Das Beste aus beiden Welten Wird 2020 das Jahr der sicheren Cloud?

Die Cloud soll laut vieler Prognosen auch 2020 weiter „boomen“. Aber wie lässt sich Cloud-Nutzung mit Datenkontrolle, der Einhaltung weltweiter Gesetzgebung, Data Residence und der Geschäftsführer-Haftung vereinbaren? Die einfache Antwort: Cloud Computing, richtig eingesetzt, bietet die Sicherheit und Zuver­lässig­keit eines großen IT-Unternehmens sowie die Kontrolle und Einhaltung von Datenschutz­bestimmungen einer eigenen IT-Infrastruktur.

Anbieter zum Thema

SEPPmail - Deutschland GmbH

Cohesity GmbH

Keeper Security EMEA Ltd.

eperi GmbH

Auch kurz vor Ende letzten Jahres riss die Reihe schlechter Nachrichten aus dem Lande der IT-Sicherheit nicht ab. So ermittelte die Generalstaatsanwaltschaft Frankfurt im Falle der Uni Gießen, die Opfer einer Cyber-Attacke wurde. Etwas früher im Dezember wurde bekannt, dass das Klinikum Fürth aufgrund eines Angriffs auf die IT-Systeme nur eingeschränkt arbeiten konnte. Und die Daten? Die persönlichen vertraulichen Daten – waren diese zu jedem Zeitpunkt optimal geschützt und konnten Angreifer garantiert keinen Zugriff darauf erhalten? Die Generalstaatsanwaltschaft ermittelt.

Kontrolle über Verschlüsselungsprozess und sensible Daten

Vielfach erweisen sich in diesen Fällen die eigenen IT-Systeme der betroffenen Organisationen als nicht widerstandsfähig genug. Auch wenn die Analysten von Techconsult diverse Cloud-Computing-Themen ganz oben sehen bei den Trends für 2020, zeigen sich deutsche Unternehmen und Behörden nach wie vor zögerlich beim Einsatz von Cloud Computing. Laut Statistischem Jahrbuch machen selbst bei den Unternehmen mit mehr als 250 Angestellten 51 Prozent noch keinen Gebrauch von bezahlten Public-Cloud-Angeboten. Und weitestgehend ist der Cloud-Gebrauch sehr basal, d. h. in den meisten Fällen wird die Cloud lediglich als Datenspeicher genutzt. So verwenden lediglich 28 Prozent der Unternehmen mit mehr als 250 Mitarbeitern die Public Cloud zum Betrieb eigener Software. Oft übersehen Unternehmen und Behörden dabei den Sicherheitsaspekt. Denn die Cloud ist letztendlich nur der Computer eines unbekannten Dritten. Wissen Unternehmen, wie ihre Daten dort gespeichert werden und wer darauf alles Zugriff hat? Zwar bieten Cloud-Anbieter oft an, die Daten zu verschlüsseln. Aber hier gilt immer: Wer Daten verschlüsselt, muss logischerweise zunächst erst einmal auch immer Zugriff auf die unverschlüsselten Daten haben.

„Shared Responsibility“-Modell

Unternehmen sollten daher die Kontrolle über den Verschlüsselungsprozess und über ihre sensiblen Daten niemals aus der Hand geben. Der Schutz der Daten liegt ausschließlich in der Verantwortung des Unternehmens. Diese sogenannte „Shared Responsibility“-Modell gilt für alle Cloud-Anbieter. Das bedeutet, zusammengefasst, dass der Cloud Provider sich um die Hardware und ggf. Software kümmert, die Verantwortung für die Daten aber in jedem Falle beim Unternehmen verbleibt. Nicht zuletzt die Europäische Datenschutz Grundverordnung (EU-DSGVO) bestätigt dies und belegt die Nichteinhaltung mit empfindlichen Strafen.

Wie lässt sich der Cloud-Einsatz also mit Datenkontrolle, der Einhaltung weltweiter Gesetzgebung, Data Residence und der Geschäftsführer-Haftung verbinden? Die einfache Antwort: Cloud Computing, richtig eingesetzt, bietet das Beste aus beiden Welten – die Sicherheit und Zuverlässigkeit eines großen IT-Unternehmens sowie die Kontrolle und Einhaltung von Datenschutzbestimmungen einer eigenen IT-Infrastruktur. Kurz gesagt lautet die Lösung für Unternehmen, die beim Cloud Computing auf der sicheren Seite bleiben wollen: alle personenbezogenen und kritischen Daten müssen verschlüsselt und pseudonymisiert werden, bevor sie das Unternehmen verlassen. Wenn Unternehmen eine Lösung zur Verschlüsselung und Pseudonymisierung von Daten nutzen, die ansetzt, bevor diese ihre Organisation auf dem Weg in die Cloud verlassen, schlagen sie buchstäblich „mehrere Fliegen mit einer Klappe“. Um nur die wichtigsten hervorzuheben: Da nur verschlüsselte und pseudonymisierte Daten in der Cloud landen, verstößt das Unternehmen nicht gegen gängige Datenschutz­bestimmungen. Das Risiko, im Falle eines Datenverstoßes bis zu 4 Prozent des weltweiten Jahresumsatzes oder 20 Millionen Euro als Strafe zu zahlen, entfällt in diesem Fall laut EU-DSGVO. Des weiteren fügen sie den Schutzmaßnahmen ihres Cloud-Anbieters ein weiteres Sicherheitsniveau hinzu: Selbst wenn Kriminelle die in der Cloud gespeicherten und verarbeiteten Daten eines Unternehmens erbeuten, können sie nichts damit anfangen, weil diese ja verschlüsselt sind.

Verschlüsselung und Pseudonymisierung der Daten vor dem Weg in die Cloud

Für Unternehmen sollte daher, unabhängig davon, ob sie die Cloud nur als Datenspeicher verwenden oder auch SaaS-Anwendungen nutzen, die Verschlüsselung und Pseudonymisierung ihrer Daten ein zentraler Baustein ihrer IT-Sicherheitsstrategie für 2020 sein.

Über den Autor: Elmar Eperiesi-Beck ist Gründer und CEO der Eperi GmbH.

(ID:46334781)