Datenschutz Cloud-Computing

Vorwort

Einführung

Wann ist Cloud-Computing Cloud-Computing?

Welche Unternehmen nutzen die Cloud?

Datenschutz unterstützt IT-Sicherheit

Wirtschaftsspionage

Angst vor Datenverlust

Standort der Cloud

Cloud-Servicemodelle

Infrastructure as a Service (IaaS)

Platform as a Service (PaaS)

Software as a Service (SaaS)

Private Cloud, Public Cloud und Hybrid Cloud

Wirtschaftliche Aspekte

Veränderung der Kostenstruktur

Kooperation mit Geschäftspartnern

Einsparungen der IT

Standards im Cloud-Computing

Standardisierungsorganisationen

Datenformate

IT-Sicherheit

Schutzbedarf

Schutzklassen allgemein

Schutzklassen nach DIN 66399

Schutzziele

Datensparsamkeit

Integrität

Intervenierbarkeit

Nicht-Verkettbarkeit

Transparenz

Verfügbarkeit

Vertraulichkeit

Gefährdungsübersicht

Organisatorische Mängel

Menschliche Fehlhandlungen

Technisches Versagen

Vorsätzliche Handlungen

Notfall- und Recovery-Planung

Kategorisierung von Schäden

Business Impact Analyse

Identifikation der Prozesse und Ressourcen

Schadensszenarien und Notfallklassen

Festlegen der maximal tolerierbaren Ausfallzeit

Spezifische Gefährdungen des Cloud-Computing

Vertragsbedingungen

Fallen im Kleingedruckten

Programmierschnittstelle zur Cloud

Unzureichende Löschung von Daten

Was macht die NSA mit den Daten?

Datenschutz

Erlaubnistatbestände für die Verarbeitung

Einwilligung des Betroffenen

Berechtigtes Interesse nach § 28 BDSG

Prüfen der Legitimation der Verarbeitung

Cloud-Computing innerhalb Europa

Cloud-Computing in Deutschland

Cloud-Computing in der EU / EWR ausserhalb Deutschlands

Cloud-Computing außerhalb Europa

Cloud-Computing in sicheren Drittländern

Cloud-Computing in unsicheren Drittländern

Ausnahme nach § 4c BDSG

EU-Standardvertragsklauseln

Individualverträge

Binding Corporate Rules

Safe Harbor Verfahren (nur USA)

Technische und organisatorische Maßnahmen

Auftrag nach § 11 Abs. 2 Satz 2 BDSG

Maßnahmen der Anlage zu § 9 Satz 1 BDSG

Sicherheit durch Verschlüsselung

Vorgehen Datenschutz Cloud-Computing nach BDSG

Rund um die Cloud-Verträge

Service Level Agreements

Konventionalstrafen

Cloud-Computing bei Partnern

Zugangswege zur Cloud

Leitfaden Auswahl Cloud-Anbieter

Unternehmensprozesse

Aufgaben des Managements

Risiken klären

Einführung vorbereiten

Überwachung der Cloud planen

Prozessqualität sicherstellen

Anpassungen in der Unternehmens-IT

Verfahrensverzeichnisse aktualisieren

Die Cloud am Arbeitsplatz

Mobiler Zugang zur Cloud

Die Nutzung privater Geräte

Mustertext - Cloud-Richtlinie

Mustertext: Richtlinie für die Speicherung von Daten in der Cloud

Überblick

Geltungsbereich

Datenklassifizierung

Regelungen

Zusammenfassung

Glossar

Stichwortverzeichnis

Stichwortverzeichnis

© Copyright 2015, Karsten Schulz.

Navigation

Index

weiter |

zurück |

DS-CC »

Haftungsausschluss

Alle Angaben in diesem Buch wurden vom Autor sorgfältig erarbeitet und zusammengestellt. Dennoch sind Fehler nicht auszuschliessen. Der Autor weist darauf hin, dass er weder eine Garantie für die Richtigkeit der Angaben, noch die juristische Verantwortung oder irgendeine Haftung für Folgen, die auf fehlerhafte Angaben zurückgehen, übernimmt, sofern seitens des Autors kein nachweislich vorsätzliches oder grob fahrlässiges Verschulden vorliegt.

Vorwort

Für Geschäftsführer, IT-Verantwortliche und Datenschutzbeauftragte bedeutet die Einhaltung des Datenschutzes eine komplexe Herausforderung. Dies gilt insbesondere, wenn zusätzlich Cloud-Computing ins Spiel kommt.

Cloud-Computing kann für Unternehmen Vorteile bringen. Durch Cloud-Computing können Unternehmen dynamisch sowie flexibel auf Marktgegebenheiten reagieren, einige Risiken senken und Kosten reduzieren.

Dabei erleichtern Ihnen, liebe Leserin und lieber Leser, die geltenden Regelungen zum Datenschutz nicht gerade die Arbeit. Die vielschichtigen Vorgaben, die Sie beim Cloud-Computing berücksichtigen müssen, können auf den ersten Blick sehr unübersichtlich und schwer umsetzbar wirken.

Der Schwerpunkt dieses Buches liegt darin, Sie bei der datenschutzgerechten und praktikablen Umsetzung von Cloud-Computing zu unterstützen. Sie erhalten praktische Anleitungen und Checklisten für die Bereiche IT-Sicherheit, Datenschutz, Vertragsgestaltung und Mitarbeiterrichtlinien als Hilfestellung bei der Einführung und Nutzung von Cloud-Computing im Unternehmen. 14 Abbildungen stellen komplexe Zusammenhänge transparent dar. Viele Checklisten geben Ihnen die Möglichkeit, die verschiedenen Aspekte der Einführung und des Betriebs einer Cloud-Lösung systematisch anzugehen.

Relevante Online-Quellen werden angegeben, so dass die angesprochenen Dokumente direkt nachgelesen oder heruntergeladen werden können.

Die folgenden Kapitel des Buches beleuchten die unterschiedlichen Schwerpunkte, die beim Cloud-Computing Berücksichtigung finden sollten:

Einführung

Sie erhalten eine Übersicht über Cloud-Computing. Es werden Fragen wie was ist Cloud-Computing, welche unterschiedlichen Service-Modelle gibt es und wer alles nutzt Cloud-Dienste behandelt.

Anschließend folgen allgemeine Betrachtungen der wirtschaftlichen Auswirkungen von Cloud-Computing und Hinweise zu bestehenden oder kommenden Cloud-Standards.

IT-Sicherheit

Datenschutz und IT-Sicherheit ergänzen sich gegenseitig. Nutzen Sie die möglichen Synergie-Effekte in diesem Kapitel. Dazu werden wichtige Aspekte der IT-Sicherheit beleuchtet, die im Zusammenhang mit dem Schutz personenbezogener Daten zielführend und hilfreich sein können. Hierbei werden sowohl die verschiedenen Schutzziele betrachtet, als auch diskutiert, wie die Erreichung dieser Ziele sichergestellt werden kann. Zu den allgemeinen Ausführungen, welche Gefährdungen eintreten können, werden Tipps für die Gestaltung von Notfallplänen gegeben. Dabei wird mit der Business Impact Analyse ein Werkzeug vorgestellt, mit dem der notwendige Aufwand für Schutzmaßnahmen festgestellt werden kann. Abschließend erhalten Sie einen Ausblick zu Gefährdungen, die speziell bei Cloud-Computing relevant sein können.

Datenschutz

Beim Cloud-Computing sind je nach Umsetzung und Konstellation verschiedene Voraussetzungen zur Sicherstellung des Schutzes personenbezogener Daten zu erfüllen. Dieses Kapitel stellt die verschiedenen Szenarios strukturiert und detailliert dar. Es werden die verschiedenen Möglichkeiten des datenschutzkonformen Cloud-Computings mit Hilfe der Auftragsdatenverarbeitung nach deutschem Recht, mit EU-Standardvertragsklauseln, mit bindenden Unternehmensrichtlinien für Konzerne und mit Individualverträgen vorgestellt. Außerdem findet eine Betrachtung des Safe Harbor Verfahrens statt, welches US-amerikanischen Unternehmen trotz fragwürdigem Datenschutzniveau eine Sonderrolle einräumt.

Rund um die Cloud-Verträge

Dieses Kapitel beleuchtet die Besonderheiten bei der Vertragsgestaltung von Cloud-Services. Das wichtige Thema Dienstgüte, nicht nur der Cloud-Services, sondern auch der Zugänge zur Cloud, wird untersucht. Nutzen Sie den Leitfaden mit 20 Prüffragen zur Einführung von Cloud-Computing, um alle wichtigen Aspekte zu berücksichtigen.

Unternehmensprozesse

Die Einführung von Cloud-Computing ist eine strategische Entscheidung mit Auswirkungen auf bestehende Unternehmensprozesse. Zwangsläufig zieht sie Änderungen in Abläufen und Strukturen im Unternehmen nach sich. In diesem Kapitel erhalten Verantwortliche Hilfestellungen zu den Themen Risikoklärung, Einführung planen, Prozessqualität sicherstellen und notwendige Anpassungen nach Einführung des Cloud-Computing vornehmen.

Da diese Fragen sehr stark vom konkreten Unternehmen abhängen, erhalten Sie in diesem Kapitel viele Checklisten mit Prüffragen, die es Ihnen vereinfachen, eine Unternehmens-individuelle Einführung der Cloud-Services zu planen und durchzuführen.

Die Cloud am Arbeitsplatz

Die Einführung und Nutzung von Cloud-Computing hat direkte Auswirkungen auf die Arbeit der Mitarbeiter. Es wird die Frage beleuchtet, welche Aspekte des Datenschutzes im Zusammenhang mit Mitarbeitern zu berücksichtigen sind.

Mustertext - Cloud-Richtlinie

Dieses Kapitel besteht aus einem Mustertext, den Sie als Grundlage für die Erstellung einer eigenen Cloud-Richtlinie nutzen können.

© Copyright 2015, Karsten Schulz.

Navigation

Index

weiter |

zurück |

DS-CC »

Einführung

Cloud-Computing ist in aller Munde. Jeder macht es. Irgendwie. Doch was genau ist Cloud-Computing? Die Buchhaltungs-Software, die man per Webbrowser von überall her nutzen kann? Die virtuellen Maschinen, die man per Webfrontend erstellt und verwaltet? Die Dropbox oder die iCloud?

Abb. 1 Cloud-Computing

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat in [BSICLOUD] folgende Definition des Cloud-Computings aufgestellt:

„Cloud-Computing bezeichnet das dynamisch an den Bedarf angepasste Anbieten, Nutzen und Abrechnen von IT-Dienstleistungen über ein Netz. Angebot und Nutzung dieser Dienstleistungen erfolgen dabei ausschließlich über definierte technische Schnittstellen und Protokolle. Die Spannbreite der im Rahmen von Cloud-Computing angebotenen Dienstleistungen umfasst das komplette Spektrum der Informationstechnik und beinhaltet unter anderem Infrastruktur (z. B. Rechenleistung, Speicherplatz), Plattformen und Software.“

Eine einfache Web-Applikation ist demnach kein Cloud-Computing, da hier die dynamische Anpassung an wechselnde Bedarfe nicht berücksichtigt wird.

Wann ist Cloud-Computing Cloud-Computing?

Beim Cloud-Computing werden IT-Ressourcen wie Server, Netzwerk und Speicher, sowie Applikationen und Plattformen vom Cloud-Dienstleister über das Netz den Cloud-Nutzern zur Verfügung gestellt. Der Unterschied zum konventionellen, ausgelagerten Rechenzentrum liegt darin, dass die Ressourcen dynamisch angepasst werden und dabei nach dem tatsächlich anfallenden Bedarf mit dem Cloud-Nutzer abgerechnet werden. Benötigt der Cloud-Nutzer in Spitzenzeiten viel Leistung, dann stellt die Cloud ihm die angeforderten Ressourcen unmittelbar zur Verfügung. Diese Vorgänge sind in der Regel automatisiert, so dass die Ressourcen viel ökonomischer eingesetzt werden können, als es mit einem klassischen Rechenzentrum möglich wäre.

Die Dynamik der Cloud-Dienste ist es, die es dem Datenschutzbeauftragten und dem Unternehmer so schwer machen, der Datenschutzgesetzgebung gerecht zu werden. Schon das Management von konventionellen Auftragsdatenverarbeitungen (ADV) nach deutschem und europäischem Recht ist eine Herausforderung für den Datenschutzbeauftragten. Wenn eine ADV dann noch in der Cloud statt findet, hat man es mit höchsten Anforderungen an den Datenschutzbeauftragten und an die verantwortliche Stelle zu tun.

Nichtsdestotrotz erfreut sich Cloud-Computing bei Unternehmen immer größerer Beliebtheit. Die Vorteile, die im Cloud-Computing gesehen werden, sind immens.

Laut dem Cloud-Monitor 2014 der BITKOM[BITKOM2014] nutzen rund 36 % der deutschen Unternehmen Private Clouds und rund 15 % Public Clouds.

Abb. 2 Anteile der Nutzung Public / Private Cloud 2014 (BITKOM)

Dabei haben 83 % der Private Cloud-Nutzer und 67 % der Public Cloud-Nutzer gute Erfahrungen gemacht. Cloud-Computing ist in der Wirtschaft angekommen. Datenschutz in der Cloud eher nicht.

Im Eckpunktepapier „Sicherheitsempfehlungen für Cloud-Computing Anbieter“ [BSI2012] nimmt das BSI auch Stellung zu den grundsätzlichen Voraussetzungen für die Einhaltung von Datenschutz beim Cloud-Computing.

So muss bei der Interessenabwägung nach § 28 Abs. 2 Satz 1 Nr. 2 BDSG geprüft werden, ob beim Cloud-Anbieter überhaupt ein ausreichendes Datenschutzniveau eingehalten wird. Kritisch zu hinterfragen ist auch die Sicherstellung der Zweckgebundenheit und die Wahrung der Rechte der Betroffenen.

Des Weiteren wird darauf hingewiesen, dass auf die Privilegierung als Auftragsdatenverarbeitung nach § 11 BDSG nur dann zurückgegriffen werden kann, wenn der Cloud-Computing Dienstleister seinen Sitz innerhalb der Europäischen Union oder einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum hat (§ 3 Abs. 8 BDSG) und die Daten nur dort verarbeitet werden.

Diese Forderungen sind heutzutage praktisch nur mit hohem Aufwand erfüllbar. Die dazu notwendige Transparenz bei den Cloud-Betreibern und deren Standards fehlt noch oder ist erst im Entstehen.

Welche Unternehmen nutzen die Cloud?

Obwohl nicht nur die Fragen nach dem Datenschutz, sondern auch nach der IT-Sicherheit häufig noch unbeantwortet sind, wird Cloud-Computing von Unternehmen bereits intensiv genutzt.

Abb. 3 Cloud-Nutzung nach Unternehmensgröße (BITKOM)

Mehr als ein Drittel aller kleinen Unternehmen mit bis zu 100 Mitarbeitern nutzen die Cloud. Bei großen Unternehmen sind es bis zu 70 %. Die Firmen, die Cloud-Computing einsetzen, versprechen sich viele Vorteile. An erster Stelle werden häufig folgende Punkte genannt:

höhere Flexibilität

Arbeiten von überall

Sicherheit durch Cloudbetreiber (Rechenzentrum, Fachpersonal)

Systemwiederherstellung durch automatische Backups

automatische System- und Softwareupdates

Zusammenarbeit leichter und Dokumente leichter verfügbar

kostengünstig

Die unterschiedlichen Aspekte dieser Punkte lassen sich mit den verschiedenen Ausprägungen der Cloud-Dienste erklären.

Cloud-Computing kann bedeuten, dass Infrastruktur oder Plattformen sowie Software zur Verfügung gestellt werden. Ob ein Softwareentwickler Apps entwickelt oder die Vertriebsabteilung CRM benötigt. Ob die eigene IT Abteilung neue virtuelle Serversysteme oder die Geschäftsführung ein ERP System einsetzen möchte. All diese Ansprüche werden durch Dienste wie Infrastructure as a Service (IaaS), Platform as a Service (PaaS) oder Software as a Service (SaaS) zur Verfügung gestellt.

Datenschutz unterstützt IT-Sicherheit

Genauso vielfältig wie die Cloud-Technologien sind die Anforderungen an die IT-Sicherheit und an den Datenschutz beim Cloud-Computing.

Abb. 4 Datenschutz-Aspekte beim Cloud-Computing

Sobald auch personenbezogene Daten in der Cloud verarbeitet werden sollen, spielt der Datenschutz eine wichtige Rolle. Und das nicht nur bei den eigentlichen Services, sondern auch beim Management und bei den Rahmenverträgen mit dem Cloud-Dienstleister. Fragen des Datenschutzes müssen nicht nur bei Betrieb einer Cloud, sondern bereits vor Beginn der Cloud-Nutzung und auch nach Beendigung einer Cloud-Nutzung berücksichtigt werden.

Die Vorgaben des Datenschutzes sollten hier jedoch nicht als Hindernis betrachtet werden, sondern als Chance die Sicherheit des Cloud-Computings zu erhöhen. Denn es drohen beim Cloud-Computing die unterschiedlichsten Risiken.

Wirtschaftsspionage

Laut BITKOM haben über drei Viertel der Unternehmen Angst vor dem unberechtigtem Zugriff auf Unternehmensdaten in der Cloud. Und das nicht ganz zu unrecht. Nahezu alle Cloud-Anbieter sind entweder US-amerikanische Unternehmen oder haben Niederlassungen in den USA. Dadurch ergibt sich unmittelbar die unbemerkte Zugriffsmöglichkeit durch die NSA und andere staatliche Stellen auf alle Daten.

Warum sollte dieser Umstand für deutsche Unternehmen relevant sein? Weil die NSA auf solche Daten nicht nur zur Terrorismusabwehr zugreift, sondern offenkundig auch wirtschaftliche Interessen verfolgt. Die Welt titelt am 27. Januar 2014 „USA betreiben ohne Zweifel Wirtschaftsspionage“[18]. Die Süddeutsche Zeitung vom 4. Oktober 2014 schreibt, dass die NSA im Netz ganz gezielt nach Daten der Airbus Group (ehemals EADS) gesucht habe[19].

Deutsche Unternehmen sollten deshalb ihr Know-how gut vor unberechtigtem Zugriff schützen. Nicht nur aus Gründen des Datenschutzes.

Angst vor Datenverlust

Fast die Hälfte der Unternehmen haben Angst vor dem Datenverlust in der Cloud. Und auch hier helfen die Strukturen, die zur Einhaltung des gesetzlichen Schutzes personenbezogener Daten eingeführt und genutzt werden, diese Bedrohungspotenziale zu mindern.

Denn der Datenschutz fordert die Umsetzung von Zutritts-, Zugangs-, Zugriffs-, Weitergabe-, Eingabe-, Auftrags- und Verfügbarkeitskontrollen, sowie des Trennungsgebots. Und diese technischen und organisatorischen Maßnahmen können alle Unternehmensdaten schützen, nicht nur die personenbezogenen Daten.

Standort der Cloud

Unabhängig davon, welche vertraglichen Regelungen mit dem Cloud-Anbieter eingegangen werden, muss aus verschiedenen Gründen der Standort aller Verarbeitungen der personenbezogenen Daten bekannt und Vertragsbestandteil sein. Denn je nach Standort sind unterschiedliche gesetzliche Rahmenbedingungen gegeben.

ISO/IEC 27018 - Sicherheitsnorm für Cloud-Computing

Die ISO/IEC 27018 „Anwendungsregel für den Schutz von personenbezogenen Daten in Public Clouds”, die seit kurzen Beachtung findet, versagt leider in der Standort-Frage. Denn Zugriffe von Dritten müssen dem Cloud-Nutzer dann nicht gemeldet werden, wenn nationales Recht dies untersagt.

Die Zertifizierung des Cloud-Anbieters nach dieser Norm entbindet den Datenschutzbeauftragten demnach nicht von den Kontrollpflichten.

Verschiedene Länder haben unterschiedliche Bestimmungen, wie zum Beispiel staatlichen Stellen der Zugriff auf die Daten ermöglicht werden muss. In Deutschland ist bei dem Eingriff in die persönlichen Rechte durch staatliche Behörden meist ein Richter einzubeziehen. Dieser Richtervorbehalt existiert nicht in allen Staaten. Dort, wo es ihn nicht gibt, würden die Rechte der deutschen Personen bei der Verarbeitung unzulässigerweise beschränkt werden.

Manche Staaten haben außerdem Einschränkungen, was die Anwendung von kryptographischen Verfahren betrifft. So kann es sein, dass die Verschlüsselung sensibler Daten gesetzlich am Verarbeitungsstandort nicht erlaubt ist.

Für die Standortwahl ist es wichtig, dass diese lokalen Gegebenheiten dem Cloud-Nutzer bekannt gemacht werden, damit die Auswirkungen auf die Vertraulichkeit, die Integrität und die Verfügbarkeit der personenbezogenen Daten beurteilt werden kann. Umgekehrt gilt: sollte der Standort unbekannt sein, ist regelmäßig davon auszugehen, dass es unmöglich ist, das schutzwürdige Interesse der Betroffenen ausreichend zu berücksichtigen. Demnach wäre in solchen Fällen die Verarbeitung personenbezogener Daten per se ausgeschlossen.

Ab dem Kapitel Cloud-Computing innerhalb Europa und folgende werden die Konsequenzen erörtert, die sich aus der Wahl des Standorts der Cloud-Verarbeitung ergeben.

Cloud-Servicemodelle

Das Cloud-Computing kann in verschiedenen Erscheinungsformen auftreten. Man unterscheidet sie dadurch, dass betrachtet wird, welcher Service von Cloud Dienstleister zur Verfügung gestellt wird. Gängige Cloud-Services sind

Infrastructure as a Service (IaaS)

Platform as a Service (PaaS)

Software as a Service (SaaS)

Diese Services können unterschiedlich realisiert werden, nämlich in Form von:

Public Cloud

Private Cloud

Hybrid Cloud

Welcher Cloud-Service in welcher Form vom Unternehmen genutzt werden sollte, hängt von den jeweiligen konkreten Anforderungen ab. Diese Anforderungen müssen einzeln betrachtet und nach der Relevanz des jeweiligen Schutzbedarfs der Daten, der Anwendungen und der Geschäftsprozesse bewertet werden.

Infrastructure as a Service (IaaS)

In dieser Spielart des Cloud-Computing (siehe Abb. 5) erhält der Cloud-Nutzer Zugriff auf virtualisierte Komponenten für die Datenverarbeitung, -transport und -speicherung.

Der Nutzen für den Anwender liegt bei der flexiblen Verfügbarkeit von Systemen. Die Systeme werden meistens in der Form von virtuellen Maschinen für die Dauer der Benutzung vom Cloud-Dienstleister gemietet. Dadurch wird es für den Nutzer einfach, selten genutzte Systeme nur für die Dauer des Bedarfs zu mieten oder zum Beispiel zu Testzwecken verschiedenartige Systeme zu nutzen.

Abb. 5 Mögliche Komponenten einer IaaS Cloud

Durch die flexible Abrufbarkeit können Lastspitzen einfach abgefangen werden, ohne dass die für die Spitzenlast notwendige Anzahl an Systemen andauernd vorgehalten werden muss. Diese Dynamik ist einer der Erfolgsfaktoren des Cloud-Computings.

Als Technologien für die Virtualisierung von Maschinen kommen verschiedene Spielarten zum Einsatz. Zum Beispiel Hypervisor-Technologien auf der Basis von XEN, KVM, PowerVM oder VMWare ESX.

Beispiele für IaaS Produkte sind:

Elastic Compute Cloud (Amazon EC2)

Hier werden virtuelle Server mit den Betriebssystemen Microsoft Windows oder Linux zur Verfügung gestellt.[5]

Simple Storage Service (Amazon S3)

Der S3-Service stellt Speicherplatz zur Verfügung, der nach Bedarf abgerechnet werden kann. Varianten dieses Services bieten Replikation von Unternehmensdaten in der Cloud oder Backup- und Archivierungsdienste.[6]

Google Cloud-Storage

Ein Speichersystem, das nicht nur per Googles App Engine (PaaS), sondern auch per REST-API ansprechbar ist.[7]

IBM Cloud

Stellt sowohl vollständig gemanagte Infrastruktur und Plattformen, als auch zur Selbstbedienung geeignete Ressourcen zur Verfügung.[8]

IBM Big Data

Stellt neben dem eigentlichen Speicherplatz auch umfangreiche Analysemöglichkeiten zur Verfügung.[9]

Microsoft Azure Cloud

Lösung für das bedarfsgesteuerte und skalierbare Einrichten von Windows- und Linux-Servern.[10] Laut der Pressemitteilung [MS27018] setzt Microsoft mit Azure Cloud den Standard ISO/IEC 27018 um.

Platform as a Service (PaaS)

Mit PaaS werden aufbauend auf IaaS Plattformen zur Verfügung gestellt, auf denen Software über ihren ganzen Lebenszyklus wie Design, Programmierung, Test, Deployment, Pflege und Betrieb entwickelt und betrieben werden kann.

Da die Laufzeitumgebung der Applikationen in der PaaS auf Cloud Infrastrukturen aufbauen, stehen sie ebenfalls dynamisch und flexibel je nach Anforderungen zur Verfügung.

Abb. 6 Mögliche Komponenten einer PaaS Cloud

PaaS-Applikationen sollten nicht mit Web-Applikationen verwechselt werden, die in einem entfernten Rechenzentrum gehostet werden. Für den Anwender mag eine Anwendung, die in der Cloud als PaaS läuft, wie eine Web-Applikation wirken. Der Unterschied zwischen beiden ist, dass die Web-Applikation auf definierten Servern in einem definierten Rechenzentrum läuft und über das Internet erreichbar ist. Die ebenfalls über das Internet erreichbare PaaS Anwendungsumgebung läuft in der Cloud. Das heisst, dass zu einem konkreten Zeitpunkt nicht genau gesagt werden kann, in welchem Rechenzentrum wo auf der Welt die Daten gerade verarbeitet werden.

Beispiele für PaaS Produkte sind:

Google App Engine

Ein Dienst, der wie viele Google Dienste bei geringer Nutzung kostenlos ist. Mit diesem Service wird eine einheitliche Programmier- und Ablaufplattform für die Erstellung und den Betrieb von Web-Applikationen in der Cloud bereit gestellt.[11]

SalesForce

Ist eine Plattform, die sich auf die Vermietung von Geschäftsanwendungen spezialisiert hat. Schwerpunkt liegt in der Pflege von Kundenbeziehungen und im B2B Bereich.[12]

Amazon Web Services

Stellt Plattformen zur Verfügung, die beispielsweise von Dropbox oder Foursquare genutzt werden.[13]

Software as a Service (SaaS)

SaaS baut auf PaaS oder IaaS auf. Die bereitgestellten Applikationen sind in der Regel nicht durch den Cloud-Nutzer anpassbar. Sie werden „as is“ zur Verfügung gestellt. Außerdem haben die Cloud-Anwender in der Regel keinen administrativen Zugriff auf die Applikationen. Der Vorteil für den Anwender liegt darin, dass die Applikation überall zur Verfügung steht und nur die tatsächliche Nutzung gezahlt werden muss. Durch den einfachen Zugriff per Webbrowser entfällt die Notwendigkeit für die lokale Installation von Software. Die Systeme sind damit kostengünstig zu betreiben. Der Unterschied zwischen SaaS und PaaS fällt dem einfachen Benutzer nicht unbedingt auf, da beides wie eine Web-Applikation aussieht.

Abb. 7 Mögliche Komponenten einer SaaS Cloud

Bei der PaaS steht den Betreibern eine komplette Infrastruktur für die Entwicklung und Pflege einer selbst entwickelten Anwendung zur Verfügung. Bei SaaS besteht keine Möglichkeit, dass der Cloud-Nutzer die Software selbst umprogrammiert.

Beispiele für SaaS:

Google Drive

Ist eine Web Applikation, mit der Texte und Tabellen in Form einer herkömmlichen Office Suite verarbeitet werden können.[14]

Hootsuite.com

Ist eine Plattform für das Management von Social Media Aktivitäten.[15]

IBM SaaS Cloud

Bietet viele Anwendungen aus dem Bereich Marketing, Beschaffung, Lieferkette, Rechtswesen und Kundenbetreuung.[16]

Private Cloud, Public Cloud und Hybrid Cloud

Der Betrieb und die Nutzung der Cloud kann unterschiedlich organisiert werden.

Private Cloud

Wenn die Cloud nur und ausschliesslich von einem einzelnen Cloud-Anwender genutzt wird, spricht man von einer Private Cloud. Dabei ist es unerheblich, ob die Cloud vom eigenen Unternehmen oder von einem Dienstleister betrieben wird.

Diese Art des Cloud-Betriebs hat den Vorteil, dass die Cloud ausschließlich von der verantwortlichen Stelle im Sinne des BDSG genutzt wird. Wenn die Cloud darüber hinaus auch noch selbst betrieben wird, vereinfachen sich die Fragen in Sachen Datenschutz und Datensicherheit immens.

Sollte die Private Cloud jedoch von einem externen Dienstleister betrieben werden, dann muss der Cloud-Nutzer das Vertragsverhältnis zwischen sich und dem Cloud-Betreiber prüfen. Liegt eine Auftragsdatenverarbeitung nach § 11 BDSG oder eine Funktionsübertragung vor?

Public Cloud

Die Public Cloud hingegen wird in der Regel von einem externen Dienstleister betrieben und von vielen Anwendern genutzt. Ob diese fremden Anwender Zugriff auf die eigenen Daten haben können, hängt von der technischen Gestaltung der Cloud und den Sicherheitsvorkehrungen des Cloud-Betreibers ab.

Es handelt sich bei dem Cloud-Betreiber in der Regel um eine eigene juristische Person, so dass die Anforderungen an den Datenschutz erhöht sind. Sämtliche Fragestellungen, die im Zusammenhang mit Datenübermittlung an Dritte oder der § 11 BDSG Auftragsdatenverarbeitung auftreten, können hier relevant sein. Durch den externen Vertragspartner ist das eigene Unternehmen in Sachen Gestaltungsmöglichkeiten eingeschränkt.

Hybrid Cloud

Bei der Hybrid Cloud handelt es sich um eine Mischform. So nutzt das Unternehmen beispielsweise eine eigene Private Cloud für den Normalbetrieb und weicht auf eine Public Cloud-Struktur bei Lastspitzen oder Ausfällen aus.

Tab. 1 Vergleich Public Cloud und Private Cloud

Public Cloud
Private Cloud

Meistens externer Dienstleister
Externer oder interner Dienstleister

Die Service Level Agreements werden von dem Dienstleister vorgegeben und sind in der Regel - wenn überhaupt - nur in engen Grenzen verhandelbar.
Das eigene Unternehmen hat mehr Einfluss auf die Dienstgüte.

Unterschiedliche Benutzer nutzen die Infrastruktur der Cloud. Die Benutzergruppen sind organisatorisch nicht miteinander verbunden.

Die Dienste der Cloud werden nur der eigenen, definierten Benutzergruppe zur Verfügung gestellt. Einen Fremdnutzung findet nicht statt.

Für autorisierte Geschäftspartner kann ein Zugang mit individuellen Zugriffsrechten geschaffen werden.

Der Schwerpunkt liegt in der guten Skalierbarkeit und im flexiblen Bezahlmodell.
Der Schwerpunkt liegt in der Individualisierung der Dienste und in der Realisierung eines erhöhten Sicherheitsanspruchs.

Wirtschaftliche Aspekte

Verschiedene ökonomische Überlegungen führen dazu, dass ein Unternehmen die Dienste einer Cloud nutzen möchte. Ohne Anspruch auf Vollständigkeit fallen häufig folgende Argumente ins Gewicht:

Geräteunabhängigkeit

bessere Skalierbarkeit der Ressourcen

orts- und zeitunabhängiger Zugriff auf die Ressourcen

verbesserte Zusammenarbeit der Nutzer

Steigerung der Effizienz

Senkung der IT Ausgaben

Veränderung der Kostenstruktur

Durch die Nutzung der Cloud wird ein Teil der Fixkosten zu variablen Kosten. Die Liquidität des Unternehmens wird nicht mehr so stark durch IT-Investitionen belastet. Freigewordene Mittel könnten in Forschung und Produktentwicklung fließen und so die Zukunft des Unternehmens sichern. Ein Unternehmen könnte die Ersparnisse auch in Kundenpflege und Marketing investieren, um Marktanteile zu sichern oder auszubauen.

Kooperation mit Geschäftspartnern

Durch die Cloud kann die Kooperation mit Geschäftspartnern verbessert werden, ohne dass die Abhängigkeit zu diesem Geschäftspartner steigen muss. Statt seine eigenen Prozesse und Systeme auf die des Geschäftspartners anzupassen, werden die Schnittstellen der Cloud genutzt. Ein Lock-in Effekt mit dem Geschäftspartner wird so vermieden. Dadurch erhält man seine Unabhängigkeit ein wenig, ohne dabei an Interoperabilität einzubüßen.

Einsparungen der IT

Gerade für kleine und mittlere Unternehmen ist es von Vorteil die Cloud-Dienste zu nutzen, da der Cloud-Betreiber in seinen Rechenzentren professionell ausgebildetes IT Personal und hohe IT-Sicherheitsstandards vorhalten sollte. Außerdem entfallen viele der Gemein- und Nebenkosten, wie beispielsweise der Aufwand für Gebäude, Infrastruktur, Softwarelizenzen und die laufenden Betriebskosten eigener Infrastruktur.

Standards im Cloud-Computing

Damit diese wirtschaftlichen Vorteile nicht durch erhöhte Risiken aufgezehrt werden, sollte das Unternehmen darauf achten, dass beim Cloud-Computing möglichst Standards genutzt werden. Dadurch wird vermieden, dass man sich fest an einen bestimmten Cloud-Anbieter bindet. Standards gewährleisten, dass man im Bedarfsfall den Anbieter mit nicht allzu hohem Aufwand wechseln kann.

Das Sicherstellen der Kompatibilität der Daten zur Weiterverarbeitung ist ein wichtiger Aspekt des Risikomanagements und ausschlaggebend für eine Exit-Strategie.

Standardisierungsorganisationen

Leider ist der Standardisierungsprozess Anfang 2015 noch nicht sehr weit fortgeschritten und dabei stark in Bewegung. Eine Übersicht über die Standards gibt das Bundesministerium für Wirtschaft und Energie auf seiner Webseite trusted-cloud.de [17] aus. Die folgende Tabelle zeigt Normungsgremien, die für Europa und Deutschland maßgeblich sein können:

Tab. 2 Standardisierungsorganisationen Cloud-Computing in Europa und Deutschland

Institut / Firma | Standardisierungsbereich
ETSI (Europäisches Institut für Telekommunikationsnormen) | Standards, Lückenanalyse und Testsysteme zu Interoperabilität, Anforderungen, Use Cases, Koordination, Standardisierungsroadmap
EuroCloud | Umfangreicher Leitfaden zu Recht, Datenschutz und Compliance, EuroCloud-Star Audit (SaaS-Gütesiegel)
ENISA (Europäische Agentur für Netz- und Informationssicherheit) | Cloud-Computing – SME Survey, Cloud-Computing Information Assurance Framework, Cloud-Computing Risk Assessment
DIN (Deutsches Institut für Normung) | Spiegelgremien zur ISO JTC 1/SC 38 im NIA-01-38 „Verteilte Anwendungsplattformen und Dienste“
SaaS-ES(SaaS-EcoSystem) | Zertifikat „Trust in Cloud“ für SaaS und Cloud-Lösungen, Zertifikat „Cloud-Experte“
BITKOM | Leitfaden des Arbeitskreis „Cloud-Computing & Outsourcing“, Betreiber von Cloud-Practice.de (z.B. vertragliche Regelungen, Use Cases)

Datenformate

Das Unternehmen sollte mindestens sicherstellen, dass die Daten, die in der Cloud gespeichert werden, im Bedarfsfall komplett und ohne Verluste in einem Format exportiert werden können, welches die Weiterverarbeitung zulässt. Bei der Nutzung von virtuellen Infrastrukturen sollte darauf geachtet werden, dass ein etabliertes Austauschformat zu Verfügung steht. Stellen Sie sicher, dass Ihnen Ihre Daten in einem der folgenden Formate zur Verfügung gestellt werden.

JSON

das in RFC 7159[4] definierte Datenaustauschformat ist flexibel, verbreitetet und für Menschen lesbar. Es eignet sich hervorragend zur Weiterverarbeitung und Konvertierung von Daten.

xml

eine vom Word Wide Web Consortium (W3C)[3] definierte Auszeichnungssprache[2], die mit unterschiedlichen Methoden Datenstrukturen definieren kann. XML bietet ähnliche Vorteile, wie JSON. Von Nachteil ist die schlechtere Les- und Schreibbarkeit für Menschen durch die Syntax mit vielen spitzen Klammern und öffnende und schließende Marker (Tags).

csv

ist kein Standard, der Datenstrukturen vollständig beschreiben kann. CSV kann aber als Minimal-Lösung besser sein als nichts.

Mit der kommenden Datenschutz-Grundverordnung der EU [DSGV2012] wird im Artikel 18 das Recht des Betroffenen auf Datenportabilität eingeführt. Hier werden die Cloud-Anbieter reagieren und entsprechende Techniken zur Verfügung stellen.

Das Unternehmen sollte darauf achten, dass die portablen Daten nicht nur zwischen den einzelnen Clouds ausgetauscht werden können, sondern in einem Format vorliegen, das auch im eigenen Haus vollständig verarbeitet werden kann.

[DSGV2012]

EU-Kommission: „Vorschlag der Datenschutz-Grundverordnung der EU“, abgerufen am 2015-04-02,

http://ec.europa.eu/justice/data-protection/document/review2012/ com_2012_11_de.pdf [http://ec.europa.eu/justice/data-protection/document/review2012/com_2012_11_de.pdf]

[1]
http://www.w3.org/TR/xmlschema-0/

[2]
http://www.w3.org/XML/

[3]
http://www.w3.org/

[4]
https://tools.ietf.org/html/rfc7159

[BSICLOUD]

Bundesamt für Sicherheit in der Informationstechnik (BSI): „Cloud-Computing Grundlagen“, abgerufen am 2015-01-22,

https://www.bsi.bund.de/DE/Themen/CloudComputing/Grundlagen/ Grundlagen_node.html [https://www.bsi.bund.de/DE/Themen/CloudComputing/Grundlagen/Grundlagen_node.html]

[BITKOM2014]

BITKOM, Pressemeldung vom 30. Januar 2014: „Cloud-Computing” , abgerufen am 31. März 2015

http://www.bitkom.org/de/presse/81149_78524.aspx

[BSI2012]

Bundesamt für Sicherheit in der Informationstechnik (BSI): „Sicherheitsempfehlungen für Cloud-Computing Anbieter“, abgerufen am 2015-01-22,

https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/ Mindestanforderungen/Eckpunktepapier- Sicherheitsempfehlungen-CloudComputing-Anbieter.pdf? __blob=publicationFile [https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Mindestanforderungen/Eckpunktepapier-Sicherheitsempfehlungen-CloudComputing-Anbieter.pdf?__blob=publicationFile]

[5]
http://aws.amazon.com/de/ec2/

[6]
http://aws.amazon.com/de/s3/

[7]
https://cloud.google.com/storage/

[8]
http://www.ibm.com/cloud-computing/de/de/iaas.html

[9]
http://www-03.ibm.com/software/products/de/category/bigdata

[10]
http://azure.microsoft.com/de-de/services/virtual-machines/

[11]
http://appengine.google.com/

[12]
http://www.salesforce.com/de/

[13]
http://aws.amazon.com/de/

[14]
https://drive.google.com/

[15]
https://hootsuite.com/

[16]
http://www.ibm.com/cloud-computing/de/de/saas.html

[17]
http://trusted-cloud.de/406.php

[18]
http://www.welt.de/politik/ausland/article124281154/USA-betreiben-ohne-Zweifel-Wirtschaftsspionage.html

[19]
http://www.sueddeutsche.de/politik/geheimdienste-codewort-eikonal-der-albtraum-der-bundesregierung-1.2157432-4

[ICOMOON]

IcoMoon Icons © by Keyamoon unter der Nutzungslizenz CC-BY-4.0

http://keyamoon.com/

http://creativecommons.org/licenses/by/4.0/deed.de

[MS27018]

Microsoft Deutschland, Pressemeldung vom 17. Februar 2015: „Kunden können voller Vertrauen in die Microsoft Cloud wechseln: Microsoft setzt ersten internationalen Standard für Datenschutz in der Cloud um”, abgerufen am 2015-03-13

http://news.microsoft.com/de-at/kunden-konnen-voller-vertrauen-in-die-microsoft-cloud-wechseln-microsoft-setzt-ersten-internationalen-standard-fur-datenschutz-in-der-cloud-um/

[WELTKARTE]

Abb. 12 „Sichere Drittländer laut EU-Kommission” By TUBS CC BY-SA 3.0 (http://creativecommons.org/licenses/by-sa/3.0), verändert zu einer vereinfachten Darstellung der Landesgrenzen.

https://upload.wikimedia.org/wikipedia/commons/d/dd/World %2C_administrative_divisions_-_de_-_colored_%28 all_countries%29.svg [https://upload.wikimedia.org/wikipedia/commons/d/dd/World%2C_administrative_divisions_-_de_-_colored_%28all_countries%29.svg]

© Copyright 2015, Karsten Schulz.

Navigation

Index

weiter |

zurück |

DS-CC »

IT-Sicherheit

Wenn ein Unternehmen Cloud-Computing nutzt, ändern sich einige Aspekte der IT Sicherheit. Während auf der einen Seite die infrastrukturelle Sicherheit möglicherweise erhöht wird, weil die Dienste eines professionellen Anbieters in Anspruch genommen werden, tun sich auf der anderen Seite neue Risiken auf. Auf jeden Fall muss das IT-Sicherheitsmanagement an die geänderten Rahmenbedingungen angepasst werden. Mit Fokus auf den Schutz personenbezogener Daten müssen relevanten Fragen der Verfügbarkeit, der Weitergabe-, der Auftrags- und Löschkontrolle neu betrachtet werden.

Es ist außerdem zu berücksichtigen, dass es die Sicherheit nicht gibt. Jedes Unternehmen muss für seine Anwendungsfälle, seine Geschäftsprozesse und seine Datenkategorien individuelle Schutzziele definieren. Dies geht Hand in Hand mit der Festlegung des Schutzbedarfs, der Analyse von Gefährdungen, und dem Planen und Umsetzen geeigneter Maßnahmen.

Bei allen Betrachtungen müssen sowohl die Gegebenheiten beim Cloud-Dienstleister als auch die eigenen Unternehmensstrukturen berücksichtigt werden. Ohne diese Grundbetrachtungen ist der Schutz personenbezogener Daten beim Cloud-Computing nicht realisierbar. Hier unterstützen sich die Maßnahmen der IT-Sicherheit und des Datenschutzes gegenseitig. Besonderes Augenmerk gilt auch dem Zutritt und dem Zugang zu den personenbezogenen Daten in der Cloud. Hier kommen die Faktoren Internet und mobile Geräte ins Spiel.

Schutzbedarf

Bei der Betrachtung des komplexen Themas IT-Sicherheit ist es hilfreich, die Schutzanforderungen in drei Kategorien aufzuteilen, wie sie in dem Eckpunktepapier Sicherheitsempfehlungen für Cloud-Computing Anbieter [BSI2012] vom Bundesamt für Sicherheit in der Informationstechnik beschrieben werden:

Die Basisanforderungen definieren den grundsätzlichen Schutzbedarf an jeden Cloud-Anbieter.

Der Schutz der Vertraulichkeit ist bei allen personenbezogenen Daten zu gewährleisten. Insbesondere jedoch bei der Erhebung, Nutzung und Verarbeitung besonderer Arten personenbezogener Daten nach § 3 Abs. 9 BDSG. Vertraulichkeit bedeutet, dass die personenbezogene Daten zu keinem Zeitpunkt bei der Speicherung, der Verarbeitung, der Weitergabe oder der Löschung an unbefugte Dritte offenbart werden. Das ist bei Cloud-Computing nicht immer zu realisieren.

Die Sicherstellung der Verfügbarkeit definiert die Anforderungen, die notwendig sind, um die personenbezogene Daten ordnungsgemäß und zeitgerecht vom autorisierten Benutzern verarbeiten zu können.

IT-Sicherheit muss fallabhängig betrachtet werden. Es gibt zum Erreichen eines erstrebten Sicherheitszustandes keine Pauschalrezepte, jedoch einige grundsätzliche Vorgehensmodelle. Exemplarisch soll nachfolgend beschrieben werden, wie wichtige Fragen in Sachen IT-Sicherheit durch den IT-Sicherheitsbeauftragten oder den Datenschutzbeauftragten gehandhabt werden können.

Schutzklassen allgemein

Ein Faktor, der mitbestimmend für die Höhe der zu ergreifenden Sicherheitsmaßnahmen ist, ist der Schutzbedarf der zu schützenden Daten. Zur besseren Handhabung sollten Daten und gerade auch personenbezogene Daten, in passende Schutzklassen eingeordnet werden.

Abb. 8 Schutzklassen für Daten

Schon für die niedrigsten Schutzklasse 1 wird durch das Datenschutzgesetz gefordert, dass personenbezogene Daten besonders geschützt sein müssen, während das für nicht-personenbezogene Daten unnötig sein kann. Aus diesem Grund sind bei bereits harmlos erscheinenden Informationen, wie zum Beispiel der Name und die Durchwahl eines Mitarbeiters bei einem Geschäftspartner datenschutzkonforme Vorkehrungen zu treffen.

Tab. 3 Beispiele für Daten in verschiedenen Schutzklassen

Schutzklasse 1 | Schutzklasse 2 | Schutzklasse 3
Prospekte, Öffnungszeiten, Telefonlisten, Produktdaten, Lagerbestandsdaten, Name einer Person, Anschrift, Telefonnummer, ... | Mitarbeiterdaten, Kunden- und Lieferantendaten, Arbeitsverträge, Unterlagen aus Forschung und Entwicklung, ... | Marketingstrategien, Lebenslauf, Gesundheitsdaten, sensible Unterlagen aus Forschung und Entwicklung, ...

In der Regel definiert die verantwortliche Stelle den Schutzbedarf und die Schutzklasse. Dabei beantwortet sie folgende Fragen:

Welche Informationen sind schutzwürdig und in welche Schutzklasse einzuordnen?

Wie soll der Zugriff auf die Daten verschiedener Schutzklassen geregelt werden?

Können die Daten im Klartext gespeichert werden oder müssen Sie verschlüsselt werden?

Welche technischen und organisatorischen Maßnahmen sollten beim Cloud-Betreiber zum Schutz der Daten getroffen werden.

Der Cloud-Nutzer muss die Prozesse so gestalten, dass unter Berücksichtigung des Schutzbedarfs keine Unbefugten Kenntnis der Daten erhalten. Dabei sind die besonderen Rahmenbedingungen des Cloud-Computings festzulegen. Grundsätzlich gilt: je höher die Schutzklasse der Daten ist, desto anspruchsvoller sind die zu ergreifenden Sicherheitsmaßnahmen.

Durch die Kategorisierung in Schutzklassen ist es einfacher, das notwendige Schutzniveau für die personenbezogenen Daten festzustellen. Sie hilft außerdem dabei zu entscheiden, wenn nach § 28 BDSG die Interessen des Unternehmens gegen die schutzwürdigen Interessen des Betroffenen abgewogen werden sollen.

Die Schutzklasse 2 betrifft die personenbezogenen Daten, die von einem kleinen definierten Personenkreis verarbeitet werden dürfen. Die besonderen personenbezogenen Daten nach § 3 Abs. 9 BDSG fallen mindestens in Schutzklasse 2, häufig sogar in Schutzklasse 3.

In Bezug auf personenbezogene Daten stellt die Schutzklasse 3 die Schutzstufe dar, in der auch strafrechtlich relevante Folgen bei der Offenbarung der personenbezogenen Daten auftreten können. Die Verletzung von Privatgeheimnissen nach § 203 StGB wäre ein Beispiel für einen solchen Fall.

Nach einhelliger Meinung der Datenschutzbehörden ist es nicht zulässig, besonderen Arten personenbezogener Daten nach § 3 Abs. 9 BDSG innerhalb eines Cloud-basierten Verfahrens zu verarbeiten (siehe S. 40 in [OHCLOUD2014]). Denn regelmäßig dürften die Anforderungen nach § 28 Abs. 6 bis 9 BDSG nicht erfüllt sein.

Schutzklassen nach DIN 66399

Die DIN 66399 „Büro und Datentechnik - Vernichten von Datenträgern” definiert ebenfalls drei Schutzklassen, die zur Einordnung der zu schützenden Daten genutzt werden können. In Tabelle 4 sind die Kategorisierungen der Daten nach dieser Norm aufgeführt.

Tab. 4 Schutzklassen für Daten nach DIN 66399-1

Schutzklassen für Daten nach DIN 66399-1

Schutzklasse 1: Normaler Schutzbedarf für interne Daten

Informationen, die für eine größere Gruppe bestimmt sind.

Die unberechtigte Offenlegung der Daten hätte begrenzte negative Auswirkungen auf das Unternehmen.

Der Schutz von personenbezogene Daten muss gewährleistet sein. Bei Verstoß besteht die Gefahr, dass der Betroffene in seiner Stellung und in seinen wirtschaftlichen Verhältnissen beeinträchtigt wird.

Schutzklasse 2: Hoher Schutzbedarf für vertrauliche Daten

Informationen für einen kleinen Personenkreis.

Die unberechtigte Offenlegung hätte erhebliche Auswirkungen auf das Unternehmen und könnte vertragliche Verpflichtungen oder Gesetze stören.

Der Schutz personenbezogener Daten muss hohen Anforderungen genügen. Andernfalls besteht die Gefahr, dass der Betroffene in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen erheblich beeinträchtigt wird.

Schutzklasse 3: Sehr hoher Schutzbedarf für besonders vertrauliche und geheime Daten

Informationen für einen kleinen, namentlich bekannten Personenkreis.

Eine unberechtigte Offenlegung hätte ernsthafte, bis zur Existenz bedrohende Auswirkung auf das Unternehmen oder würde gegen Berufsgeheimnisse, Verträge oder Gesetze verstoßen.

Der Schutz personenbezogener Daten muss zwingend gewährleistet sein. Andernfalls kann es zu einer Gefahr für Leib, Leben oder für die persönliche Freiheit des Betroffenen kommen.

Unternehmen sollten sicherstellen, dass alle personenbezogenen Daten einer der drei Schutzklassen zugeordnet werden, damit die Prozesse, in denen diese Daten verarbeitet werden, unter den richtigen Sicherheitsaspekten beurteilt werden können.

Schutzziele

Der ermittelte Schutzbedarf legt fest, mit welchen Maßnahmen und mit welchem Aufwand die Schutzziele erreicht werden sollen. Bei niedrigem Schutzbedarf ist ein geringerer Aufwand legitim als bei hohem Schutzbedarf.

Im Teilbereich des Schutzes personenbezogener Daten haben sich sieben übergeordnete Schutzziele herauskristallisiert:

Datensparsamkeit

Integrität

Intervenierbarkeit

Nicht-Verkettbarkeit

Transparenz

Verfügbarkeit

Vertraulichkeit

Für jedes dieser Schutzziele sind unterschiedliche Maßnahmen hinsichtlich des Schutzes personenbezogener Daten zu treffen. In den nachfolgenden Abschnitten werden die einzelnen Schutzziele beleuchtet.

Datensparsamkeit

Das BDSG fordert mit § 3a zur Datenvermeidung und Datensparsamkeit auf. Damit ist gemeint, dass nur die personenbezogenen Daten zu erheben, zu verarbeiten und zu nutzen sind, die für den jeweiligen Verarbeitungsschritt zwingend erforderlich sind.

Da nur die für die Verarbeitung notwendigen Datenkategorien erhoben, verarbeitet und genutzt werden dürfen, ist das Erheben von Daten „auf Verdacht“ nicht zulässig.

Der Prozess sollte auch definieren, wann die zu verarbeitenden Daten gelöscht werden sollen. Dieser Zeitpunkt ist frühestmöglich zu wählen. Sobald der Zweck der Verarbeitung erfüllt ist und keine anderen Umstände gegen eine Löschung der Daten sprechen, sollten die Daten automatisiert und protokolliert gelöscht werden. Dabei ist zu beachten, dass das sichere Löschen von Daten in der Cloud unter Umständen schwierig werden kann, wie im Abschnitt Unzureichende Löschung von Daten erläutert wird. Im Rahmen des Datenschutzprozesses sollte das ordnungsgemäße Löschen der Daten regelmäßig überprüft werden. Dies kann beispielsweise dadurch geschehen, dass beim Cloud-Betreiber eine detaillierte Beschreibung der Löschprozedur angefordert wird und gegebenenfalls Testate Dritter eingefordert werden.

Ein weiteres Mittel sparsam mit Daten umzugehen kann die Pseudonymisierung sein. Mit Pseudonymisierung kann für eine konkrete Verarbeitung der Personenbezug entfernt werden. Dabei ist jedoch zu beachten, dass durch eine existierende Umsetzungsregel prinzipiell immer noch der Bezug zu einer konkreten Person hergestellt werden kann, indem von der verantwortlichen Stelle oder einem Dritten die Zuordnungsregel angewendet wird.

Pseudonymisierung befreit also nicht gänzlich von der Vorgabe, sparsam und zweckgebunden mit personenbezogenen Daten umzugehen.

Dazu kommt, dass durch die massenhafte Erhebung und Nutzung von pseudonymisierten, personenbezogenen Daten die Pseudonymisierung ausgehebelt werden kann. Durch das Zusammenführen und die statistischer Auswertung der Daten wächst die Gefahr, Personen identifizieren zu können. Und das auch ohne Zuordnungsregel. Dies zeigt auch eine aktuelle Studie anhand von anonymisierten Kreditkartendaten ([MONTJOYE2015]).

Überprüfen Sie mit der Checkliste in Tab. 5, ob Sie alle relevanten Fragestellungen zur Datensparsamkeit berücksichtigt haben.

Tab. 5 Checkliste Datensparsamkeit

| Checkliste Datensparsamkeit
☐ | Jede Datenkategorie der Verarbeitung wurde überprüft und für notwendig befunden.
☐ | Die Löschfristen der Verarbeitung sind so kurz wie möglich.
☐ | Die tatsächliche Löschung von nicht mehr benötigten Daten wird überprüft.
☐ | Die Wiederherstellung des Bezugs von pseudonymisierten Daten auf bestimmbare Personen ist innerhalb des Verfahrens nicht möglich.

Integrität

Cloud-Computing erschwert das Sicherstellen der Integrität der Daten. Bei den meisten Inhouse-Lösungen wird durch Anwendung von Prüfschritten, Prüfsummen und geeigneter

[MONTJOYE2015]

Unique in the shopping mall: On the reidentifiability of credit card metadata, Science 30 January 2015: Vol. 347 no. 6221 pp. 536-539, DOI: 10.1126/science.1256297

http://www.sciencemag.org/content/347/6221/536.full