Datenschutz

Einer der noch nicht vollständig geklärten Aspekte ist der datenschutzkonforme Umgang mit den Daten in der Cloud, wobei sich der Begriff „Datenschutz“ im deutschen Recht im Wesentlichen auf personenbezogene Daten bezieht. Wenn die Daten auf Servern in verschiedenen Ländern verteilt werden, unterliegen diese auch den jeweiligen landestypischen Gesetzen. Somit wird einer der größten Vorteile des Cloud-Computings, die hohe Abstraktion, zu einem Problem.

Daher muss bei der Auswahl des Anbieters darauf geachtet werden, in welchen Ländern und damit nach welchen Gesetzen die Daten gespeichert werden. Es kommt zum Beispiel zu Problemen, wenn personenbezogene Daten außerhalb der Europäischen Union gespeichert werden. Die außereuropäischen Länder gelten als datenschutzrechtlich kritisch bzw. unsicher. Als Ausnahme ist hier die USA zu sehen, da zwischen der USA und der EU eine Safe-Harbor-Vereinbarung existiert.

Neben personenbezogenen Daten unterliegen jedoch auch andere Dokumente rechtlichen Vorschriften, so müssen beispielsweise steuerlich relevante Dokumente grundsätzlich im Inland aufbewahrt bzw. archiviert werden. Das gleiche gilt, gemäß des deutschen Handelsrechts auch für Buchungsbelege und Handelsbriefe. Der Tatsache, dass die Unternehmen, die die persönlichen Daten erheben für die Sicherheit und den Datenschutz verantwortlich sind und nicht der Cloud Computing-Anbieter sind zu beachten. Wichtig ist auch zu berücksichtigen, dass viele Cloud-Anbieter selbst ein Subunternehmen beauftragen. So werden die Daten von Dropbox in der Cloud von Amazon gespeichert, wodurch die Daten den Regelungen von Amazon unterliegen. Gerade diese Unsicherheit macht eine eigene private EU-Cloud für Unternehmen interessant.

Eines der Hauptprobleme ist, dass die Cloud-Anbieter nicht alle Schritte und Maßnahmen offenlegen. So wird in der Regel nicht veröffentlicht welche Prozesse angewandt werden um Daten vor unbefugten Zugriffen zu schützen. Die fehlende Transparenz in diesem Bereich verhindert heutzutage noch den breiten Einsatz von Cloud-Computing.

Transparenz

Oftmals praktizieren heutige Anbieter Sicherheit durch Verschleierung, allerdings kann ein hoher Sicherheitlevel nur mit Transparenz erreicht werden. Solange die Anbieter nicht offenlegen, wie die Daten und System gesichert sind und wo sich die dazugehörigen Infrastrukturen befinden, ist kein Vergleich und vor allem keine Kontrolle über die eigenen Dienste und Daten möglich. Aber vor allem ist dadurch nicht klar wer theoretischen Zugriff hat, und welche Maßnahmen zur Sicherung angewendet werden. Durch die fehlenden Informationen können deshalb Public Clouds nicht ohne weiteres datenschutzkonform genutzt werden.

Außerdem stehen sie oftmals auch im Widerspruch zu vorhandenen IT-Compliance Regeln. Ein dokumentiertes Datenschutzmanagement und ein veröffentlichtes IT-Sicherheitsmanagement Konzept ist derzeit leider noch bei fast keinem Anbieter anzutreffen. Ein Ansatz um für mehr Transparenz zu sorgen ist die Einführung von Cloud-Compliance um die nachweisbare Einhaltung von unternehmensinternen und vertraglichen Regelungen zur Nutzung oder Bereitstellung von Cloud-Computing Leistungen zu garantieren. Damit kann Cloud-Compliance die bestehende Zurückhaltung und die Vorbehalte gegenüber den Angeboten zum Cloud-Computing reduzieren.

Allerdings müssen dabei die beiden Herausforderungen der Neuartigkeit und der Komplexität bewältigt werden. Dadurch dass unterschiedliche Anbieter auf Grund ihrer unterschiedlichen Leistungen nicht verglichen werden können, müssen jeweils individuelle Vereinbarungen getroffen werden. Allerdings können die Cloud-Compliance Regelungen auf den klassischen und bereits vorhandenen IT-Compliance-Anforderungen aufbauen, da es sich ja um eine neue Nutzungsmethode handelt und nicht um eine neue Technik. Duch dieses Vorgehen sollten also die klassischen IT-Risiken wie Sicherheit, Verfügbarkeit, Vollständigkeit und Nachvollziehbarkeit bereits abgedeckt sein.

Im letzten Teil “Zusammenfassung” wird ein übergreifendes Resümee gezogen.

Dieser Blogbeitrag ist Teil der Artikelserie “Sicherheit in der Wolke”.
Hier geht es zu den anderen Teilen:

Teil 1: Was ist Cloud-Computing?
Teil 2: Der Weg zur Cloud
Teil 3: Arten und Ebenen von Clouds
Teil 4: Vor- und Nachteile der Cloud
Teil 5: Sicherheit und Cloud-Computing
Teil 6: Gefahren beim Cloud-Computing
Teil 7: Der Konflikt mit dem Datenschutz
Teil 8: Zusammenfassung