REBOOT 2-2010: Cloud Computing und Datenschutz

Das Prinzip klingt überzeugend: Die Nutzung von Software und Speicherplatz ohne nennenswerte eigene IT-Infrastruktur bei einem Bruchteil der Kosten: All das bietet Cloud Computing über ein weltweites Netzwerk und gemietete Ressourcen.

Daten werden irgendwo auf der Welt bei einem oder mehreren Anbietern gespeichert, die Datenströme laufen über das Internet und über die Kontinente hin und her, und die Software-Kapazitäten werden je nach Bedarf mal hier, mal dort gestellt.

Viele Unternehmen lassen sich von den überzeugenden Kostensenkungen zum Cloud Computing locken. Aus betriebswirtschaftlicher Sicht macht es auch durchaus Sinn, und vom technischen Standpunkt her ist die Nutzung dieser durch das Internet verfügbar gewordenen Netzressourcen auch logisch.

Ist Cloud Computing auch sicher?

Das Grundproblem ist, dass beim Cloud Computing Unternehmensdaten außerhalb der firmeneigenen Firewall verarbeitet werden, also weitaus ungeschützter sind, als wenn sie auf dem eigenen Server lägen. Damit setzt sich ein Unternehmen einem, wenn auch vielleicht kalkulierbaren, Risiko aus.

Der große Nachteil ist: Während bei einem firmeneigenen Datencenter, zum Beispiel in Österreich, ganz klare Datenschutzrichtlinien in Kraft sind, wird es beim Cloud Computing schwammig. Denn welche Datenschutzrichtlinien gelten, wenn Bits und Bytes mit Firmengeheimnissen rund um die Welt gejagt werden? Wie kann man sich vor Betriebsspionage oder geheimdienstlichen Umtrieben schützen und nach welchem Recht, solange es keine internationalen Abkommen gibt?

Dass Daten im Cloud Computing nahtlos geschützt werden können, ist eine Illusion. Zwar gibt es einige Datenschutzabkommen etwa zwischen der EU und den USA, wo die meisten Cloud Computing-Anbieter sitzen, doch es gibt natürlich keine Gewähr, dass sich alle daran halten oder in der Lage sind, Attacken und Schnüffeleien abzuhalten.

"Vertrauensbasis" ist zu wenig

Die Situation könnte sich erst dann entspannen, wenn Cloud Computing-Anbieter mit ausreichenden Datenschutzverfahren und entsprechenden Richtlinien ihre Angebote verbessern, also von der bisherigen "Vertrauensbasis" zwischen Anbieter und Kunden zu effektiven Maßnahmen greifen, die den Datenschutz verbessern.

Was aber, wenn ein US-Anbieter seine Server plötzlich aus Kostengründen zum Beispiel nach China auslagert? Dass es dort mit Datenschutz nicht weit her ist, dürfte sich herumgesprochen haben. Welche Regeln gelten dann? All das sollte in Überlegungen, Cloud Computing zu nutzen, mit einfließen. Derzeit ist das Verfahren nämlich nur bedingt für unternehmenskritische Daten zu empfehlen, im Gegensatz zu Routinearbeiten, für die Cloud Computing durchaus eine gangbare Alternative ist.