Fortschritte beim Forschungsprojekt AUDITOR EU-weite Datenschutz-Zertifizierung von Cloud-Diensten

Das Forschungsprojekt AUDITOR soll eine EU-weite nachhaltig anwendbare Datenschutz-Zertifizierung von Cloud-Diensten konzeptionie­ren, exemplarisch umsetzen und erproben. Jetzt wurde ein wichtiger Meilenstein erreicht: Mit der Neufassung des Kriterienkatalogs liegt ab jetzt ein Prüfstandard gemäß den Anforderung­en der DSGVO vor.

Anbieter zum Thema

FTAPI Software GmbH

Specops Software GmbH

Beil² - Die PR-Strategen GmbH

Ein Cloud-Anbieter muss in seiner Rolle als Auftragsverarbeiter Vorschriften erfüllen, um seine Datenverarbeitungsvorgänge zertifizieren zu lassen. Das Forschungsprojekt AUDITOR hat dafür nicht weniger zum Ziel, als eine europaweite Datenschutz-Zertifizierung von Cloud-Diensten zu entwerfen. Durch den neu veröffentlichten AUDITOR-Kriterienkatalog werden die technikneutralen Vorschriften der EU-Datenschutz Grundverordnung (DSGVO) in prüffähige, normative Kriterien übersetzt. Die erste öffentliche Version des Kataloges wurde im Juni 2018 offiziell beim BMWi in Berlin vorgestellt und diente seitdem bereits als Referenzrahmen. Der Katalog wurde seit seiner Veröffentlichung auf zahlreichen Messen und Konferenzen, wie der CEBIT, der CloudExpo und den Internet Security Days diskutiert und konnte so kontinuierlich verbessert werden.

Das AUDITOR-Konsortium hat in mehreren Iterationen durch die Vielzahl von beteiligten Projektpartnern und in öffentlichen Workshops in Berlin und Köln mehrfach Feedback eingeholt. Die AUDITOR-Partner und Cloud-Anbieter Cloud&Heat Technologies, ecsec und Hornetsecurity evaluierten außerdem das Verfahren in der Praxis, in dem sie Use Cases schafften, welche die Zertifizierung in kleinen und mittleren Unternehmen kritisch überprüfen. Der neu erarbeitete AUDITOR-Kriterienkatalog, der vor kurzem in der Version v0.9 als Open-Access PDF veröffentlicht wurde, wird die Grundlage für anstehende Pilotzertifizierungen bilden.

eco sieht Behörden in der Pflicht und AUDITOR als Lösung

DSGVO ist zugleich Risiko und Chance

„Es ist uns sehr wichtig, dass der Datenschutz in der Cloud gewährleistet ist. Um die Tauglichkeit einer allgemeinen Zertifizierung hierfür zu überprüfen, gilt es nun, die identifizierten Kriterien zu erproben und praktisch zu evaluieren“, erläutert Dr. Marius Feldmann, Leiter des operativen Geschäfts bei Cloud&Heat Technologies.

Ein Cloud-Anbieter verwendet neben seiner Rolle als Auftragsverarbeiter immer auch personenbezogene Daten des Cloud-Nutzers, um diesem den gewünschten Cloud-Dienst bereitzustellen. Hierzu zählen Bestandsdaten des Cloud-Nutzers (bspw. Namen, Adressen, Zahlungsdaten) sowie Nutzungsdaten (bspw. Benutzername, IP-Adressen, Log-Daten). Deshalb stellt die neue Entwurfsfassung des Kataloges die Kriterien an den Cloud-Anbieter als Verantwortlichen, wodurch ganzheitlich die Bedürfnisse des Marktes adressiert werden.

(ID:45835550)