Sichere Nutzung von Cloud Storage
Global denken, lokal verschlüsseln
Während in den USA schon viele Unternehmen auf Cloud Storage setzen, trifft dies in Deutschland bislang vor allem auf Start-ups zu. Bei der Masse der Unternehmen dominieren typisch deutsche und durchaus berechtigte Sicherheitsbedenken. Denn Daten in der Cloud zu speichern bedeutet, sie aus der Hand zu geben. Ihre Sicherheit kann man dann nicht mehr kontrollieren - obwohl diese in der Wolke dreifach gefährdet ist: durch Unzulänglichkeiten beim Cloud-Anbieter, häufig durch dessen Sitz in den USA sowie durch externe Angriffe.
Die meisten Anbieter von Cloud Storage versprechen Sicherheit, indem sie Kundendaten und die Verbindungen verschlüsseln. Dies ist jedoch eine Sicherheit unter Auflagen, denn die Schlüssel zu den Daten behalten sie weiterhin. Nur so konnte es geschehen, dass bei einem Anbieter die Daten aller Kunden nach einem Software-Update versehentlich einige Stunden lang für jeden zugreifbar im Internet standen. Und auch wenn die Anbieter betonen, dass bei ihnen nicht "jeder" auf die Schlüssel für die Kundendaten zugreifen kann, so ist es nicht auszuschließen, dass zum Beispiel ein frustrierter und vor der Entlassung stehender Mitarbeiter großen Schaden anrichtet, sei es durch Diebstahl oder Weiterleiten von Daten Dritter.
Server-Standort: unwichtig
Heißer als diese Risiken wird die Möglichkeit diskutiert, dass der Cloud-Anbieter staatlichen Stellen - womit vor allem US-Behörden gemeint sind - Zugriff auf die Daten seiner Kunden gewährt, die er jederzeit entschlüsseln kann. Tatsächlich haben viele Cloud-Dienstleister in diesen Punkten unklare Nutzungsbedingungen. Einige Anbieter haben nach öffentlicher Diskussion ihre Nutzungsbedingungen mittlerweile konkretisiert - im Hinblick auf die Vertraulichkeit der Unternehmensdaten aber zum Negativen.
In diesem Kontext wird oft behauptet, dass die Server der Anbieter in Europa und nicht in den USA stehen sollten, damit sie nicht dem US-amerikanischen Recht unterliegen und vor dem Zugriff von US-Behörden geschützt sind. Und tatsächlich dürften die meisten Server-Farmen und Rechenzentren schon aus technischen Gründen in der Nähe ihrer Kunden stehen. In diesen Fällen wird aber oft übersehen, dass der RZ-Standort beinahe unerheblich ist. So hat Gordon Frazer, der Chef von Microsoft in Großbritannien, freimütig eingeräumt, dass sein Unternehmen US-Behörden aufgrund des Patriot Acts den Zugriff auch auf in Europa gespeicherte Daten gewähren müsse - schließlich habe Microsoft seinen Sitz in den USA. Selbst wenn man sich darum bemühe, könne man nicht einmal garantieren, dass das betroffene Unternehmen überhaupt davon erfährt.
Risiko für externe Angriffe steigt
Zudem steigt bei der Nutzung von Cloud Storage das Risiko externer Angriffe. Zwar sind Daten in der Wolke nicht prinzipiell unsicherer als auf einem eigenen, mit dem Internet verbundenen Unternehmens-Server. Jedoch ist via Cloud ein nach innen gut geschütztes Unternehmen über seine Dienstleister angreifbar. Insbesondere große Cloud-Dienstleister bieten als Datenaggregatoren eine große und lohnende Angriffsfläche. Es drohen Kollateralschäden, bei denen eigene Daten kompromittiert werden.
All diese Risiken lassen sich jedoch vermeiden, wenn Unternehmen auf eine eigene Verschlüsselung setzen. Diese sollte am besten direkt auf dem Gerät erfolgen, auf dem man die Daten bearbeitet, damit die Daten jederzeit geschützt sind. Dabei sollte das eingesetzte Datensicherheitskonzept die Verschlüsselung so transparent wie möglich halten und die Nutzung nicht beeinträchtigen. Im Idealfall überwacht die Verschlüsselungslösung den lokalen Sync-Ordner, dessen Dateien in der Cloud gespeichert werden. Sie entschlüsselt die Dokumente vor dem Öffnen in dem jeweiligen Programm und verschlüsselt sie nach dem Speichern wieder. Damit auch mobile Mitarbeiter mit dem Cloud Storage arbeiten können, empfiehlt sich der Einsatz einer zugehörigen Verschlüsselungs-App für Smartphones.
Die Datensicherheitsstrategie ist idealerweise so konzipiert, dass man auch Partner ohne eigene Verschlüsselungsinfrastruktur mit einbinden kann. Sie sollten über ein Passwort, das über einen unabhängigen dritten Weg übermittelt wird, auf die gesicherten Daten zugreifen können. Per Passwort definiert das Unternehmen die für den Zugriff verfügbaren Ordner und vergibt so selektive oder pauschale Berechtigungen.
Setzen Unternehmen auf eine solche Lösung und behalten sie die Schlüssel zu ihren Daten in der eigenen Hand, kann weder der Cloud-Storage-Anbieter auf die bei ihm gespeicherten Daten zugreifen, noch unberechtigte Dritte, seien es fremde Regierungen oder Angreifer auf die Server-Landschaft.
Lesen Sie mehr zum Thema
