Die richtige Cloud-Struktur einsetzen
Datensouveränität für mehr Sicherheit
Eigenverantwortung und Autarkie in Bezug auf Datenspeicherung wird immer wichtiger für Unternehmen. Dies gilt insbesondere, wenn personenbezogene Daten von Institutionen und Dienstleistern zu verarbeiten und zu speichern sind.
Die Datenarten von Unternehmen sollten differenziert berücksichtigt werden. Bei besonders schutzwürdigen unternehmenskritischen Daten ist es essenziell, selbst darüber zu bestimmen, wie, wo und bei wem diese gespeichert werden. Dies gilt, sobald ein externer Anbieter für die Cloud-Lösung eingesetzt wird und ebenso für die Auswahl des Rechenzentrumanbieters für Outsourcing.
Die gesetzlichen Bestimmungen in Deutschland und in der Europäischen Union bilden eine verlässlichere Rechtsgrundlage für Datenschutz im Vergleich zu anderen Staaten, die diesen different interpretieren. Ein neuer Trend ist in diesem Kontext erkennbar: Eine souveräne Cloud kommt ins Spiel, wenn Unternehmen, Behörden und Institutionen insbesondere aus dem Forschungsumfeld höchsten Anspruch an Sicherheit und Datenhoheit stellen.
Eine souveräne Cloud kann als dedizierte Lösung aufgesetzt oder in eine hybride Infrastruktur eingebunden sein. Hybride Cloud-Lösungen werden vermehrt von Unternehmen für agile Geschäftsmodelle genutzt. In dem Fall ist neben der Nutzung der Public Clouds der Hyperscaler ein Provider eingebunden, der die sensiblen Daten speichert.
Der Sitz des Unternehmens sollte sich in Deutschland oder in der EU befinden, damit die europäische Datenschutzgrundverordnung und nicht der US-Cloud Act greift. In den USA besteht ein Risiko eines extra-territorialen Zugriffs, denn dieses US-Gesetz verleiht staatlichen Organisationen wie Geheimdiensten die Macht, auf Daten zuzugreifen, die von US-Unternehmen gespeichert werden, ohne eine Genehmigung der Dateneigentümer einzuholen. Dieser Sachverhalt und mögliche Konsequenzen sind bei der Providerwahl für geschäftskritische Prozesse und relevanten Daten für den eigenen Wettbewerbsvorteil gebührend zu prüfen.
Die Datenhoheit innezuhaben bedeutet, als Kunde die Entscheidungen zu treffen, was mit den Daten passiert und wer Zugang hat. Bei dem Einsatz von Hyperscalern ist dies eine grundsätzliche Vertrauensfrage. Ein Unternehmen kann sich seine eigene digitale Souveränität als Nachhaltigkeitskomponente aufbauen. Autarkie und Vertrauen – beide Begriffe und zugleich Zustände – stehen im Kontext zu Selbstbestimmung über die IT, zu freier Anbieterwahl und zur Datenverwendung.
Cloudnutzung gehört zur Digitalisierung dazu. Mit der Basis, “Cloud first“, gibt es zwar eine etablierte Strategie, die jedoch bekanntlich auch Tücken in der Umsetzung hat, denn meist gilt „One Size doesn’t fit all“. Hybride Clouds kombinieren gute Attribute einer Cloud mit Geschäftszielen und fördern Agilität sowie Innovationskraft. Im besten Fall basieren diese Modelle auf Datensouveränität und Nachhaltigkeit.
Es gibt bisher die mehrere Ausprägungen der Bereitstellungsmodelle gemäß (ISO/IEC 22123-2 Abschnitt 5.5):
- In einer Private Cloud wird die Cloud-Infrastruktur nur für eine Institution betrieben. Sie kann von der Institution selbst oder einem Dritten organisiert und geführt werden und kann dabei im Rechenzentrum der eigenen Institution oder einer fremden Institution stehen.
- Von einer Public Cloud spricht man, wenn die Services von der Allgemeinheit oder einer großen Gruppe – beispielsweise einer ganzen Industriebranche - genutzt werden können und die Services von einem Anbieter zur Verfügung gestellt werden.
- In einer Community Cloud wird die Infrastruktur von mehreren Institutionen geteilt, die ähnliche Interessen haben. Eine solche Cloud können diese Institutionen oder ein Dritter betreiben.
- Werden mehrere Cloud-Infrastrukturen, die für sich selbst eigenständig sind, über standardisierte Schnittstellen gemeinsam genutzt, heißt dies Hybrid Cloud.
Die Quelle dieser Definitionen ist https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Grundlagen/grundlagen.html.
Bei der souveränen Cloud-Form ist die Private Cloud das ähnlichste Modell. Der große Unterschied besteht darin, dass die Länderauswahl, in denen die Datenspeicherung erfolgt, bewusst eingegrenzt ist. Die Vorgaben sind bei einer Private Cloud strenger, insbesondere im Hinblick auf Datenhaltung und Nutzung von IT-Ressourcen und deren Abgrenzung gegenüber Drittfirmen. Eine Souveräne Cloud ist wie ein Upgrade dieses Modells positioniert, da die Datenspeicherung innerhalb Deutschlands oder bei Bedarf in der Europäischen Union erfolgt.
Dieser präventive Ansatz ist bei Compliance-Anforderungen von Bedeutung. Eine Cloud verdient die Qualität souverän zu sein, so keine Anbieterabhängigkeit besteht, diese möglichst auf Open Source und offenen Standards aufbaut und die Leistungserbringung durch europäische oder deutsche Cloud Provider erfolgt. Erst dadurch ist die Datensouveränität und der Schutz vor extra-territorialen Zugriffen gewährleistet.
- Datensouveränität für mehr Sicherheit
- Digitale Souveränität ist ein komplexes holistisches Modell
Lesen Sie mehr zum Thema
Das könnte Sie auch interessieren
