Datenschutz und Datensicherheit

Ratgeber: Sicheres Cloud Computing

Der rechtliche Rahmen

Eine Verarbeitung der Daten in der Cloud unterliegt speziellen Datenschutz- und Sicherheitsanforderungen, die sich aus nationalen und internationalen Datenschutzvorgaben ableiten lassen. Neben dem Bundesdatenschutzgesetz (BDSG) in Deutschland ist auf europäischer Ebene die sogenannte Datenschutzrichtlinie 95/46/EG anwendbar. Wenn es beispielsweise um einen öffentlich verfügbaren Telekommunikationsdienst wie einen E-Mail-Service geht, gelten innerhalb Deutschlands zusätzlich das Telekommunikationsgesetz (TKG) sowie die Richtlinie 2002/58/EG in der EU allgemein. Darüber hinaus gibt es eine Reihe weiterer Compliance-Anforderungen wie den Sarbanes-Oxley Act (SOX), den Health Insurance Portability and Accounting Act (HIPAA) und den Federal Information Security Management Act (FISMA). Diese Richtlinien müssen Unternehmen erfüllen, wenn sie selbst ihre IT betreiben oder in die Cloud verlagern. Ergo: Die Cloud ändert nichts an der unternehmerischen Verantwortung für die Daten und den Datenschutz, sie kann nicht vertraglich auf einen Dienstleister übertragen werden!

Das BDSG verpflichtet die Unternehmen zur "sorgfältigen Auswahl" des Cloud-Providers und darüber hinaus dazu, alle vorgenommenen Datenschutzmaßnahmen zu überprüfen. Das gestaltet sich in der Praxis wegen der nicht ausreichenden Expertise oft schwierig. Hier helfen Gütesiegel und Zertifizierungen der Cloud-Anbieter respektive -Services durch eine unabhängige Instanz. Zertifikate liefern einen Nachweis über die Erfüllung der Sicherheits-, Compliance- und Datenschutz-Anforderungen. Zu den wichtigsten Zertifikaten mit Cloud-Computing-Bezug zählen:

Selbst-Zertifizierung nach Safe Harbor reicht nicht aus

Allerdings sollte der Anwender nicht blind auf Zertifikate und Gütesiegel vertrauen, sondern genau prüfen, was zertifiziert wurde und welche Gültigkeit ein Zertifikat hat. Empfehlenswert ist, eine Kopie des Zertifikates und des dazugehörigen Evaluationsberichts vom Cloud-Anbieter anzufordern. Das Hauptproblem besteht allerdings darin, dass alle bislang verfügbaren Zertifikate nur eine Betrachtung des aktuellen Zustands darstellen. Sie sind damit lediglich eine Momentaufnahme der Erfüllung technischer und organisatorischer Maßnahmen zum Zeitpunkt der Ausstellung, obwohl sie für ein bis drei Jahre nach der Auditierung gültig sind. Ob die Anforderungen des Zertifikats seit dem Ausstellungszeitpunkt eingehalten wurden, lässt sich selbst von erfahrenen IT-Sicherheitsexperten und Datenschützern nur schwer feststellen. Unter diesem Aspekt ist beispielsweise die kontinuierliche Zertifizierung der Cloud-Angebote ein interessanter Ansatz, den es zu evaluieren gilt.