Sie sind hier: Startseite » Markt » Tipps und Hinweise

Zertifizierung von Cloud-Providern


Europäische Datenschutzgrundverordnung: Drei Tipps für die Cloud-Nutzung in Unternehmen
Zwar sieht die DSGVO eine geteilte Verantwortung zwischen Cloud-Nutzern und Cloud-Providern vor, doch zur Verantwortung gezogen werden schlussendlich die Unternehmen, die die Cloud nutzen



Von Eduard Meelhuysen, Vice President Sales EMEA, Bitglass

In knapp einem Jahr ist es soweit: Am 25. Mai 2018 tritt die Europäische Datenschutzgrundverordnung (DSGVO) in Kraft. Privatpersonen haben damit das Recht, von Unternehmen, denen sie im Zuge einer Geschäftsbeziehung ihre Daten anvertraut haben, auf Anfrage umfassende Auskunft über die Verarbeitung ihrer persönlichen Daten zu erhalten. Die Unternehmen wiederum unterliegen dann der Kontrolle staatlicher Prüfinstanzen, weshalb sie gefordert sind, nicht nur für Sicherheit, sondern auch für Transparenz in ihren Datenverarbeitungsprozessen zu sorgen.

Lesen Sie zum Thema "IT-Security" auch: IT SecCity.de (www.itseccity.de)

Eine besondere Verantwortung wird Unternehmen zuteil, wenn es um die Nutzung von Cloud Computing-Anwendungen geht. Zwar sieht die DSGVO eine geteilte Verantwortung zwischen Cloud-Nutzern und Cloud-Providern vor, doch zur Verantwortung gezogen werden schlussendlich die Unternehmen, die die Cloud nutzen. Als so genannte Auftragsverarbeiter nehmen sie in etwa die Rolle eines Gatekeepers zwischen ihren Kunden und den Cloud-Providern ein. Laut DSGVO liegt es nunmehr in ihrer Verantwortung, sicherzustellen, dass alle erhobenen Daten nur auf die Art verarbeitet werden, der ihre Kunden und Nutzer zuvor ausdrücklich zugestimmt haben.

Eine große Herausforderung, wenn man bedenkt, dass bestimmt nicht alle Unternehmen über ausreichend Ressourcen verfügen, sich spielend leicht in diese Rolle einzufinden. Um in den verbleibenden zwölf Monaten auch die Cloud-Front sicher zu machen, sollten Unternehmen daher gegenwärtig folgende Punkte beachten:

1. Koordinierte "Fahndung" nach Unternehmensdaten
Um die IT-Infrastruktur des Unternehmens DSGVO-konform zu machen, arbeitet die IT in der Regel eng mit verschiedenen Abteilungen sowie der Geschäftsführung zusammen, um ein Verfahrensverzeichnis, also eine Übersicht der Verarbeitungsprozesse sämtlicher gesammelten Datenarten – beispielsweise personenbezogene Daten, Inhaltsdaten oder Verkehrsdaten - zu erstellen. Als personenbezogene Daten gelten dabei nicht nur Angaben zur Person, sondern weitere Daten, die eine natürliche Person bestimmbar machen, beispielsweise die IP-Adresse. Für Unternehmen, die den Wechsel in die Cloud planen oder diesen bereits vollzogen haben, bedeutet dies zunächst, dass sie ermitteln müssen, welche Art von Kundendaten im täglichen Geschehen den Weg in die Cloud finden und nicht zuletzt auch, wie diese dort geschützt sind. Beispielsweise könnten Inhaltsdaten in E-Mail-Cloud-Anwendungen ausgelagert sein oder Verkehrsdaten über bestimmte Websiteanalysetools dorthin gelangen.

Je nach Kapazitäten und personeller Auslastung im Unternehmen ist es sicherlich kein einfacher Job, herauszufinden, inwieweit welche Daten in die Cloud wandern werden oder bereits gewandert sind. Doch irgendjemand muss ihn machen, oder anders gesagt: Jemand muss die Verantwortung übernehmen. Zwar ist es wichtig, sämtliche relevanten Unternehmensverantwortliche in den Prozess einzubeziehen.

Doch um Verantwortungsdiffusion zu vermeiden, müssen diese Bemühungen koordiniert werden. Es ist zu spät, auf Grund einer neu eingeführten Cloudanwendung am Vorabend der DSGVO erneut das Verfahrensverzeichnis und sämtliche damit verbundenen Prozesse – zum Beispiel das Einholen der Zustimmung von Kunden – zu ändern. Daher sollte frühzeitig der im Rahmen der DSGVO geforderte unternehmenseigene Datenschutzbeauftragte ernannt und idealerweise mit der Koordination der für die DSGVO relevanten Prozesse betraut werden.

2. Datenverarbeitung auf Seiten der Cloud-Provider ermitteln
Ist das Verfahrensverzeichnis erst einmal erstellt, sollte man seine Cloud-Provider um eine Aushändigung ihres Verfahrensverzeichnisses bitten. Im Vergleich lässt sich damit ermitteln, inwieweit die Verarbeitungsart und auch die Sicherheitsstandards mit denen des Unternehmens übereinstimmen oder im umgekehrten Fall, inwieweit diese darüber hinausgehen und ob dafür ein erweitertes Einverständnis durch die Kunden eingeholt werden muss. Den Ergebnissen entsprechend muss die Datenschutzerklärung des Unternehmens aktualisiert werden.

Die DSGVO sieht darüber hinaus eine Zertifizierung von Cloud-Providern vor. Über verschiedene Gütesiegel soll das Level an Datenschutz und -sicherheit eines Anbieters zuverlässig abgebildet werden. Allerdings sind bisher noch keine einheitlichen Standards etabliert und die Zertifizierung ist freiwillig. Zwar ist anzunehmen, dass Gütesiegel langfristig für Cloud-Provider faktisch zu einem Wettbewerbskriterium werden. Doch es ist nicht abzusehen, ob dies sämtliche Cloud-Provider pünktlich bis Inkrafttreten der DSGVO umsetzen werden.

Um rechtzeitig auf der sicheren Seite zu sein, sollten Unternehmen vorerst nicht darauf setzen, dass der bloße Blick auf ein Gütesiegel ihnen große Mühen ersparen wird. Vielmehr sollten sie die Datenverarbeitungsprozesse ihrer Cloud-Provider eingehend prüfen und auch auf eingesetzte Sicherheitsfunktionen wie Data Leakage Prevention (DLP) achten. Angesichts der drohenden Bußgelder, die Unternehmen treffen können, wenn die von ihnen gewählten Cloud-Provider nicht ausreichend Sorgfalt walten lassen, lohnt es sich, bei der Überprüfung äußerst gewissenhaft vorzugehen.

3. Schatten-IT vermeiden und Mitarbeiter schulen
Mit den Änderungen durch die DSGVO sollten Unternehmen auch ein stärkeres Augenmerk darauf legen, welche Unternehmensmitarbeiter auf welche Datenarten Zugriff haben und vor allem auch, von welchen Geräten. Es sollte möglichst ausgeschlossen werden, dass Mitarbeiter beispielsweise nach Feierabend von einem nicht abgesicherten, privaten Gerät auf wichtige Kunden- und Unternehmensdaten zugreifen und diese beliebig speichern oder mit anderen Cloudanwendungen bearbeiten können. Ebenso muss allen Mitarbeitern bewusst gemacht werden, dass sie bei Ausfall eines unternehmenskritischen Dienstes – beispielsweise einem Ausfall des E-Mailservers – sie zwischenzeitlich nicht auf andere private E-Mailkonten oder sonstige frei verfügbare Dienste ausweichen können, um dringende Korrespondenzen mit ihren Kunden doch noch abzuschließen.

Für derartige Fälle müssen die Sensibilität der Mitarbeiter für Datensicherheit geschärft sowie Verhaltensregeln festgelegt werden. Derartige Vorsichtsmaßnahmen erfordern mitunter auch die Unterstützung durch den Datenschutzbeauftragten und die Geschäftsleitung. Auch technische Vorkehrungen, wie die Verschlüsselung von Cloud-Daten und die Sicherung sämtlicher mobiler Unternehmensgeräte, können zur Minimierung derartiger Risiken beitragen. Hilfreich ist auch die Erarbeitung eines Rechte-Rollen-Konzeptes, um Zugriffsrechte zu segmentieren und den Nutzerzugriff auf sensible Daten zu einzuschränken.

Mit der DSGVO wird ein europäischer Standard für Datenschutz im digitalen Zeitalter geschaffen. Wie die Rechtsprechung sich im Zuge dessen für Cloud-Provider und die Cloud-nutzenden Unternehmen entwickeln wird, muss sich in der Praxis erst noch zeigen. Vorerst ist die Einführung DSGVO-konformer Prozesse für Unternehmen eine große Herausforderung – für manche mehr, für andere weniger. Doch langfristig bietet dies Unternehmen auch die Möglichkeit, sich mit ihren Grundsätzen zur Datenverarbeitung von ihren Wettbewerbern abzuheben und ihren Kundenkreis zu erweitern. Es lohnt sich also, von Anfang an gewissenhaft für die Sicherheit der Kundendaten Sorge zu tragen, sowohl innerhalb der eigenen Unternehmens-IT als auch in der Cloud. (Bitglass: ra)

eingetragen: 17.05.17
Home & Newsletterlauf: 26.05.17

Bitglass: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser PMK-Verlags-Newsletter
Ihr PMK-Verlags-Newsletter hier >>>>>>



Meldungen: Tipps und Hinweise

  • Sicher: Hybrid-Cloud mit Netzwerksichtbarkeit

    Helmut Scheruebl, Senior Sales Engineer bei Gigamon weiß: Die Vorteile einer Hybrid-Cloud-Infrastruktur haben ihren Preis und der heißt Komplexität. Eine solche IT-Landschaft ist die perfekte Möglichkeit für cyberkriminelle Hinterhalte. Dagegen gibt es eine Lösung: vollständige Sichtbarkeit auf den gesamten Datenverkehr. 82 Prozent der IT-Entscheider haben laut einer globalen Umfrage von Cisco in ihrem Unternehmen eine Hybrid-Cloud-Umgebung aufgebaut.

  • Vorbehalte keine Seltenheit

    ERP-Systeme sind der Booster für effiziente Geschäftsprozesse und die Produktivität von Unternehmen. Mit den steigenden Anforderungen an Produktivität, Effizienz und Budgetkalkulation sind ERP-Systeme auf dem wettbewerbsintensiven Markt allerdings auch auf Innovationen angewiesen.

  • Sicherheit und Compliance gewährleisten

    Die voranschreitende Digitalisierung hat eine neue Ära für Unternehmen und Institutionen in den verschiedensten Bereichen eingeläutet, in der die nahtlose Integration von hybriden Cloud-Umgebungen von entscheidender Bedeutung für den Erfolg ist.

  • Ist der Cloud-Traum schon ausgeträumt?

    Hypes und kurzfristig in den Himmel gelobte Trends sind in der IT-Welt nun wirklich nichts Neues. Dennoch sticht das Thema Cloud dabei so stark heraus, dass es vermutlich nur von dem neuen Heilsbringer KI noch übertroffen wird.

  • KI-Boom bringt Datenschutzbedenken mit sich

    Generative künstliche Intelligenz (KI) hat bereits zu radikalen Veränderungen geführt - und dies war erst der Anfang. In Zukunft sollten IT-Führungskräfte insbesondere die Chancen und Herausforderungen priorisieren, die durch generative KI entstehen - angefangen bei der Art und Weise, wie wir arbeiten, bis hin zur Bewertung von Talenten und der Interaktion mit Kunden.

  • Cloud-Gefahren & Maßnahmen zur Risikominderung

    Unternehmen nutzen heute verstärkt Multi-Cloud-Modelle. Damit steigt zum einen die Komplexität des Cloud-Managements. Zum anderen erhöhen sich aber auch die Anforderungen an die Sicherheit. CyberArk nennt vier typische Cloud-Risiken und zeigt, mit welchen Maßnahmen Unternehmen potenzielle Lücken und Schwachstellen beseitigen können.

  • Nutzung einer Cloud-Monetarisierungsplattform

    Mit dem Wechsel von der Cloud Solution Provider (CSP)-Plattform zum New Commerce Experience (NCE)-Modell ändert Microsoft das Verfahren für das Geschäft mit Service-Provider-Partnern. Die Umstellung beinhaltet Änderungen bei der Lizenzierung und führt eine einheitliche Abrechnungsplattform für Microsoft 365, Dynamics 365, Windows 365, Copilot und Power Platform ein.

  • Cloud-Services: Was es zu beachten gilt

    Immer mehr Unternehmen in Deutschland setzen auf Cloud Computing - Tendenz steigend. Dabei nennt sich die Verlagerung von Rechenressourcen wie etwa Daten, Anwendungen oder IT-Prozesse in die Cloud Migration. Heißt konkret: In der Regel meint das den Weg vom lokalen Serverraum zum Rechenzentrum beziehungsweise Cloud-Anbieter.

  • Potential von WaaS zu entfalten

    Die Arbeitswelt entwickelt sich rasant weiter und hybride Arbeitsmodelle sind längst die Norm. In dieser dynamischen Landschaft ist die Art und Weise entscheidend, wie Mitarbeitende das Gerätemanagement ihres Arbeitgebers wahrnehmen.

  • Proaktive Ansätze senken Kosten

    Unternehmen setzen auf die Cloud, um ihren IT-Betrieb flexibler, effizienter und sicherer zu gestalten - dies wird auch 2024 so bleiben. Einige Unternehmen, die sich mit der Migration beeilt haben, wurden jedoch enttäuscht und stellen nun zukünftige Cloud-Investitionen in Frage.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen