Datenwolken für die Öffentliche Verwaltung Mit Sicherheit nicht im Regen stehen

Cloud Computing zählt zu den Megatrends in der IT. Die Technologie verspricht großes Potenzial bei der Konsolidierung und Optimierung von IT-Ressourcen, der Modernisierung von Rechenzentren und letztlich bei Kostenersparnis. Doch wie steht es um Datenschutz und Sicherheit? Ist Cloud Computing überhaupt ein Thema für die Öffentliche Verwaltung?

Anbieter zum Thema

Cronon GmbH

Fujitsu Technology Solutions GmbH

Southern Tech GmbH

Avanade Deutschland GmbH

Gleich zu Anfang ein klares Ja: Cloud Computing ist auch für den Öffentlichen Sektor das Mittel der Wahl, um IT-Leistungen kostengünstig, anwender- und umweltfreundlich unter dem Aspekt der Green IT zu erbringen.

Die Auslastung sämtlicher Ressourcen wird auch in der Verwaltung durch Nutzung einer Cloud gut skalier- und steuerbar, die Servicequalität steigt. Und mit der richtigen Vorgehensweise bei Konzeption, Implementierung, Betrieb und Wartung hält die Cloud höchsten Sicherheitsanforderungen und strengen rechtlichen Vorgaben mühelos stand.

Allerdings ist – wie beim Wetter auch – eine Wolke nicht automatisch gleich einer Wolke. Cloud Computing unterscheidet sich dadurch, welcher Anbieter die entsprechenden Dienstleistungen bereitstellt und für welche Nutzer diese vorrangig gedacht sind.

Verschiedene Clouds

Bei Public Clouds (öffentlichen Clouds) wird die IT-Infrastruktur nicht durch den Anwender selbst betrieben, sondern von Service-Anbietern zur Verfügung gestellt. Anwendungen und Daten befinden sich physisch nicht länger auf lokalen Servern oder im unternehmenseigenen Rechenzentrum, sondern auf (weltweit) verteilten Systemen.

Der Zugriff auf die angebotenen Services – darunter beispielsweise kostenlose Webmailer-Dienste oder das kostenpflichtige Microsoft Office 365 – erfolgt über das Internet. Hierin liegt der Hauptgrund für weit verbreitete Bedenken: Eine Public Cloud mit ihrer räumlichen Ungreifbarkeit gilt häufig als nicht sicher.

Aus Datenschutz- und IT-Sicherheits-Überlegungen heraus entscheiden sich viele Anwender daher für Private Clouds. Bei dieser Form des Cloud Computing betreiben Unternehmen ihre IT-Infrastruktur weiterhin selbst und machen Daten und Anwendungen ausschließlich ihren eigenen Mitarbeitern zugänglich. Das Angebot der Dienste erfolgt jedoch in einer Weise, die dem Endanwender Cloud-typischen Mehrwert bietet. Dazu gehören installations- und wartungsfreie IT-Anwendungen, die über den Webbrowser in Anspruch genommen werden können, sowie eine gut skalierbare IT-Infrastruktur.

Welche Cloud bietet sich für die Öffentliche Verwaltung an? Lesen Sie weiter!

Für den Bereich der Öffentlichen Verwaltung bieten sich Private Clouds oder Hosted Private Clouds an, bei denen ein professioneller Dienstleister die Cloud betreibt, der Kunde die Infrastruktur jedoch nicht mit anderen Kunden teilt.

Hybrid Clouds bezeichnen die Mischformen beider Ansätze. Dabei laufen (nach entsprechend sorgfältiger Klassifizierung und Aufteilung der Geschäftsprozesse) nur unkritische Dienste bei öffentlichen Anbietern über das Internet; besonders sicherheitsrelevante Daten und Anwendungen hingegen werden ausschließlich im eigenen Haus verarbeitet.

Community Clouds schließlich sind von mehreren Unternehmen gemeinsam betriebene und genutzte Cloud-Infrastrukturen, beispielsweise im Rahmen übergreifender Projektarbeit. Sie werden temporär bereitgestellt und auf einen definierten Nutzerkreis beschränkt.

Noch gibt es kein fertiges Standard-Szenario für Behörden und Unternehmen, die von Cloud Computing profitieren wollen – und das könnte durchaus auch in Zukunft so bleiben.

Herausforderungen

Eine neue, im Auftrag von Avanade durchgeführte Studie legt offen, welchen Herausforderungen und Chancen die Befragten derzeit am häufigsten begegnen: Sicherheitsüberlegungen sind der am meisten genannte, jedoch nicht der einzige Grund für die Nutzung von Private-Cloud-Umgebungen. Als weitere Gründe werden Daten-Compliance und regulatorische Anforderungen genannt (60 Prozent), Nähe zum Anwender und Bedenken bezüglich der Leistung (46 Prozent) sowie die wirtschaftliche Unsicherheit der Cloud (40 Prozent).

Die folgenden Aspekte sind entscheidend, damit Private Clouds einen höheren Mehrwert generieren können:

• Von Anwendern lernen: Die IT muss Anwender einbeziehen und in enger Zusammenarbeit herausfinden, was diese sich wirklich wünschen, welche konkreten Szenarien den größten Nutzen durch den Einsatz einer Private Cloud mit sich bringen würden.

• Eine Dienstleistung statt einer technologischen Infrastruktur bereitstellen: IT sollte einen Cloud-Service bieten, der geschäftliche Szenarien abdeckt und Relevanz hat. Cloud- und Virtualisierungstechnologien sind zwar allgegenwärtig, sie nützen aber nur dann wirklich etwas, wenn ihre Funktionen gut verständlich und einfach zu nutzen sind.

• Auf die Zukunft schauen: Aus den vielen verschiedenen verfügbaren Cloud-Plattformen und Anbietern sollten IT-Entscheider eine Lösung auswählen, die erweiterbar ist und mit den Anforderungen mitwachsen kann. So wird etwa eine konsistente und vertraute Möglichkeit zur Selbstverwaltung für Anwender auch künftig wichtig bleiben, unabhängig davon, ob Ressourcen über Private-, Public- oder Hybrid-Cloud-Umgebungen angefragt und zur Verfügung gestellt werden.

• Den richtigen Partner finden: Ein kompetenter und erfahrener Partner kann mit der passenden Strategie, Lösungen und Anwendungen Unterstützung bieten. Sämtliche Vorteile von Cloud Computing können somit ausgeschöpft und der größtmögliche Nutzen erzielt werden.

Öffentliche Verwaltungen sollten detailliert planen. Lesen Sie weiter!

Design einer sicheren Cloud

Vor der Implementierung einer Cloud-Lösung im Bereich der Öffentlichen Verwaltung stehen vor allem organisatorische und technische Überlegungen im Vordergrund. Je detaillierter die Planung, desto größer der spätere Gewinn durch Nutzung aller angestrebten Vorteile bei maximaler Sicherheit.

Organisatorische Maßnahmen:

• Entscheidung: Aufbau einer eigenen Private Cloud oder Betrieb einer Hosted Private Cloud durch einen zertifizierten Dienstleister.

• Organisatorische Absicherung der Rollen und Prozesse: Definition von Zuständigkeiten (beispielsweise für das Netzwerk, für die Virtualisierungsserver); Etablierung des Vier-Augen-Prinzips (kein Administrator hat „alleinige Macht“); Zusammenarbeit und gegenseitige Kontrolle beim Erstellen virtueller Maschinen.

• Einhaltung der BSI-Grundschutz-Richtlinien (speziell des Bausteins Virtualisierung).

• Nachweis eines definierten Sicherheitsniveaus der Cloud-Lösung: Zertifizierung des Sicherheitskonzeptes nach ISO 27001 auf Basis von IT-Grundschutz hinsichtlich Authentizität, Integrität, Verfügbarkeit und Vertraulichkeit beim Bundesamt für Sicherheit in der Informationstechnik (BSI); jährliche Überwachungsaudits und Re-Zertifizierung nach Ablauf des Zertifikats (nach drei Jahren).

Technische Maßnahmen:

• Design und Aufbau der technischen Architektur gemäß Schutzbedarf (Netztrennung und gegebenenfalls physische Trennung).

• Nutzung redundanter physikalischer Server (Cluster) und Netzwerkkomponenten.

• Wahl zertifizierter Service Provider, die professionell mit der Cloud arbeiten.

• Sicherstellung eines reibungslosen Betriebes und Festlegung der Wartungszeiten über Service Level Agreements.

Zertifizierung

Bundesweit für Aufsehen sorgte Anfang des Jahres 2012 eine Cloud-Lösung für die Polizei des Landes Rheinland-Pfalz (LDI). Diese wurde als erste Private Cloud in Deutschland vom BSI nach ISO 27001 zertifiziert und erreicht die höchste Sicherheitsstufe im laufenden Betrieb.

Für die Öffentliche Verwaltung ist die anerkannte Zertifizierung einer Cloud-Lösung nach ISO 27001 durch das BSI eine wesentliche Maßnahme zur Dokumentation des Sicherheitsniveaus. Dessen IT-Grundschutz-Vorgehensweise stellt zusammen mit den IT-Grundschutz-Katalogen mittlerweile einen De-Facto-Standard für IT-Sicherheit dar. Zertifizierte Unternehmen und Behörden erbringen den Nachweis, gesetzliche Vorschriften zu erfüllen, eine ausreichende IT-Sicherheit zu gewährleisten und Risiken zu minimieren.

(ID:42689987)