Datenschutz beim Cloud Computing

ITM: Herr Böhm, anhand welcher Zertifizierungen oder Gütesiegel können mittelständische Verantwortliche die Qualität und Sicherheit von Cloud-Services bewerten?
Jürgen Böhm: Aktuell hat sich noch keine branchenweite Zertifizierung etabliert. Der deutsche Branchenverband Eurocloud brachte mit dem „Eurocloud Star Audit 2011“ ein Gütesiegel an den Start, das wesentliche Aspekte wie Servicequalität, Recht und Datenschutz berücksichtigt. Hier von einem Standard zu sprechen, ist aber sicherlich noch verfrüht. Alternativ bietet der TÜV Rheinland die Zertifizierung „Certified Cloud Service“. Bewertet werden hier Qualität, Sicherheit und Seriosität auf Basis internationaler Standards wie DIN ISO 27001, BSI-Grundschutz und ITIL.

ITM: Wie sollten Mittelständler am besten vorgehen, wenn sie bestehende Systeme in die Wolke eines Cloud-Service-Providers hieven möchten?
Böhm: Die Migration bestehender Systeme in die Wolke eines Cloud-Service-Providers erfordert klare Ziele, was mit der Migration in die Cloud erreicht und ein ebenso klares Vorgehen, wie in die Cloud migriert werden soll, d.h. eine Cloud-Migrationsstrategie. Nach der Definition von Zielen und Strategie beginnt die Suche nach einem passenden Anbieter am Markt. Entscheidend sind hier die Kriterien Flexibilität, Datensicherheit, Verlässlichkeit und die mit der Migration und der zukünftigen Nutzung anfallenden Kosten. Anschließend geht es an die Erstellung einer Roadmap und die Vorbereitung des Migrationspfads. Bei der Einführung des Cloud-Services sollte zunächst ein Pilotprojekt aufgesetzt und wenige ausgewählte unkritische IT-Systeme in die Cloud migriert werden.

ITM: Worauf sollte bei einer solchen Migration in die Cloud vor allem geachtet werden? Welche Hürden müssen gemeistert werden?
Böhm: Vor der Migration in die Wolke sollte vor allem die aktuelle Ist-Situation der Organisation in Bezug auf Unternehmensprozesse, Produktportfolio, Kostenstruktur und insbesondere Applikationen inklusive Technologien und Geschäftsobjekten analysiert und betrachtet werden. Nur so lassen sich die Auswirkungen, die die Integration von Cloud Computing in die vorhandene Applikationslandschaft mit sich bringen, fundiert erfassen, bewerten und überwachen. Wir haben hierfür Verfahren entwickelt, sogenannte Cloud-Transformation-Services, die Unternehmen dabei unterstützen, „Cloud Readiness“ für das gesamte Unternehmen zu erreichen.

ITM: Wie können Unternehmen die einmal in die Cloud gegebenen Systeme bzw. Applikationen wieder in einen herkömmlichen Eigenbetrieb zurückholen? Oder ist die Entscheidung zugunsten einer Cloud per se eine Einbahnstraße?
Böhm: In der frühen Phase des Hypes Cloud Computing wurde in erster Linie auf eine möglichst einfache Integration der Cloud-Services und eine reibungslose Migration vorhandener Daten in die Cloud geachtet. Mittlerweile betrachten Cloud-Service-Provider jedoch immer mehr den kompletten Application Lifecycle und bieten daher bereits Rückholungs- bzw. Exportfunktionalitäten. Bei der Auswahl passender Cloud-Services sollte dies besonders berücksichtigt werden.

ITM: Wie aufwendig ist die Migration von einem zum anderen Cloud-Service-Partner? Wie kann dies ohne Ausfallszeiten für den Kunden realisiert werden bzw. welche weiteren Hürden sind denkbar?
Böhm: Entscheidend für die Migration von einem zum anderen Cloud-Service-Partner ist die Verwendung von Standardschnittstellen. Bei der durch den Anbieterwechsel erforderlichen Anpassung der Steuerungsskripte sind dann lediglich Zugriffsmethoden und Steuerungs-APIs zu aktualisieren. Ausfallzeiten lassen sich minimieren, wenn die alte und neue Umgebung zunächst im Parallelbetrieb laufen und eine Migration der Daten bereits vor der Umschaltung erfolgt. Nach der initialen Datenmigration werden die Daten dann bis zur Abschaltung des Altsystems kontinuierlich synchron gehalten.

ITM: Wie kann man vollkommen sicher gehen, dass ein Cloud-Service-Provider nach Vertragsschluss auch wirklich alle Daten des Anwenderunternehmens löscht? Und dies auch noch sicher sowie datenschutz-/rechtskonform?
Böhm: Juristisch gilt auch für Cloud-Services der im Bundesdatenschutzgesetz (BDSG) verankerte Grundsatz der Datensparsamkeit. Ein einfaches Löschen der Cloud-Daten durch den User ist hier allerdings nur in den seltensten Fällen ausreichend. Die Kundendaten sind in der Regel tief in die Datenbanken und Sicherungssysteme des Providers eingebunden und liegen damit in Systemen, auf die der Nutzer keinen direkten Zugriff hat. Wichtig ist daher die klare Formulierung der Exit-Bedingungen in den SLAs mit dem Cloud-Provider und deren Berücksichtigung in einem sogenannten Auftragsdaten-Verarbeitungsvertrag (ADV).

ITM: In bestimmten Branchen müssen Anwenderunternehmen ein Auditing ihrer eingesetzten IT-Lösungen vornehmen lassen (z.B. in der Pharma- oder Lebensmittelindustrie) – wie wird bei diesen Audits der Umgang mit Cloud-Lösungen derzeit gehandhabt?
Böhm: Da die wenigsten Cloud-Nutzer über die für ein Audit erforderlichen Ressourcen und Rechte verfügen, kann hier auf spezialisierte externe Dienstleister zurückgegriffen werden. Insbesondere größere Cloud-Service-Provider wie Google, Microsoft oder Salesforce lehnen kundeninitiierte Audits durch Dienstleister allerdings konsequent ab und verweisen auf die selbst durchgeführten Zertifizierungen.

ITM: Wie sieht es in der Praxis aus: Welche Probleme können bei der Auditierung von Cloud-Lösungen auftreten?
Böhm: Wenn Anwender einen Zugang zu den Ressourcen benötigen, ist dies unbedingt vorab vertraglich genauestens zu vereinbaren. Bei Cloud-Services ist es wie bei Koalitionsverhandlungen – was nicht klar in (vertraglichen) Vereinbarungen festgehalten wird, kann hinterher auch nicht eingefordert werden. Dies betrifft im Fall von Cloud-Services sowohl die Datensicherheit als auch den reibungslosen Wechsel zu einem anderen Cloud-Service Anbieter.