Die OneDrive-Falle: Sensible Daten ungewollt in der Cloud

Der Klick-Reflex

Wir kennen es: Ein neuer PC wird eingerichtet. Windows 11 begrüßt uns freundlich. Schnell, schnell – „Weiter“, „Akzeptieren“. Wer hier nicht aufpasst, wird fast zwangsläufig zur Erstellung eines Microsoft-Online-Kontos gedrängt. Ein Passwort ist schnell vergeben, oft ein einfaches. Fertig. Doch im Hintergrund wurde gerade eine Tür geöffnet, die viele eigentlich geschlossen halten wollten: OneDrive aktiviert sich und beginnt, den Ordner „Dokumente“ zu synchronisieren.

Das Problem: Wenn sensible Daten reisen

Gerade bei älterer Branchensoftware (z.B. in Arztpraxen oder Kanzleien) werden Datenbanken und Backups oft noch standardmäßig im Benutzerordner „Dokumente“ abgelegt. Windows 11 erkennt diesen Ordner, sieht ihn als „zu sicherndes Element“ und lädt den Inhalt automatisch in die Microsoft Cloud.

Der „Tarnkappen-Effekt“: Warum Microsoft 365 das Risiko erhöht

Besonders tückisch wird es, wenn Microsoft 365 (ehemals Office 365) im Einsatz ist. Wer Word und Excel im Abo nutzt, benötigt zwingend ein Microsoft-Konto und erhält „gratis“ 1 Terabyte (1000 GB) Cloud-Speicher dazu. Das klingt nach einem Vorteil, ist in diesem Szenario aber brandgefährlich:

Ohne Office (5 GB Limit): Der kostenlose OneDrive-Speicher ist winzig. Werden Backups oder Datenbanken hochgeladen, ist der Speicher schnell voll. Windows meldet sich mit Fehlern („Speicher voll“, „Sync-Fehler“). Der Nutzer wird genervt, aber er wird gewarnt.
Mit Office (1 TB Limit): Der riesige Speicherplatz schluckt anstandslos über Jahre hinweg tägliche Backups, komplette Patientenakten und Datenbank-Historien. Es gibt keine Warnmeldung, keinen Fehler, keinen „Voll“-Hinweis. Der Datenabfluss geschieht völlig geräuschlos im Hintergrund – oft über Jahre unbemerkt, bis der Datenschutzbeauftragte prüft.

Warum „ab in die USA“ ein Problem ist

Technisch ist die Cloud praktisch, datenschutzrechtlich ist sie bei allen personenbezogenen Daten – besonders bei Gesundheits- oder Mandantendaten – ein Minenfeld.

Der Standort zählt: Microsoft ist ein US-Unternehmen. Selbst wenn die Server in Europa stehen, unterliegen US-Firmen dem sogenannten „CLOUD Act“. Dieses US-Gesetz erlaubt amerikanischen Behörden unter Umständen den Zugriff auf Daten, auch wenn diese im Ausland gespeichert sind.
DSGVO-Konflikt: Nach der europäischen Datenschutz-Grundverordnung (DSGVO) dürfen sensible personenbezogene Daten nur unter strengsten Auflagen in Drittländer (wie die USA) übermittelt werden. Ohne spezielle Verträge und Verschlüsselungen, bei denen der Anbieter keinen Schlüssel hat, ist dies oft unzulässig. Ein einfaches „Klicken auf Weiter“ bei der Windows-Installation erfüllt diese strengen Anforderungen keinesfalls.

Lösung A: Das lokale Konto (Die saubere Trennung)

Der sicherste Weg, um Datenhoheit zu behalten, ist die Nutzung eines lokalen Benutzerkontos. Ein lokales Konto existiert nur physisch auf diesem einen Computer. Es funkt nicht „nach Hause“, es synchronisiert keine Daten und benötigt keine Internetverbindung zur Anmeldung. Leider hat Microsoft diese Option in Windows 11 gut versteckt. Doch für geschäftliche Rechner mit sensiblen Daten lohnt es sich, diesen „Offline-Weg“ bei der Einrichtung zu erzwingen.

Lösung B: Microsoft-Konto ja – OneDrive nein

Auch wer ein Microsoft-Konto nutzt (etwa für die besagten Office-Lizenzen), ist dem Automatismus nicht hilflos ausgeliefert. Das Konto und der Cloud-Speicher sind technisch trennbar:

Deinstallation ist möglich: OneDrive ist eine Software wie jede andere auch. Sie lässt sich in den Einstellungen deaktivieren („Verknüpfung aufheben“) oder komplett deinstallieren. Damit wird der automatische Upload sofort gestoppt.
Vorsicht Falle: Wenn Sie OneDrive erst nach einiger Zeit deaktivieren, liegen Ihre Daten oft schon in der Cloud. Das Deinstallieren der App auf dem PC löscht die Daten nicht vom Microsoft-Server! Hier muss man sich zwingend online einloggen und prüfen, was bereits übertragen wurde, um es dort endgültig zu löschen.

Rat als IT-Consultant

Verlassen Sie sich bei gewerblich genutzten Rechnern nicht auf die Standard-Einstellungen („Express-Installation“).

Prüfen Sie den Speicherort: Wo legt Ihre Branchensoftware Daten ab?
Entscheiden Sie bewusst: Wollen Sie die Cloud nutzen? Wenn ja, dann richtig konfiguriert und DSGVO-konform. Wenn nein: Runter mit OneDrive oder direkt ein lokales Konto nutzen.

Datenschutz beginnt bei der Installation, nicht erst beim Passwort.

Rechtlicher Hinweis: Ich bin IT-Techniker, kein Jurist. Dieser Beitrag beleuchtet technische Risiken und Konfigurationen. Er stellt keine Rechtsberatung dar und ersetzt keine Prüfung durch einen Datenschutzbeauftragten oder Anwalt.