Diese Woche steht bei Cloudflare ganz im Zeichen von Datenschutz und Compliance. Im Wochenverlauf gehen wir darauf ein, wie Kunden unsere Dienste so nutzen können, dass sie trotz der zunehmenden Komplexität Vorschriften und Gesetze rund um den Globus einhalten.
Während der Anfänge von Cloudflare haben Michelle, Lee und ich darüber gesprochen, was für eine Art von Unternehmen wir aufbauen möchten. Dabei tauchte immer wieder auf das Wort „Vertrauen“ auf. Wir haben früh erkannt, dass uns niemand jemals mit der Übermittlung seines Internet-Traffic beauftragen wird, wenn wir nicht vertrauenswürdig sind. In unserem Geschäft kommt es vor allem anderen auf Vertrauen an.
Bei der Einführung, die alle neuen Mitarbeiterinnen und Mitarbeiter von Cloudflare durchlaufen, leite ich das Seminar „Was ist Cloudflare?“. Ich fülle mehrere Whiteboards mit Notizen und Diagrammen, um darzustellen, wie wir uns in den Markt einfügen. Aber eine Tafel lasse ich bis zum Ende frei, um dann das Wort VERTRAUEN in Großbuchstaben aufzuschreiben und dreimal zu unterstreichen. Vertrauen bildet unsere Geschäftsgrundlage.
Für die Kunden einstehen – von Anfang an
Deshalb haben wir Entscheidungen gefällt, zu denen sich andere Unternehmen vielleicht nicht durchgerungen hätten. Im Januar 2013 ist das FBI mit einer Verfügung (National Security Letter) bei uns aufgetaucht und hat Informationen zu einem Kunden verlangt. Das war äußerst beängstigend.
Wir hatten damals über 30 Angestellte. Die Agenten haben sich zwar professionell verhalten, wirkten aber extrem einschüchternd. In der Verfügung wurden wir nicht nur angewiesen, Informationen auszuhändigen. Uns wurde außerdem verboten, mit irgendwem außer unseren Anwälten über die Vorgänge zu sprechen.
Die Strafverfolgung hat durchaus ihre Rolle zu spielen. Doch Verfügungen, die seinerzeit so gut wie keiner Kontrolle unterlagen und von einem einzigen Zweig der US-Regierung verfasst und vollstreckt werden konnten, sowie Empfänger, die auf unbestimmte Zeit zum Stillschweigen darüber verpflichtet werden, können die Grundprinzipien einen ordnungsgemäßen Verfahrens unterlaufen. Daher beschlossen wir, die Regierung der Vereinigten Staaten zu verklagen.
Ich bin der Geschäftsleitung von Cloudflare dankbar dafür, dass sie uns ermutigt, immer für unsere Grundsätze zu kämpfen. Außerdem bin ich der Electronic Frontier Foundation dankbar, die in diesem Fall unsere juristische Vertretung übernommen hat. Es hat mehrere Jahre gedauert und wir mussten bis 2017 Stillschweigen über die Angelegenheit wahren, doch letztlich hat das FBI die Verfügung zurückgezogen und der Kongress hat Schritte unternommen, um die entsprechenden Gesetze zu reformieren und eine bessere Kontrolle sicherzustellen. Die Strafverfolgungsbehörden haben natürlich ihre Daseinsberechtigung. Doch wenn sie eine Grenze überschreiten und gegen grundlegende Prinzipien eines ordnungsgemäßen Verfahrens verstoßen, ist es unserer Meinung nach wichtig, ihr Verhalten infrage zu stellen.
Vertrauen ist das A und O.
Anerkennen, dass es nicht unsere Daten sind
Das Gleiche gilt für unsere geschäftlichen Aktivitäten. Sobald das Geschäft bei Cloudflare in Schwung kam, klopften Adtech-Firmen bei uns an. Wir bekamen zu hören: „Haben Sie eine Vorstellung davon, wie viel Sie verdienen könnten, wenn Sie uns einfach nur erlauben würden, Cookies zu benutzen und bei den Nutzern Ihres Netzwerks Retargeting anzuwenden?“ Ich habe während unserer Anfangszeit an vielen solcher Meetings teilgenommen, diese haben bei mir aber immer ein ungutes Gefühl hinterlassen. Als ich mit Michelle darüber sprach, brachte sie den Grund, aus dem wir niemals im Werbegeschäft aktiv werden, folgendermaßen auf den Punkt: „Es sind nicht unsere Daten.“
Und das ist richtig. Würden wir die Daten der Kunden verkaufen, die auf ihren Websites Werbeanzeigen schalten, würden wir damit faktisch ihr Geschäft unterminieren. Wichtiger noch: Wären wir ein unsichtbarer Dienst, der Nutzer im Internet ohne ihr Wissen verfolgt, wäre das regelrecht gruselig. Wir sind zwar der Meinung, dass es durchaus gute anzeigengestützte Geschäftsmodelle gibt, doch Cloudflare wird keines davon jemals anwenden.
Deshalb haben wir alle personenbezogenen Daten, die unser Netzwerk durchlaufen, immer als toxisch angesehen und schnellstmöglich entfernt. Das kann ein gewisses Spannungsfeld schaffen: Schließlich sind wir auf Sicherheit spezialisiert und dazu gehört beispielsweise auch, zu wissen, ob von einer bestimmten IP-Adresse DDoS-Traffic ausgeht. Doch wir haben in den Einsatz und die Erfindung von technischen Lösungen wie Universal SSL, Privacy Pass, Encrypted DNS und ESNI investiert, die dafür sorgen, dass die Vertraulichkeit Ihrer Daten gewahrt wird – auch uns gegenüber.
Auch hier dreht sich alles um Vertrauen.
Datenschutz steckt in unserer DNA
Schon zu den Anfängen von Cloudflare in Kalifornien haben wir eine globale Perspektive eingenommen. Heute sind fast die Hälfte C-Level-Führungspositionen mit Europäern besetzt, darunter die des CTO, CIO und CFO. Michelle, Mitgründerin und COO von Cloudflare, kommt aus Kanada – ein Land, das im Hinblick auf Datenschutz in vieler Hinsicht die gleichen Werte hat wie Europa. Wir unterhalten Geschäftsstellen auf der ganzen Welt und beschäftigen mehr Ingenieure außer- als innerhalb des Silicon Valley.
Die erste Fassung unserer Datenschutzrichtlinie habe ich Anfang 2010 verfasst, noch bevor wir den Vertrag mit unserem ersten Kunden unterzeichnet hatten. Schon der erste Entwurf enthielt die folgende Aussage: „Ihre personenbezogenen Daten werden von Cloudflare ohne Ihre Einwilligung grundsätzlich nicht verkauft, vermietet oder weitergegeben. Unser vorrangiger Datenschutzgrundsatz lautet, dass jede personenbezogene Information, die sie uns überantworten, vertraulich behandelt wird.“ Das trifft heute noch genauso zu. Während andere Technologieunternehmen ihre Datenschutzrichtlinien mit der Zeit flexibler gestaltet haben, ist unsere strenger geworden. Heute enthält sie eine ganze Liste von Dingen, die wir niemals getan haben und gegen die wir uns immer mit Händen und Füßen wehren werden:
Wir haben niemals unsere Kryptographie- oder Authentifizierungsschlüssel oder die unserer Kunden an Dritte weitergegeben.
Wir haben niemals Software oder Geräte von Strafverfolgungsbehörden in unserem Netzwerk installiert.
Wir haben niemals einen Feed von Kundeninhalten, die unser Netzwerk durchlaufen, einer Strafverfolgungsbehörde zugänglich gemacht.
Wir haben niemals Inhalte von Kunden auf Ersuchen von Strafverfolgungsbehörden oder anderen Dritten geändert.
Wie haben niemals beabsichtigte Ziele von DNS-Antworten auf Ersuchen von Strafverfolgungsbehörden oder anderen Dritten geändert.
Wir haben niemals Verschlüsselung auf Ersuchen von Strafverfolgungsbehörden oder anderen Dritten abgeschwächt, beeinträchtigt oder unterlaufen.
Viele Technologieunternehmen hatten Mühe, neue Datenschutzvorschriften wie die DSGVO einzuhalten. Cloudflare ist das dagegen vergleichsweise leicht gefallen, und zwar aufgrund der Grundsätze, die von Anfang an in unserer Kernstruktur verankert sind. Ohne Vertrauen fehlt uns die Geschäftsgrundlage. Und damit wir uns dieses Vertrauen beständig verdienen können, sind Transparenz, Prinzipientreue und der Respekt der Unantastbarkeit personenbezogener Daten absolut wesentlich.
Den Datenschutz unserer Dienste stärken
Dabei lassen wir es aber nicht bewenden, denn wir können noch mehr tun. Bestimmte Dinge stören mich an unseren Diensten schon lange. Beispielsweise haben wir von Beginn an das _cfduid-Cookie als Unterstützung für einige unserer Sicherheitsfunktionen genutzt. Wenn Sie Cloudflare verwendet haben, konnten Sie also nicht völlig auf Cookies verzichten. Anfang des Jahres haben John Graham-Cumming und ich das Team jedoch aufgefordert, herauszufinden, ob man nicht auch ohne dieses Cookie auskommen könnte. Die Herausforderung wurde gemeistert: Diese Woche erklären wir dieses Cookie für nicht mehr gültig. Aus meiner Sicht ist allein diese Nachricht Grund genug, eine ganze Woche lang zu feiern.
Wir betreiben etliche Rechenzentren rund um den Globus, die Daten zusammenfassen und verarbeiten, um Protokolle anfertigen und Funktionen bereitstellen zu können. Geo-Redundanz trägt zwar zu einer höheren Verfügbarkeit bei, doch manche Kunden möchten sicherstellen, dass ihre Daten eine bestimmte Weltregion niemals verlassen. Ab dieser Woche geben wir unseren Kunden deshalb eine viel größere Kontrolle darüber, welche Daten wo verarbeitet werden.
Und wie bei unseren Schwerpunktwochen zu Datenschutz und Verschlüsselung in den vergangenen Jahren bereits unter Beweis gestellt, investieren wir weiter in Technologien für eine stärkere Verschlüsselung und einen besseren Datenschutz bei wesentlichen Internet-Diensten wie DNS. Wäre es nicht großartig, wenn wir beispielsweise sicherstellen könnten, dass kein DNS-Anbieter jemals gleichzeitig sehen könnte, wer seinen Dienst nutzt und welche Ziele diese Anwender im Internet ansteuern? Bleiben Sie auf dem Laufenden!
Kunden bei immer komplexeren Compliance-Fragen unterstützen
Wir investieren weiter, um sicherzustellen, dass Cloudflare bei der Verstärkung des Datenschutzes eine Führungsrolle zukommt. Immer mehr Kunden wollen ihren Datenschutz aber auch selbst verbessern. Wir rechnen damit, dass diesen Monat ein Vorschlag für das Digitale-Dienste-Gesetz der Europäischen Union vorgelegt wird. Es steht zu erwarten, dass damit die Messlatte für den Umgang mit Daten durch Unternehmen, die in Europa geschäftlich tätig sind, weiter angehoben wird. Während Internetriesen über die nötigen Ressourcen verfügen, um diesen strengeren Anforderungen gerecht zu werden, entstehen dadurch für alle anderen neue Herausforderungen.
Aus diesem Grund stellen wir diese Woche die Data Localization Suite von Cloudflare vor. Damit steht unseren Kunden eine Reihe wirkungsvoller Instrumente zur Verfügung, die ihnen die Kontrolle darüber verleihen, wie und wo ihre Daten verarbeitet werden. Auf diese Weise helfen wir ihnen dabei, die immer komplizierteren Datenverarbeitungsvorschriften einzuhalten. Zu dem Angebot gehören Verbesserungen an unserer Edge-Computing- und Speicherplattform Workers, damit moderne Anwendungen so entwickelt werden können, dass die Daten der Nutzer ihr eigenes Land oder ihre eigene Weltregion niemals verlassen.
Datenschutz spielt in der heutigen Zeit eine immer wichtigere Rolle. Deshalb wird das Modell, alle Kundendaten an ein einziges Rechenzentrum in Ashburn (Virginia) zurückzuleiten – wo auch immer sich der betreffende Kunde befindet –, irgendwann ebenso antiquiert wirken, wie uns heute die Vorstellung erscheint, einen Stapel Lochkarten zu einem zentralen Großrechner zu bringen. Mit einem Netzwerk, das sich schon heute über mehr als 100 Länder erstreckt, ist Cloudflare bestens aufgestellt, um den Kunden den Weg in eine Zukunft zu ebnen, in der Daten besser geschützt sein werden.
Bleiben Sie auf dem Laufenden
Über unseren Blog werden wir diese Woche eine Reihe von Ankündigungen veröffentlichen. Am besten schauen Sie also regelmäßig nach, um nichts zu verpassen. Da die Themen Datenschutz und Compliance in Europa gerade eine so wichtige Rolle spielen, werden wir die meisten Blog-Beiträge nicht nur auf Englisch, sondern auch auf Französisch, Italienisch, Spanisch, Portugiesisch und Deutsch veröffentlichen. Zusätzlich lohnt auch ein Blick ins Cloudflare-TV. Dort sprechen wir mit einer Reihe von Interviewpartnern, die wir respektieren und die uns Dinge beigebracht haben, über ihre Sicht auf Datenschutz und Compliance.
Cloudflare hat das Ziel, ein besseres Internet zu schaffen. Und es besteht kein Zweifel, dass dazu auch ein besserer Datenschutz gehört. Hiermit möchten wir Sie herzlich zu unserer Schwerpunktwoche Datenschutz und Compliance begrüßen.