Cloud-Infrastruktur und Datenschutz Geteilte Verantwortung für die Cloud, aber nicht im Datenschutz!

Anbieter zum Thema

Insider Research

PresseBox - unn | UNITED NEWS NETWORK GmbH

Vogel IT-Medien GmbH

Fujitsu Technology Solutions GmbH

Im Shared-Responsibility-Modell teilen sich Cloud-Provider und Cloud-Nutzende die Aufgaben und Verantwortlichkeiten. Aus Sicht des Datenschutzes aber hat der Anwender durchaus Verantwortung für die Sicherheit der Cloud-Infrastruktur, wenn sie sich auf die Datensicherheit auswirkt. Diese endet nicht mit der Prüfung der Nachweise des Cloud-Anbieters, sondern sie beginnt damit.

Eigentlich erscheint alles klar zu sein bei der Verantwortung im Cloud Computing, aber nur eigentlich. Bekanntlich besagt das Modell der geteilten Verantwortung: Der Cloud-Anbieter ist für den Schutz der Infrastruktur verantwortlich, in der alle angebotenen Services ausgeführt werden. Diese Infrastruktur besteht aus der Hardware, Software, dem Netzwerk und den Einrichtungen, auf und in denen die Cloud-Services ausgeführt werden. Die Cloud-Nutzenden sind insbesondere für den Schutz ihrer Daten zuständig.

Shared Responsibility: Das doppelte Missverständnis

Dieses an sich klare Modell hat zwei Probleme: Erstens wird es immer noch missverstanden, viele Cloud-Anwender meinen, der Cloud-Anbieter wäre zum Beispiel automatisch für die Datensicherung zuständig. Entsprechend groß ist das Entsetzen bei einer Störung, wenn es keine Cloud-Backups gibt, nicht bei dem Provider und auch nicht bei dem Anwenderunternehmen.

Aber es gibt noch ein weiteres Problem: Nur weil der Provider sich um den Schutz der Infrastruktur kümmert, bedeutet dies rechtlich noch lange nicht, dass das Anwenderunternehmen gar keine Verantwortung für die Sicherheit der Infrastruktur hätte.

Vielmehr macht die Datenschutz-Grundverordnung (DSGVO) klar: Trotz der Auslagerung von Aufgaben an den Cloud-Dienstleister bleibt das Anwenderunternehmen für die Datenverarbeitung nach außen, also Betroffenen und Dritten gegenüber, in vollem Umfang verantwortlich.

Wie aber kann man seiner Verantwortung Rechnung tragen, wenn es um die Infrastruktur geht, die ein Dritter betreibt? Hier helfen das Einfordern von Nachweisen und ergänzende Schutzmaßnahmen und Kontrollen.

Was der Cloud-Anbieter garantieren muss

Ein Blick in die DSGVO zeigt für Auftragsverarbeitungen, zu denen die Verarbeitung personenbezogener Daten in der Cloud in aller Regel zählt: Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen (also dem Anwenderunternehmen), so arbeitet dieser nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen der DSGVO erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet.

Wie aber kann man sich von den Maßnahmen des Cloud-Anbieters überzeugen? Hier sagt die DSGVO: Die Einhaltung genehmigter Verhaltensregeln (...) durch einen Auftragsverarbeiter kann als Faktor herangezogen werden, um hinreichende Garantien nachzuweisen.

Solche Verhaltensregeln gibt es inzwischen für Cloud Infrastructure Provider: Der CISPE-Verhaltenskodex für den Datenschutz in Cloud-Infrastrukturen (CISPE-Code) (https://cispe.cloud/), der vom Europäischen Datenschutzausschuss (EDPB) validiert und von der französischen Datenschutzbehörde (CNIL) genehmigt wurde, ist der erste Kodex der Datenschutz-Grundverordnung (DSGVO), der speziell für Anbieter von Cloud-Infrastrukturdiensten entwickelt wurde.

Was aber, wenn der Cloud-Provider der Wahl sich nicht dem CISPE-Code unterworfen hat und nicht von einer der drei von der CNIL akkreditierten unabhängigen Kontrollstellen (Bureau Veritas, LNE und EY CertifyPoint) überwacht wird? Dann kommt man um eigene Prüfungen und mögliche Zusatzmaßnahmen nicht herum.

Möglichkeiten, den Cloud-Datenschutz zu prüfen und zu erhöhen

Confidential Computing zum Beispiel bietet sich als Verfahren an, um die eigenen Daten vor unerlaubten Zugriffen Dritter zu schützen, sei es durch böswillige oder unvorsichtige Beschäftigte des Cloud-Providers, sei es durch Hacker, die Schwachstellen in der Cloud-Infrastruktur des Providers ausnutzen.

Eine weitere Maßnahme könnte es sein, die Sicherheit der genutzten Cloud-Infrastruktur fortlaufend zu kontrollieren. Mitigant, eine Cloud-native Sicherheitslösung des Start-Ups Resility GmbH, zum Beispiel bietet Continuous Cloud Compliance Management, Cloud Assets Inventory, Secure Drift Management und Automated Assessments & Notifications.

Die Vorteile von Confidential Computing

Internationale Datentransfers – Sieht so die Lösung aus?

Von bisherigen Cloud-Sicherheitslösungen unterscheidet sich Mitigant durch seinen sogenannten „Security Chaos Engineering“-Ansatz. Er ermöglicht es IT-Sicherheitsteams proaktiv in Cloud-Infrastrukturen für Sicherheit zu sorgen, so der Anbieter. Die Lösung geht über die reine Erkennung und Behebung falsch konfigurierter Cloud-Ressourcen hinaus. Sie ist demnach in der Lage, selbständig verdächtige Anomalien innerhalb von Cloud-Infrastrukturen aufzuspüren und zu analysieren. Darüber hinaus führt sie, ähnlich einem Penetrationstest, automatisiert Cloud-Angriffsszenarien durch, um die Widerstandsfähigkeit der Cloud-Infrastruktur gegenüber unterschiedlichen Cloud-Angriffsszenarien zu testen.

„Mit Mitigant bieten wir eine automatisierte Cloud-Sicherheitslösung, mit deren Hilfe Fehlkonfigurationen schnell erkannt und behoben, Anomalien rasch entdeckt sowie Resilienz unkompliziert optimiert werden kann. Der von uns verfolgte Ansatz lautet: „Detect“, „Secure“ und „Verify“. So stellen wir eine Continuous Security Verification, also eine kontinuierliche Verifizierung der Schutzmaßnahmen, sicher“, so Kennedy Torkura, Co-Gründer und CTO bei der Resility GmbH.

Cloud-Compliance ist ein wachsender Markt

Es zeigt sich: Auch wenn die Aufgaben in der Cloud-Sicherheit zwischen Cloud-Nutzenden und Cloud-Provider geteilt sind, bleibt die Verantwortung für die Compliance mit dem Datenschutz bei dem Anwenderunternehmen. Das zeigt sich nicht nur daran, dass der Cloud-Nutzende für die Datensicherung sorgen muss, wenn nichts anderes vereinbart ist.

Das Anwenderunternehmen muss auch prüfen, ob der Datenschutz bei der genutzten Cloud-Infrastruktur passt, zum einen durch Einfordern anerkannter Datenschutznachweise, zum anderen aber auch durch zusätzliche Schutzmaßnahmen und Prüfungen der Cloud-Sicherheit. Cloud-Compliance ist deshalb ein Bereich, der noch deutliches Wachstum erfahren wird und muss, damit das Cloud-Wachstum wirklich abgesichert ist.

(ID:48764643)