Cloud-Sicherheit mit ISO-Norm

Bisher gab es für den Datenschutz im Cloud Computing keinen allgemeinen Standard. Jeder Anbieter hat mehr oder weniger das gemacht, was er für angemessen und rechtlich korrekt hielt. Seit August 2014 gibt es einen neuen internationalen Standard für den Datenschutz in der Cloud, die ISO-Norm 27018.

Sie setzt Mindeststandards für die Sicherheit von personenbezogenen Daten in der Cloud. Grundlage der neuen Norm ist der bereits existierende Sicherheitsstandard nach ISO 27002. Die datenschutzrechtlichen Anforderungen existieren in anderen Bereichen bereits seit längerem, sind aber für die besonderen Sicherheitsrisiken des Cloud-Computings angepasst.

Dadurch gibt es nun einen Anforderungskatalog, der alle Besonderheiten des deutschen Datenschutzes berücksichtigen. Anbieter können ihre Dienste nun zertifizieren lassen, wodurch sie an Attraktivität gewinnen dürften. Vor allen Dingen größere Unternehmen und Konzerne achten darauf, in der IT-Beschaffung möglichst nur zertifizierte Anbieter zum Zuge kommen zu lassen.

ISO 27018 für Azure, Office 365 und Dynamics CRM

Microsoft ist einer der ersten Anbieter in Deutschland, die den neuen Standard für Datenschutz in der Cloud übernehmen. Das British Standards Institute (BSI) hat überprüft, dass zusätzlich zu Microsoft Azure auch Office 365 und Dynamics CRM Online mit den „Codes of Practice“ des Standards zum Schutz von personenbezogenen Daten (Personally Identifiable Information, PII) in Public Clouds entsprechen. Zudem wurde dieser Test für Microsoft Intune vom Bureau Veritas durchgeführt.

Diese Prüfung stellt sicher, dass der Datenschutz auf unterschiedliche Weise beachtet wird:

• Microsoft verarbeitet personenbezogene Daten ausschließlich in Übereinstimmung mit den Vorgaben seiner Kunden.
• Die Daten werden nicht ohne vorherige Zustimmung zu Werbezwecken eingesetzt.
• Der Standard fordert Transparenz bei der Datenverarbeitung. Die Kunden können unter anderem prüfen, wo die Daten gespeichert werden und mit welchen Unternehmen Microsoft zusammenarbeitet.
• ISO 27018 schreibt eine Reihe wichtiger Sicherheitsmaßnahmen vor. So wird sichergestellt, dass Microsoft genau definierten Beschränkungen unterliegt, unter anderem Beschränkungen bei der Datenübertragung über öffentliche Netze, bei der Speicherung auf transportablen Medien sowie bei geeigneten Prozessen für die Datensicherung und -wiederherstellung. Außerdem legt der Standard fest, dass sämtliche Personen, die mit der Verarbeitung personenbezogener Daten betraut werden, eine Geheimhaltungsverpflichtung eingehen müssen.
• Zugriffe von Behörden auf die Daten werden nur auf der Grundlage aktueller Gesetze gewährt und die Kunden werden über solche Zugriffe von Ermittlungsbehörden informiert – es sei denn, diese Information ist rechtlich untersagt.

Bildquelle: Thinkstock/ iStock