Sicherheit in der Cloud: Verschlüsseln reicht nicht aus

Glaubt man Rechtsexperten, genügt es für den Datenschutz in der Cloud, Daten zu verschlüsseln. In der Praxis erweisen sich Auditierung und Verschlüsselung jedoch als Stolpersteine. Firmen stecken daher in einer Zwickmühle.

Beim Datenschutz kennt der Gesetzgeber kein Pardon: Für die Sicherheit der Informationen hat das Unternehmen zu sorgen. Geht etwas schief, haftet die Geschäftsführung oder der Vorstand persönlich. Geeignete Lösungen zum Schutz bietet der Markt haufenweise. Eine, die zu hundert Prozent gegen Angriffe von außen oder den unberechtigten Zugriff von innen schützt, gibt es jedoch nicht.

Das ist beim Cloud Computing - also der Bereitstellung von IT-Diensten via Internet auf Abruf - nicht anders. Software-as-a-Service, Infrastruktur-as-a-Service und Plattform-as-a-Service unterscheiden sich vom klassischen Outsourcing vor allem durch schnelle Verfügbarkeit und die Abrechnung der Kosten nach Nutzung. Die Cloud-Anbieter können diese Flexibilität deshalb anbieten, weil sie selbst flexibel sind und Daten, Speicherkapazitäten oder Rechenleistung in ihren Rechenzentren beliebig so verschieben können, dass das eigene System im Sinne des Kunden optimal läuft.

Nach Ansicht des Rechtsanwalts Georg Meyer-Spasche^[1] von der Kanzlei Osborne Clarke^[2] liegt aus juristischer Sicht genau hier der Hase im Pfeffer. Wie soll ein Unternehmen, das Daten in eine solche Wolke gibt, noch feststellen können, ob kein Dritter die Daten einsehen kann, wie es beispielsweise das Bundesdatenschutzgesetz^[3] vorschreibt? Und wie kann es, was nach demselben Gesetz notwendig ist, die Maßnahmen des Cloud-Providers überprüfen?

Beides ist nach Meinung von Meyer-Spasche unmöglich, weil der Cloud-Nehmer nicht auditieren kann. Die Frage, wo die Daten liegen, sei nicht zu beantworten. Sein Vorschlag deshalb: Die Unternehmen sollen ihre Daten verschlüsseln und sich somit vor dem Zugriff Dritter schützen.

Ist es Unternehmen wirklich unmöglich, Cloud-Anbieter zu auditieren? "Es ist möglich", sagt Oliver Karow, Security Consultant bei Symantec^[5]. "Es ist nur wesentlich komplizierter." Karow empfiehlt daher einen anderen Ansatz. Outsourcer und andere Dienstleister ließen sich bereits heute beispielsweise nach dem internationalen Standard SAS 70 (Typ 2) oder seinem deutschen Pendant PS 951 (Typ B) auditieren.

In Verbindung mit einem ausgereiften Kontrollsystem, wie es auf Basis von Standards wie COBIT oder ITIL V3 umgesetzt werden kann, ließe sich in der Regel bereits eine erhebliche Vereinfachung der Auditierung erreichen. Dennoch werde auch hier die Frage nicht vollständig geklärt, wo die Daten physisch tatsächlich liegen.

IBM sieht das Thema Auditieren ähnlich: "Es gibt durchaus Mechanismen, mit denen der Kunde seiner Auditierungspflicht nachkommen kann", sagt IT-Infrastruktur-Architekt Gerhard Widmeyer. Doch auch er schränkt ein: "Ein Restrisiko bleibt."

Also verschlüsseln. Das klingt einfach und scheint eine nahe liegende Lösung zu sein. "Verschlüsselung ist ein Mittel, aber bei weitem kein Allheilmittel", sagt Carsten Casper, Research Director Security und Privacy beim Analystenhaus Gartner^[6]. Natürlich gebe es Schlüsselstandards, die relativ sicher seien. Dennoch gebe es immer den Einwand, der Standard sei nicht ausreichend oder er sei schon geknackt. Hinzu komme, dass Codierungen teuer sein können oder die Performance so stark einschränken, dass sie nicht praktikabel sind.

Udo Schneider, Solution Architect EMEA bei Trend Micro^[7], sieht das ähnlich. "Verschlüsselung ist eine angemessene Lösung, wenn ein Unternehmen die Cloud als erweiterten Datenspeicher nutzt und Daten dort nicht bearbeitet." Das sei beim Backup eine gängige Praxis und nichts Neues. Schwierig werde es, wenn Daten in der Wolke verarbeitet werden, etwa bei einem CRM-System. Zum Bearbeiten müssen die Informationen nämlich wieder entschlüsselt werden. Und damit sind sie vor dem Zugriff Dritter ungeschützt. Wie dieses Problem zu lösen ist, weiß im Moment niemand. "Dafür gibt es derzeit keine Produkte auf dem Markt", so der Sicherheitsexperte.

Trend Micro arbeitet derzeit an einer Schlüsselverwaltung, die einer optimalen Lösung schon sehr nahe kommt. Für Gartner-Analyst Caspar ist dabei die entscheidende Frage, wer Zugriff auf die übermittelten Daten hat. "Das muss geklärt sein, ansonsten wird es haarig." In der Regel haben Administratoren privilegierte Rechte und können viel mitlesen. "Wenn das der Fall ist, kann man sich die Verschlüsselung sparen", so Caspar.

Es bleibt also dabei. Für die Sicherheit - gerade von personenbezogenen Daten, die in der Cloud verarbeitet werden - gibt es derzeit wohl keinen rechtssicheren Schutz. Und in Zukunft? Forscher wie der IBM-Kryptologe Craig Gentry sowie die Wissenschaftler Nigel Smart, Professor für Kryptologie an der Bristol University, und Frederik Vercauteren von der Katholieke Universiteit Leuven, haben einen Durchbruch geschafft. Ihnen gelang es, eine mathematische Operation zwischen zwei verschlüsselten Matrizen auszuführen, ohne sie vor entschlüsseln zu müssen. Bis zur Technologiereife wird es wohl noch einige Jahre dauern. Aber so lange wird kein Unternehmen warten wollen.

URLs in diesem Artikel:
[1] = http://www.zdnet.de/it_business_hintergrund_fakten_statt_maerchen_datenschutz_in_der_cloud_story-11000006-41530882-2.htm
[2] = http://www.osborneclarke.de/
[3] = http://www.zdnet.de/it_business_strategische_planung_was_sich_durch_das_neue_bundesdatenschutzgesetz_aendert_story-11000015-41502020-1.htm
[4] = http://www.zdnet.de/galerie/41530153/so-sehen-europas-firmen-cloud-computing.htm#sid=41535971
[5] = http://www.symantec.de
[6] = http://www.gartner.com
[7] = http://www.trendmicro.de
[8] = http://www.zdnet.de/galerie/41005206/cloud-computing-in-deutschland.htm#sid=41535971