Ich bin überzeugt, dass Sie sich schon mal eine der folgenden Fragen gestellt haben:

• Wie sicher ist die Cloud?
• Wie sieht es aus mit Datenschutz und Datensicherheit in der Cloud?
• Welche Risiken gibt es beim Einsatz von Cloud?
• Darf man im Unternehmen überhaupt Cloud Computing nutzen?
• Gibt es Cloud Anbieter, die die DSGVO Anforderungen umsetzen?
• …

Diese Liste lässt sich individuell noch beliebig erweitern. Mit diesen und ähnlichen Fragen werden auch unsere Kunden immer wieder konfrontiert. Daraus sollte eigentlich resultieren, dass man sich als Unternehmen bei der Auswahl von Cloud Anbietern ein paar Gedanken macht.

Auf Gedanken zur sicheren Anwendung von Cloud Computing, die Auswahl eines Cloud Anbieters und vor allem auf die Risiken von Cloud Diensten möchte ich in diesem Beitrag eingehen.

Auf den Punkt gebracht: Sicherheit und Datenschutz bei Cloud Computing

Webinar zum Thema Datenschutz bei Cloud Anbietern

In einem Webinar zeigen wir Ihnen ausführlich, wie wir bei der Auswahl von Cloud Anbietern vorgehen. Da wir einen risikobasierten Ansatz wählen, zeigen wir Ihnen auch wie genauwir die Risiken bei Cloud Anbietern analysieren.

Was bedeutet Cloud?

Haben Sie sich eigentlich schon mal gefragt, was man überhaupt genau unter dem Begriff Cloud versteht? Bevor wir ins Detail gehen, möchte ich hierzu ein paar Sätze los werden. Der erfahrende Leser kann diesen Punkt gern überspringen.

Was ist Cloud oder Cloud Computing?

Was bedeutet Cloud eigentlich? Für die meisten ist die „Cloud“ oder „Cloud Computing“ eine große Wolke, in der wir unsere Daten speichern. Das ist aber nur ein Aspekt von Cloud Services.

Ganz einfach gesagt wird bei Cloud Computing ein IT-Service über das Internet zur Verfügung gestellt. Das können z.B. folgende Services sein:

• Online-Speicherplatz, also das was bei vielen unter der Cloud verstanden wird
• Anwendungen, z.B. Online-Übersetzer, Online-Grafikbearbeitung, Online-Buchhaltung oder Steuersoftware…
• Infrastruktur-Services, also ganze Server, die durch Dritte betrieben werden (z.B. Linux- oder Windows-Server die anstatt im eigenen Rechenzentrum im Serverraum des Cloud Anbieters stehen, die man aber fast so administriert, als stünden sie im Serverraum im eigenen Unternehmen)

Warum spricht man von der Cloud / Wolke?

Letztendlich ist es ein Abstraktionsmodell, welches wir uns bildlich vorstellen können. Die Cloud symbolisiert das Internet oder Teile davon. Ein Wölkchen ist halt schöner darzustellen als eine Menge an Kabeln, Geräten und Servern. Was anderes steckt aber nicht dahinter.

Interne vs. externe Cloud

Das bringt uns auch zum nächsten Punkt. Auch ein Unternehmen kann einen eigenen Cloud Dienst für seine Mitarbeiter und Kunden zur Verfügung stellen. In diesem Fall wird der Dienst auf einer eigenen (oder gemieteten) Infrastruktur des Unternehmens zur Verfügung gestellt. Der Service ist in der Regel über das öffentliche Internet erreichbar. Die Zugangs- und Zugriffsbeschränkungen können zum Beispiel aber höher sein, als bei öffentlichen Cloud Diensten.

Welche Eigenschaften machen einen Cloud Dienst aus?

Merkmale des Cloud Computings

Wie erkennt man, ob es sich um einen Cloud Service handelt? Die folgende Liste ist nicht abschließend. Es werden einige Merkmale aufgezeigt, die auf einen Cloud Anbieter schließen lassen.

Auftragsverarbeiter

Wenn Sie als Unternehmen Cloud Computing eines externen Anbieters nutzen, ist dies in der Regel immer eine Tätigkeit des Auftragnehmers im Auftrag. Sie unterliegt damit der Auftragsverarbeitung.

Weltweiter Zugriff

Bei Software as a Service (Dienst / Anwendung über das Internet) haben Sie den (in der Regel) funktionsfähigen Dienst immer im Zugriff. Der Standort (örtlich) von dem Sie auf den Dienst zugreifen, ist nicht eingeschränkt (Ausnahmen bestätigen auch hier die Regel).

Immer auf dem aktuellen Stand

Ein großer Vorteil in der Verwendung von Cloud Computing ist die Aktualität des Service. Nicht jeder Endbenutzer muss ein Update auf seinem Rechner durchführen. Die Updates werden zentral durchgeführt und stehen dadurch allen Anwender zur Verfügung.

Funktionell kann sich daher im Rahmen der Lizenzvereinbarung jederzeit etwas ändern.

Eine Infrastruktur für mehrere Kunden

Bei den Cloud Services teilen sich mehrere Kunden meist eine Infrastruktur. Die Daten sollten allerdings im Idealfall voneinander getrennt sein. Je nach Daten und Service gibt es dazu unterschiedliche Schutzkonzepte.

Datentypen bei Cloud Services

Wenn wir kritisch über die Cloud sprechen, denken wir meistens an die Daten, die wir darin (oder darauf?) speichern. Es sind aber nicht nur diese Nutzdaten, die wir betrachten müssen.

Welche Daten und Datentypen müssen bei Cloud Services beachtet werden?

• Nutzdaten, also die eigentlichen Daten, die uns inhaltlich wichtig sind
• Userdaten von berechtigten Nutzern (Anwender, Administratoren, Key User…)
• Technische Überwachungsdaten für den Betrieb des Services (Logfiles)
• Diagnosedaten – je nach Diensteanbieter, um Nutzungsverhalten festzustellen und daraus auch evtl. Angriffe ableiten zu können.

Was sind die Vorteile von Cloud Computing?

Was macht Cloud Services so erfolgreich? Die Vorteile überwiegen.

Experten Know-How für Cloud Dienste

Wenn ein Service Provider einen Online-Dienst (z.B. Online-Dateispeicher) anbietet, dann ist das sein Kerngeschäft. Darin hat er Experten Know-How. Der Anbieter kann den Service definitiv besser und in der Regel auch kostengünstiger anbieten, als ein Unternehmen wie Sie und wir, dessen Kerngeschäft ein ganz anderes ist.

Dieses Argument ist vor allem für Einzelunternehmer und KMUs interessant, die nicht ein großes mehrköpfiges Team an internen IT-Experten beschäftigen können.

Cloud Security – Verfügbarkeit und Sicherheit

Dieser Punkt zielt letztendlich auch auf die tiefen Kenntnisse des Service Providers ab. Die Verfügbarkeit von Cloud Diensten ist in der Regel höher, als bei einem internen Dienst.

Im Interesse des Providers ist es, eine extrem hohe zeitliche Verfügbarkeit der Dienste anzubieten. Die Ausfallsicherheit gewährleistet wird, dass aktuelle Security Lücken beobachtet und geschlossen werden. Darum braucht sich der Anwender nicht kümmern.

Grenzenloser Zugriff

Ein besonders großer Vorteil der Dienste aus der Wolke ist die Ortsunabhängigkeit.

Risiken bei der Nutzung von Cloud Computing

Als Verantwortlicher für Datenschutz, IT oder das gesamte Unternehmen sind Sie immer verpflichtet, einen Blick auf die Risiken zu haben. Daher möchte ich auch diesen Teil etwas ausführlicher behandeln.

Die Risiken beim Einsatz von Cloud Services lassen sich in drei Gruppen klassifizieren:

Compliance Risiken

Compliance Risiken sollten ganz am Anfang der Anbieterauswahl betrachtet werden. Hier wird geprüft, ob der verwendete Cloud Dienst gegen ein gültiges Gesetz im Land verstößt. Betrachtet werden müssen aber vertragliche Regelungen, die z.B. mit einem Kunden geschlossen wurden.

Bei uns in der EU ist hier natürlich die DSGVO ein wesentliches Kriterium, welches Sie betrachten müssen. Erfüllt der Service die Anforderungen des Datenschutzes (mehr Details im Kapitel weiter unten im Text)?

Unabhängig vom Datenschutz können Sie als Unternehmen aber auch vertraglich gezwungen sein, nur Dienste zu verwenden, die eine bestimmte Zertifizierung oder einen anderen Qualitäts- oder Sicherheits-Nachweis erfüllen. Sei es eine ISO-Norm, ein TISAX® Label oder eine Freigabe für die Nutzung im medizinischen Umfeld (z.B. HIPAA, FDA…).

Risiken beim Service Provider

Sicherheitslücken beim Service Provider gefährden die Verfügbarkeit, Vertraulichkeit oder Integrität des gesamten Dienstes.

Ein schlampig organisiertes Unternehmen beim Service Provider ohne Regelungen ist für die Sicherheit des Cloud Dienstes ist ebenso kritisch, wie das Fehlen technischer Sicherheitsmechanismen.

Der Anbieter führt ein Update des Dienstes durch und stellt damit neue Features zur Verfügung. Ein mögliches Risiko? Mit dem Update ist der Cloud Service vielleicht gar nicht mehr datenschutzkonform. Eventuell kann der Dienst auch erst nach individueller Anpassung die Datenschutzanforderungen erfüllen.

Ein oben genanntes Merkmal bei Software as a Service Diensten ist die Infrastruktur, die von allen Kunden genutzt wird. Mandatentrennung wird nicht immer angeboten oder in unterschiedlichen Weisen umgesetzt. Um das Risiko des unrechtmäßigen Zugriffs von anderen Kunden zu unterbinden, muss in irgendeiner Weise die Mandantentrennung sichergestellt werden.

Risiken beim Einsatz eines Cloud Services im Unternehmen

Aus meiner Sicht liegen die größten Risiken beim Einsatz von Cloud Diensten nicht in den externen Faktoren (wie man es gerne darstellt), sondern – wie so oft – intern.

Die sicherste Cloud gewährt Ihren Daten keine Sicherheit, wenn der Zugang dazu für Hinz und Kunz offensteht. Das bedeutet natürlich auch, dass Sie interne Regelungen und Konfigurationen aufstellen und umsetzen müssen, die dieses Risiko minimieren.

Wenn Sie ein ISMS, also ein Managementsystem für Informationssicherheit etabliert haben, sind Sie mit dem Prozess der Risikoanalyse vertraut. Aber selbst wenn Sie keinen internen Prozess für die Erfassung der Risiken haben, sollten Sie sich einfach Gedanken machen, was denn so „schief gehen kann“.

• Haben plötzlich Personen Zugriff auf die Daten, die vorher keine Berechtigung hatten?
• Kann die Datensicherung gewährleistet werden (sofern dies in der Verantwortung des Unternehmens liegt)?
• Sind ausreichend fachliche Key-User und ggf. Administratoren vorhanden, um den Betrieb des Cloud Dienstes zu gewährleisten?
• Sind die User geschult und verwenden den Dienst zweckgemäß? Daraus resultieren in der Praxis viele Risiken. Ein nicht gesperrter PC, ein weitergegebenes Passwort der Assistenz der Geschäftsleitung etc. richten oft mehr Schaden an, als ein fehlender Security-Patch im System.

Die Risikoanalyse ist auch kein statischer Prozess, der nur einmal durchgeführt wird. Die Risiken müssen nach den aktuellen Gegebenheiten immer wieder evaluiert werden. Neue Funktionen im System, geänderte Prozesse im Unternehmen, all das kann zu Sicherheitsrisiken bei der Nutzung von Cloud Computing Anwendungen führen.

Wie sieht es mit Cloud Datenschutz aus?

Ist es überhaupt möglich, einen Cloud Service als Unternehmen datenschutzfreundlich zu nutzen?

Um diese Frage zu beantworten, müssen, wie oben bereits beschrieben, die drei Risikogruppen betrachtet werden. Grundsätzlich ist eine datenschutzfreundliche Nutzung von Cloud Computing Angeboten möglich. Dazu müssen mindestens folgende Faktoren erfüllt werden:

• Der eigentliche Geschäftszweck, den Sie mit dem Cloud Service umsetzen möchten, ist datenschutzkonform und Sie haben eine gültige Rechtsgrundlage nach Art. 6 (1) DSGVO.
• Sie haben das Verfahren VOR der Auswahl mit Ihrem Datenschutzbeauftragten besprochen und diese/r hat keine Risiken identifiziert.
• Privacy by design wird beim Service berücksichtig. Das heißt, grundsätzliche Funktionalitäten des Dienstes entsprechen den Anforderungen des Datenschutzes.
• Der Anbieter erfüllt die Anforderungen des Datenschutzes und weist dies im Idealfall mit einem Zertifikat nach.
• Ein Auftragsverarbeitungsvertrag wird zur Verfügung gestellt.
• Privacy by default setzt die Grundeinstellungen des Systems auf einen hohen Datenschutz. Die weitere individuelle Konfiguration erfolgt zweckkonform (Zweck im Sinne der Datenverarbeitung – siehe Verfahrensverzeichnis). Zu berücksichtigen sind unter anderem zum Beispiel:
  • Verschlüsselte Übertragung
  • Verschlüsselte Speicherung
  • (Mehrstufiger) Login
  • Berechtigungen im Zugriff
  • …
• Der Administrator des Systems hat die Möglichkeit das System weiter zu konfigurieren, um Anforderungen des Datenschutzes einzustellen.

Nutzung von Diensten amerikanischer Cloud Anbieter

Ist es nach dem Wegfall des EU-US Privacy Shields überhaupt noch möglich einen amerikanischen Cloud Service zu nutzen?

Schwierig! Wir empfehlen hier den Blick ins Detail. Reine US-Anbieter sehen wir aufgrund der aktuellen Rechtslage kritisch. Durch amerikanische Gesetze wie den Patriot Act oder den Cloud Act, hat die Regierung der USA im Rahmen der Strafverfolgung die Möglichkeit auf Daten der Nutzer zuzugreifen. Der daraus resultierende Zugriff ist nicht im Einklang mit unseren Datenschutzgesetzen.

Wie sieht es aus, wenn der Vertragspartner ein europäisches Unternehmen ist, dieses aber einem US-Konzern unterstellt ist?

Dann ist der Blick ins Detail wichtig. Agiert das europäische Unternehmen so eigenständig, dass es den amerikanischen Gesetzen nicht mehr unterliegt?
Wie geht es mit Anfragen, die aus dem Cloud Act resultieren, um?

Liegen die Daten auf Servern, die dem US-Konzern unterliegen oder dem europäischen Unternehmen? Welche Daten werden zwischen den Unternehmen transferiert?

Hier gibt es keine eindeutige Aussage. Hier ist nur ein sehr detaillierter Blick auf den Cloud Service möglich, um weitere Antworten zu erhalten.

Welche Möglichkeiten haben Sie, bei der Nutzung von Cloud Diensten, die durch US Anbieter bzw. deren europäische Töchter angeboten werden?

1. Pokern und Services (weiter) nutzen ist natürlich nicht unsere Empfehlung (die letztendliche Entscheidung treffen natürlich Sie).
2. Risiko komplett eliminieren und keine Services mehr nutzen, die Daten ggf. in die USA übermitteln – löblichen, wenn möglich umsetzen, in vielen Fällen aber unrealistisch.
3. Risiken minimieren, dokumentieren, Interessen abwägen und (ggf. eingeschränkt) weiter nutzen – die aus unserer Sicht nach derzeitigem Stand sinnvollste Lösung

Mehr zur dritten Vorgehensweise zeigen wir Ihnen in unserem Webinar zu Cloud Services. Speziell gehen wir auf das Thema Office 365 ein und wie wir eine mögliche Nutzung einschätzen.

Was ist bei der Auswahl eines Cloud Anbieters zu beachten oder wie erhält man eine sichere Cloud?

Folgende Kriterien sind bei der Auswahl und dem Einsatz zu beachten:

• Einsatzzweck des Cloud Services
• Auswahl eines Diensteanbieter
• Konfiguration (Datenschutz und IT-Sicherheit)
• Nutzungsregelungen / betriebliche Mitbestimmung

Einsatzzweck und Daten definieren

Ich weiß doch schon, für welchen Zweck wir den Online-Service nutzen möchten. Wieso muss dieser nochmal definiert werden, fragen Sie sich vielleicht.

Das System oder den Service setzen Sie ja nicht nur zum Spaß ein. Sie möchten einen Geschäftszweck damit ermöglichen. Entweder einen bestehenden Prozess optimieren oder eine neue Anforderung umsetzen.

Legen Sie klar fest, welche Informationen und Prozesse durch den Cloud-Service abgebildet, verarbeitet und gespeichert werden und welche nicht. Nur wenn eindeutig geregelt ist, welche Daten Sie in welcher Weise (z.B. durch Workflows) verarbeiten möchten, können Sie auch im nächsten Schritt die Schutzmaßnahmen im Sinne des Datenschutzes und der IT-Sicherheit bestimmen.

Wenn Sie ein Managementsystem für Informationssicherheit implementiert haben, haben Sie sich auch mit den Fragen der Asset- und Datenklassifizierung beschäftigt. Damit ist klar definiert, wie hoch zu schützen die verarbeiteten Daten sind.

Interne Daten – Verhaltensdaten

Neben dem eigentlichen Zweck und den dabei anfallenden Daten, werden bei Cloud Diensten oder allgemein IT-Diensten auch immer Nutzungsdaten der Anwender anfallen. Je nach Umfang der Daten können diese Informationen auch für die Bewertung von Mitarbeitern genutzt werden. In den meisten Fällen ist dies aber zweckfremd.

Regeln Sie vorab – noch vor der Anbieterauswahl mit dem Betriebsrat (falls zutreffend), welche Daten zu Transparenzzwecken notwendig sind und welche nicht verarbeitet werden dürfen.

Auswahl eines Diensteanbieters

Technische Anforderungen

Im 1. Schritt haben Sie den Zweck und damit die Schutzstufe (Sicherheitsniveau) definiert. Damit legen Sie schon bestimmte Kriterien fest, die ein Cloud Anbieter erfüllen muss. Anhand der Schutzstufe der Daten ergeben sich Anforderungen an die IT-Sicherheit, die das System abbilden muss.

Erstellen Sie eine Liste mit den Schutzmechanismen, die der Anbieter haben muss oder sollte und welche optional sind. Damit haben Sie die Möglichkeit, eine Bewertungsmatrix zu erstellen.

Compliance Anforderungen

Ergänzen Sie die Matrix mit den Risiken aus der Compliance Bewertung der Anbieter. Wo ist der Sitz des Unternehmens, wer ist Vertragspartner. Wo (Land) werden die Daten verarbeitet. Werden die rechtlichen Aspekte eingehalten? Werden vertraglich vereinbarte Aspekte mit den Kunden eingehalten?

Bewerten Sie mit diesen und ähnlichen Fragen die Cloud Anbieter für Ihre Auswahl.

Konfiguration des Dienstes

Jetzt geht es ans Eingemachte. Der Dienst sollte trotz privacy by default und privacy by design Grundaspekte des Datenschutzes erfüllen. Trotz allem werden die in Ihrem speziellen Fall nicht ausreichen.

Daher ist es notwendig den Cloud Dienst so zu konfigurieren, dass Sie die Schutzstufe, die Sie anhand der Daten und des Zwecks definiert haben, umsetzen.

Dies erfordert in der Regel Kenntnisse über den Cloud Computing Dienst. Sie sollten daher einen oder mehrere Mitarbeiter oder ggf. externe Kollegen im Boot haben, die diesen Punkt für Sie vertrauenswürdig umsetzen.

Dies ist auch – aus der Erfahrung – ein Stolperstein, über den viele unabsichtlich fallen. Man nutzt ja einen Cloud Service. Warum benötige ich intern noch weiteres Know-How, um diesen zu konfigurieren. Genau hier liegen aber, wie oben genannt, die Risiken. Ein noch so sicherer Online Dienst, wird plötzlich Angriffsziel aufgrund fehlender oder unzureichender Konfiguration.

Nehmen Sie diesen Punkt bitte ernst und investieren Sie Ressourcen in eine sichere und datenschutzfreundliche Konfiguration.

Nutzungsregelungen definieren

Der Service läuft, der Cloud Dienst ist sicher konfiguriert, alles Bestens also. Leider vergisst man sehr häufig, dass neben der technischen Security auch noch die organisatorische Security zu beachten ist. Nicht alles kann man mit technischen Mitteln regeln.

Definieren Sie Verhaltensregeln und stellen Sie klar, wie das System durch die Anwender zu nutzen ist. Erstellen Sie Betriebsvereinbarungen oder Security Richtlinien und schulen Sie diese bei den Mitarbeitern.

Erst dann ist eine sichere Cloud-Nutzung gewährleistet!

FAQs zur sicheren Cloud Nutzung

Welche Risiken sind bei der Nutzung von Cloud Services zu beachten?

Die Risiken beim Einsatz von Cloud Services lassen sich in drei Gruppen klassifizieren:

• Compliance Risiken
• Risiken beim Service Provider
• Risiken beim Einsatz im Unternehmen

Was muss bei der Auswahl eines Cloud Anbieters berücksichtigt werden?

• Entspricht der Anbieter den gültigen Gesetzen im Land?
• Ist er konform mit den vertraglichen Regelungen mit Kunden?

Wie erfolgt die Einführung eines Cloud Services im Unternehmen?

• Definition des Zwecks und der Datenverarbeitung (was genau soll mit dem Cloud Service abgedeckt werden?)
• Auswahl eines Anbieters (Berücksichtigung von Compliance Risiken, Risiken beim Anbieter)
• Sichere Konfiguration des Dienstes durch eigenen Administrator oder externe Unterstützung
• Festlegen von Nutzungsregeln und Arbeitsanweisungen und natürlich Schulung der Mitarbeiter auf den Dienst

Was muss eine sichere Cloud anbieten können?

An statischen Kriterien kann man das schwer fest machen. Sie sollten allerdings einige Faktoren auf jeden Fall prüfen:

• Der Anbieter informiert transparenz über Securitymaßnahmen und Datenschutz (Privacy by design)
• Es wird ein AV-Vertrag angeboten
• Sie haben die Möglichkeit verschiedene Berechtigungen zu vergeben
• Zwei Faktor-Authentifizierung steht zur Verfügung
• Privacy by default sollte schon in der Grundkonfiguration datenschutzfreundliche Ausprägungen nachweisen
• Der Anbieter erfüllt die gesetzlichen Anforderungen

Wie sieht es mit kostenlosen Cloud Services aus?

Bei kostenlosen Services ist ebenfalls vorsichtig geboten! Bei den meisten Anbietern wird in den AGBs darauf verwiesen, dass sich die kostenlose Version meist an die Endverbraucher richtet und nicht für geschäftliche Zwecke vorgesehen ist.

In vielen Fällen wird kein Auftragsverarbeitungsvertrag angeboten.

Webinar zum Thema Datenschutz und Sicherheit bei Cloud Anbietern