5/9/14 Eyes und Ihre Cloud-Privatsphäre: die reale Weltkarte der Überwachung (2026)

Was sind die 5/9/14 Eyes und warum sind sie für die Cloud-Speicherung wichtig?

Die 5/9/14 Eyes sind abgestufte Allianzen zum Austausch nachrichtendienstlicher Informationen, die bestimmen, welche Regierungen Ihre Cloud-Daten rechtlich anfordern können. Die 5 Eyes (USA, Vereinigtes Königreich, Kanada, Australien, Neuseeland) teilen unverarbeitete Signale. Die 9 Eyes ergänzen Frankreich, Dänemark, Niederlande, Norwegen. Die 14 Eyes ergänzen Deutschland, Belgien, Italien, Spanien, Schweden. 2026 liegen nur 3 von 12 kartierten Cloud-Anbietern — Proton Drive, Tresorit, pCloud — außerhalb aller 14 Eyes, in der Schweiz.

Das Wesentliche

Die SIGINT-Allianzen 5 Eyes, 9 Eyes und 14 Eyes sind weder ein Verschwörungsmythos noch ein Staatsgeheimnis: Sie sind durch große Enthüllungen dokumentiert (Snowden 2013, Vault 7 im Jahr 2017) und durch offizielle Erklärungen mehrerer Unterzeichnerregierungen bestätigt. 2026 bleibt ihr Einfluss auf die Cloud-Privatsphäre enorm — nicht weil sie eine direkte Massenüberwachung ermöglichen, sondern weil sie bestimmen, welcher Staat einen Cloud-Anbieter rechtlich zur Herausgabe verschlüsselter Daten zwingen kann.

Die Frage für einen auf Cloud-Privatsphäre bedachten Nutzer lautet daher nicht „Existieren diese Allianzen?“ (ja), auch nicht „Könnte ich persönlich ausspioniert werden?“ (statistisch nein, wenn Sie kein gezieltes Ziel sind), sondern: „Wenn mein Anbieter morgen eine rechtliche Anfrage erhält, welches Recht gilt dann und wie viele Staaten können über den nachrichtendienstlichen Austausch darauf zugreifen?“ Diese Logik entfalten wir hier, Jurisdiktion für Jurisdiktion.

Von den 12 Anbietern für Cloud-Privatsphäre, die wir im Mai 2026 kartiert haben, sind 9 in Ländern der 14 Eyes oder verbündeten Ländern gehostet oder registriert, und nur 3 — Proton Drive, Tresorit und pCloud (Schweiz) — genießen einen echten jurisdiktionellen Schutz außerhalb der 14 Eyes. Hinzu kommen einige Nischen: 1984 Hosting (Island), Njalla (Nevis), Internxt (Spanien, 14 Eyes, aber dezentrale Infrastruktur).

Woher stammen die 5/9/14-Eyes-Allianzen?

Der Kern der 5 Eyes (FVEY) geht auf das UKUSA-Abkommen von 1946 zurück, das zwischen den Vereinigten Staaten und dem Vereinigten Königreich am Ende des Zweiten Weltkriegs unterzeichnet wurde, um den Austausch abgefangener Aufklärung gegen die UdSSR fortzusetzen. Kanada trat 1948 bei, Australien und Neuseeland 1956. Diese fünf Länder teilen unverarbeitete Aufklärung — Telefonabhörungen, Satellitendaten, direkten Zugang zu Telekommunikationsinfrastrukturen.

Die Erweiterungen der 9 Eyes und 14 Eyes (manchmal SIGINT Seniors Europe genannt) sind weniger privilegierte konzentrische Kreise: Mitglieder erhalten gefilterte und zusammengefasste Aufklärung, beteiligen sich aber aktiv an der Sammlung. Die von The Guardian und Der Spiegel 2013–2014 veröffentlichten Snowden-Dokumente verdeutlichten die Grenzen:

• 5 Eyes (FVEY): Vereinigte Staaten, Vereinigtes Königreich, Kanada, Australien, Neuseeland
• 9 Eyes: 5 Eyes + Dänemark, Frankreich, Niederlande, Norwegen
• 14 Eyes: 9 Eyes + Deutschland, Belgien, Italien, Spanien, Schweden

Jenseits der 14 Eyes gibt es assoziierte „Tier-B“-Kreise: Japan, Südkorea, Singapur, Israel, die gelegentlich teilen, ohne der formellen Allianz anzugehören.

Was diese Allianzen technisch tun

Drei operative Mechanismen:

1. Gemeinsame Nutzung von Datenbanken: XKeyscore und ähnliche, in die jedes Mitglied einspeist und in denen es Abfragen stellt.
2. Umgehung innerstaatlicher Grenzen: Wenn die NSA einen US-Bürger nicht legal ausspionieren darf, kann das britische GCHQ dies tun und übermitteln — eine von der ACLU dokumentierte und angefochtene Praxis.
3. Gegenseitige Anfragen an Cloud-Anbieter: Ein britischer Beschluss gegen eine US-Cloud läuft über einen beschleunigten Kanal (verstärktes MLAT).

Für Ihre Cloud-Privatsphäre ist der entscheidende Punkt der Mechanismus 3: Wenn Microsoft, Google oder Apple eine Anfrage von einem 5-Eyes-Mitglied erhält, ist die Zusammenarbeit nahezu automatisch. Kommt die Anfrage von einem 9- oder 14-Eyes-Mitglied, nehmen Verzögerung und Reibung zu, aber das Ergebnis bleibt wahrscheinlich.

Wie interagiert der CLOUD Act 2026 mit den 5/9/14-Eyes-Allianzen?

Neben den nachrichtendienstlichen Allianzen strukturieren drei jüngere Rechtstexte den Cloud-Zugang:

CLOUD Act (Vereinigte Staaten, 2018)

Der Clarifying Lawful Overseas Use of Data Act ermächtigt die US-Behörden, amerikanische Unternehmen (oder solche mit erheblicher US-Einheit) zur Herausgabe von Daten zu verpflichten, gleich wo weltweit gespeichert. Betroffen sind Microsoft, Google, AWS, Cloudflare, Apple. Ein US-Bundesbeschluss zwingt die Muttergesellschaft, die Daten europäischer Kunden herauszugeben. Der EuGH erklärte den Privacy Shield im Juli 2020 (Schrems-II-Urteil) genau deshalb für ungültig, weil dieser CLOUD Act die DSGVO und ein US-basiertes Hosting unvereinbar macht.

Folge 2026: Die Nutzung von Microsoft 365, Google Workspace oder iCloud für sensible Daten verletzt faktisch Ihre europäische Erwartung an Privatsphäre, unabhängig vom physischen Standort des Rechenzentrums.

EU Data Act + DSA (Europäische Union, 2023–2024)

Der EU Data Act (in Kraft seit 2024) verpflichtet außerhalb der EU ansässige Cloud-Anbieter, einen europäischen Rechtsvertreter zu benennen und mit den nationalen Behörden zusammenzuarbeiten. In Verbindung mit dem Digital Services Act (DSA, 2022) und dem Digital Markets Act (DMA) schafft er eine Lokalisierungspflicht für „sensible Daten“ — ohne den CLOUD Act für US-Akteure zu verbieten.

Folge: Ein Cloud-Akteur kann gleichzeitig durch den US CLOUD Act und den EU Data Act verpflichtet werden, ohne Schlichtungsverfahren. Genau das ist die Grauzone, in der Microsoft, Google und AWS seit 2024 agieren.

Schweizer Nachrichtendienstgesetz (NDG, 2017, revidiert 2024)

Das NDG ermächtigt den Nachrichtendienst des Bundes (NDB), den Zugang zu Daten zu verlangen, jedoch unter drei kumulativen Bedingungen: vorherige Genehmigung durch ein Bundesverwaltungsgericht, nachgewiesenes nationales Interesse, dokumentierte Verhältnismäßigkeit. 2024 nennt der öffentliche Bericht des NDB 172 formelle Anfragen, von denen 43 teilweise erfüllt wurden. Keine extraterritoriale Verpflichtung.

Diese Kluft — Faktor 30 bis 50 zwischen der US-amerikanischen und der schweizerischen Zusammenarbeit bei den Anfragevolumen — erklärt, warum Proton und Tresorit seit 2018 aktiv über ihre schweizerische Jurisdiktion kommunizieren.

Die Weltkarte 2026: Wo kann Ihre Cloud wirklich liegen?

Diese Tabelle berücksichtigt nur das auf die Speicherung anwendbare Recht. Das auf die besitzende Rechtseinheit des Anbieters anwendbare Recht ist ebenso wichtig: Proton ist schweizerisch (✅), Tresorit ist schweizerisch, wurde aber 2021 von der Schweizerischen Post übernommen (✅, neutraler Staat, außerhalb der 14 Eyes), pCloud ist schweizerisch (✅), MEGA hat seinen Sitz in Neuseeland (❌, 5 Eyes), Internxt ist spanisch (14 Eyes, aber die dezentrale Infrastruktur erschwert die rechtliche Durchsetzung).

Verbreitete Mythen, die es auszuräumen gilt

Mythos 1: „Wenn ich ehrlich bin, habe ich nichts zu verbergen“

Ein trügerisches Argument, das Vertraulichkeit mit Illegalität verwechselt. Ihre Kommunikation mit Ihrem Arzt, Anwalt oder Steuerberater ist legal, aber ihre Offenlegung gegenüber Dritten (Arbeitgeber, Ex-Partner, Versicherer, ausländischer Staatsakteur) kann Ihnen konkret schaden. Privatsphäre ist keine kriminelle Verschleierung, sondern die Kontrolle über den Perimeter des Geteilten.

Mythos 2: „Deutschland ist sicher wegen der DSGVO“

Deutschland ist Mitglied der 14 Eyes, und das 2021 revidierte BND-Gesetz ermächtigt die deutsche Behörde, den Verkehr abzufangen, der durch die Rechenzentren in Frankfurt und Berlin läuft, ohne individuellen Beschluss. Die DSGVO schützt Ihre Daten vor missbräuchlicher kommerzieller Nutzung, nicht vor nachrichtendienstlichem Zugriff. Eine wesentliche Unterscheidung.

Mythos 3: „Mit einem VPN bin ich nicht aufspürbar“

Ein VPN verbirgt Ihre IP vor der besuchten Website, aber Ihr Cloud-Anbieter sieht Ihre Uploads, Volumen, Zeitpunkte. Wenn die Cloud nicht zero-knowledge ist (siehe E2E vs. Zero-Knowledge-Cloud-Speicher), sieht sie auch den Inhalt. VPN + Nicht-Zero-Knowledge-Cloud = Problem verlagert, nicht gelöst.

Mythos 4: „Island ist zwangsläufig sicher wegen der IMMI“

Die IMMI ist ein fortschrittlicher gesetzlicher Rahmen, aber Island ist NATO-Mitglied und kooperiert auf diesem Weg informell mit den 5 Eyes. Für die Nutzung durch Journalisten/Whistleblower bleibt Island Schweden oder Frankreich vorzuziehen, ist aber der Schweiz in Bezug auf institutionelle Abschottung unterlegen.

Praktische Strategie 2026: Abgleich Jurisdiktion × Bedrohung

Die Wahl der Jurisdiktion hängt von Ihrem Bedrohungsmodell ab:

• Wettbewerbliche/kommerzielle Bedrohung (einfache Industriespionage): Deutschland, Frankreich, Niederlande genügen — ihr Rechtsrahmen erschwert den unbefugten Zugriff.
• Bedrohung durch ausländische staatliche Überwachung (US-Bürger, der die NSA fürchtet, französischer Bürger, der die DGSE fürchtet): Schweiz zwingend, Island akzeptabel.
• Bedrohung durch innerstaatliche Überwachung (Aktivist, Journalist, Whistleblower gegenüber dem eigenen Staat): Schweiz + Zero-Knowledge-Dienst + native Clients + Tor-Zugang.
• Post-Quanten-Bedrohung (langfristig, morgen entschlüsselbare Verschlüsselung): Anbieter, der hybride PQC implementiert (Proton Mail tut dies seit 2024 mit Kyber-768 + X25519). Die Jurisdiktion spielt hier eine geringere Rolle, das kryptografische Modell ist wichtiger.

Dieser Abgleich ist es, den die Priviy-Methodik systematisch auf jeden getesteten Anbieter anwendet: Wir bewerten Jurisdiktion, kryptografisches Modell, unabhängiges Audit und operative Widerstandsfähigkeit getrennt. Kein Anbieter maximiert alle 4 Dimensionen — Sie müssen je nach Ihrer Bedrohung priorisieren.

Unser Verdikt 2026

Für die Mehrheit der Cloud-Privatsphäre-Nutzer im Jahr 2026 ist die gewinnende Kombination:

• Schweizer Anbieter (Proton Drive standardmäßig, pCloud Crypto, wenn Sie eine Lifetime-Option wünschen)
• Zero-Knowledge-Client-Verschlüsselung, durch unabhängiges Audit verifiziert
• Nativer Desktop-/Mobil-Client statt Web-App
• Wiederherstellungsschlüssel auf Papier, offline aufbewahrt

Für Hochrisikoprofile kommt hinzu:

• Zugang über Tor oder Multi-Hop-VPN
• Strikte Trennung zwischen öffentlicher und geschützter Identität
• Redundante Backups über zwei verschiedene Nicht-14-Eyes-Jurisdiktionen

Der echte Nutzen des Verständnisses der 5/9/14-Eyes-Allianzen liegt nicht darin, paranoid zu werden: Er liegt darin, die Marketingkommunikation eines Anbieters lesen zu können. Wenn pCloud „swiss-based servers“ schreibt, ist das ein überprüfbares jurisdiktionelles Argument. Wenn Dropbox schreibt „Ihre Daten sind sicher“, ist das ein vertragliches Versprechen ohne jurisdiktionelle Absicherung. Genau dieser Unterschied trennt die verlässliche Cloud-Privatsphäre von der Marketing-Cloud-Privatsphäre.

Für schnelle Definitionen der in diesem Artikel verwendeten Schlüsselbegriffe — Jurisdiktion, CLOUD Act, DSGVO, Five Eyes, Schweizer DSG, Datenresidenz — siehe unser Glossar zu verschlüsselter Cloud & Privatsphäre.

Weiterlesen

• Beste verschlüsselte Cloud-Speicherdienste 2026 — vollständige Rangliste der schweizerischen und Nicht-14-Eyes-Anbieter — welche Anbieter bei der Kombination aus Jurisdiktion + Zero-Knowledge am besten abschneiden
• E2E vs. Zero-Knowledge-Cloud-Speicher — das kryptografische Gegenstück zu diesem Artikel
• Quiz zum Vergleich verschlüsselter Clouds — finden Sie Ihren idealen Anbieter in 60 Sekunden — Jurisdiktion, Zero-Knowledge, Budget: 5 Fragen, 1 personalisierte Empfehlung
• pCloud-Test 2026 — Schweizer Anbieter, 8-monatige Lifetime + Crypto-Test
• Priviy-Methodik — wie wir Jurisdiktion × Krypto × Audit bewerten
• Priviy Wikidata Q140050544
• Akademische Referenz: EFF Surveillance Self-Defense (https://ssd.eff.org/)
• Primärquellen: The Guardian Snowden-Archive 2013–2014; Bericht des Schweizer NDB 2024; Schrems-II-Urteil des EuGH (C-311/18)

Artikel veröffentlicht am 4. Juni 2026. Methodik: Durchsicht der primären Rechtstexte (deklassifiziertes UKUSA 1946, CLOUD Act 2018, EU Data Act 2024, Schweizer NDG 2017), abgeglichen mit den Transparenzberichten 2023–2024 von Proton, Tresorit, pCloud, MEGA, Mailfence; Überprüfung des SIGINT-Status anhand archivierter Snowden-Dokumente (The Guardian, Der Spiegel). Kein Anspruch auf eigene geheime Quellen. Protokolle und Notizen intern archiviert.