Cloud & IT-Sicherheit
Viele Unternehmen stehen dem Modell Cloud-Computing skeptisch gegenüber. Die eigenen Daten einem Dritten zu überlassen ruft Unbehagen hervor, insbesondere wenn es sich um sensible Daten handelt, die Betriebs- und Geschäftsgeheimnisse beinhalten. Das Problem der Datensicherheit in der Cloud ist von erheblicher Bedeutung für Unternehmen. Sind die Daten in der Cloud von Zugriffen Dritter geschützt? Wer hat tatsächlich Zugriff auf diese Daten? Wie kann ein sicherer Zugriff auf die Cloud durch die Unternehmensmitarbeiter erfolgen?
Was jedoch oft übersehen wird ist, dass auch IT-Infrastruktur im eigenen Unternehmen durch einen Fremdzugriff gefährdet ist, insbesondere wenn diese mit dem Internet verbunden ist und ein aktueller Schutz nicht vorliegt. Immer häufiger sind Cloud-Anbieter die sicherere Alternative, da hier hohe Kompetenzen im Bereich des Datenschutzes und ausgeklügelte Sicherheitsvorkehrungen vorliegen.
Viele Cloud-Dienstleister bieten heute bereits eine Zwei-Faktor-Authentifizierung an, welche die Sicherheit beträchtlich erhöht. Nutzer und Nutzerinnen müssen sich hier neben Kennwort und Benutzername zusätzlich mit einem weiteren Merkmal – bspw. einem gültigen Zugangscode – identifizieren.
Eine entsprechende Verschlüsselung der in der Cloud abgespeicherten Daten ist ebenfalls essenziell für einen guten Schutz. Einige Cloud-Anbieter nutzen heute bspw. Verfahren, bei denen Datensätze nicht nur einfach oder mehrfach verschlüsselt werden, sondern teils sogar in Fragmente aufgesplittet und in unterschiedlichen Rechenzentren mit einer jeweils eigenen Verschlüsselung gespeichert werden. Dies macht es Dritten besonders schwierig, den Zugang zu gespeicherten Daten zu erhalten. Die korrekte Umsetzung und tatsächliche Sicherheit dieser Maßnahmen können Nutzer jedoch meist nicht überprüfen. Am sichersten ist es daher, wenn Nutzer und Nutzerinnen eine eigene Verschlüsselung der Daten durchführen und den Schlüssel bei sich speichern. Dies bringt jedoch Nachteile im Bereich der Bequemlichkeit mit sich, denn die verschlüsselten Daten sollten nicht in der Cloud, sondern nach dem Herunterladen lokal entschlüsselt werden, um weiter an ihnen arbeiten zu können.
Aus datenschutzrechtlicher Sicht handelt es sich bei der Nutzung von Cloud-Computing-Diensten um eine klassische Auftragsdatenverarbeitung, wie sie in § 11 Bundesdatenschutzgesetz (BDSG) geregelt ist. Ein Fall von Auftragsdatenverarbeitung liegt immer dann vor, wenn durch einen Dienstleister im Auftrag eines Unternehmens personenbezogene Daten erhoben, gespeichert und/oder genutzt werden sollen. Der Auftraggeber, hier der Cloud-Nutzer oder die Cloud-Nutzerin, bleibt jedoch weiterhin für die Daten verantwortlich, und somit auch für die Einhaltung der datenschutzrechtlichen Vorschriften. Besondere Probleme ergeben sich zudem, wenn der Cloud-Anbieter und/oder der Server seinen Sitz im EU-Ausland hat. Auch deutsche Unternehmen können ihre Server im Ausland betreiben, die dann der dortigen Rechtsprechung unterliegen. Um einen näheren Überblick zu Datenstandort und anwendbares Recht von Cloud-Anbietern bzw. -Diensten zu erhalten, empfiehlt sich bspw. die Webseite des gemeinnützigen Vereins „ Kompetenznetzwerk Trusted Cloud“, für welches das BMWi die Schirmherrschaft übernommen hat.
Zurück zur Übersicht