Cloud-Computing lohnt sich nicht

„Jedes Unternehmen muss genau prüfen, welche Daten so sensibel sind, dass sie nicht in die Cloud gehören und welche Cloud-fähig sind. Diese Klassifizierung nach sensiblen Daten, wie zum Beispiel personenbezogenen Daten, hat regelmäßig zu erfolgen, jedes Mal, wenn ein neuer Dienst „in die Cloud“ gehen soll –- und das ist nur mit einem erheblichen Aufwand möglich“, erklärt NIFIS-Vorstandsmitglied Mathias Gärtner. Nach Einschätzung der Nationalen Initiative für Informations- und Internet-Sicherheit gibt es derzeit kein zuverlässiges automatisiertes Verfahren, um sensible von Cloud-geeigneten Daten gemäß den Anforderungen der deutschen Datenschutzgesetzgebung zu separieren.

Der NIFIS-Vorstand verweist auf die Schwierigkeiten, die praktisch alle Firmen heute schon bei der gesetzlich vorgeschriebenen E-Mail-Archivierung hätten, zwischen geschäftskritischen (etwa nach handelsrechtlich oder steuerrechtlich relevanten Daten), unwichtigen und privaten E-Mails zu unterscheiden. „Die für gesetzestreues Cloud-Computing erforderliche Klassifizierung nach geeigneten und nicht geeigneten Daten ist noch schwieriger als bei der E-Mail-Archivierung und daher nach heutigem Stand der Technik nicht automatisierbar. Sobald man jedoch den manuellen Bearbeitungsaufwand einkalkuliert, lohnt sich Cloud-Computing in der Regel schlichtweg nicht“, erläutert Mathias Gärtner.

Eine Erklärung des Cloud-Anbieters, dass die Datenzentren in Europa stünden und somit den Datenschutzrichtlinien der Europäischen Union genügten, hebt die Notwendigkeit zur Klassifizierung meistens nicht auf, betont der NIFIS-Vorstand. Insbesondere bei US-Anbietern oder Anbietern die in den USA „substantial businesses“ betreiben, sei Vorsicht geboten, weil sich die US-Regierung bei amerikanischen Firmen selbst dann den Zugriff auf die Server erlaubt, wenn diese im Ausland, also beispielsweise in der EU, stehen. Zudem weist Mathias Gärtner auf die Gefahr des Cloud-Ausfalls aus technischen oder rechtlichen Gründen hin. Als Beispiel nennt er den von den Behörden geschlossenen Anbieter MegaUpload: „Viele Unternehmen hatten Firmendaten auf MegaUpload ausgelagert. Nach der Beschlagnahmung des Dienstes waren diese Daten schlichtweg nicht mehr verfügbar. Im Zweifel haftet jedoch stets der Vorstand oder Geschäftsführer des Unternehmens, das seine Daten egal wohin auslagert“, betont NIFIS-Vorstand Mathias Gärtner. [bl]