Startseite > Office & Kommunikation > Datenmissbrauch einen Schlüssel vorschieben

Cloud-Security

Datenmissbrauch einen Schlüssel vorschieben

28. Juli 2016, 10:58 Uhr | Autor: Malte Pollmann / Redaktion: Diana Künstler

Fortsetzung des Artikels von Teil 1

Compliance – ein Grund mehr für „Made in Germany“

Etliche der führenden Anbieter von Public Cloud-Diensten wie Amazon Web Services, Microsoft (Azure), Google und Salesforce.com haben ihren Unternehmenssitz in den USA. Das bedeutet, diese Unternehmen unterliegen den dort geltenden Gesetzen. Das Problem dabei: In den USA gelten weitreichende Zugriffsrechte staatlicher Behörden auf Daten. Die Grundlage bilden Gesetze wie der Patriot Act. Er räumt US-Ermittlungsbehörden und Geheimdiensten weitgehende Rechte ein, unter anderem den Zugriff auf Daten, die bei amerikanischen Cloud-Service-Providern gespeichert sind. Das gilt auch für Informationen von Kunden, die in Cloud-Rechenzentren solcher Provider in der EU oder Deutschland lagern.

Ein solch massiver Durchgriff auf Daten von Unternehmen mit Sitz in Deutschland oder EU ist nicht mit dem Bundesdatenschutzgesetz (BDSG) und der neuen EU-Datenschutz-Grundverordnung (General Data Protection Regulation, GDPR) vereinbar. Denn laut dem GDPR unterliegen auch ausländische Anbieter von Cloud-Diens-ten den Datenschutzbestimmungen, die in der EU gelten. Und diese sind deutlich restriktiver als die in den USA. Die GDPR wird 2018 in Kraft treten und das BDSG ablösen. Dann müssen Nutzer von Cloud-Diensten wissen, wo personenbezogene Daten verarbeitet werden, also in welchem Cloud-Rechenzentrum. Zudem sind sie zu angemessenen Maßnahmen verpflichtet, um den Zugriff Unbefugter auf personenbezogene Daten zu verhindern. Angemessen kann beispielsweise bedeuten, dass solche Informationen mithilfe von Hardware-Sicherheitsmodulen verschlüsselt werden.

Noch offen ist, ob dieser Passus eine weitergehende Verpflichtung für Cloud-Nutzer mit sich bringt – etwa das Sicherstellen, dass auch die für die Verschlüsselung genutzten Keys Dritten nicht zugänglich sind. Das würde bedeuten, dass Cloud-Service-Provider und deren Kunden gängige Key-Management-Verfahren überprüfen müssen. Dies gilt speziell für „Built-in“-Technologien, die in Cloud-Applikationen integriert sind.