Wenn der Anbieter abschalten muss: Jurisdiktionsrisiko beim Passwort-Manager

Verfügbarkeit ist nicht garantiert: ein aktuelles Beispiel

Im Juni 2026 wurde greifbar, was abstrakt klingt: Eine Exportkontrollanordnung der US-Regierung verpflichtete den KI-Anbieter Anthropic, den Zugang zu zwei seiner fortschrittlichsten Modelle für ausländische Staatsangehörige auszusetzen – unabhängig davon, ob sich diese innerhalb oder außerhalb der USA befanden. Da sich die Staatsangehörigkeit der Nutzer nicht zuverlässig in Echtzeit prüfen ließ, schaltete der Anbieter die betroffenen Modelle vorsorglich für alle Kunden ab. Innerhalb weniger Stunden war ein zuvor frei verfügbares Produkt nicht mehr nutzbar – unabhängig von laufenden Verträgen, bezahlten Abonnements oder dem physischen Standort der Nutzer.

Der Fall ist aus einem Grund lehrreich: Es handelte sich nicht um einen technischen Ausfall, sondern um eine regulatorische Entscheidung. Eine vertragliche Verfügbarkeitszusage (SLA) schützt davor nicht – muss ein Anbieter einer behördlichen Anordnung folgen, geht diese der vertraglichen Zusage vor. Für unkritische Dienste ist das ein verschmerzbares Ärgernis. Für geschäftskritische Infrastruktur ist es ein Risiko, das in die Architekturentscheidung gehört.

Zwei Dimensionen des Jurisdiktionsrisikos

Wer Daten oder Dienste einem Anbieter unter ausländischer Rechtsordnung anvertraut, übernimmt zwei unterschiedliche Risiken:

• Zugriff: Behörden des betreffenden Landes können den Anbieter unter Umständen zwingen, Daten herauszugeben – auch dann, wenn die Daten physisch in Europa gespeichert sind.
• Verfügbarkeit: Sanktionen, Exportkontrollen oder andere hoheitliche Anordnungen können den Anbieter verpflichten, einen Dienst für bestimmte Nutzergruppen oder Regionen einzustellen.

Beide Risiken sind unabhängig von der technischen Qualität des Dienstes oder der Vertragslage. Sie ergeben sich allein aus der Frage, welcher Rechtsordnung der Anbieter unterliegt.

Warum das beim Passwort-Manager besonders schwer wiegt

Ein Passwort-Manager ist kein gewöhnlicher Dienst. Er enthält die Zugangsdaten zu praktisch allen anderen Systemen eines Unternehmens – vom E-Mail-Konto über Server und Cloud-Dienste bis zur Buchhaltung. Wer diesen zentralen Tresor kompromittiert oder abschaltet, erreicht damit mittelbar alles andere.

Das verändert die Risikobewertung: Bei vielen Anwendungen mag die Abwägung zugunsten der Cloud-Bequemlichkeit ausfallen. Beim Tresor für die Generalschlüssel des Unternehmens stehen Zugriffs- und Verfügbarkeitskontrolle dagegen ganz oben. Hier wirkt sich ein Jurisdiktionsrisiko nicht auf ein einzelnes System aus, sondern potenziell auf die gesamte IT.

Der rechtliche Hintergrund

Das Jurisdiktionsrisiko bei Anbietern unter ausländischer Rechtsordnung ist kein theoretisches Konstrukt, sondern in konkreten Gesetzen angelegt. Es ist nicht auf die USA beschränkt – vergleichbare Regelungen existieren in anderen Staaten –, aber für den europäischen Markt sind vor allem drei Punkte relevant:

• CLOUD Act (USA, 2018): Verpflichtet Anbieter elektronischer Kommunikations- oder Remote-Computing-Dienste unter US-Jurisdiktion, Daten in ihrem Besitz, Gewahrsam oder ihrer Kontrolle offenzulegen – unabhängig davon, ob diese innerhalb oder außerhalb der USA gespeichert sind. Ein europäisches Rechenzentrum eines US-Anbieters schließt einen Zugriff daher nicht zwingend aus.
• Nachrichtendienstliche Zugriffsregelungen: Befugnisse wie FISA Section 702 betreffen unter bestimmten Voraussetzungen die gezielte Erfassung von Kommunikation nicht-amerikanischer Personen außerhalb der USA über US-Kommunikationsdienste. Reichweite und Rechtsstatus solcher Befugnisse sind für den konkreten Dienst gesondert zu bewerten.
• Drittlandtransfer nach DSGVO: Wer personenbezogene Daten an Anbieter in Drittstaaten übermittelt oder dort verarbeiten lässt, muss Art. 44 ff. DSGVO beachten. Das EU-US Data Privacy Framework schafft seit 2023 eine Grundlage für zertifizierte US-Organisationen, ersetzt aber nicht die Risiko- und Anbieterprüfung für besonders sensible Daten.

Diese Regelungen machen Cloud-Dienste nicht pauschal unzulässig. Sie verlagern aber die Kontrolle ein Stück weit aus dem Unternehmen hinaus – und genau diese Kontrolle ist bei Zugangsdaten besonders wertvoll.

Was digitale Souveränität konkret bedeutet

Digitale Souveränität wird leicht als politisches Schlagwort missverstanden. Praktisch heißt sie schlicht: Das Unternehmen behält die Kontrolle über die drei Fragen, die im Ernstfall zählen.

• Ort: Wo liegen die Daten physisch und logisch?
• Zugriff: Wer kann auf die Daten zugreifen – und wer kann zum Zugriff gezwungen werden?
• Verfügbarkeit: Wer entscheidet, ob der Dienst weiterläuft?

Souveränität bedeutet nicht, auf Cloud-Dienste grundsätzlich zu verzichten. Sie bedeutet, für die sensibelste Schicht – die Zugangsdaten – die Antwort auf diese drei Fragen nicht aus der Hand zu geben.

On-Premises als Architekturantwort

Die naheliegende Antwort auf das Jurisdiktionsrisiko ist, die Kontrolle über die kritische Schicht im Unternehmen zu behalten. Ein On-Premises-Passwort-Manager hält die verschlüsselten Datenbanken, die Benutzerverwaltung und die Protokolle vollständig auf Infrastruktur, die das Unternehmen selbst kontrolliert.

Dabei lohnt eine klare Unterscheidung, denn beim Eigenbetrieb entfällt in jedem Fall der Passwort-Manager-Anbieter als externe Herausgabe- oder Abschaltstelle – die verbleibende Frage ist allein die nach der Infrastruktur:

• Eigenes Rechenzentrum: Tresor, Schlüssel, Backups und Betrieb liegen vollständig in der eigenen Hand. Hier ist die digitale Souveränität am weitesten – es gibt weder einen externen Passwort-Manager-Dienst noch einen externen Infrastrukturbetreiber, der zum Zugriff gezwungen oder zur Abschaltung verpflichtet werden könnte.
• Private Cloud oder eigener Azure-Tenant: Auch hier betreibt kein Hersteller den Passwort-Manager-Dienst. Allerdings kommt ein Infrastrukturbetreiber ins Spiel – unterliegt dieser einer ausländischen Rechtsordnung, ist sein Jurisdiktionsrisiko gesondert zu bewerten. Das Anbieterrisiko des Passwort-Managers entfällt, das Hosting-Risiko bleibt.

Für die maximale Kontrolle ist damit der Betrieb im eigenen Rechenzentrum die klarste Wahl. Die Datenschutz-Bewertung vereinfacht sich in beiden Fällen, weil durch den Passwort-Manager-Anbieter kein Drittlandtransfer entsteht – Details dazu im Artikel DSGVO Passwort Manager für Unternehmen.

Souveränität nach Betriebsmodell im Vergleich

Cloud-Passwort-Manager sind nicht per se unsicher – für Organisationen ohne eigene Infrastruktur und ohne besondere Souveränitätsanforderungen können sie eine angemessene Wahl sein. Die Frage ist nicht „gut oder schlecht“, sondern: Wer soll im Ernstfall über Zugriff und Verfügbarkeit der sensibelsten Daten entscheiden?

Kurz: Wo Kontrolle über Zugriff und Verfügbarkeit den Ausschlag gibt, ist der Eigenbetrieb die konsequente Wahl – nicht, weil Cloud grundsätzlich ausscheidet, sondern weil die Zugangsdaten die eine Schicht sind, bei der man die Kontrolle behalten sollte.

Password Depot: Datenhoheit als Prinzip

Der Password Depot Enterprise Server ist konsequent für den Betrieb in Ihrer Umgebung gebaut und erzwingt keinen externen Cloud-Dienst – die Datenhoheit bleibt vollständig bei Ihnen. Entscheidend für die Souveränitätsfrage ist auch der Hersteller: Password Depot wird von der AceBIT GmbH mit Sitz in Darmstadt entwickelt – einem deutschen Unternehmen unter deutscher und europäischer Rechtsordnung. Seit 1998 entwickelt, im Einsatz bei über 100.000 Kunden.

• Betrieb in Ihrer Infrastruktur: On-Premises im eigenen Rechenzentrum, in einer Private Cloud beim Hosting-Partner Ihrer Wahl oder im eigenen Azure-Tenant – die verschlüsselten Datenbanken verlassen den von Ihnen gewählten Verantwortungsbereich nicht.
• Hersteller unter EU-Recht: AceBIT ist als deutsches Unternehmen nicht dem US CLOUD Act unterworfen. Nutzen Sie externe Infrastruktur, ist deren Betreiber gesondert zu bewerten – die Wahl liegt bei Ihnen.
• Nachprüfbare Sicherheitsarchitektur: AES-256 (Algorithmus nach FIPS 197) und TLS 1.3, ein SySS-Penetrationstest für Password Depot 19 (12/2025) mit dem Ergebnis „keine schwerwiegenden Sicherheitslücken festgestellt“ sowie ein nach ISO/IEC 27001:2022 durch TÜV NORD CERT zertifiziertes ISMS der AceBIT GmbH.
• DSGVO-konform betreibbar: Da die Daten im Eigenbetrieb auf der von Ihnen gewählten Infrastruktur bleiben, entsteht durch den Passwort-Manager kein Drittlandtransfer; Rollen, Protokollierung und Verschlüsselung unterstützen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Die konkrete Konformität hängt zusätzlich von Ihrer Konfiguration und Ihren Prozessen ab. Alle Nachweise finden Sie im Trust Center.

So wird aus dem vermeintlichen Nachteil des Eigenbetriebs ein strategischer Vorteil: Password Depot ist das Betriebsmodell, bei dem kein fremder Herstellerdienst über den Zugriff auf Ihre Generalschlüssel oder die Verfügbarkeit Ihres Tresors entscheidet.

Fazit: Souveränität ist eine Architekturentscheidung

Verfügbarkeit und Zugriffsschutz lassen sich nicht allein vertraglich garantieren, wenn die zugrunde liegende Anbieter- oder Infrastrukturkette einer fremden Rechtsordnung unterliegt – das Beispiel aus dem Juni 2026 führt das vor Augen. Für die meisten Systeme ist diese Abhängigkeit vertretbar. Für den Passwort-Manager, der die Schlüssel zu allem anderen verwahrt, ist sie es nicht. Wer Kontrolle über Ort, Zugriff und Verfügbarkeit behalten will, trifft diese Entscheidung am besten auf Architekturebene – durch Eigenbetrieb unter eigener Kontrolle und mit einem Hersteller unter europäischer Rechtsordnung.

Überzeugen Sie sich in Ihrer eigenen Umgebung: Testen Sie den Enterprise Server 30 Tage kostenlos, sehen Sie sich die Lösung in einer Live-Demo an oder fordern Sie ein unverbindliches Angebot für Ihre Benutzerzahl an.

Häufige Fragen zur digitalen Souveränität

Was bedeutet digitale Souveränität bei der Passwortverwaltung?

Sie bedeutet, dass das Unternehmen die Kontrolle über drei Fragen behält: wo die Zugangsdaten liegen, wer darauf zugreifen kann und wer über die Verfügbarkeit des Dienstes entscheidet. Bei einem Eigenbetrieb im eigenen Rechenzentrum liegen alle drei Antworten beim Unternehmen selbst.

Was ist der CLOUD Act – und sind deutsche Unternehmen davon betroffen?

Der CLOUD Act (USA, 2018) verpflichtet Anbieter elektronischer Kommunikations- oder Remote-Computing-Dienste unter US-Jurisdiktion, Daten in ihrem Gewahrsam oder unter ihrer Kontrolle offenzulegen – unabhängig vom physischen Speicherort. Für deutsche Unternehmen kann das relevant werden, wenn sie solche Anbieter für die Verwaltung sensibler Daten nutzen, selbst wenn die Daten in einem europäischen Rechenzentrum liegen.

Schützt ein europäisches Rechenzentrum eines US-Anbieters vor dem Zugriff?

Nicht zwingend. Maßgeblich ist nicht nur, wo die Daten gespeichert sind, sondern auch, welcher Rechtsordnung der Anbieter unterliegt. Unterliegt der Anbieter US-Recht, kann eine Herausgabepflicht auch Daten betreffen, die außerhalb der USA gespeichert sind.

Sind Cloud-Passwort-Manager dadurch grundsätzlich unsicher?

Nein. Es geht nicht um die technische Sicherheit der Verschlüsselung, sondern um die Kontrolle über Zugriff und Verfügbarkeit. Für Organisationen ohne besondere Souveränitätsanforderungen können Cloud-Lösungen angemessen sein. Bei Zugangsdaten – der Schicht, die alle anderen Systeme aufschließt – fällt die Abwägung jedoch häufig zugunsten der eigenen Kontrolle aus.

Wie schützt ein On-Premises-Betrieb vor dem Jurisdiktionsrisiko?

Beim Eigenbetrieb gibt es keinen externen Passwort-Manager-Dienst, der zur Datenherausgabe gezwungen werden könnte, und keinen herstellerbetriebenen Dienst, den eine fremde Behörde abschalten könnte. Im eigenen Rechenzentrum liegen Speicherort, Zugriffswege und Verfügbarkeit vollständig unter Kontrolle der eigenen IT. Bei externer Infrastruktur wie Private Cloud oder Azure-Tenant ist zusätzlich der Infrastrukturbetreiber zu bewerten.

Unterliegt Password Depot US-Recht?

Nein. Password Depot wird von der AceBIT GmbH mit Sitz in Darmstadt entwickelt – einem deutschen Unternehmen unter deutscher und europäischer Rechtsordnung. Im On-Premises-Betrieb verbleiben die verschlüsselten Daten in Ihrer eigenen oder von Ihnen gewählten Infrastruktur. Bei Nutzung externer Infrastruktur bleibt deren Anbieter gesondert zu bewerten.