Soll ich oder soll ich nicht?

CIOs geben beim Cloud Computing Unternehmensdaten in fremde Hände. Gleichzeitig zeichnen sie aber nach wie vor dafür verantwortlich, dass bei der Speicherung und Verarbeitung dieser Daten deutsche Datenschutzregeln eingehalten werden und die Sicherheit der Daten gewährleistet wird. Ein Spagat, vor dem Viele zu Recht zurückscheuen, obwohl die Vorteile des Cloud Computing offensichtlich und verlockend sind: Neben hoher Skalier- und Verfügbarkeit sowie großen Kosteneinsparungen spricht eine verkürzte Einführungszeit für Cloud Services. Ein paar Regeln helfen dabei, im Dschungel der Verordnungen, Gesetze und Verträge nicht den Überblick zu verlieren, denn der Knackpunkt besteht vor allem darin, dass sich die Geschäftsbedingungen und Gesetze je nach Land, in dem der Cloud-Anbieter sitzt oder sein Rechenzentrum betreibt, deutlich unterscheiden. Folgende Aspekte sollten Unternehmen vor dem Weg in die Wolken beleuchten:

Datenanalyse: Für welche Daten eignet sich welche Form des Cloud Computing?
Risikoanalyse: Welcher Risikostufe können die jeweiligen Daten, die in die Cloud sollen, zugeordnet werden?
Cloud-ready: Welche Maßnahmen müssen ergriffen werden, um die Daten als „Cloud-ready“ zu bewerten?
Welche Haftungsfragen entstehen für Unternehmen und Cloud-Anbieter?
Wurden die Richtlinien des Bundesamtes für Informationssicherheit berücksichtigt?

Für jede Cloud-Art die richtigen Daten

Es zählt zum Charakter des Cloud Computing, dass Daten in fremde Hände gegeben werden. Damit das nicht zum K.-o.-Kriterium für eine Cloud-Lösung wird, sollte vorab genau überlegt werden, wie sensibel die Daten sind und welche Cloud-Art sich hierfür eignet. So können beispielsweise unkritische Daten wie für die Öffentlichkeit frei gegebene Unternehmensinformationen oder aber auch öffentlich zugängliche Inhalte wie Marketingmaterial, die einer großen Zielgruppe zur Verfügung gestellt werden sollen, in einer Public Cloud verwaltet werden.

Für Brancheninformationen eignet sich unter Umständen eine Community Cloud, bei der für eine geschlossene Zielgruppe ein eigener Cloud Service bereitgestellt wird. Dies kann beispielsweise ein Cloud Service für die Lieferkette eines Automobilherstellers sein. Die eingebundenen Partner des Herstellers haben über die Community Cloud Zugriff auf gemeinschaftlich relevante  Informationen. Hoch sensible personenbezogene Daten, die nicht durch effektive Verschlüsselungsverfahren gesichert werden können, sollten dagegen in einer Private Cloud gespeichert und verarbeitet werden. Zusätzlich besteht die Möglichkeit der Realisierung einer hybriden Cloud, bei der – je nach Klassifizierung – die Unternehmensdaten durch einen Public oder Private Cloud Service zur Verfügung gestellt werden. Diese Art der Cloud-Nutzung wird insbesondere für Großunternehmen voraussichtlich die künftige Ausrichtung darstellen, um die eigene Unternehmens-IT abzubilden und gleichzeitig das Spannungsfeld Datenschutz, Sicherheit, Risikominimierung, Kostenoptimierung, Flexibilität und Skalierbarkeit in Einklang zu bringen.

Achtung bei personenbezogenen Daten

Personenbezogene Daten unterliegen in Deutschland strengen Anforderungen, sie dürfen nicht ohne Zustimmung an Dritte weitergegeben werden. Sieht man von einigen denkbaren Sonderfällen ab, handelt es sich beim Cloud Computing nach allgemeiner Auffassung jedoch um eine sogenannte Auftragsdatenverarbeitung, bei der das Unternehmen für die Daten in der Cloud nach wie vor verantwortlich bleibt und der Cloud-Provider die an ihn outgesourcten IT-Leistungen erbringt. Den Begriff der Auftragsdatenverarbeitung gibt es dabei nur im deutschen Recht. Amerikanisches Recht kennt eine solche Abgrenzung nicht. Daher ist zu erwarten, dass vor allem bei rein außereuropäischen Cloud-Lösungen rechtliche Fragen auftauchen, also bei Lösungen, die außerhalb der EU geführt werden. Wie die Geschäftsbedingungen des jeweiligen Cloud-Providers aussehen, bemisst sich nach dem Recht des Landes, in dem der Vertrag abgeschlossen wird. Im Fall von Amazon oder Microsoft ist dies beispielsweise das amerikanische Recht. Diese Länder kennen ein AGB-Recht wie in Deutschland allerdings nicht. Allein durch eine Daten-Risiko-Analyse und eine Kategorisierung der Daten können IT-Verantwortliche bereits ein gewisses Maß an Datensicherheit beim Cloud Computing schaffen und den strengen deutschen Vorschriften an die Weitergabe, Verarbeitung und Speicherung personenbezogener Daten gerecht werden.

Das richtige Land für jede Cloud

Die Sorgen vieler CIOs lassen sich häufig zerstreuen, wenn das Rechenzentrum des Cloud-Dienstleisters in Deutschland steht und damit auch der deutschen Gesetzgebung für Datenschutzrichtlinien unterliegt. Diese werden im Bundesdatenschutzgesetz (BDSG) geregelt: In §11 BDSG, Absatz 1 ist nachzulesen, wie mit der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Auftrag umzugehen ist: „Werden personenbezogene Daten im Auftrag durch andere Stellen erhoben, verarbeitet oder genutzt, ist der Auftraggeber für die Einhaltung der Vorschriften dieses Gesetzes und anderer Vorschriften über den Datenschutz verantwortlich.“ Bei Cloud-Dienstleistern mit Rechenzentren in Europa gilt ebenfalls, dass die Weitergabe von Daten ohne das ausdrückliche Einverständnis des Kunden nicht erlaubt ist, so dass Experten hier von einem ähnlichen Datenschutzniveau wie in Deutschland ausgehen. Schwieriger wird die Sicherstellung des Datenschutzes, wenn sich der Cloud-Anbieter in Indien, China oder den USA befindet. Zwar ermöglicht die Datenschutzvereinbarung Safe Harbour, die zwischen der EU und den Vereinigten Staaten geschlossen wurde, die legale Übermittlung personenbezogener Daten in die USA. Dennoch rät der Düsseldorfer Kreis, das höchste Aufsichtsgremium für den Datenschutz in privatwirtschaftlichen Unternehmen, zu einer zusätzlichen, verbindlichen Erklärung der Vertragspartner. IT-Dienstleister wie Logica schätzen die Situation zwar nach wie vor als „unübersichtlich“ ein, sehen das Risiko jedoch durchaus als „kalkulierbar“ an. Sie raten dazu, im Vorfeld eine umfangreiche Risikoanalyse durchzuführen.

Für jeden Vertrag die richtigen SLAs

Das BDSG gibt in §11, Absatz 2 vor, welche Pflichten ein Unternehmen bei der Auswahl eines Anbieters zu erfüllen hat: „Der Auftragnehmer ist unter besonderer Berücksichtigung der Eignung der von ihm getroffenen technischen und organisatorischen Maßnahmen sorgfältig auszuwählen.“ Daher sollten CIOs bei Cloud-Verträgen ein besonderes Augenmerk auf die Ausgestaltung der Service Level Agreements (SLAs) haben. Besonders wichtig ist es hierbei, Uptime-Garantien zu analysieren und zu bewerten, ob diese den eigenen Anforderungen entsprechen. Diese Überlegungen haben Auswirkungen auf die Auswahl der Anbieter. Häufig besteht gerade bei großen Anbietern nicht die Option, unterschiedliche SLAs zu verhandeln. Dies erlaubt die technische Architektur der Cloud-Dienste in den seltensten Fällen. Daher punkten an dieser Stelle häufig spezialisierte Anbieter, die eine höhere Flexibilität und Kundenansprache umsetzen können. Außerdem sollten IT-Verantwortliche ein besonderes Augenmerk auf Ausfallsicherheiten und Sicherheitsstandards legen. In den AGBs vieler Cloud-Anbieter werden bei Ausfällen lediglich weitere Services als Form der Rückvergütung angeboten. Hier sollten CIOs darauf achten, dass Ausfallzeiten mit Rückzahlungen entschädigt werden. Außerdem ist zu prüfen, welche Subunternehmer der Cloud-Anbieter mit ins Boot holt und ob personenbezogene Daten an diese weitergegeben werden. Hierzu ist eine exakte Analyse der AGBs des Anbieters unerlässlich, nachdem eine technische Empfehlung vorliegt.

Haftung meist beschränkt

Geschäftsführer und IT-Verantwortliche sollten sich darüber im Klaren sein, dass die Verantwortlichen bei einer unzulässigen oder unrichtigen Erhebung, Verarbeitung oder Nutzung personenbezogener Daten haften (siehe §7 BSDG). Unabhängig davon, ob Unternehmen die Daten im eigenen Rechenzentrum aufheben oder in der Cloud eines externen Anbieters: Das Unternehmen bleibt für die Einhaltung der Datenschutzrichtlinien und die Sicherheit der Daten verantwortlich. Eine Haftung des Cloud-Anbieters ist zwar in den meisten Verträgen vorgesehen, sie ist jedoch häufig sehr beschränkt. Experten raten daher dazu, dass für den Anbieter höhere Haftungssummen verhandelt werden. Wie hoch eine solche anzusetzen ist, lässt sich auf theoretischer Ebene allerdings kaum angeben. Sie hängt vor allem von der allgemeinen Haftung ab. Besonders amerikanische Anbieter beschränken diese auf die Höhe der erbrachten Leistungen und lehnen eine Haftung für Folgeschäden, also Datenverlust, gänzlich ab. Es darf an dieser Stelle allerdings nicht der Eindruck entstehen, dass sich Cloud-Verträge mit einem Anbieter vollständig individuell verhandeln ließen. Hier setzen gerade die großen Anbieter ihren Kunden sehr enge Grenzen.

Wer nicht wagt, der nicht gewinnt

Der Respekt, den Geschäftsführer, CIOs und Datenschutzbeauftragte, dem Schritt in die Cloud entgegenbringen, ist durchaus gerechtfertigt. Jedoch ist es hier wie in vielen Geschäftsfeldern: Wer nicht wagt, der nicht gewinnt! Unternehmen sollten daher „Ja“ zur Cloud sagen und die zuvor skizzierten Fallstricke als „Wenn und Aber“ sehen, jedoch nicht als Hinderungsgrund. Wenn die entsprechenden Vorkehrungen getroffen werden, können Unternehmen durch Cloud Computing ihre IT revolutionieren und die allseits bekannten Vorteile wie eine flexible Skalierung, die schnelle Verfügbarkeit neuer Cloud-Service-Versionen sowie hohe Kosteneinsparungen realisieren. Interessanterweise ist beispielsweise gerade bei der IT-Sicherheit der Standard bei den Anbietern häufig höher als bei den Kunden, so dass die Daten in der Cloud sogar sicherer sein können als im eigenen Rechenzentrum.

Weitere Informationen: www.logica.de

Bildquelle: s.media/pixelio.de