Sie sind hier: Startseite » Markt » Tipps und Hinweise

DSGVO: Fünf Tipps für klare Sicht in der Cloud

Worauf Unternehmen bei der Auswahl von Cloud-Anbietern achten sollten
Ein guter Anhaltspunkt, um eine erste Auswahl an geeigneten Cloud-Anbietern zu treffen, sind derzeit die ISO-Zertifizierungen 27001 und 27017, die sich am IT-Grundschutz des BSI orientieren

Von Michael Scheffler, Regional Director CEEU, Bitglass

Die Nutzung von Cloud-Services ist für viele Unternehmen eine betriebliche Notwendigkeit geworden. Werden personenbezogene Daten in die Cloud ausgelagert, gelten bei der Auswahl eines Cloud-Anbieters jedoch besondere Vorgaben durch die DSGVO. Um die Compliance-Vorgaben bestmöglich zu erfüllen, sollten Unternehmen einige wesentliche Punkte beachten.

Für Cloud-Services gilt das Modell der Shared Responsibility, das heißt, dass sowohl der Anbieter als auch das nutzende Unternehmen für die Datensicherheit verantwortlich sind. Während der Nutzer dafür zu sorgen hat, dass die Datennutzung in der Cloud sicher ist, hat der Cloud-Anbieter für die Sicherheit der bereitgestellten Infrastruktur zu garantieren. Werden für personenbezogene Daten Cloud-Services genutzt, verlangt die DSGVO von den Nutzern, sich zu vergewissern, dass der Cloud-Anbieter seiner Verantwortung in ausreichendem Maße nachkommt. Unternehmen müssen also sicherstellen, dass das Datenschutzniveau, dass sie ihren Kunden zusichern, auch jenseits ihrer eigenen Infrastruktur in der Cloud aufrechterhalten bleibt.

Bei Einführung der DSGVO war vorgesehen, mit Hilfe von Gütesiegeln Unternehmen die Auswahl von Cloud-Anbietern zu erleichtern. Standards für Zertifizierer werden gegenwärtig allerdings erst vom Europäischen Datenschutzrat erarbeitet. Dennoch entbindet ein Gütesiegel die Unternehmen nicht von ihrer Verpflichtung zur gewissenhaften Überprüfung der Sicherheitsmaßnahmen des Cloud-Anbieters. Die Zuweisung dieser Kontrolleur-Rolle mag zunächst etwas übertrieben wirken, dient aber letztendlich dazu, klare Verantwortlichkeiten zu schaffen, damit bei einem potentiellen Ernstfall die Zuständigkeiten und daraus resultierenden Verpflichtungen geklärt sind.

Ein guter Anhaltspunkt, um eine erste Auswahl an geeigneten Cloud-Anbietern zu treffen, sind derzeit die ISO-Zertifizierungen 27001 und 27017, die sich am IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik (BSI) orientieren. Um darüber hinaus ihrer Prüfpflicht nach DSGVO-Gesichtspunkten nachzukommen, müssen Unternehmen ihre eigenen Datenschutzrichtlinien mit denen der in Frage kommenden Cloud-Anbieter abgleichen. Dabei sollten insbesondere die folgenden Punkte beachtet werden:

1. Standort der Datenverarbeitung, -speicherung und -sicherung
Der Firmenstandort eines Anbieters sagt nicht zwangsläufig aus, dass eben dort auch der Cloudservice gehostet wird und somit die Verarbeitungstätigkeiten stattfinden. Nach DSGVO-Aspekten ist es in diesem Zusammenhang wichtig, zu ermitteln, ob die Daten im EU-Raum oder außerhalb davon verarbeitet, gespeichert und gesichert werden. Ist letzteres der Fall, muss der Cloud-Nutzer prüfen, ob die Möglichkeiten zur Durchsetzung ihrer Datenschutzrechte bei Kunden im entsprechenden Land dieselben sind wie innerhalb der EU. Für den Cloudanbieter gibt es diesbezüglich verschiedene Möglichkeiten, dies nachzuweisen, beispielsweise durch eine entsprechende von der EU genehmigte Zertifizierung oder eine offizielle Stellungnahme der zuständigen Aufsichtsbehörden.

2. Aktueller Malware-Schutz
Der Cloud-Anbieter sollte nachweisen können, dass er über einen geeigneten Virenschutz verfügt, der auch die Blockierung und Entfernung von noch unbekannter Malware ermöglicht – also idealerweise verhaltensbasiert arbeitet. Überaus fortschrittlich wäre es, wenn der Cloudprovider auch Malware-Schutzfunktionen für Daten in der Cloud und während des Uploads bieten kann. Weiterhin sollte mit dem Hersteller der Software eine mindestens tägliche Aktualisierung vereinbart sein.

3. Verfahrensregelung bei Sicherheitsvorfällen
Ein überaus wichtiges Kapitel ist die Verfahrensregelung bei Sicherheitsvorfällen. Der Cloud-Anbieter muss darlegen, innerhalb welcher Fristen und in welchem Umfang er Auskunft über potenzielle Datenverluste geben kann und ob diese zeitgleich an Nutzer und Aufsichtsbehörden gegeben werden. Anhand dessen sollten Cloud-Nutzer ihre eigenen internen Prozesse überprüfen, um sicherzustellen, dass Kunden und gegebenenfalls Aufsichtsbehörden innerhalb der gesetzlichen Frist von 72 Stunden informiert werden. Sofern noch nicht vorhanden, sollte für Cloud-Sicherheitsvorfälle ein unternehmensinterner Ablaufplan ausgearbeitet werden, in welchem alle nötigen Schritte und die erforderlichen beteiligten Personen festgelegt werden.

4. Datensicherungs und -wiederherstellungsmechanismen
Cloud-Nutzer müssen sich vergewissern, dass die Vorgaben, die sie in ihrer Datenschutzerklärung ihren Kunden zusichern, auch in dem Vertrag mit dem Cloud-Anbieter abgebildet sind. Dafür hat der Cloud-Anbieter alle organisatorischen und technischen Verfahren für regelmäßige Back-ups und die Wiederherstellung von Daten bereitzustellen, zu dokumentieren und regelmäßig zu kommunizieren. Dies gilt auch für die Seite des Cloudanbieters. Außerdem muss er bei Vertragsabschluss dem Nutzer gegenüber erklären, dass ausschließlich autorisiertes Personal Zugriff auf die Daten hat. Dabei sollten sich Nutzer auch darauf beschränken man sich dabei darauf beschränken, dem Anbieter maximal lesenden Zugriff einzuräumen.

5. Cloud-Anbieter und Subunternehmer
Bei Vertragsabschluss sollten Cloud-Nutzer in Erfahrung bringen, ob der Anbieter für bestimmte Cloud-Instanzen mit Subunternehmen zusammenarbeitet. Ist dies der Fall, ist weiterhin zunächst zu klären, ob diese im selben geographischen Gebiet operieren wie der beauftragte Anbieter. Falls dies nicht zutrifft, muss nachgewiesen werden, ob auch in der entsprechenden Lage dort sichergestellt ist, dass dasselbe Datenschutzniveau wie im EU-Raum herrscht. Weiterhin muss auch die Erklärung eingeholt werden, dass der Subunternehmer alle vertraglich betroffenen Vereinbarungen zwischen Anbieter und Nutzer einhält. Ist dies nicht gegeben, wäre der Vertragsabschluss hinfällig.

Für optimale Datensicherheit: Was Cloud-Nutzer tun können
Insgesamt müssen Cloud-Nutzer sicherstellen, dass die von ihnen erhobenen personenbezogenen Daten über den gesamten Verarbeitungszyklus hinweg gesichert sind. Damit auf beiden Seiten die Maßnahmen perfekt ineinandergreifen, sollten Unternehmen dafür sorgen, dass ihre Daten in der Cloud geschützt sind. Mit Verschlüsselungstools können sie dafür sorgen, dass diese nicht zur Beute unbefugter Dritter werden.

Dies bietet einen weiteren Vorteil: Gehen Daten auf dem Weg in die Cloud verloren, ist nach derzeitiger Auslegung der DSGVO kein meldepflichtiger Vorfall entstanden, da erbeutete Daten in verschlüsselter Form für die Diebe wertlos sind – gesetzt den Fall, es wurden nicht auch noch die erforderlichen Schlüssel entwendet. Allerdings lautet die Empfehlung des Gesetzgebers, in regelmäßigen Abständen zu überprüfen, ob der verwendete Verschlüsselungsalgorithmus neuesten Anforderungen entspricht. Kommt es mit einem veralteten Algorithmus zu einer Sicherheitspanne mit Datenverlust, trifft den Cloud-Nutzer womöglich eine Mitschuld.

Der gegenwärtig höchste Standard ist der AES-256 (Advanced Encryption-Standard). Dieser nutzt 256-Bit-Schlüssel für die Chiffrierung von Daten. Ein ebenso langer Initialisierungsvektor sorgt dafür, dass auch in umfangreichen Datenmengen ein ausreichendes Maß an Zufälligkeit herrscht und der Datensatz nicht geknackt werden kann. Darüber hinaus sollten die Schlüssel ausschließlich unternehmensintern, durch einen beschränkten Personenkreis generiert und verwaltet werden.

Da zahlreiche Angriffsversuche häufig Social Engineering-Taktiken am Endpoint anwenden, um Zugriff auf möglichst viele Anwendungen und Daten zu erhalten, ist es darüber hinaus sinnvoll, das Sicherheitsbewusstsein der Unternehmensmitarbeiter regelmäßig zu schulen. Auf diese Weise wird das Bewusstsein für die Sicherheit von Daten nach und nach ein Bestandteil der Unternehmenskultur, der sämtliche Ebenen durchdringt. Dies trägt langfristig mit dazu bei, die rechtlichen Pflichten nach DSGVO-Vorgaben mit geringem Aufwand einhalten zu können. (Bitglass: ra)

eingetragen: 21.04.19
Newsletterlauf: 21.05.19

Bitglass: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Tipps und Hinweise

Wie sich Teamarbeit im KI-Zeitalter verändert
Liefertermine wackeln, Teams arbeiten unter Dauerlast, Know-how verschwindet in der Rente: In vielen Industrieunternehmen gehört der Ausnahmezustand zum Betriebsalltag. Gleichzeitig soll die Zusammenarbeit in Produktion, Qualitätskontrolle und Wartung immer schneller, präziser und vernetzter werden. Wie das KI-gestützt gelingen kann, zeigt der Softwarehersteller Augmentir an sechs konkreten Praxisbeispielen.
Vom Workaround zum Schatten-Account
Um Aufgaben im Arbeitsalltag schneller und effektiver zu erfüllen, ist die Suche nach Abkürzungen Gang und Gebe. In Kombination mit dem technologischen Fortschritt erreicht die Effizienz menschlicher Arbeit so immer neue Höhen und das bringt Unternehmen unwissentlich in eine Zwickmühle: Die zwischen Sicherheit und Produktivität. Wenn ein Mitarbeiter einen Weg findet, seine Arbeit schneller oder besser zu erledigen, die Bearbeitung von Zugriffsanfragen durch die IT-Abteilung aber zu lange dauert oder zu kompliziert ist, dann finden Mitarbeiter oftmals "kreative" Lösungen, um trotzdem weiterarbeiten zu können. Diese "Workarounds" entstehen selten aus böser Absicht. Allerdings stellen sie gravierende Sicherheitslücken dar, denen sich viele Beschäftigte und Führungskräfte nicht bewusst sind.
KI in der Cloud sicher nutzen
Keine Technologie hat die menschliche Arbeit so schnell und weitreichend verändert wie Künstliche Intelligenz. Dabei gibt es bei der Integration in Unternehmensprozesse derzeit keine Tür, die man KI-basierter Technologie nicht aufhält. Mit einer wachsenden Anzahl von KI-Agenten, LLMs und KI-basierter Software gibt es für jedes Problem einen Anwendungsfall. Die Cloud ist mit ihrer immensen Rechenleistung und Skalierbarkeit ein Motor dieser Veränderung und Grundlage für die KI-Bereitstellung.
Clever skalieren auf Basis bestehender Strukturen
Da Generative AI zunehmend Teil unseres Alltags wird, befinden wir uns in einer KI-Phase, die sich durch außerordentliche Fähigkeiten und enormen Konsum auszeichnet. Was anfangs auf einer theoretischen Ebene stattgefunden hat, ist inzwischen messbar - und zwar bis zur kleinsten Einheit. Aktuelle Untersuchungen von Mistral AI und Google deuten darauf hin, dass die Folgen einer einzigen Interaktion vernachlässigbar sind: Bruchteile eines Watts, einige Tropfen Wasser und ein Kohlenstoffausstoß, der etwa dem entspricht, was beim Streamen eines Videos unter einer Minute verbraucht wird.
Von Cloud-First zu Cloud-Smart
Die zunehmende Vernetzung von IT- und OT-Systemen bedeutet für die Fertigungsindustrie neue Sicherheitsrisiken. Ein moderner Cloud-Smart-Ansatz verbindet Innovation mit effektiven Sicherheitslösungen, um diesen Herausforderungen gerecht zu werden. Die industrielle Digitalisierung stellt die Fertigungsindustrie heute vor neue Herausforderungen - insbesondere in puncto Sicherheit.
Technik statt Vertrauen
Die andauernden Turbulenzen in den USA seit Amtsantritt von Donald Trump, die konsequente Kürzung von Mitteln für Datenschutz und die Kontrolle staatlicher Überwachungsprogramme verdeutlichen: Wer als Behörde oder Institution höchste Datensicherheit garantieren muss, kann nicht auf US-amerikanische Unternehmen oder deren europäische Töchter setzen.
Risiko von SaaS-zu-SaaS-Integrationen
Ein SaaS-Sicherheitsalbtraum für IT-Manager in aller Welt wurde kürzlich wahr: Hacker nutzten legitime OAuth-Tokens aus der Drift-Chatbot-Integration von Salesloft mit Salesforce, um unbemerkt Kundendaten von der beliebten CRM-Plattform zu exfiltrieren. Der ausgeklügelte Angriff deckt einen kritischen toten Winkel auf, von dem die meisten Sicherheits-Teams nicht einmal wissen, dass sie von ihm betroffen sind.
Kostenfallen erkennen und vermeiden
Remote Work, Cloud Computing und mobile Endgeräte haben die Arbeitswelt grundlegend verändert. Mitarbeiter erwarten heute, von überall aus auf ihre Anwendungen und Daten zugreifen zu können. Virtuelle Desktop-Lösungen machen diese Flexibilität möglich, indem sie Desktop-Umgebungen und Anwendungen über das Netzwerk eines Unternehmens bereitstellen. Doch der Markt für solche Lösungen ist komplex und vielfältig. IT-Entscheider stehen vor der Herausforderung, aus dem Angebot die passende Lösung zu identifizieren, die sowohl technische Anforderungen als auch wirtschaftliche Ziele erfüllt.
Übergang in die neue Systemlandschaft
Der Umstieg auf SAP S/4HANA ist bei vielen Unternehmen bereits in vollem Gange oder steht unmittelbar bevor. Wer in diesem Zusammenhang seine Archivierungsstrategie überdenkt, kann wertvolle Zeit, Kosten und Aufwand sparen. Die Archivierungsexperten von kgs haben zehn zentrale Aspekte zusammengestellt, die dabei helfen, den Übergang in die neue Systemlandschaft effizient und zukunftssicher zu gestalten.
Die Zukunft braucht offene KI-Infrastrukturen
KI ist mehr als ein ominöses Hinterzimmer-Experiment. Die Technologie ist eine treibende Kraft, wenn es um Produkte, Entscheidungen und Nutzererfahrungen über jegliche Wirtschaftsbereiche hinaus geht. Mittlerweile stellen Unternehmen jedoch die Inferenz in den Mittelpunkt ihrer KI-Implementierungen. Hier können die Modelle ihren eigentlichen Mehrwert unter Beweis stellen - unter anderem in Form von Antworten auf drängende Fragen, Vorhersagen und Content-Generierung. Der Anstieg des Inferenz-Bedarfs bringt jedoch eine entscheidende Herausforderung mit sich. Bei Inferenzen handelt es sich nämlich nicht um einzelne Workloads.

Die fünf Merkmale erfolgreicher MSP Keine Digitalisierung ohne 5G