Erhalten Sie Zugang zu diesem und mehr als 300000 Büchern ab EUR 5,99 monatlich.
- Herausgeber: epubli
- Kategorie: Wissenschaft und neue Technologien
- Sprache: Deutsch
Für Geschäftsführer, IT-Verantwortliche und Datenschutzbeauftragte bedeutet die Einhaltung des Datenschutzes eine komplexe Herausforderung. Dies gilt insbesondere, wenn Cloud-Computing ins Spiel kommt. Dabei erleichtern Ihnen, liebe Leserin und lieber Leser, die geltenden Regelungen zum Datenschutz nicht gerade die Arbeit. Die vielschichtigen Vorgaben, die Sie beim Cloud-Computing berücksichtigen müssen, können auf den ersten Blick sehr unübersichtlich und schwer umsetzbar wirken. Der Schwerpunkt dieses Buches liegt darin, Sie bei der datenschutzgerechten und praktikablen Umsetzung von Cloud-Computing zu unterstützen. Sie erhalten praktische Anleitungen und Checklisten für die Bereiche IT-Sicherheit, Datenschutz, Vertragsgestaltung und Mitarbeiterrichtlinien als Hilfestellung bei der Einführung und Nutzung von Cloud-Computing im Unternehmen. 14 Abbildungen stellen komplexe Zusammenhänge transparent dar. Viele Checklisten geben Ihnen die Möglichkeit, die verschiedenen Aspekte der Einführung und des Betriebs einer Cloud-Lösung systematisch anzugehen.
Sie lesen das E-Book in den Legimi-Apps auf:
Seitenzahl: 126
Veröffentlichungsjahr: 2015
Das E-Book (TTS) können Sie hören im Abo „Legimi Premium” in Legimi-Apps auf:
Ähnliche
Datenschutz Cloud-Computing
Stichwortverzeichnis
Navigation
Indexweiter |zurück |DS-CC »Haftungsausschluss
Alle Angaben in diesem Buch wurden vom Autor sorgfältig erarbeitet und zusammengestellt. Dennoch sind Fehler nicht auszuschliessen. Der Autor weist darauf hin, dass er weder eine Garantie für die Richtigkeit der Angaben, noch die juristische Verantwortung oder irgendeine Haftung für Folgen, die auf fehlerhafte Angaben zurückgehen, übernimmt, sofern seitens des Autors kein nachweislich vorsätzliches oder grob fahrlässiges Verschulden vorliegt.
Vorwort
Für Geschäftsführer, IT-Verantwortliche und Datenschutzbeauftragte bedeutet die Einhaltung des Datenschutzes eine komplexe Herausforderung. Dies gilt insbesondere, wenn zusätzlich Cloud-Computing ins Spiel kommt.
Cloud-Computing kann für Unternehmen Vorteile bringen. Durch Cloud-Computing können Unternehmen dynamisch sowie flexibel auf Marktgegebenheiten reagieren, einige Risiken senken und Kosten reduzieren.
Dabei erleichtern Ihnen, liebe Leserin und lieber Leser, die geltenden Regelungen zum Datenschutz nicht gerade die Arbeit. Die vielschichtigen Vorgaben, die Sie beim Cloud-Computing berücksichtigen müssen, können auf den ersten Blick sehr unübersichtlich und schwer umsetzbar wirken.
Der Schwerpunkt dieses Buches liegt darin, Sie bei der datenschutzgerechten und praktikablen Umsetzung von Cloud-Computing zu unterstützen. Sie erhalten praktische Anleitungen und Checklisten für die Bereiche IT-Sicherheit, Datenschutz, Vertragsgestaltung und Mitarbeiterrichtlinien als Hilfestellung bei der Einführung und Nutzung von Cloud-Computing im Unternehmen. 14 Abbildungen stellen komplexe Zusammenhänge transparent dar. Viele Checklisten geben Ihnen die Möglichkeit, die verschiedenen Aspekte der Einführung und des Betriebs einer Cloud-Lösung systematisch anzugehen.
Relevante Online-Quellen werden angegeben, so dass die angesprochenen Dokumente direkt nachgelesen oder heruntergeladen werden können.
Die folgenden Kapitel des Buches beleuchten die unterschiedlichen Schwerpunkte, die beim Cloud-Computing Berücksichtigung finden sollten:
EinführungSie erhalten eine Übersicht über Cloud-Computing. Es werden Fragen wie was ist Cloud-Computing, welche unterschiedlichen Service-Modelle gibt es und wer alles nutzt Cloud-Dienste behandelt.
Anschließend folgen allgemeine Betrachtungen der wirtschaftlichen Auswirkungen von Cloud-Computing und Hinweise zu bestehenden oder kommenden Cloud-Standards.
IT-SicherheitDatenschutz und IT-Sicherheit ergänzen sich gegenseitig. Nutzen Sie die möglichen Synergie-Effekte in diesem Kapitel. Dazu werden wichtige Aspekte der IT-Sicherheit beleuchtet, die im Zusammenhang mit dem Schutz personenbezogener Daten zielführend und hilfreich sein können. Hierbei werden sowohl die verschiedenen Schutzziele betrachtet, als auch diskutiert, wie die Erreichung dieser Ziele sichergestellt werden kann. Zu den allgemeinen Ausführungen, welche Gefährdungen eintreten können, werden Tipps für die Gestaltung von Notfallplänen gegeben. Dabei wird mit der Business Impact Analyse ein Werkzeug vorgestellt, mit dem der notwendige Aufwand für Schutzmaßnahmen festgestellt werden kann. Abschließend erhalten Sie einen Ausblick zu Gefährdungen, die speziell bei Cloud-Computing relevant sein können.DatenschutzBeim Cloud-Computing sind je nach Umsetzung und Konstellation verschiedene Voraussetzungen zur Sicherstellung des Schutzes personenbezogener Daten zu erfüllen. Dieses Kapitel stellt die verschiedenen Szenarios strukturiert und detailliert dar. Es werden die verschiedenen Möglichkeiten des datenschutzkonformen Cloud-Computings mit Hilfe der Auftragsdatenverarbeitung nach deutschem Recht, mit EU-Standardvertragsklauseln, mit bindenden Unternehmensrichtlinien für Konzerne und mit Individualverträgen vorgestellt. Außerdem findet eine Betrachtung des Safe Harbor Verfahrens statt, welches US-amerikanischen Unternehmen trotz fragwürdigem Datenschutzniveau eine Sonderrolle einräumt.Rund um die Cloud-VerträgeDieses Kapitel beleuchtet die Besonderheiten bei der Vertragsgestaltung von Cloud-Services. Das wichtige Thema Dienstgüte, nicht nur der Cloud-Services, sondern auch der Zugänge zur Cloud, wird untersucht. Nutzen Sie den Leitfaden mit 20 Prüffragen zur Einführung von Cloud-Computing, um alle wichtigen Aspekte zu berücksichtigen.UnternehmensprozesseDie Einführung von Cloud-Computing ist eine strategische Entscheidung mit Auswirkungen auf bestehende Unternehmensprozesse. Zwangsläufig zieht sie Änderungen in Abläufen und Strukturen im Unternehmen nach sich. In diesem Kapitel erhalten Verantwortliche Hilfestellungen zu den Themen Risikoklärung, Einführung planen, Prozessqualität sicherstellen und notwendige Anpassungen nach Einführung des Cloud-Computing vornehmen.
Da diese Fragen sehr stark vom konkreten Unternehmen abhängen, erhalten Sie in diesem Kapitel viele Checklisten mit Prüffragen, die es Ihnen vereinfachen, eine Unternehmens-individuelle Einführung der Cloud-Services zu planen und durchzuführen.
Die Cloud am ArbeitsplatzDie Einführung und Nutzung von Cloud-Computing hat direkte Auswirkungen auf die Arbeit der Mitarbeiter. Es wird die Frage beleuchtet, welche Aspekte des Datenschutzes im Zusammenhang mit Mitarbeitern zu berücksichtigen sind.Mustertext - Cloud-RichtlinieDieses Kapitel besteht aus einem Mustertext, den Sie als Grundlage für die Erstellung einer eigenen Cloud-Richtlinie nutzen können.Navigation
Indexweiter |zurück |DS-CC »Einführung
Cloud-Computing ist in aller Munde. Jeder macht es. Irgendwie. Doch was genau ist Cloud-Computing? Die Buchhaltungs-Software, die man per Webbrowser von überall her nutzen kann? Die virtuellen Maschinen, die man per Webfrontend erstellt und verwaltet? Die Dropbox oder die iCloud?
Abb. 1Cloud-Computing
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat in [BSICLOUD] folgende Definition des Cloud-Computings aufgestellt:
Eine einfache Web-Applikation ist demnach kein Cloud-Computing, da hier die dynamische Anpassung an wechselnde Bedarfe nicht berücksichtigt wird.
Wann ist Cloud-Computing Cloud-Computing?
Beim Cloud-Computing werden IT-Ressourcen wie Server, Netzwerk und Speicher, sowie Applikationen und Plattformen vom Cloud-Dienstleister über das Netz den Cloud-Nutzern zur Verfügung gestellt. Der Unterschied zum konventionellen, ausgelagerten Rechenzentrum liegt darin, dass die Ressourcen dynamisch angepasst werden und dabei nach dem tatsächlich anfallenden Bedarf mit dem Cloud-Nutzer abgerechnet werden. Benötigt der Cloud-Nutzer in Spitzenzeiten viel Leistung, dann stellt die Cloud ihm die angeforderten Ressourcen unmittelbar zur Verfügung. Diese Vorgänge sind in der Regel automatisiert, so dass die Ressourcen viel ökonomischer eingesetzt werden können, als es mit einem klassischen Rechenzentrum möglich wäre.
Die Dynamik der Cloud-Dienste ist es, die es dem Datenschutzbeauftragten und dem Unternehmer so schwer machen, der Datenschutzgesetzgebung gerecht zu werden. Schon das Management von konventionellen Auftragsdatenverarbeitungen (ADV) nach deutschem und europäischem Recht ist eine Herausforderung für den Datenschutzbeauftragten. Wenn eine ADV dann noch in der Cloud statt findet, hat man es mit höchsten Anforderungen an den Datenschutzbeauftragten und an die verantwortliche Stelle zu tun.
Nichtsdestotrotz erfreut sich Cloud-Computing bei Unternehmen immer größerer Beliebtheit. Die Vorteile, die im Cloud-Computing gesehen werden, sind immens.
Laut dem Cloud-Monitor 2014 der BITKOM[BITKOM2014] nutzen rund 36 % der deutschen Unternehmen Private Clouds und rund 15 % Public Clouds.
Abb. 2Anteile der Nutzung Public / Private Cloud 2014 (BITKOM)
Dabei haben 83 % der Private Cloud-Nutzer und 67 % der Public Cloud-Nutzer gute Erfahrungen gemacht. Cloud-Computing ist in der Wirtschaft angekommen. Datenschutz in der Cloud eher nicht.
Im Eckpunktepapier „Sicherheitsempfehlungen für Cloud-Computing Anbieter“ [BSI2012] nimmt das BSI auch Stellung zu den grundsätzlichen Voraussetzungen für die Einhaltung von Datenschutz beim Cloud-Computing.
So muss bei der Interessenabwägung nach § 28 Abs. 2 Satz 1 Nr. 2 BDSG geprüft werden, ob beim Cloud-Anbieter überhaupt ein ausreichendes Datenschutzniveau eingehalten wird. Kritisch zu hinterfragen ist auch die Sicherstellung der Zweckgebundenheit und die Wahrung der Rechte der Betroffenen.
Des Weiteren wird darauf hingewiesen, dass auf die Privilegierung als Auftragsdatenverarbeitung nach § 11 BDSG nur dann zurückgegriffen werden kann, wenn der Cloud-Computing Dienstleister seinen Sitz innerhalb der Europäischen Union oder einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum hat (§ 3 Abs. 8 BDSG) und die Daten nur dort verarbeitet werden.
Diese Forderungen sind heutzutage praktisch nur mit hohem Aufwand erfüllbar. Die dazu notwendige Transparenz bei den Cloud-Betreibern und deren Standards fehlt noch oder ist erst im Entstehen.
Welche Unternehmen nutzen die Cloud?
Obwohl nicht nur die Fragen nach dem Datenschutz, sondern auch nach der IT-Sicherheit häufig noch unbeantwortet sind, wird Cloud-Computing von Unternehmen bereits intensiv genutzt.
Abb. 3Cloud-Nutzung nach Unternehmensgröße (BITKOM)
Mehr als ein Drittel aller kleinen Unternehmen mit bis zu 100 Mitarbeitern nutzen die Cloud. Bei großen Unternehmen sind es bis zu 70 %. Die Firmen, die Cloud-Computing einsetzen, versprechen sich viele Vorteile. An erster Stelle werden häufig folgende Punkte genannt:
höhere FlexibilitätArbeiten von überallSicherheit durch Cloudbetreiber (Rechenzentrum, Fachpersonal)Systemwiederherstellung durch automatische Backupsautomatische System- und SoftwareupdatesZusammenarbeit leichter und Dokumente leichter verfügbarkostengünstigDie unterschiedlichen Aspekte dieser Punkte lassen sich mit den verschiedenen Ausprägungen der Cloud-Dienste erklären.
Cloud-Computing kann bedeuten, dass Infrastruktur oder Plattformen sowie Software zur Verfügung gestellt werden. Ob ein Softwareentwickler Apps entwickelt oder die Vertriebsabteilung CRM benötigt. Ob die eigene IT Abteilung neue virtuelle Serversysteme oder die Geschäftsführung ein ERP System einsetzen möchte. All diese Ansprüche werden durch Dienste wie Infrastructure as a Service (IaaS), Platform as a Service (PaaS) oder Software as a Service (SaaS) zur Verfügung gestellt.
Datenschutz unterstützt IT-Sicherheit
Genauso vielfältig wie die Cloud-Technologien sind die Anforderungen an die IT-Sicherheit und an den Datenschutz beim Cloud-Computing.
Abb. 4Datenschutz-Aspekte beim Cloud-Computing
Sobald auch personenbezogene Daten in der Cloud verarbeitet werden sollen, spielt der Datenschutz eine wichtige Rolle. Und das nicht nur bei den eigentlichen Services, sondern auch beim Management und bei den Rahmenverträgen mit dem Cloud-Dienstleister. Fragen des Datenschutzes müssen nicht nur bei Betrieb einer Cloud, sondern bereits vor Beginn der Cloud-Nutzung und auch nach Beendigung einer Cloud-Nutzung berücksichtigt werden.
Die Vorgaben des Datenschutzes sollten hier jedoch nicht als Hindernis betrachtet werden, sondern als Chance die Sicherheit des Cloud-Computings zu erhöhen. Denn es drohen beim Cloud-Computing die unterschiedlichsten Risiken.
Wirtschaftsspionage
Laut BITKOM haben über drei Viertel der Unternehmen Angst vor dem unberechtigtem Zugriff auf Unternehmensdaten in der Cloud. Und das nicht ganz zu unrecht. Nahezu alle Cloud-Anbieter sind entweder US-amerikanische Unternehmen oder haben Niederlassungen in den USA. Dadurch ergibt sich unmittelbar die unbemerkte Zugriffsmöglichkeit durch die NSA und andere staatliche Stellen auf alle Daten.
Warum sollte dieser Umstand für deutsche Unternehmen relevant sein? Weil die NSA auf solche Daten nicht nur zur Terrorismusabwehr zugreift, sondern offenkundig auch wirtschaftliche Interessen verfolgt. Die Welt titelt am 27. Januar 2014 „USA betreiben ohne Zweifel Wirtschaftsspionage“[18]. Die Süddeutsche Zeitung vom 4. Oktober 2014 schreibt, dass die NSA im Netz ganz gezielt nach Daten der Airbus Group (ehemals EADS) gesucht habe[19].
Deutsche Unternehmen sollten deshalb ihr Know-how gut vor unberechtigtem Zugriff schützen. Nicht nur aus Gründen des Datenschutzes.
Angst vor Datenverlust
Fast die Hälfte der Unternehmen haben Angst vor dem Datenverlust in der Cloud. Und auch hier helfen die Strukturen, die zur Einhaltung des gesetzlichen Schutzes personenbezogener Daten eingeführt und genutzt werden, diese Bedrohungspotenziale zu mindern.
Denn der Datenschutz fordert die Umsetzung von Zutritts-, Zugangs-, Zugriffs-, Weitergabe-, Eingabe-, Auftrags- und Verfügbarkeitskontrollen, sowie des Trennungsgebots. Und diese technischen und organisatorischen Maßnahmen können alle Unternehmensdaten schützen, nicht nur die personenbezogenen Daten.
Standort der Cloud
Unabhängig davon, welche vertraglichen Regelungen mit dem Cloud-Anbieter eingegangen werden, muss aus verschiedenen Gründen der Standort aller Verarbeitungen der personenbezogenen Daten bekannt und Vertragsbestandteil sein. Denn je nach Standort sind unterschiedliche gesetzliche Rahmenbedingungen gegeben.
ISO/IEC 27018 - Sicherheitsnorm für Cloud-Computing
Die ISO/IEC 27018 „Anwendungsregel für den Schutz von personenbezogenen Daten in Public Clouds”, die seit kurzen Beachtung findet, versagt leider in der Standort-Frage. Denn Zugriffe von Dritten müssen dem Cloud-Nutzer dann nicht gemeldet werden, wenn nationales Recht dies untersagt.
Die Zertifizierung des Cloud-Anbieters nach dieser Norm entbindet den Datenschutzbeauftragten demnach nicht von den Kontrollpflichten.
Verschiedene Länder haben unterschiedliche Bestimmungen, wie zum Beispiel staatlichen Stellen der Zugriff auf die Daten ermöglicht werden muss. In Deutschland ist bei dem Eingriff in die persönlichen Rechte durch staatliche Behörden meist ein Richter einzubeziehen. Dieser Richtervorbehalt existiert nicht in allen Staaten. Dort, wo es ihn nicht gibt, würden die Rechte der deutschen Personen bei der Verarbeitung unzulässigerweise beschränkt werden.
Manche Staaten haben außerdem Einschränkungen, was die Anwendung von kryptographischen Verfahren betrifft. So kann es sein, dass die Verschlüsselung sensibler Daten gesetzlich am Verarbeitungsstandort nicht erlaubt ist.
Für die Standortwahl ist es wichtig, dass diese lokalen Gegebenheiten dem Cloud-Nutzer bekannt gemacht werden, damit die Auswirkungen auf die Vertraulichkeit, die Integrität und die Verfügbarkeit der personenbezogenen Daten beurteilt werden kann. Umgekehrt gilt: sollte der Standort unbekannt sein, ist regelmäßig davon auszugehen, dass es unmöglich ist, das schutzwürdige Interesse der Betroffenen ausreichend zu berücksichtigen. Demnach wäre in solchen Fällen die Verarbeitung personenbezogener Daten per se ausgeschlossen.
Ab dem Kapitel Cloud-Computing innerhalb Europa und folgende werden die Konsequenzen erörtert, die sich aus der Wahl des Standorts der Cloud-Verarbeitung ergeben.
Cloud-Servicemodelle
Das Cloud-Computing kann in verschiedenen Erscheinungsformen auftreten. Man unterscheidet sie dadurch, dass betrachtet wird, welcher Service von Cloud Dienstleister zur Verfügung gestellt wird. Gängige Cloud-Services sind
Infrastructure as a Service (IaaS)Platform as a Service (PaaS)Software as a Service (SaaS)Diese Services können unterschiedlich realisiert werden, nämlich in Form von:
Public CloudPrivate CloudHybrid CloudWelcher Cloud-Service in welcher Form vom Unternehmen genutzt werden sollte, hängt von den jeweiligen konkreten Anforderungen ab. Diese Anforderungen müssen einzeln betrachtet und nach der Relevanz des jeweiligen Schutzbedarfs der Daten, der Anwendungen und der Geschäftsprozesse bewertet werden.
Infrastructure as a Service (IaaS)
In dieser Spielart des Cloud-Computing (siehe Abb. 5) erhält der Cloud-Nutzer Zugriff auf virtualisierte Komponenten für die Datenverarbeitung, -transport und -speicherung.
Der Nutzen für den Anwender liegt bei der flexiblen Verfügbarkeit von Systemen. Die Systeme werden meistens in der Form von virtuellen Maschinen für die Dauer der Benutzung vom Cloud-Dienstleister gemietet. Dadurch wird es für den Nutzer einfach, selten genutzte Systeme nur für die Dauer des Bedarfs zu mieten oder zum Beispiel zu Testzwecken verschiedenartige Systeme zu nutzen.
