ISO/IEC 27018
Datenschutz in der Cloud wird möglich - sogar mit Zertifikat!
Simon Hülsbömer betreut als Senior Research Manager Studienprojekte in der Marktforschung von CIO, CSO und COMPUTERWOCHE. Zuvor entwickelte er Executive-Weiterbildungen und war rund zehn Jahre lang als (leitender) Redakteur tätig. Hier zeichnete er u.a. für die Themen IT-Sicherheit und Datenschutz verantwortlich.
Seit April 2014 legt die ISO/IEC-Norm 27018 länderübergreifend Mindestanforderungen fest, die ein Cloud-Provider im Bereich des Datenschutzes erfüllen muss. Nachprüfen, ob er sich auch wirklich daran hält, lässt es sich bisher aber nicht. Deshalb hat sich ein Verbund aus IndustrieIndustrie, Forschung und Datenschutzaufsichtsbehörden im Rahmen der "Trusted Cloud"-Initiative des Bundeswirtschaftsministeriums zusammengetan, um den fehlenden datenschutzrechtlichen Anforderungskatalog für Deutschland zu erarbeiten, auf dessen Basis künftig sogar europaweit Zertifikate für Cloud-Provider ausgestellt werden könnten. Top-Firmen der Branche Industrie
Das Pilotprojekt "Datenschutz-Zertifizierung für Cloud-Dienste" unter Leitung von Georg Borges, der an der Universität des Saarlandes Rechtstheorie und -informatik lehrt, ist in Kürze abgeschlossen. Erste Ergebnisse stellte die Münchner Uniscon GmbH, Teil der Initiative, im Rahmen der CeBIT vor.
Drei Schutzklassen
Der entworfene, detaillierte Prüfkatalog teilt zertifizierbare Cloud-Angebote in drei Schutzklassen ein. Cloud-Anbieter der niedrigsten Schutzklasse 1 müssen durch technische und organisatorische Maßnahmen unter anderem gewährleisten, dass Daten nicht unbefugt verwendet, verändert oder gelöscht werden können. Dies trifft meist auf die Verarbeitung einfacher personenbezogener Daten zu - wie eine Postanschrift ohne Bezug zu weiteren Daten wie Name, Geburtsdatum oder Vertragspartner. Anbieter, die nicht einmal die Anforderungen der Schutzklasse 1 erfüllen, fallen aus dem Raster und können ihren Cloud-Dienst dann auch nicht zertifizieren lassen - für diese Provider spricht die Arbeitsgruppe von der "Schutzklasse 0", die es aber de facto als solche gar nicht gibt.
Foto: Marco2811 - Fotolia.com
In der mittleren Schutzklasse 2 sind auch technische und organisatorische Fehler durch den Cloud-AnbieterCloud-Anbieter selber (und seine Mitarbeiter) auszuschließen. Des Weiteren muss ein umfassender Schutz gegen "bekannte Angriffsszenarien" gewährleistet sein. In dieser Schutzklasse würden später vor allem solche Anbieter zu finden sein, die verknüpfte personenbezogene Daten wie beispielsweise Namen und Anschriften bestimmter Vertragspartner, speichern und verarbeiten. Alles zu Cloud Computing auf CIO.de
Die höchste Schutzklasse 3 verlangt zusätzlich forensische Maßnahmen - der Cloud-Provider muss im Fall der Fälle in der Lage sein, Eingriffe und Datenmissbrauch festzustellen und nachzuverfolgen. Diese Klasse betrifft besonders schützenswerte Daten wie beispielsweise Berufsgeheimnisse oder Patienteninformationen.
Alle drei Schutzklassen basieren zum einen auf den Umsetzungsempfehlungen, die bereits in der ISO/IEC 27018 festgehalten sind, und zum anderen auf Prüfkriterien, die im Bundesdatenschutzgesetz (BDSG) zu finden sind. Sowohl funktionale Merkmale als auch nichtfunktionale Merkmale der Infrastruktur des Cloud-Providers konnten so berücksichtigt werden.
Zertifikate ermöglichen Anbietervergleich
Anhand der Schutzklassen können sich Unternehmen bezüglich des Schutzbedarfs für ihre Daten und Anwendungen orientieren und so schnell die passenden Anbieter identifizieren. Mit den Zertifikaten könne sich bald jedes Unternehmen, das Daten in die Cloud gebe, sicher sein, dass die eigenen Compliance-Vorgaben auch vom Cloud-Dienstleister eingehalten würden, erklärt Uniscon-Geschäftsführer Hubert JägerHubert Jäger. Profil von Hubert Jäger im CIO-Netzwerk
Darüber hinaus solle das Zertifikat Rechtsfolgen haben, so Jäger. Indem ein Unternehmen einen Anbieter auswähle, der mit der für die Unternehmensdaten notwendigen Schutzklasse ausgezeichnet ist, erfülle es seine vom Gesetz vorgeschriebenen Kontrollpflichten. Damit seien die Anwenderunternehmen zum einen aus der Haftung und könnten zum anderen endlich verschiedene Cloud-Anbieter hinsichtlich des Datenschutzniveaus miteinander vergleichen.
Das Pilotprojekt "Datenschutz-Zertifizierung für Cloud-Dienste" ist Anfang April beendet. Läuft alles nach Plan, gibt es dann zeitnah eine neue Ausschreibung für einen Prüfkatalog, dessen Ausarbeitung nicht auf die Mitglieder der Trusted-Cloud-Initiative beschränkt ist. Dank deren Vorarbeit sollte der finale Prüfkatalog jedoch ähnlich aussehen und nach Umsetzung der neuen EU-Datenschutzgrundverordnung, die sich in großen Teilen auf die deutsche Datenschutzgesetzgebung beruft, auch europaweit zum Einsatz kommen können.
"Wir haben schon einige Anfragen amerikanischer Anwender, die ihre Daten lieber bei uns verarbeitet wissen möchten als bei US-Providern", blickt Jäger voraus und hofft damit auf den europäischen Standortvorteil. Können deutsche und europäische Anbieter bald nämlich Cloud-Datenschutz mit Zertifikat anbieten, haben sie sehr gute Karten im globalen Cloud-Markt.
- Ein Gesetz für alle
EU-weit gelten die gleichen Datenschutzregeln. Das bedeutet auch eine gestiegene Verantwortung und Haftung für alle, die persönliche Daten verarbeiten. - "Recht auf Vergessen"
Wollen Nutzer ihre Daten nicht weiter verarbeitet sehen, werden diese gelöscht - vorausgesetzt, es spricht aus juristischer Sicht nichts dagegen. - "Opt-in" statt "Opt-out"
Sollen persönliche Daten verabeitet werden, müssen Nutzer aktiv zustimmen (und nicht aktiv widersprechen wie bisher). - Recht auf Transparenz
Nutzer haben ein Recht auf Transparenz - sie dürfen erfahren, welche Daten über sie gesammelt und wie diese verarbeitet werden. - Zugang und Portabilität
Der Zugang zu den bei Dritten über einen selbst gespeicherten Daten soll einfacher möglich sein. Zudem ist die Dartenportabilität zu gewährleisten - also sicherzustellen, dass persönliche Informationen leichter von einem Dienstanbieter zu einem anderen übertragen werden können. - Schnellere Meldung
Tritt ein Datenverlust auf, müssen Unternehmen und Organisationen im Regelfall binnen 24 Stunden, mindestens aber so schnell wie möglich ihrer behördlichen Meldepflicht nachkommen. - Weniger Behördenchaos
Unternehmen müssen sich nur noch mit einer einzigen Aufsichtsbehörde auseinandersetzen - und zwar dort, wo sie ihren Hauptsitz haben. - Grenzübergreifend
Privatanwender dürfen jeden Fall von Datenmissbrauch an ihre nationale Aufsichtsbehörde melden - selbst dann, wenn die betroffenen Daten im Ausland verarbeitet wurden. - Erweiterter Geltungsbereich
Die EU-Richtlinie gilt auch für Unternehmen, die keinen Sitz in der EU haben, sobald sie Waren oder Dienstleistungen in der EU anbieten oder auch nur Online-Marktforschung unter EU-Bürgern betreiben. - Höhere Bußgelder
Verstößt ein Unternehmen gegen die Datenschutzbestimmungen, droht ein Bußgeld in Höhe von bis zu vier Prozent des Jahresumsatzes. - Bürokratieabbau
Administrative Umstände wie Meldepflichten für Unternehmen, die persönliche Daten verarbeiten, entfallen. - Erst ab 16
Die rechtswirksame Anmeldung bei Internetnetservices wie Facebook oder Instagr.am soll Jugendlichen im Regelfall erst ab 16 Jahren möglich sein - weil sie erst ab diesem Lebensalter eine gültige Einwilligung in die Verarbeitung ihrer persönlichen Daten geben können. Nationale Gesetze sollen laut Datenschutzverordnung hier aber Ausnahmen möglich machen. - Stärkung der nationalen Aufsichtsbehörden
Nationale Datenschutzbehörden werden in ihren Kompetenzen gestärkt, so dass sie die neuen EU-Regeln besser umsetzen können. Unter anderem dürfen sie einzelnen Unternehmen verbieten, Daten zu verarbeiten. können bestimmte Datenflüsse stoppen und Bußgelder gegen Unternehmen verhängen, die bis zu zwei Prozent der jeweiligen weltweiten Jahreseinkünfte betragen. Darüber hinaus dürfen sie Gerichtsverfahren in Datenschutzfragen anstrengen. <br /><br />(Quelle: Forrester Research)