Wie sicher sind Daten in der Cloud?

Auf eigene Fotos, Filme, Musik oder Schriftstücke jederzeit und von überall zugreifen – das versprechen die Anbieter sogenannter Clouds. Sinnbildlich schweben die Daten dabei sanft wie eine sommerliche Wolke über dem Kopf, allzeit bereit, um dort etwas abzurufen oder zu speichern. Vorausgesetzt natürlich, man ist online. Wie die digitalen Speicherorte funktionieren und was Nutzer dabei beachten sollten, verrät Christian Bauer. Der 26-Jährige ist Informationssicherheitsbeauftragter bei der Synaxon AG mit Sitz in Schloß Holte. Wie genau funktionieren &bdquo;Clouds“? Christian Bauer: Einfach ausgedrückt wird bei einer Daten-Cloud flexibler Speicherplatz als Dienstleistung über das Internet angeboten. Dabei können unterschiedlichste Ressourcen geteilt werden, unter anderem Datenspeicher, Server und Applikationen. Welche Daten sollte man dort nicht speichern? Da in der Cloud gespeicherte Daten online erreichbar sind, sollte diese mit besonderer Vorsicht behandelt werden. Die Cloud-Dienste sind zwar in den meisten Fällen sehr gut abgesichert, allerdings stellen sie für Angreifer auch ein lukratives Ziel dar, da diese bei einem erfolgreichen Hack an die Daten vieler Kunden gelangen können. Es empfiehlt sich, sensible Daten, wenn möglich, nicht in der Cloud zu speichern. Dazu zählen private oder berufliche Dokumente, aber auch private Fotos, Kontoauszüge, Steuerunterlagen und andere Dateien, die potenziell missbraucht werden können. Sollte eine Speicherung von Daten mit sensiblen Inhalten doch notwendig sein, empfiehlt es sich, diese vor der Speicherung in der Cloud lokal zu verschlüsseln. Dabei sollte eine Verschlüsselungsmethode mit AES oder einem vergleichbaren Algorithmus gewählt werden, hier ist zum Beispiel VeraCrypt als kostenlose Open-Source Lösung zu empfehlen. Eine Ausnahme findet sich häufig im Unternehmensbereich, wo sämtliche Daten in der Cloud gespeichert werden. Hier ist aber zu beachten, dass in diesem Fall umfangreiche Verträge mit dem Auftragsdatenverarbeiter abgeschlossen wurden und ein hohes Level der Sicherheit vereinbart und umgesetzt wird. Im privaten Bereich empfiehlt sich aber dennoch eine größere Vorsicht, da man als privater Kunde selten in der Lage ist, dieses Level zu gewährleisten. Wie sichere ich die Cloud vor fremden Zugriffen? Zuerst sollte ein Cloud-Anbieter mit sicherer Verschlüsselung und gewissen Standards im Bereich der Informationssicherheit gewählt werden. Hier empfiehlt das Bundesamt für Sicherheit in der Informationstechnik (BSI) auf bestimmte Zertifikate und Standards wie eine &bdquo;EuroCloudSaaS-Zertifizierung“ oder das TÜV-Prüfzeichen zu achten. Oft stößt man zudem auf ein Zertifikat nach ISO/IEC 27001. Dabei wird aber lediglich nachgewiesen, dass der Anbieter strukturierte Prozesse hat, um die Informationssicherheit zu gewährleisten. Es sagt nichts über die Sicherheit aus. Zudem sollten Passwörter mit mindestens 15 Zeichen und Sonderzeichen sowie eine Zwei-Faktor-Authentifizierung genutzt werden. Passwörter und Zugangsdaten niemandem weitergegeben und nie automatisch speichern: Autofill oder die Passwortverwaltung auf mobilen Geräten und im Browser also besser nicht nutzen! Sensible Daten zusätzlich lokal vor der Speicherung mit einem Standard wie AES oder einem gleichwertigen verschlüsseln. Dabei empfiehlt sich mindestens eine Sicherung. Dazu kann privat zum Beispiel VeraCrypt als kostenlose Open-Source Lösung verwendet werden. Relevant kann auch der Standort des Servers sein. Der nämlich kann Auswirkung auf die Rechtsprechung haben. Wie ist die rechtliche Situation? Das Cloud-Computing ist aus rechtlicher Sicht ein heikles Thema. Da die Dienstleistungen oft grenzüberschreitend angeboten werden, bestehen häufig Unsicherheiten bezüglich des anwendbaren Rechts. Gerade beim Urheberrecht, den Lizenzbedingungen und beim Datenschutz besteht noch viel Klärungsbedarf. Datenschutzrechtlich sind Cloud-Dienstleistungen nämlich problematisch, da vielfach personenbezogene Daten betroffen sind. In Deutschland gelten zwar das Bundesdatenschutzgesetz sowie die DSGVO, womit der Auftragsdatenverarbeiter verpflichtet ist zu verhindern, dass personenbezogene Daten nicht unbefugt abgerufen werden können, aber da oft nicht nachvollziehbar ist, auf welchen Servern und in welchem Land sich die Daten im Moment befinden, kann es rechtlich kompliziert werden. In einigen Ländern können Behörden relativ einfach Daten auswerten oder Rechner beschlagnahmen und Unternehmen Zugriff auf die Daten erhalten. Ist ein Unternehmen zum Beispiel im europäischen Ausland ansässig und verarbeitet Daten in Deutschland, so ist das deutsche Datenschutzrecht nicht anwendbar. Für außereuropäische Unternehmen, zum Beispiel in den USA, gilt das Territorialitätsprinzip. Das bedeutet, dass bei einer Datenverarbeitung in Deutschland auch deutsches Recht anwendbar ist. Es empfiehlt sich ein Serverstandort in Deutschland oder im EU-Raum. Wie verhalte ich mich, wenn jemand Unbefugtes Zugriff auf meine Cloud hat? Ein Zugriff findet meist über den Webzugang oder über die Apps der Cloud statt. Daher sofort sämtliche Passwörter ändern und den Cloud-Betreiber kontaktieren, um den Zugang zu sperren und gegebenenfalls weitere Maßnahmen zu ergreifen. Zudem prüfen, ob die gleiche Passwort-E-Mail-Kombination auch für andere Dienste verwendet wird, um den Angreifer dort auszuschließen. Außerdem sollte Anzeige bei der Polizei erstattet werden, da der Diebstahl von Daten und das Angreifen eines Cloud-Speichers strafbar sind. Als nützlich könnte sich eine vorherige lokale Offline-Sicherung erweisen, falls Daten nicht nur gestohlen, sondern auch verändert oder gelöscht wurden. Android-Speicher voll: So schaffen Sie wieder Platz auf Ihrem Smartphone Cloud-Geschäft sorgt für Wachstumsschub bei Microsoft Google nimmt neuen Anlauf im Cloud-Geschäft Cloud-Initiative stößt bei Unternehmen auf großes Interesse

Meistgelesen