Datenschutz in der Cloud ist Kundensache

Noch immer gilt vielen die Cloud als unsicherste aller Lösungen, bestärkt durch die Enthüllungen Edward Snowdens und den NSA-Abhörskandal. Dabei wird außer Acht gelassen, dass Anbieter von Cloud-Diensten oft erheblich umfangreichere und deutlich bessere Sicherheitsmaßnahmen ergreifen, als kleine und mittelständische Unternehmen das überhaupt könnten. Sicherer sind die Daten in der Cloud allemal.

Die eigentliche Schwierigkeit bei der Planung einer Cloud-Strategie ist für deutsche Unternehmen stattdessen der Datenschutz. Das Bundesdatenschutzgesetz (BDSG) zwingt die Unternehmen, mit Bedacht vorzugehen. Nicht jeder Cloud-Anbieter eignet sich deshalb für deutsche Unternehmen als Partner. Und nicht jedes Unternehmen sollte in die Cloud wechseln.

Grundsätzlich gilt, dass Unternehmen mit ihren Daten umgehen dürfen, wie sie möchten. Auch die Speicherung in der Cloud ist erlaubt. Allerdings gilt das nur für Daten ohne Bezug zu einer natürlichen Person. Das bedeutet: Eine Liste der Büro- und Geschäftsausstattung kann bedenkenlos mit einer Cloud-Tabellenkalkulation bearbeitet werden, eine Gehaltsabrechnung, in der der Name des Mitarbeiters auftaucht, hingegen nicht.

Lagern Firmendaten bei einem Cloud-Anbieter, dann sind diese Daten einem besonderen Risiko ausgesetzt. Schließlich können die Mitarbeiter des Cloud-Anbieters physisch auf die in der Cloud gespeicherten Daten zugreifen.

Personenbezogene Daten, darunter fallen auch Kunden­daten, müssen deshalb umso besser geschützt werden. Das Bundesdatenschutzgesetz spricht dabei lediglich von Schutzmaßnahmen, die dem aktuellen Stand der Technik entsprechen müssen.

In der Praxis bedeutet das, dass die Daten sowohl beim Transport als auch bei der Speicherung verschlüsselt werden sollten, etwa mit den Verfahren SSL und AES. Sollen die Daten beim Cloud-Anbieter allerdings weiterverarbeitet werden, zum Beispiel mit einer Cloud-Tabellenkalkulation, ist an eine verschlüsselte Speicherung kaum zu denken. Dann sollten die Daten und Dokumente keine personenbezogenen Informationen enthalten.

Das Bundesdatenschutzgesetz besagt zudem, dass der Cloud-Kunde in der Verantwortung für den Schutz der personenbezogenen Daten steht, klärt Oliver Schonschek von der Experton Group auf. Der Cloud-Kunde müsse sich vor Ort von der Einhaltung der Sicherheitsmaßnahmen überzeugen, im Bedarfsfall sogar Einzelverträge mit den Anbietern vereinbaren.

Cloud-Kunden müssen aber in aller Regel vorgefertigte Verträge akzeptieren, die unter Umständen nicht dem deutschen Datenschutzgesetz genügen, selbst wenn die Daten beim Cloud-Anbieter sicherer wären.

Berufsgeheimnisträger wie Anwälte und Ärzte – und mit Letzteren auch Krankenhäuser – sind besonders in die Pflicht genommen, wenn es um die Auswahl eines Cloud-Anbieters und den Schutz von personenbezogenen Daten geht. Im Zweifelsfall müssen sie daher vorerst noch einen großen Bogen um Cloud-Dienste machen.