. Und zwar unabhängig davon, ob sich die Server in Europa oder in der USA befinden.
Mit der neuen lokal installierbaren Outlook-Desktop-App werden IMAP-Zugangsdaten in die Microsoft-Cloud übertragen.
Sowohl aus Datenschutz- als auch IT-Sicherheitssicht sollte das „neue Outlook“ deshalb keinesfalls genutzt werden.
Microsoft erklärt auf Nachfrage, dass die „Datensynchronisation für konsistente Nutzererfahrung“ erforderlich sei. Anwender*innen können dann ihre Mails sowohl lokal als auch in der MS-365-Cloud abrufen.
Problematisch ist dabei auch, dass die Ausleitung der Logins und Passwörter von Microsoft nicht transparent kommuniziert wird, es gibt lediglich eine Benachrichtigung auf eine erfolgende Datensynchronisation.
Microsofts plant, Anwender*innen „soft“ in die Cloud zu migrieren („wo die Mails schon mal da sind…“), und ermöglicht damit nebenbei, alle E-Mails mitlesen zu können.
=> Betroffene sollten das Produkt umgehend außer Betrieb nehmen und ihr E-Mail-Passwort ändern.
