Microsoft gewährt den US-Geheimdiensten Zugriff auf Bankdaten von Indern

Ein Bericht behauptet, dass Microsoft die persönlichen Finanzdaten indischer Kunden an US-Geheimdienste weitergegeben habe. Offen gelegt wurde dies durch einen Bericht zur Risikobewertung bei indischen Banken durch die Reserve Bank of India (RBI) (so etwas wie die Zentralbank Indiens).

Einige Vorbemerkungen

Wenn wir hier über Cloud-Dienste von US-Anbietern diskutieren, schwingt immer der Vorbehalt 'dann landen die Daten bei US-Behörden' mit. Hersteller wie Microsoft versichern dann immer, dass die Daten sicher seien und in 'Europa lagern'.

Ach ja, da gab es doch meinen Blog-Beitrag US-Druck auf Indiens Datenschutz-Gesetzgebung vor einigen Tagen. Die US-Administration machte Druck auf Indiens Regierung. Indien arbeitet an einem seine Bundestaaten übergreifenden Datenschutzgesetz, das die Speicherung aller kritischen personenbezogenen Daten in Indien vorschreibt. Außerdem werden Richtlinien für E-Commerce und Cloud Computing entwickelt. So sollen Daten von inländischen Finanztransaktionen in Indien gespeichert werden. So viel als Vorbemerkung.

Indischer Sündenfall?

Bei MS PowerUser bin ich auf diesen Artikel gestoßen, der bei mir sofort alle roten Lampen angehen ließ. Der Beitrag basiert auf diesem Artikel von india.com. Die Botschaft: Microsoft hat regelmäßig finanzielle Details indischer Kunden mit US-Geheimdiensten geteilt.

Basis ist ein Exklusivbericht von DNA Money. Dieser stützt sich auf ein Dokument, was im Zusammenhang mit der Risikobeobachtung durch die Reserve Bank of India (RBI) erstellt wurde. Das Dokument ergab, dass Kundendaten mit Banken, die auf den Cloud-basierten E-Mail-Service von Microsoft Office 365 migriert sind, an US-Geheimdienste weitergegeben wurden.

Während die indischen Kunden nicht wussten, dass ihre persönlichen Daten beim US-Geheimdienst landeten, geht der Bericht davon aus, dass dies den indischen Banken bewusst bzw. bekannt war. Die RBI hat die Prüfungsausschüsse der Banken daher um eine Stellungnahme gebeten und in ihrem Risikobewertungsbericht (RAR) auch den Datenaustausch des Dienstleisters Microsoft hervorgehoben.

Die RBI erklärte dazu: "Alle Mailboxen wurden in die Microsoft Cloud-Umgebung Office 365 migriert. Es wurde von der Microsoft-Transparenzzentrale ermittelt, dass Microsoft verpflichtet ist, die Kundendaten gemäß dem US Foreign Intelligence Surveillance Act (FISA) und den US-Briefen zur nationalen Sicherheit auf Verlangen der US-Behörden zu teilen".

Der Bericht besagt, dass Microsoft in den Jahren 2014 bis 2016 Informationen in mindestens 3.036 Fällen bei mehr als 4.000 Regierungsanfragen oder rechtlichen Anfragen für indische Kunden in den USA offengelegt habe. Berichten zufolge haben die Banken mit Microsoft eine Vereinbarung über den Datenaustausch ihrer Kunden getroffen, bei der letztere die Daten der Bankkunden nur dann weitergeben, wenn der Beschluss von der indischen Regierung oder einem indischen Gericht erlassen wurde.

Laut Microsoft nutzen mehr als 100 Millionen Menschen Office 365 kommerziell. Ein Microsoft-Sprecher sagte gegenüber DNA Money: "Keine Regierung hat direkten Zugang zu den Daten unserer Benutzer. Der Datenschutz hat für uns höchste Priorität. Wir geben Kundendaten nur dann an Dritte weiter, wenn wir eine rechtsgültige Zusicherung, Bestellung oder Vorladung über bestimmte Konten oder individuelle Identifikatoren erhalten, die wir geprüft und als rechtlich angemessen und in Übereinstimmung mit der Rechtsstaatlichkeit und unseren Microsoft-Grundsätzen betrachtet haben".

Microsoft gibt an, dass man Regierungen in der Regel bei entsprechenden Anfragen an die gewerblichen Kunden verweist. Zudem würde den gewerblichen Kunden mitgeteilt, wenn die Regierung ihre Daten anfordert.

Unterdessen reagierten auch Banken wie die State Bank of India (SBI) und die Bank of Baroda auf diesen Bericht, dass Bankdaten indischer Kunden in den letzten fünf Jahren, d.h. ab 2014-18, von ihrem E-Mail-Anbieter Microsoft hätten offengelegt werden können. Während SBI sagte, dass von den US-Behörden keine Informationen über die finanziellen Details der Kunden angefordert wurden, blieb die Bank of Baroda schmallippig. Diese Bank erklärte, dass der Schutz der Interessen ihrer Kunden für sie von größter Bedeutung sei. Das lässt natürlich viel Raum für Spekulationen.