Cloud-Sicherheit – wie sicher ist meine Cloud?: Ein Versuch einer technischen Standorteinschätzung aus der Sicht der Praxis

Christian Perst

doi:10.1515/pik-2013-0018

Article

Requires Authentication

Cloud-Sicherheit – wie sicher ist meine Cloud?

Ein Versuch einer technischen Standorteinschätzung aus der Sicht der Praxis

Christian Perst
Christian Perst
Rupert-Gugg-Str. 53, 5280 Braunau, Austria

Email author

Search for this author in:

De Gruyter De Gruyter Brill | Google Scholar

Published/Copyright: August 5, 2013

Published by

Become an author with De Gruyter Brill

Author Information

From the journal PIK - Praxis der Informationsverarbeitung und Kommunikation Volume 36 Issue 3

Christian PerstCloud-Sicherheit–wie sicher ist meine Cloud?Ein Versuch einer technischen Standorteinschätzung aus der Sicht der PraxisDipl. Ing. Christian Perst:E-Mail: cloud-sicherheit@itEXPERsT.comCloud-Dienste und das Auslagern von Rechenleistungenin die Cloud kann für viele Unternehmen Vorteile bringen.Für den Cloud-Kunden stellt sich die Frage, ob es möglichist, die Anbieter der Cloud-Dienste einzuteilen und wennja, wie. Gibt es Unterscheidungskriterien, abgesehen vonden vertraglichen Bedingungen? Die Frage nach der Si-cherheit der Cloud bzw. des Cloud-Anbieters wird dabeivon vielen potentiellen Cloud-Kunden als entscheidendangesehen. Kann der Kunde davon ausgehen, dass derAnbieter mit dessen Daten sorgfältig umgeht und sie nachallen„Regeln der Kunst“behandelt?Das in diesem Beitrag vorgestellte Instrumentarium/der Entscheidungskatalog soll dem Leser aus der Sicht derDatensicherheit eine Hilfe bei der Auswahl eines Cloud-Anbieters sein. Rechtliche Fragestellungen und Konse-quenzen sind daher nicht Schwerpunkt des Artikels.Eine der 10 größten Sicherheits-risiken ist die Verletzung der Ver-traulichkeit und Integrität der DatenZunächst ein Abriss der Inhalte und die Abgrenzung derzugrundeliegenden Dokumente:Als Grundlage des hier vorgeschlagenen Entschei-dungskataloges wurden dieOrientierungshilfe zum CloudComputing des Landesbeauftragten für den DatenschutzNiedersachsenmit Stand vom 30. August 2011 und dasEck-punktepapier zu Sicherheitsempfehlungen für Cloud Compu-ting Anbieter des Bundesamtes für Sicherheit in der Informa-tionstechnik (BSI)vom Februar 2012 herangezogen.Ersteres richtet sich vor allem auf Empfehlungen zurdatenschutzrechtlichen Ausgestaltung des Cloud Compu-ting und befasst sich neben technischen und organisatori-schen auch mit rechtlichen Aspekten. Zweiteres fokussiertdie generellen Informationssicherheitsanforderungen inden Bereichen der Organisation sowie die personellen,infrastrukturellen und technischen Gegebenheiten. DasEckpunktepapier richtet sich vor allem an die Zielgruppeder Cloud Service Provider (CSP), um ihnen eine Richt-schnur für die Umsetzung von Sicherheitsmaßnahmen andie Hand zu geben. Auch dient es als Orientierung fürAnwender, um die Entscheidung eines Anbieters zu ver-bessern. Es wird eine Grundlage für die Diskussion zwi-schen beiden Seiten geschaffen, welche langfristig zu ein-heitlichen Maßstäben führen und in eine fortlaufendeErneuerung des Papiers einfließen soll. Die Orientierungs-hilfe richtet sich mehr an Organisationen und Personen,für die die rechtliche Umsetzung im Bereich des Daten-schutzes von großem Interesse ist, wie Behörden und Da-tenschutzbeauftragte, außerdem an die verantwortlichenFachleute, die für eine ordnungsgemäße Umsetzung desCloud Computing verantwortlich sind.Ein weiterer Unterschied zwischen der Orientierungs-hilfe und dem Eckpunktepapier besteht in der Einteilungder dargestellten Maßnahmen und Risiken. Die Orientie-rungshilfe unterscheidet vor allem die drei Kernbetriebs-modelle„Infrastructure as a Service (IaaS)“,„Platform as aService (PaaS)“und„Software as a Service (SaaS)“undbeleuchtet diese anhand der fünf Datenschutzziele Ver-fügbarkeit, Vertraulichkeit, Integrität, Revisionssicherheitund Transparenz. Das Eckpunktepapier konzentriert sichhingegen mehr auf die beiden Grundwerte von Vertrau-lichkeit und Verfügbarkeit sowie deren Anwendung imCloud Computing, jedoch weniger auf die Integrität, undschenkt der Unterscheidung zwischen Public und PrivateCloud mehr Aufmerksamkeit. Beide Dokumente benennendie Pflichten sowohl des Cloud-Anwenders als auch desAnbieters, wobei die Orientierungshilfe der Anwenderseitemehr Raum gibt als das Eckpunktepapier, vor allem aufrechtlicher Seite.Eine Bedürfnisanalyse steht amAnfangSowohl der Anwender als auch der Anbieter des Servicesollten vor Beginn der Nutzung eine Analyse der erforder-ten und erwarteten Bedürfnisse durchführen. Dabei solltesich der Cloud-Kunde darüber Gedanken machen, wel-chen Schutz seine Daten und Anwendungen benötigenund unter welchen Rahmenbedingungen somit eine Ver-lagerung seiner geschäftsrelevanten Daten und Anwen-DOI 10.1515/pik-2013-0018PIK 2013; 36(3): 175–178

Online erschienen: 2013-08-05

Erschienen im Druck: 2013-08

You are currently not able to access this content.

Not sure if you should have access? Please log in using an institutional account to see if you have access to view or download this content.

You are currently not able to access this content.

Not sure if you should have access? Please log in using an institutional account to see if you have access to view or download this content.

Articles in the same Issue

https://doi.org/10.1515/pik-2013-0018