Cloud-Sicherheit mit Verschlüsselungs-Gateways Microsoft 365 guten Gewissens nutzen

Anbieter zum Thema

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

eperi GmbH

Sicherheitsbedenken haben die Einführung von Cloud Computing in Unternehmen und Behörden lange verhindert. Inzwischen hat die Cloud zwar einen festen Platz in der IT-Welt, die Sorge um die Sicherheit und den Datenschutz sensibler Unternehmensdaten bleibt aber. Zum einen lässt sich diese Sorge durch die steigende Anzahl an Cyberangriffen erklären, zum anderen dadurch, dass viele Clouddienste von US-Unternehmen kommen, die nicht dem europäischen Datenschutz unterliegen.

Durch den Datentransfer in die USA als unsicheres Drittland droht immer die Gefahr, dass US-amerikanische Behörden Daten von EU-Bürgern und -Unternehmen einsehen. Mehrere Versuche der US-Anbieter sowie der Politik, die Nutzung US-amerikanischer Cloud-Dienste mit europäischem Recht zu vereinbaren, sind gescheitert.

Datenschutz bei Office 365

Sollten Unternehmen Microsoft 365 nutzen oder nicht?

Trotz fortlaufender Diskussionen ist davon auszugehen, dass dies auch in Zukunft so bleibt, denn die US-Regierung wird nicht von ihrer grundlegenden Einstellung abweichen, dass sie bzw. ihre Geheimdienste ohne richterlichen Beschluss Zugriff auf Daten erhalten dürfen, wenn die nationalen Interessen der USA berührt sind. Auch die Feststellung, wann dies der Fall ist oder nicht, werden künftige US-Regierungen wohl kaum neutralen Instanzen überlassen. Die Nutzung US-amerikanischer Cloud-Dienste wird darum mit den europäischen Datenschutzvorgaben unvereinbar bleiben.

Innovationsbremse Datenschutz?

Als besonders weit verbreitete Cloud-Anwendung steht immer wieder Microsoft 365 im Zentrum der Diskussionen um den Datenschutz. Speziell für diese Cloud-Lösung hat die Datenschutzkonferenz bestätigt, dass ihre Nutzung ohne technisch-organisatorischen Maßnahmen datenschutzwidrig ist - und aus den oben genannten Gründen datenschutzwidrig bleiben wird. Dasselbe gilt für alle Cloud-Anwendungen US-amerikanischer und anderer außereuropäischer Anbieter, die die Einhaltung der DSGVO nicht garantieren können oder wollen. Nicht selten ist zu lesen, dass der Datenschutz damit dem Fortschritt bzw. der Nutzung marktführender Cloud-Angebote im Wege steht. Unternehmen und Behörden fühlen sich in dieser Situation alleingelassen, weil sie auf bestimmte Cloud-Lösungen nicht verzichten wollen oder können, deren Nutzung aber nicht gesetzeskonform möglich ist. Glücklicherweise handelt es sich bei dieser Einschätzung um ein Fehlurteil, da sich beides problemlos in Einklang bringen lässt. Das European Data Protection Board (EDPB) hat nämlich definiert, welche technisch-organisatorischen Maßnahmen für den Drittlandsdatenverkehr zu verwenden sind, um Cloud-Anwendungen DSGVO-konform abzusichern. Konkret empfiehlt das Gremium die Verschlüsselung sensibler Daten vor der Übertragung in die Cloud.

Daten sichern

Die Verschlüsselung und Pseudonymisierung von Daten ist nicht nur aus datenschutzrechtlichen Gründen eine gute Idee. Vielmehr ist eine Verschlüsselung nach dem Stand der Technik die einzig verlässliche Form der Datensicherheit. Denn verschlüsselte Daten sind zwar nicht vor unbefugtem Zugriff durch immer raffinierter und dreister werdende Cyberkriminelle oder durch versehentliche Veröffentlichung aufgrund eines technischen oder menschlichen Fehlers geschützt. Für Außenstehende sind sie allerdings vollkommen wertlos, weil sie nicht gelesen werden können. Eine höhere Sicherheit für Daten kann es nicht geben.

Die Verschlüsselung und Pseudonymisierung von Daten entspricht einem modernen, datenzentrischen IT-Sicherheitsansatz. Dieser ist der Einsicht geschuldet, dass sich traditionelle IT-Sicherheitsmaßnahmen wie Firewalls, Zugriffskontrollen oder Intrusion-Detection- und Intrusion-Prevention-Systeme als unzureichend erwiesen haben, illegalen Datenzugriff und Datenverlust zu vermeiden. Statt lediglich Systeme wie Endgeräte, Netzwerke und Server zu schützen, konzentriert sich ein datenzentrischen IT-Sicherheitsansatz auf die Daten selbst, unabhängig davon, wo sich diese befinden.

Außerdem erfüllt ein Unternehmen mithilfe von Verschlüsselung und Pseudonymisierung seiner Daten seinen Teil der „Shared Responsibility“ bei Nutzung eines Cloud-Angebots. Das Modell der gemeinsamen Verantwortung regelt als Sicherheits- und Compliance-Framework ganz klar die Verantwortungsbereiche von Cloud Anbietern und Kunden bei der Absicherung aller Aspekte der Cloud-Umgebung, dies beinhaltet unter anderem Hardware, Infrastruktur, Endgeräte, Daten und Betriebssysteme. Einfach ausgedrückt legt das Modell fest welcher Vertragspartner die Sicherheitsvorkehrungen für bestimmte Komponenten übernehmen muss. Der Cloud Service Anbieter ist verantwortlich für die Überwachung und Abwehr von Sicherheitsbedrohungen, die die Cloud selbst und die grundlegende Infrastruktur angreifen. Unternehmen sind dazu verpflichtet die Daten und andere in der Cloud-Umgebung gespeicherte Assets zu schützen. Mit Verschlüsselung und Pseudonymisierung der Daten wird ein Cloud-Kunde dieser Verantwortlichkeit par excellence gerecht.

Datenhoheit erlangen

Unternehmen und Behörden haben verschiedene Optionen, ihre Daten zu pseudonymisieren und zu verschlüsseln. Die beste Möglichkeit besteht aus zahlreichen Gründen im Einsatz eines Verschlüsselungs-Gateways, das die Daten verschlüsselt, bevor sie in die Cloud übertragen werden. Ein grundlegender Vorteil eines Gateways ist die Tatsache, dass eine Organisation die komplette Hoheit über ihre Daten behält, anders beispielsweise als bei der Verschlüsselung durch einen Dritten, u. U. sogar den Cloud-Anbieter. Externe oder die Endanwendung können die Daten nicht entziffern. Die Organisation behält jederzeit die Kontrolle über die Verschlüsselungsmethode und die verwendeten Schlüssel. Dadurch bewahrt sie auch die vollständige Datenautonomie und gewährleistet die Einhaltung der DSGVO - unabhängig vom verwendeten Cloud-Anbieter. Das gilt also auch für US-amerikanische Cloud-Anwendungen im Allgemeinen und M365 im Besonderen.

Handlungsfähig bleiben

Mit einem Gateway lassen sich auch Nachteile vermeiden, die eine herkömmliche Datenverschlüsselung mit sich bringen: verschlüsselte Daten sind nicht entzifferbar, auch nicht für die Anwendung, in der diese erstellt wurden. Eine Suche in verschlüsselten Daten bildet darum beispielsweise eine technische Herausforderung. Ähnliches gilt für die Pseudonymisierung: Hier besteht die Herausforderung, Daten bei Bedarf der richtigen Person zuordnen zu können. Ein Gateway kann durch die interne Indexierung der Datenfelder diese Herausforderungen überwinden. Es indiziert die Datenfelder bei der Verschlüsselung/Pseudonymisierung und legt die entsprechenden Indizes in einer separaten, dedizierten Datenbank ab. Sucht ein Anwender nach einer bestimmten verschlüsselten/pseudonymisierten Information, wird die Anfrage nicht direkt an die Anwendung in der Cloud gesendet, sondern an das Gateway. Das Gateway findet in der Datenbank die Indizes, die der Suchanfrage entsprechen, und sendet eine entsprechend modifizierte Suchanfrage an die Anwendung. Die Anwendung sendet die betroffenen Datensätze zurück an das Gateway, das diese entschlüsselt und dem Anwender zur Verfügung stellt. Bei entsprechender technischer Umsetzung nimmt der Prozess selbst bei der Indexierung hunderttausender Datensätze nicht mehr als wenige Millisekunden in Anspruch und Anwender merken keinen Unterschied zur Nutzung unverschlüsselter Daten.

Mit gutem Gewissen

Durch den Einsatz eines Verschlüsselungs-Gateways lassen sich Cloud-Dienste unabhängig vom physischen Ort der Datenspeicherung mit gutem Gewissen nutzen. Hinzu kommt der Schutz vor empfindlichen Bußgeldern, die bei Datenschutzverstößen für den Geschäftsführer sogar persönlich schmerzhaft werden können. Was vielen nicht bewusst ist: Geschäftsführer haften bei Verstößen gegen die DSGVO gegebenenfalls persönlich. Auch eine Cyberversicherung hilft dann nicht, denn der Versicherungsschutz besteht nur dann, wenn die Daten nach dem aktuellen Stand der Technik geschützt wurden. Wem das nicht Motivation genug ist, dem bieten sich weitere Argumente für den Einsatz eines Verschlüsselungs-Gateways.

Noch ein Gesetz

Eines dieser Argumente liefert das Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG). Das Gesetz bestimmt u.a., dass nur dann ein Geschäftsgeheimnis vorliegt, wenn das Unternehmen angemessene Geheimhaltungsmaßnahmen getroffen hat, z.B. eine Verschlüsselung der Daten. Beurteilt ein Gericht im Falle eines Datendiebstahls die Geheimhaltungsmaßnahmen als unzureichend, hat ein Unternehmen keinen Anspruch auf Strafverfolgung, weil es sich dann nicht um Geschäftsgeheimnisse im juristischen Sinne handelt.

ESG: Environmental, Social & Corporate Governance

Ein weiteres Argument liefert der ESG-Score. ESG beschreibt einen Ansatz, um zu bewerten, in welchem Maße Unternehmen sich für Ziele einsetzen, die über die Gewinnmaximierung für ihre Aktionäre, Eigentümer, Stakeholder etc. hinausgehen. Seit diesem Jahr müssen auch viele Unternehmen in der EU ESG-Anforderungen erfüllen. ESG macht recht umfangreiche Vorgaben zum Umgang mit Daten und fordert Unternehmen u. a. dazu auf, sensible Daten vor unbefugtem Zugriff sowie absichtlicher oder fahrlässiger Offenlegung zu schützen. Wie beschrieben lässt sich diese Anforderung durch den Einsatz eines Verschlüsselungs-Gateways wunderbar erfüllen.

Wirtschaftliche Vorteile

Last but not least bietet Verschlüsselung wirtschaftliche Vorteile. Für viele Konsumenten ist Datenschutz ein wichtiges Argument, sich für oder gegen einen Anbieter zu entscheiden. Bei entsprechender Kommunikation kann ein Unternehmen also den optimalen Datenschutz durch Verschlüsselung als gutes Verkaufsargument nutzen. Auch bei Partnerschaften zwischen Unternehmen werden Datenschutzaspekte stets wichtiger. Immer mehr Unternehmen erwarten von ihren Geschäftspartnern die Einhaltung einer Reihe von Vorgaben. Der Umgang mit sensiblen Daten spielt dabei häufig keine kleine Rolle.

Mit dem Einsatz eines Verschlüsselungs-Gateways können Unternehmen also eine ganze Reihe an Fliegen mit einer Klappe schlagen.

Über den Autor: Elmar Eperiesi-Beck ist Gründer und CEO von Eperi.

(ID:49322020)