Sie sind hier: Startseite » Cloud » Cloud Computing-Hintergrund

Sicherheit und Datenschutz beim Cloud Computing

Die Cloud ist intransparent und damit unkontrollierbar: Öffentliche Clouds werden von Outsourcing-Nehmern auch ohne ausdrückliche Information des Auftraggebers eingesetzt
Clouds können ein Sicherheitsrisiko darstellen wegen der außerhalb des Unternehmens fehlenden Durchsetzungsmöglichkeit unternehmenseigener Sicherheitspolitiken, -strategien und -verfahren

(08.12.10) - Die Gesellschaft für Informatik e.V. (GI) hat zehn Thesen zu Sicherheit und Datenschutz beim Cloud Computing vorgestellt. Beim "Cloud Computing" werden viele vernetzte Rechner gemeinsam genutzt.

"Cloud Computing ist in aller Munde und wird heute in vielfältigen Umgebungen eingesetzt. Deshalb ist es sehr wichtig, Risiken zu kennen und Handreichungen für einen verantwortungsvollen Einsatz von Clouds zu definieren", sagte GI-Präsident Stefan Jähnichen. Die GI habe deshalb folgende zehn Thesen aufgestellt, die die Herausforderungen Identity Management, Access Control und Integrity Control, Logging und Auditing, Risk Management und rechtlicher Compliance aus technischer und juristischer Sicht beschreiben.

Cloud Computing (früher: Grid-Computing und Utility Computing) bezeichnet preiswerte zentral und dynamisch organisierte große (verteilte und virtualisierte) Cluster von IT-Systemen (shared infrastructures, Server-Farmen): Hardware, Speicher- und Netzkapazitäten, Plattformen (Datenbanken und Run-Time-Environment) und Anwendungen (verteilte Nutzung von Software: Hosted Applications).

Öffentliche Clouds werden sind in Deutschland und/oder, im Ausland oder an nicht (näher) spezifizierten Orten und auch off-shore angesiedelt; jedenfalls kann der Anwender nicht erkennen, an welchem Ort des weltweiten Internets seine Daten gespeichert oder verarbeitet werden. Die Cloud ist intransparent und damit unkontrollierbar: Öffentliche Clouds werden von Outsourcing-Nehmern auch ohne ausdrückliche Information des Auftraggebers eingesetzt. Wir alle benutzen Clouds, wenn wir z.B. mit Suchmaschinen, Software-as-a-Service (SaaS), webbasierten Maildiensten, Social Communities und Kalendern im Internet arbeiten.

Die folgenden Herausforderungen hinsichtlich Identity Management, Access Control und Integrity Control, Logging und Auditing, Risk Management und rechtlicher Compliance müssen also gelöst werden:

1. Clouds können ein Sicherheitsrisiko darstellen wegen der außerhalb des Unternehmens fehlenden Durchsetzungsmöglichkeit unternehmenseigener Sicherheitspolitiken, -strategien und -verfahren sowie Sicherheitsmaßnahmen und ihrer Kontrollierbarkeit. Das Gesamt-Sicherheitsniveau beim Cloud Computing kann naturgemäß nicht höher sein als das Sicherheitsniveau innerhalb des Unternehmens - durch die unverzichtbare Vor- und Nach-Verarbeitung im Unternehmen.

2. Daher lassen bereits heute Unternehmen nur ausgewählte Daten in öffentlichen Clouds verarbeiten und verarbeiten wertvolle Daten ausschließlich in privaten Clouds (in-house).

3. Private Clouds unterscheiden sich unter Sicherheitsaspekten nicht von den herkömmlichen unternehmenseigenen IT-Systemen, weil sie der unternehmenseigenen Sicherheitspolitik unterliegen und vollständig kontrolliert werden können. Entsprechendes gilt für rechtliche Vorgaben für die innerbetriebliche Informationsverarbeitung.

4. Bei der Nutzung öffentlicher Clouds (und auch hybrider) sind nationale Gesetze und branchenspezifische Selbstregulierungsmaßnahmen einzuhalten (Compliance); daraus folgt für einige Branchen, dass Clouds gar nicht genutzt werden dürfen. Risikomanagement (z. B. aus § 91 Abs. 2 AktG) und Sicherheitskonzepte sind bei der Nutzung von Clouds anzupassen. Einschränkungen ergeben sich insbesondere aus dem Datenschutzrecht, das die Übermittlung personenbezogener Daten in Staaten außerhalb der EU nur sehr eingeschränkt zulässt und auch innerhalb der EU Pflichten für die Auftragsdatenverarbeitung festsetzt, die nur eine eingeschränkte Nutzung öffentlicher Clouds erlauben.

5. Der Transport der zu verarbeitenden Daten zu öffentlichen Clouds erfolgt über das völlig unsichere Internet und kann nur äußerst aufwändig abgesichert werden.

6. Daten können zur Erhöhung der Vertraulichkeit in der Cloud verschlüsselt gespeichert werden; allerdings können Daten nicht verschlüsselt verarbeitet werden, dazu müssen sie in der Cloud erst wieder entschlüsselt werden – können dann allerdings in öffentlichen Clouds von Dritten ausgelesen werden. Alle eingesetzten Standard- und/oder Individualprogramme zum Transport zu Clouds und zur Verwaltung von Clouds (Virtualisierung, Lastausgleich, geografische Verteilung, Sicherungs- und Sicherheitsmaßnahmen etc.) und auch Verschlüsselungsprogramme und Protokolle sind nicht fehlerfrei; sie können vielmehr kritische (aus dem Internet ausnutzbare) Sicherheitslücken enthalten, die (unbekannten) Dritten ein Auslesen oder Abhören der Daten erlauben.

7. Sicherheitsrelevante Vorfälle müssen sorgfältig untersucht werden können (Forensik). Dies wird allerdings durch die geografische Verteilung der sehr vielen genutzten IT-Systeme schwierig bis unmöglich. Die Beschlagnahme lokalisierter Daten(träger) durch Ermittlungsbehörden verursacht Probleme, weil entweder der auf Virtualisierung und Mehrmandantenfähigkeit basierende Cloud Computing-Betrieb gestört wird oder die Alternative eines (potentiell manipulierten) Snapshots der Daten aus der Cloud nur verminderten Beweiswert vor Gericht hat.

8. Cloud-Betreiber können ihre Dienste einstellen - z.B. bei wirtschaftlichen Schwierigkeiten. Auch in solchen Fällen muss nicht nur vertraglich sondern auch technisch die volle Kontrolle durch den Anwender erhalten bleiben: Das so genannte "vendor-lock-in" könnte etwa durch branchenübergreifende Standards verhindert werden. Unentgeltliche Cloud-basierte Dienste werden häufig ohne jegliche Garantie angeboten, so dass die verarbeiten Daten besonders hohen Risiken ausgesetzt sind. Verträge bevorzugen zudem derzeit die Cloud Computing-Anbieter und berücksichtigen nicht in angemessener Form die Interessen der Cloud Computing-Nutzer.

9. Bei vertraglichen Vereinbarungen besteht häufig eine Diskrepanz zur technischen Durchsetzung (z.B. technische Unmöglichkeit der Datenlöschung bei Vertragsende oder besonderen Ereignissen wie Insolvenz).

10. Zur Beherrschung der Risiken durch gemeinsame Nutzung von Hard- und Software (Internet, Infrastruktur, Software und Verfahren) gleichzeitig mit unbekannten Dritten muss Cloud Computing dem Wert der verarbeiteten Daten entsprechend abgesichert werden. Öffentliche Clouds müssen wie Kritische Infrastrukturen behandelt werden, sofern sie allgemein und weitverbreitet genutzt werden sollen. Dabei sind auch kartellrechtliche Aspekte wie die "Essential-facilities-Doktrin" zu beachten.

Insgesamt ergeben sich stark erhöhte Anforderungen an die Absicherung unternehmenseigener und auch privater Datenverarbeitung bei Cloud Computing und zwar hinsichtlich Vertraulichkeit, Integrität, Verbindlichkeit (z.B. Authentifizierung Berechtigter) und Verfügbarkeit der verarbeiteten Daten und genutzten IT-Systeme, ferner auch stark erhöhte Anforderungen an die rechtliche Absicherung. (Gesellschaft für Informatik: ra)

Lesen Sie auch:
Gestaltung einer sicheren Cloud Computing-Umgebung
Cloud Computing und der Datenschutz

Gesellschaft für Informatik: Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Kostenloser PMK-Verlags-Newsletter
Ihr PMK-Verlags-Newsletter hier >>>>>>

Meldungen: Hintergrund

ray ebnet Weg in hybride Cloud-Welt
proAlpha, Anbieterin von ERP- und Softwarelösungen für die mittelständische Fertigungsindustrie, kündigt die allgemeine Verfügbarkeit seiner webbasierten ERP-Lösung "proAlpha ray" an. Damit erhalten Nutzer über den Browser einfachen und mobilen Zugriff auf das ERP, jederzeit und über nahezu jedes beliebige Endgerät.
Viel Potenzial in der neuen "Sales Cloud"
Es ist die neue Vertriebslösung der SAP: Die "Sales Cloud V2". Sie verspricht vor allem eines: intelligente, automatisierte und user-freundliche Prozesse. Wie viel Erleichterung verschafft die neue Lösung den Vertriebs-Teams? Und was sind die Unterschiede zur Vorgängerversion?
Dell RMAD beschleunigt Disaster Recovery
Dell liefert ab sofort das neue Release des "Dell Recovery Manager for Active Directory" und des "Recovery Manager for Active Directory Forest Edition 8.7" aus. Unternehmen, die eine hybride Active-Directory-Umgebung mit Azure AD Connect betreiben, sind so in der Lage, AD-Objekte in Echtzeit zu sichern, zu analysieren und wiederherzustellen - und dies sowohl in On-Premises-Umgebungen als auch in der Cloud. Damit ist Dell der erste Anbieter im Markt, der eine vollständige Suite von AD-Backup- und Recovery-Lösungen bereitstellt, die Item-Level Recovery, vergleichende Berichte und Attribute-Rollback-Funktionalitäten unterstützen. Unternehmen erhalten die vollständige Kontrolle, die sie für eine erfolgreiche, hybride AD-Verwaltung benötigen. Sie sind damit in der Lage, in ihrem Rechenzentrum eine automatische Wiederherstellung auf Forest-Ebene vorzunehmen sowie eine voll funktionsfähige Virtual-Lab-Umgebung aufzubauen.
Fortschrittlicheres IT-Management
Kaseya, Anbieterin von Software für Cloud-basiertes IT-Management, stellt ein Fünf-Schritte-Model von, mit dem Unternehmen fortschrittlicheres IT-Management haben können. Im Gegensatz zur gängigen Annahme haben mittelständische Unternehmen einen großen Vorteil, wenn sie ihre IT voranbringen wollen. Der Schlüssel dafür heißt Flexibilität, weil Mittelständler ihre IT mit einem geringen finanziellen Aufwand weiterentwickeln können.
HR-Management aus der Cloud
Das Personalwesen und das Human Capital Management (HCM) haben in den letzten Jahren deutlich und vielerorts auch nachhaltig an Bedeutung gewonnen. Mit den wachsenden Funktionsumfängen betriebswirtschaftlicher Lösungen hat sich das Personalwesen vom Verwaltungsapparat bis heute zu einem wertvollen strategischen Instrument zur Umsetzung der Unternehmensziele entwickelt. Nicht nur im personalintensiven Dienstleistungssektor gilt das Human Capital Management heute als kardinale Managementdisziplin, die mit ihren Kernaufgaben wie u.a. Personalauswahl, Talent und Performance Management, Personalentwicklung, Self Services oder Ressourcensteuerung einen gewichtigen Beitrag zum Unternehmenserfolg leistet. Bedarfsgerechte Cloud Computing-Angebote eröffnen mit ihren flexiblen und nutzungsorientierten Betriebsmodellen quasi für jedermann eine schnelle und preisgünstige Transformation der HR-Prozesse zu einem proaktiven Managementwerkzeug.
Cloud: Auch WANs können Probleme bereiten
Cloud Computing bringt einem Unternehmen eine Menge Vorteile, etwa niedrigere Kosten, Rechenleistung und Software nach Bedarf oder Zugriff auf ausgefeilte Funktionen wie Disaster Recovery und Datenreplizierung in einem Cloud-Data-Center. "Doch ein Cloud Computing-Projekt kann schnell in einem Debakel enden", warnt Jeff Aaron, Vice President Marketing bei Silver Peak Systems, einem weltweit führenden Anbieter von Software, mit der sich Daten schnell, effizient und sicher über große Entfernungen übermitteln lassen. "Das ist dann der Fall, wenn der Nutzer nicht im Vorfeld prüft, ob seine Netzwerkinfrastruktur für die speziellen Anforderungen von Cloud Computing-Diensten ausgelegt ist."
Externe Cloud kann zur Schatten-IT führen
Laut den Analysten von Gartner wird der Anteil der Mitarbeiter, die im IT-Betrieb tätig sind, von heute bis zu 70 Prozent auf unter 30 Prozent sinken (Gartner: "IT Professional Outlook, 2012 to 2016", Januar 2012). Damit steht die IT-Organisation vor einer drastischen Veränderung: Soll sie den IT-Betrieb weiterhin intern leisten, so muss sie einen hohen Automatisierungsgrad erreichen. Der Druck auf IT-Verantwortliche wird durch die Angebote externer Cloud Service-Provider verstärkt, die IT-Leistungen durch flexibel skalierbare Rechenzentren mit modernster Technik anbieten.
Komplexitätsproblem Cloud Computing
Keine Frage, Cloud Computing ist auf dem Vormarsch. Schon heute hängen 44 Prozent aller Händler-Websites von Amazons Cloud Computing-Plattform "EC2" ab. Dazu steigt der Anteil an Online-Inhalten von Drittanbietern (CDN) stetig weiter an. Und auch Big Data steht nicht mehr zu Wahl, sondern ist bereits Wirklichkeit. Nach Erhebungen von Deloitte werden bis Ende des Jahres schon über 90 Prozent der Fortune 500 Unternehmen Big Data-Initiativen auf den Weg gebracht haben.
Cloud Computing braucht Sicherheit
Die Gefahren beim Cloud Computing müssen beherrschbar sein. Dies forderte die Nifis Nationale Initiative für Informations- und Internet-Sicherheit e.V. anlässlich der diesjährigen it-sa 2012. Laut Nifis ist die Gefahr, beim Nutzen der Daten-Wolke durch Hacker-Angriffe in Mitleidenschaft gezogen zu werden und dabei sensible Daten zu verlieren, sehr groß. Vor allem Datenpannen bei Cloud Computing-Anbietern sorgen immer wieder für ein unkalkulierbares Bedrohungspotential.
Was Cloud-Lösungen dem Mittelstand bringen
Der Vorteil von Cloud Computing-Anwendungen im Mittelstand ist in aller Munde. ProjectHQ bietet mit dem "Cloud-Kompass" nun den direkten Vergleich zwischen klassischer Software und modernen Cloud-Lösungen. Mit dem "ProjectHQ Cloud-Kompass" ist es möglich, den direkten Kostenvergleich zwischen klassischer Software und einer modernen Cloud Computing-Lösung anzustellen. Interessierte Unternehmen können mit nur wenigen Angaben zu bestehenden Systemen eine aussagekräftige Abschätzung der Kosten- und Funktionsvorteile für ihre Ansprüche erhalten.

Cloud Sourcing: Vom Prinzip her bereits bekannt Gestaltung einer sicheren Cloud Computing-Umgebung