Datenschutz in der Cloud: Microsoft setzt internationalen Standard um

Microsoft wendet künftig den ersten internationalen Standard für Datenschutz in der Cloud auf die eigenen Produkte an. Die International Organization for Standardization (ISO) legt mit dem ISO/IEC-27018-Standard, eine Erweiterung der Norm ISO/IEC 27001, ein einheitliches und international gültiges Konzept vor, das die in der Cloud gespeicherten personenbezogene Daten schützen soll.

Neben Microsoft Azure gilt der Standard für Office 365 und Dynamics CRM Online. Damit entsprechen diese den Verhaltensvorschriften (“Codes of Practice”) des Standards zum Schutz personenbezogener Daten in Public Clouds. Das trifft auch für Microsoft Intune zu, schreibt Brad Smith, Executive Vice President und Chefjustiziar von Microsoft, in einem Blog. Das hätten unabhängige Tests des British Standards Institute und Bureau Veritas belegt.

Die Einführung des neuen Standards soll Unternehmenskunden garantieren, dass sie die vollständige Kontrolle über ihre Daten behalten. Sie erhalten Informationen darüber, was mit ihren in der Cloud gespeicherten Informationen geschieht. Dazu zählen auch die Rückgabe, Übermittlung und Vernichtung personenbezogener Daten.

Microsoft will Kunden mitteilen, wo genau sich die Daten befinden und erstattet auch Bericht mit welchen Firmen es gegebenenfalls zusammenarbeitet, falls diese Zugriff auf die Daten benötigen. Auch bei unerlaubten Zugriffen auf personenbezogene Daten oder auf die Verarbeitungseinheit respektive die Anlagen, die zu Verlust, Offenlegung oder Änderung dieser Daten führen, will der Softwarekonzern die Kunden benachrichtigen.

Darüber hinaus verspricht Microsoft einen wirksamen Schutz der Daten. Der ISO/IEC-27018-Standard legt zum Beispiel fest, dass sämtliche Personen, die mit der Verarbeitung personenbezogener Daten betraut werden, einer Geheimhaltungsverpflichtung unterliegen. Der Konzern garantiert ebenfalls, die Daten nicht zu Werbezwecken zu nutzen.

Darüber hinaus schreibt der internationale Cloud-Datenschutz-Standard vor, dass Unternehmenskunden darüber informiert werden müssen, falls Ermittlungsbehörden die Herausgabe personenbezogener Daten fordern – es sei denn, diese Information ist rechtlich untersagt. Laut Smith folgt Microsoft diesem Ansatz bereits seit langem, bestätige seine diesbezügliche Verpflichtung durch die Übernahme des Standards aber nochmals.

“Alle diese Verpflichtungen sind vor dem Hintergrund des aktuellen rechtlichen Umfelds, in dem Unternehmenskunden zunehmend eigene Datenschutzverpflichtungen einhalten müssen, von noch größerer Bedeutung”, so Smith. “Wir sind optimistisch, dass ISO 27018 als gute Vorlage sowohl für Regulierungsbehörden als auch für Kunden dienen kann, wenn es um die Gewährleistung eines wirksamen Datenschutzes über Ländergrenzen und vertikale Branchensektoren hinweg geht.”

Auf der CeBIT soll der neue Standard, an dem auch Unternehmen mitgearbeitet haben, der Öffentlichkeit vorgestellt werden. Durch diese weitere Konkretisierung und die Einteilung in unterschiedliche Schutzklassen soll der Anwender eine bessere Vergleichsmöglichkeit zwischen den Angeboten bekommen.

[mit Material von Björn Greif, ZDNet.de]

Tipp: Was wissen sie über Microsoft? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.