Neue Gesetzesforderungen
Ende September veröffentlichte das Bundesamt für Sicherheit in der Informationstechnik (BSI) einen Entwurf, der Mindestsicherheitsanforderungen an Cloud-Computing-Anbieter aufstellt. Viele der dort aufgestellten Forderungen dürften erfüllbar sein, etwa die »redundante Auslegung aller wichtigen Versorgungs-Komponenten (Strom, Klimatisierung der RZ, Internetanbindung, etc.)« oder »eine 24/7-Überwachung des Zugangs, inkl. Videoüberwachungssysteme, Brandmelder, Bewegungssensoren, Sicherheitspersonal, Alarmsysteme«. Andere Punkte könnten schwierig werden, insbesondere bei Komminikationsangeboten: »Verschlüsselte Kommunikation zwischen Cloud-Anbieter und Cloud-Nutzer (TLS/SSL)«, »Verschlüsselte Kommunikation zwischen Cloud-Computing-Standorten« sowie »Verschlüsselte Kommunikation mit dritten Cloud-Service-Anbietern, falls diese für das eigene Angebot notwendig sind«.
Martin Bürstenbinder, Geschäftsführer des VAF – Bundesverband Telekommunikation e.V., dem knapp 200 ITK-Systemhäuser angehören, hält das BSI-Papier für brisant: »Sollte sich das Papier durchsetzen, dann sehe ich da einige ganz erhebliche Herausforderungen für die Public-Cloud-Variante, beispielsweise im Bereich Sicherheit durch Verschlüsselung und Qualitätsüberwachung«. Bürstenbinder weiter: »So fordert das BSI, dass Kunden die Möglichkeit haben müssen, die Einhaltung der Service Level Agreements zu überwachen. Das einzulösen ist nicht ganz trivial. Im Internet ist das Best-effort-Prinzip etabliert, also Leistungszusagen vom Typ ‚bis zu x MBit’, aber dann kann es eben auch deutlich weniger sein. Bezieht man das ganze jetzt auf Telefonie, so kommt zumindest der Geschäftskunde nicht ohne eine zugesicherte Mindestqualität aus«. Ähnliche Herausforderungen dürften im Bereich Sicherheit liegen, falls sich die Forderung des BSI nach verschlüsselter Kommunikation zwischen Cloud-Anbieter und Cloud-Nutzer
Durchsetzt, meint Bürstenbinder. »Beim Online-Banking ist Verschlüsselung selbstverständlich, ansonsten aber nicht sehr weit verbreitet«. Gesetzliche Anforderungen könnten Cloud-Angebote verteuern: »Mit höheren Anforderungen gehen die Kosten hoch. Man wird sehen, wie sich das auf die Preisstellungen auswirkt. Jedenfalls gibt es Sicherheit nicht zum Nulltarif«, so der VAF-Geschäftsführer.
