Zensus 2022: Statistisches Bundesamt hostet Dienst über Cloudflare

Ab morgen soll die hierzulande als Zensus 2022 bekannte Volkszählung, bei der Details zur Bevölkerung und Wohnungen erfasst werden, starten. Befragte Haushalte sollen einen Online-Fragebogen nutzen, um ihre Daten anzugeben. Der Dienst wird über Cloudflare gehostet. Die Volkszählung wird vom Statistischen Bundesamt durchgeführt. Für den technischen Betrieb ist das Informationstechnikzentrum Bund (ITZBund), der Hoster der Bundesverwaltung, zuständig. Laut Borncity greift der Browser jedoch auf IP-Adressen des US-amerikanischen Dienstes Cloudflare zu, sobald die offizielle Domain "zensus2022.de" aufgerufen wird. Bei Cloudflare handelt es sich um ein Content Delivery Network (CDN), das als Puffer dient und unter anderem DDoS-Angriffe sowie eine Überlastung durch zu viele Nutzer abfangen soll. Beim Besuch der Seite werden die Nutzer auf die Datenschutzbestimmungen hingewiesen

Kein Hinweis in der Datenschutzerklärung

Natürlich weist das Zensus-Portal die Nutzer beim Aufrufen der Seite auf die Datenschutzerklärung hin. Hier betont das Statistische Bundesamt, dass der Schutz der Privatsphäre ernst genommen wird und sämtliche datenschutzrechtlichen Bestimmungen beachtet werden. Das Vertrauen der Nutzer sei der Behörde außerdem wichtig. In den Bestimmungen lässt sich jedoch kein Hinweis darauf finden, dass ein US-amerikanischer Anbieter in die Bereitstellung des Dienstes involviert ist.

Neben der Datenschutz-Grundverordnung (DSGVO) untersagt auch das EuGH-Urteil Schrems II die Übertragung persönlicher Daten in die USA. Aufgrund eines US-Gesetzes können die Geheimdienste auf die Informationen zugreifen. Cloudflare besitzt als Anbieter die SSL-Schlüssel und kann damit auch einen Teil der verschlüsselt übertragenen Daten mitlesen.

Auf Nachfrage von Heise hat das Statistische Bundesamt mitgeteilt, dass nur der "öffentliche Bereich" der Domain mit dem CDN von Cloudflare abgesichert sei. Die Subdomain "fragebogen.zensus2022.de", auf der die Daten nach der Anmeldung erfasst werden, sei über ein ITZBund-Zertifikat Ende-zu-Ende-verschlüsselt. Die dort zur Verfügung gestellten Informationen würden ausschließlich über europäische Server verarbeitet. Dennoch taucht in der Datenschutzerklärung weiterhin kein Hinweis auf Cloudflare auf.

Siehe auch: