Fastmail EU-Datenregion: Amsterdam als Hauptkopie, Backups in den USA
Datensouveränität wird meistens als Etikett verkauft, nicht als Bilanz. Fastmail macht es an diesem Montag umgekehrt: Der australische Mail-Anbieter hat eine EU-Datenregion eröffnet, europäische Konten. . .
Datensouveränität wird meistens als Etikett verkauft, nicht als Bilanz. Fastmail macht es an diesem Montag umgekehrt: Der australische Mail-Anbieter hat eine EU-Datenregion eröffnet, europäische Konten wandern auf eigene Server in Amsterdam — und im selben Blogeintrag steht sauber aufgelistet, welche Daten trotzdem in den Vereinigten Staaten liegen bleiben. Diese zweite Liste ist der eigentlich interessante Teil. Eigene Hardware in Amsterdam statt gemieteter CloudFastmail hat in einem Amsterdamer Rechenzentrum eigene Maschinen einstellen lassen, aufgesetzt von den eigenen Leuten, nach demselben Muster wie die bestehenden Standorte in Philadelphia und St. Louis. Der Anbieter betont, die Hardware bis hinunter zum Plattenmodell selbst zu spezifizieren, statt Rechenleistung bei einem großen Cloud-Anbieter zu mieten und dessen Zusicherungen weiterzureichen. Die Daten liegen verschlüsselt in verschlossenen Racks, verwaltet vom eigenen Team. Für Konten in der EU-Region heißt das: Die lebende Hauptkopie von Mail und Dateien liegt in Amsterdam, Web- und App-Zugriffe laufen direkt dorthin, und eingehende Post wird bevorzugt über die europäischen Server angenommen — sofern die eigene Domain auf Fastmails Nameservern liegt oder eine Adresse aus den EU-Domains genutzt wird. Fällt Amsterdam aus, greifen die Apps ersatzweise auf einen US-Standort zu, damit das Postfach erreichbar bleibt. Ich sehe die Frage nach dem Serverstandort seit Jahren in Auftragsverarbeitungsverträgen und Ausschreibungsbögen auftauchen, und in neun von zehn Fällen bleibt die Antwort des Anbieters ein Marketingsatz. Hier steht sie als Architekturbeschreibung da. Was trotzdem in den USA liegtWeil Amsterdam bislang der einzige europäische Standort ist, bleibt die geografisch getrennte Zweitkopie jedes EU-Kontos auf amerikanischen Servern. Dazu kommen die verschlüsselten Notfall-Sicherungen, die Fastmail alle paar Stunden zieht — die liegen derzeit für sämtliche Nutzer in Philadelphia, unabhängig von der gewählten Region. Ebenfalls nicht regionalisiert: die Systemprotokolle. Sie werden für Betriebsüberwachung und Support an einer Stelle in den USA zusammengeführt. Teile der Kontodaten liegen ohnehin an allen Standorten — Mailadressen und andere Nutzer- und Kundenmetadaten, der Speicher für Websites und die eigenständige Dateiablage sowie die Angaben zu verknüpften Diensten Dritter. Und die Dienstleister für Fehlersuche, Abrechnung und Support hängen unverändert am Konto, egal in welcher Region es beheimatet ist. Der ehrlichste Satz steht am SchlussFastmail schreibt selbst, man sei ein australisches Unternehmen und unterliege australischem Recht samt der Rechtshilfeabkommen zwischen Australien und anderen Staaten — und werde auf rechtmäßige behördliche Anfragen überall gleich reagieren, unabhängig davon, wo die Daten liegen. Wer eine Garantie brauche, dass seine Daten ausschließlich in der EU bleiben, bekomme sie hier nicht; man sage das lieber direkt, als es die Kundschaft annehmen zu lassen. Australien hat sich mit dem Assistance and Access Act von 2018 ausdrücklich Befugnisse gegeben, Anbieter zur Mitwirkung zu verpflichten — das ist der Rahmen, der hinter dieser Formulierung steht. Praktisch läuft die Umstellung ohne Zutun: Wer eine Rechnungsadresse in oder nahe Europa hat, wurde vorab für die EU-Region vorgemerkt, eine verschlüsselte Kopie der Daten war schon vor der Ankündigung in Amsterdam und wird demnächst zur Hauptkopie. Zurück in die USA geht per Schalter. Wer nicht in der Vorauswahl war, kann sich in die Warteschlange stellen — das dauert länger, weil dann tatsächlich jede Mail einmal über den Atlantik synchronisiert werden muss. An den IMAP- und POP3-Einstellungen muss niemand etwas ändern; die generischen Hostnamen leiten intern weiter, wer es genauer will, nimmt die regionalen Servernamen. Für ein DSGVO-Verarbeitungsverzeichnis ist das Ergebnis eine Verbesserung, aber keine saubere Lösung: Die Hauptkopie in der EU verkürzt die Wege, der Drittlandtransfer verschwindet nicht. Wer schon einmal versucht hat, einem Datenschutzbeauftragten den Unterschied zwischen Speicherort und Rechtsraum zu erklären, kennt die Stelle, an der das Gespräch kippt. Genau deshalb ist die Offenheit hier mehr wert als das Angebot selbst — sie erspart die Enttäuschung, die entsteht, wenn jemand „EU-Rechenzentrum“ liest und „außerhalb der US-Zugriffsmöglichkeiten“ versteht.