Cloud Computing & Datensicherheit – Was du beachten musst
11.11.2022
Die Nutzung von Clouds steigt – mittlerweile verwendet jeder Dritte privat Google, Amazon & Co. für das Speichern von Bildern oder Musik. Noch deutlicher ist dieser Trend bei deutschen Unternehmen zu sehen: Bereits 2020 kam bei 82 % aller Unternehmen Cloud Computing zum Einsatz, besonders in den Bereichen CRM, CMS, Projektmanagement oder Datenspeicherung.
Ein wichtiger Bestandteil ihres Kapitals sind für viele Unternehmen die eigenen Daten. Es gilt also, sie im Zusammenhang mit Cloud Computing so gut wie möglich zu sichern. Wir beleuchten daher, was du aktuell bezüglich Datensicherheit beachten musst, und geben dir Tipps, was du bei der Auswahl eines Cloud-Betreibers beachten solltest.
Aktuelle Grundlage des Cloud Computings
Zur Erinnerung: Beim Cloud Computing greifst du über das Internet auf die Speicher- und Rechenkapazitäten großer Server-Farmen zu. Deren Betreiber sind für die Pflege und Wartung zuständig. Egal, für welches Modell du dich dabei entscheidest – Infrastructure-as-a-Service (IaaS), Platform-as-a-Service (PaaS) oder Software-as-a-Service (SaaS) –, die Leistungen reichen hierbei von mietbarer Software bis hin zu komplexen IT-Infrastrukturen. So kannst du dir die benötigten Serviceleistungen individuell für das Unternehmen zusammenstellen.
Doch wie kannst du als Unternehmer die Sicherheit deiner Daten in einer Cloud wahren? Dies beginnt schon bei der Auswahl des Cloud-Dienstes. Es gibt neben entsprechenden gesetzlichen Vorgaben auch Merkmale, auf die du achten kannst und die auf hohe Sicherheitsmaßnahmen verweisen.
Datenschutzrechtliche Grundlagen
Die Datenschutzgrundverordnung (kurz: DSGVO) und das Bundesdaten-schutzgesetz (kurz: BDSG) verlangen hohe Sicherheitsstandards, besonders im Zusammenhang mit personenbezogenen Daten:
- Die Datenverarbeitung und -speicherung bedarf der Kenntnis und Einwilligung der Betroffenen.
- Das Unternehmen muss sich selbst davon überzeugen, dass der Cloud-Anbieter den Datenschutz mit technischen und organisatorischen Maßnahmen gewährleisten kann. Dazu wird eine Vereinbarung für die Auftragsverarbeitung nach Art. 28 DSGVO abgeschlossen.
- Der Cloud-Anbieter ist dazu verpflichtet, ein Verzeichnis für seine Auftragsverarbeitungen anzulegen und so bei Kontrollen den Datenschutz nachweisen zu können.
- Der Cloud-Dienstleister muss dem Kunden Datenpannen melden.
Die ISO/IEC-Norm 27001 ist ein weltweit anerkannter Standard für ein intaktes Informationssicherheits-Managementsystem. Das Zertifikat bescheinigt unabhängig die Zuverlässigkeit des Systems gegen Risiken, indem es diese identifiziert, analysiert und behebt. Das Bundesministerium für Wirtschaft und Energie vermittelt mit dem „Trusted Cloud“-Zertifikat, dass der Cloud-Anbieter in Sachen Datenschutz und Datensicherheit vertrauenswürdig ist. Der Nutzer erfüllt mit diesem seine Pflicht gemäß BDSG, wenn er sich für einen „Trusted Cloud“-Anbieter entscheidet. Daneben bietet sich noch das C5-Testat (kurz für: Cloud Computing Compliance Controls Catalogue) des Bundesamts für Sicherheit in der Informationstechnik an: Es konzentriert sich auf die Aspekte der Transparenz und Informationssicherheit und fragt:
- Welches System wird verwendet?
- Wo liegen die Daten?
- Wie werden die Daten verarbeitet und gesichert?
Im Idealfall nimmst du einen Cloud-Anbieter in Anspruch, der die genannten Zertifikate vorweisen kann. Diese Anbieter gewährleisten bezüglich Datensicherheit und Datenschutz eine größtmögliche Tiefe der Prüfung.
Wichtige Auswahlkriterien
Es gibt einige Kriterien, über die du dir im Vorfeld bei der Auswahl der für dich richtigen Cloud Gedanken machen solltest. Mit dieser Vorbereitung kannst du die Risiken des Cloud Computing deutlich reduzieren.
Leistungen der Zertifikatinhaber prüfen: Viele Cloud-Anbieter haben lange Listen mit gesammelten Zertifikaten. Welche davon schließlich für eine Cloud-Lösung entscheidend und wichtig sind, muss individuell betrachtet werden. Daher empfiehlt es sich, die Liste der Siegel und Zertifikate zu prüfen.
Verschlüsselungs- und Anonymisierungsoptionen: Für den Upload von Daten eignet sich besonders eine Ende-zu-Ende-/SSL-Verschlüsselung, die die Daten auf dem Weg in die Cloud und am Ablageort sichert. Bei personenbezogenen Daten genügt dies entsprechend DSGVO nicht – diese müssen vollständig anonymisiert werden. Selbst die theoretische Verknüpfung einer Person und den dazugehörigen Daten muss ausgeschlossen werden.
Serverstandort Europa: Wer seine Daten außerhalb der Europäischen Union speichert, ist datenschutzrechtlich nicht mehr auf der sicheren Seite. Nur innerhalb der EU gelten striktere Regelungen. Hinweis: Wenn du deine Daten außerhalb der EU speichern möchtest, benötigst du eine Genehmigung der zuständigen Datenschutzbehörde.
Backup-Optionen: Im Sinne des Unternehmens müssen alle Daten ordentlich und rechtskonform gesichert werden. Ein Totalverlust der Daten kann erhebliche finanzielle Einbußen oder sogar das Aus für das Unternehmen bedeuten. Daher empfiehlt sich eine Datensicherung gemäß der DSGVO, also eine Backup-Variante, die sowohl in der Cloud als auch auf physischen Datenträgern realisiert werden kann.
Protokolle zum Monitoring: Mit entsprechenden Cloud Monitoring-Tools behältst du jederzeit den Überblick über die gesamte virtuelle IT-Infrastruktur. Dies wird von den Cloud-Anbietern teilweise selbst in Form von Dashboards oder Protokollen/Berichten zur Verfügung gestellt.
Mehrstufiger Login: Der Schutz fängt bereits beim Login an – Nutzername und Passwort reichen hierbei nicht mehr aus. Ein mehrstufiger Login wie die Zwei-Faktor-Authentifizierung ist deutlich sicherer.
Geschultes IT-Personal: Dein IT-Personal muss sich mit dem Cloud-System auskennen, um die richtigen Maßnahmen durchführen zu können. Darüber hinaus muss es bezüglich der Themen Datensicherheit, Datenschutz und Backup-Optionen auf dem aktuellen Stand sein.
Sensibilisierung der Mitarbeiter: Cyber-Kriminelle nutzen immer wieder Sicherheitslücken aus und versenden Malware. Es empfiehlt sich daher die Erstellung eines Risikoprofils der eigenen IT-Systeme und die Sensibilisierung der Belegschaft.
Fazit
Cloud-Lösungen sind bei den Unternehmen nicht mehr wegzudenken und eine gute Möglichkeit, um Daten auszulagern und ein Backup für Zwischenfälle zu haben. Wichtig ist dabei jedoch, die genannten Kriterien bezüglich des Datenschutzes und der Datensicherheit zu berücksichtigen, um schwerwiegende Folgen zu vermeiden. Diese beiden Bereiche stellen sehr hohe Ansprüche an die Cloud-Betreiber, besonders bei personenbezogenen Daten. Daher ist es im Vorfeld unausweichlich, nicht nur den Cloud-Anbieter, sondern auch die eigenen Daten gründlich zu prüfen.