Thesen für sicheres Cloud Computing

Die Thesen der GI befassen sich mit den Herausforderungen Identity Management, Access Control und Integrity Control, Logging und Auditing, Risk Management sowie Compliance aus technischer und juristischer Sicht. Sie lauten:

1. Clouds können ein Sicherheitsrisiko darstellen – wegen der außerhalb des Unternehmens fehlenden Durchsetzungsmöglichkeit unternehmenseigener Sicherheitspolitik, -strategien und -verfahren sowie Sicherheitsmaßnahmen und ihrer Kontrollierbarkeit. Das Gesamt-Sicherheitsniveau bei Cloud Computing kann naturgemäß nicht höher sein als das Sicherheitsniveau innerhalb des Unternehmens – durch die unverzichtbare Vor- und Nach-Verarbeitung im Unternehmen.

2. Daher lassen bereits heute Unternehmen nur ausgewählte Daten in öffentlichen Clouds verarbeiten und verarbeiten wertvolle Daten ausschließlich in privaten Clouds (in-house).

3. Private Clouds unterscheiden sich unter Sicherheitsaspekten nicht von den herkömmlichen unternehmenseigenen IT-Systemen, weil sie der unternehmenseigenen Sicherheitspolitik unterliegen und vollständig kontrolliert werden können. Entsprechendes gilt für rechtliche Vorgaben für die innerbetriebliche Informationsverarbeitung.

4. Bei der Nutzung öffentlicher Clouds (und auch hybrider) sind nationale Gesetze und branchenspezifische Selbstregulierungsmaßnahmen einzuhalten (Compliance); daraus folgt für einige Branchen, dass Clouds gar nicht genutzt werden dürfen. Risikomanagement (zum Beispiel aus § 91 Abs. 2 AktG) und Sicherheitskonzepte sind bei der Nutzung von Clouds anzupassen. Einschränkungen ergeben sich insbesondere aus dem Datenschutzrecht, das die Übermittlung personenbezogener Daten in Staaten außerhalb der EU nur sehr eingeschränkt zulässt und auch innerhalb der EU Pflichten für die Auftragsdatenverarbeitung festsetzt, die nur eine eingeschränkte Nutzung öffentlicher Clouds erlauben.

5. Der Transport der zu verarbeitenden Daten zu öffentlichen Clouds erfolgt über das völlig unsichere Internet und kann nur äußerst aufwändig abgesichert werden.

6. Daten können zur Erhöhung der Vertraulichkeit in der Cloud verschlüsselt gespeichert werden; allerdings können Daten nicht verschlüsselt verarbeitet werden, dazu müssen sie in der Cloud erst wieder entschlüsselt werden – können dann allerdings in öffentlichen Clouds von Dritten ausgelesen werden. Alle eingesetzten Standard- und/oder Individualprogramme zum Transport zu Clouds und zur Verwaltung von Clouds (Virtualisierung, Lastausgleich, geografische Verteilung, Sicherungs- und Sicherheitsmaßnahmen etc.) und auch Verschlüsselungsprogramme und Protokolle sind nicht fehlerfrei; sie können vielmehr kritische (aus dem Internet ausnutzbare) Sicherheitslücken enthalten, die (unbekannten) Dritten ein Auslesen oder Abhören der Daten erlauben.

7. Sicherheitsrelevante Vorfälle müssen sorgfältig untersucht werden können (Forensik). Dies wird allerdings durch die geografische Verteilung der sehr vielen genutzten IT-Systeme schwierig bis unmöglich. Die Beschlagnahme lokalisierter Daten(träger) durch Ermittlungsbehörden verursacht Probleme, weil entweder der auf Virtualisierung und Mehrmandantenfähigkeit basierende Cloud-Betrieb gestört wird oder die Alternative eines (potentiell manipulierten) Snapshots der Daten aus der Cloud nur verminderten Beweiswert vor Gericht hat.

8. Cloud-Betreiber können ihre Dienste einstellen – zum Beispiel bei wirtschaftlichen Schwierigkeiten. Auch in solchen Fällen muss nicht nur vertraglich sondern auch technisch die volle Kontrolle durch den Anwender erhalten bleiben: Das so genannte vendor-lock-in könnte etwa durch branchenübergreifende Standards verhindert werden. Unentgeltliche Cloud-basierte Dienste werden häufig ohne jegliche Garantie angeboten, so dass die verarbeiteten Daten besonders hohen Risiken ausgesetzt sind. Verträge bevorzugen zudem derzeit die Cloud-Anbieter und berücksichtigen nicht in angemessener Form die Interessen der Cloud-Nutzer.

9. Bei vertraglichen Vereinbarungen besteht häufig eine Diskrepanz zur technischen Durchsetzung (zum Beispiel technische Unmöglichkeit der Datenlöschung bei Vertragsende oder besonderen Ereignissen wie Insolvenz).

10. Zur Beherrschung der Risiken durch gemeinsame Nutzung von Hard- und Software (Internet, Infrastruktur, Software und Verfahren) gleichzeitig mit unbekannten Dritten muss Cloud Computing dem Wert der verarbeiteten Daten entsprechend abgesichert werden. Öffentliche Clouds müssen wie kritische Infrastrukturen behandelt werden, sofern sie allgemein und weitverbreitet genutzt werden sollen. Dabei sind auch kartellrechtliche Aspekte wie die Essential-Facilities-Doktrin zu beachten.

Fazit der GI: Insgesamt ergeben sich erhöhte Anforderungen an die Absicherung unternehmenseigener und auch privater Datenverarbeitung bei Cloud Computing und zwar hinsichtlich Vertraulichkeit, Integrität, Verbindlichkeit (zum Beispiel Authentifizierung Berechtigter) und Verfügbarkeit der verarbeiteten Daten und genutzten IT-Systeme, ferner auch stark erhöhte Anforderungen an die rechtliche Absicherung.