„Sicherheitslücke beim Cloud Computing“

ITD: Herr Horn, insbesondere Branchen wie der Finanzbereich, der Gesundheitssektor oder das Rechtswesen schrecken noch häufig vor einer Migration in die Cloud zurück. Warum?
Horn: Gerade diese Branchen sind sehr stark reguliert, da sie besonders sensible Daten erheben, verarbeiten oder austauschen. Personenbezogene Daten wie Gesundheits- oder Finanzdaten erfordern spezielle organisatorische und technische Maßnahmen zu ihrem Schutz. Die Bedenken der Unternehmen sind also nicht unbegründet: Datenverluste oder Zuwiderhandlungen gegen diese strengen Datenschutzauflagen können nicht nur teuer werden, sondern schaden darüber hinaus auch dem Ansehen der betroffenen Firmen. Daher gilt es gerade in den stark regulierten Sektoren, bei der Wahl entsprechender Dienste und Lösungen darauf zu achten, dass diese den datenschutzrechtlichen Auflagen genügen und eine rechtskonforme Speicherung, Übertragung und Verarbeitung solcher sensiblen und besonders schutzbedürftigen Daten ermöglichen.

ITD: Inwieweit können sich diese Geschäftszweige anno 2023 überhaupt noch der Digitalisierung und Remote-Verarbeitung ihrer Daten entziehen?
Horn: Genau das ist der springende Punkt: Dieses wird zunehmender schwieriger. Die Digitalisierung und der Trend zur Verarbeitung und Zusammenarbeit in der Cloud machen auch vor den streng regulierten Branchen wie dem Finanzbereich oder dem Gesundheitssektor nicht Halt. Dazu hat zweifellos auch die Corona-Pandemie beigetragen, indem sie Unternehmen aller Sektoren von einem Tag auf den anderen mit völlig neuen Bedingungen konfrontiert hat. Prozesse mussten digitalisiert, Infrastrukturen, Daten und Applikationen in die Cloud übertragen werden – auch dort, wo man damit bislang zögerlich war. Laut Bitkom nutzen inzwischen 84 Prozent der Unternehmen in Deutschland Cloud Computing in ihrem Betrieb, weitere 13 Prozent planen oder prüfen den Einsatz entsprechender Lösungen. Diese Entwicklung wird sich auch 2023 fortsetzen, und zwar in allen Branchen.

ITD: Secure Content Collaboration ist eine zentrale Herausforderung vieler Unternehmen im digitalen Zeitalter. Wie lässt sich eine rechtskonforme „Zusammenarbeit in der Wolke“ gewährleisten, wenn Mitarbeiter in verschiedenen Niederlassungen sitzen oder teils im Büro, teils zu Hause arbeiten?
Horn: Bei der Secure Content Collaboration ist es zunächst einmal unwichtig, ob ein Partner oder Kollege daheim, im Büro oder in einer Niederlassung auf der anderen Seite des Globus sitzt. Entscheidend ist die Sicherheit bei der digitalen Zusammenarbeit – und gerade da unterscheiden sich echte Collaboration-Dienste von reinen Filesharing-Lösungen. Denn beim klassischen „Datenaustausch“ über die Cloud sind die Daten zwar während der Speicherung („data at rest“) und Übertragung („data in transit“) durch eine Ende-zu-Ende-Verschlüsselung geschützt, nicht aber während der kritischen Phase der Verarbeitung („data in use“). Während dieser Phase liegen die Daten unverschlüsselt und damit angreifbar im System vor. Cyberkriminelle wissen das und nutzen diese Schwachstelle aus. Diese Sicherheitslücke beim Cloud Computing lässt sich u.a. mit einem Confidential-Computing-Ansatz schließen. Beim Confidential Computing werden schützenswerte Daten in Hardware-basierten Enklaven, sogenannten „Trusted Execution Environments (TEEs)“, verarbeitet. Dieser Ansatz lässt sich sowohl auf Prozessor- als auch auf Serverebene umsetzen. Beim Confidential Computing auf Prozessorebene wird Programmcode in Trusted Execution Environments direkt innerhalb der speziell dafür designten Prozessoren verarbeitet. Auf Serverebene funktioniert das ganz ähnlich: Hier erfolgt die Datenverarbeitung auf Serversegmenten mit reduzierten Schnittstellen und gehärteten Laufzeitumgebungen, die vom Rest des Systems abgeschirmt sind. So sind die Daten nicht nur bei der Übertragung und Speicherung geschützt, sondern auch während der Verarbeitung. Unbefugte Zugriffe – selbst mit Administratorrechten – werden durch eine Kombination ineinander verzahnter technischer Maßnahmen verhindert. So steht echter Secure Content Collaboration nichts mehr im Weg.

ITD: Wie wichtig ist es Anwendern, dass die Cloud für die ortsunabhängige Zusammenarbeit „made in Germany“ ist?
Horn: Das kann bei der Wahl einer passenden Collaboration-Lösung für das eigene Unternehmen tatsächlich eine entscheidende Rolle spielen. Dafür gibt es gute Gründe – vorausgesetzt, „made in Germany“ bedeutet in diesem Zusammenhang nicht nur, dass der Anbieter seinen Sitz in Deutschland hat, sondern auch, dass die Speicherung und Verarbeitung von Daten hier erfolgt. Deutschland hat im internationalen Vergleich einen der weltweit höchsten Datenschutzstandards: Die DSGVO, das BDSG (neu) und verschiedene branchenspezifische Verordnungen regeln den Umgang mit sensiblen, personenbezogenen und geschäftskritischen Daten sehr genau. Cloud-Dienste „made in Germany“ erfüllen diese strengen Datenschutzauflagen und können das auch mit Zertifikaten – beispielsweise nach dem Trusted-Cloud-Datenschutz-Profil (TCDP) – nachweisen. Allein daraus resultiert ein großes Maß an Sicherheit für die Anwender. Darüber hinaus sind deutsche Anbieter mit den Bedürfnissen und Anforderungen deutscher Unternehmen natürlich bestens vertraut. Aber auch internationale Unternehmen profitieren vom hohen Datenschutzniveau und der Rechtssicherheit, die Cloud-Dienste aus Deutschland bieten. Schließlich können sie diese Vorteile direkt an ihre Kunden weitergeben.

Bildquelle: Idgard

Original Post>

Den Sprung in die Cloud wagen