{"id":1527,"date":"2022-11-10T16:01:27","date_gmt":"2022-11-10T16:01:27","guid":{"rendered":"https:\/\/lawpilots.com\/?p=1527"},"modified":"2026-01-28T10:10:52","modified_gmt":"2026-01-28T09:10:52","slug":"it-sicherheit-cloud","status":"publish","type":"post","link":"https:\/\/lawpilots.com\/de\/blog\/it-sicherheit\/it-sicherheit-cloud\/","title":{"rendered":"Wie steht es um die IT-Sicherheit in der Cloud?"},"content":{"rendered":"\n
\n
\n

Die Verlagerung der Infrastruktur und des Workflows in die Cloud wurde durch die Coronapandemie noch einmal erheblich beschleunigt. Ohne ortsunabh\u00e4ngiges Arbeiten, flexible IT-Strukturen oder digitale Kollaborationsm\u00f6glichkeiten w\u00e4re kaum eine Organisation noch \u00fcberlebensf\u00e4hig gewesen. Weltweit haben 90 Prozent der gro\u00dfen Unternehmen in den letzten Jahren das Arbeiten in der Cloud intensiviert.<\/p>\n\n\n\n

Was ist Cloud-Computing<\/h2>\n\n\n\n

Cloud Computing steht f\u00fcr die internetbasierte Bereitstellung von Speicherplatz, Rechenleistung oder Software.<\/p>\n\n\n\n

Unternehmen sind dadurch nicht mehr auf kostspielige Lizenzen angewiesen, k\u00f6nnen die Installation und Wartung der Systeme ebenfalls outsourcen und von unterschiedlichen Orten und von mehreren Personen auf die gleichen Daten zur\u00fcckgreifen. <\/p>\n\n\n\n

Cloud Services lassen sich dabei in vier unterschiedliche Ebenen aufteilen. Sie unterscheiden sich vor allem anhand der Zust\u00e4ndigkeiten, die an den Cloud Provider \u00fcbertragen werden. Mehr zu Cloud Computing Diensten, dem Einsatz von Public Clouds im Unternehmen und ihren Vorteilen lesen Sie hier.<\/a><\/p>\n\n\n\n

IT-Sicherheit im Cloud-Zeitalter<\/h2>\n\n\n\n

Je nach ausgew\u00e4hltem Cloud Service liegen bestimmte Datens\u00e4tze nicht mehr auf den Endger\u00e4ten des Unternehmens, sondern in einer zentralen Rechen Infrastruktur. Dabei kann es sich sowohl um personenbezogene Daten<\/a> von unbeteiligten Dritten als auch Betriebs- oder Gesch\u00e4ftsgeheimnisse handeln. Es m\u00fcssen demnach sowohl die Regelungen der Datenschutz-Grundverordnung (DSGVO) als auch des Betriebs- oder Gesch\u00e4ftsgeheimnisschutzes<\/a> eingehalten werden.<\/p>\n\n\n\n

Um dennoch personenbezogene Daten ohne rechtliche Konsequenzen in der Cloud speichern und verarbeiten zu k\u00f6nnen, sollten jene anonymisiert oder pseudonymisiert<\/a> werden. Wenn bereits zur Verarbeitung der personenbezogenen Daten gem\u00e4\u00df Artikel 6 DSGVO eine Rechtsgrundlage besteht, ist es dem Unternehmen auch gestattet, die Daten im Originalzustand in der Cloud zu speichern. In diesem Fall ist das Unternehmen als AuftraggeberIn jedoch dazu verpflichtet, die Kontrolle \u00fcber die Verarbeitungst\u00e4tigkeit zu behalten.<\/p>\n\n\n\n

Hierf\u00fcr schlie\u00dft der \u201eController\u201c (auftraggebendes Unternehmen) mit dem \u201eProcessor\u201c (Cloud Service) einen Vertrag zur Auftragsvereinbarung ab. Rechtlich gesehen, ist das Unternehmen jedoch auch nach Abschluss des Vertrages dazu verpflichtet, die Verarbeitungst\u00e4tigkeiten des Cloud Anbieters zu kontrollieren. Weil dies aber selbst f\u00fcr Fachleute aufgrund der Komplexit\u00e4t einen Akt der Unm\u00f6glichkeit darstellt, gibt es die Zertifizierung von Cloud Diensten. Hierf\u00fcr werden unabh\u00e4ngige Fachleute beauftragt, den Cloud Provider zu beurteilen. Auch das Bundesministerium f\u00fcr Wirtschaft und Energie bietet mit dem Verein Kompetenznetzwerk Trusted Cloud e.V<\/a>. Orientierungshilfen f\u00fcr die Cloud Nutzung an.<\/p>\n\n\n\n

\"\"<\/a><\/figure>\n\n\n\n

Wie sicher sind Daten in der Cloud?<\/h2>\n\n\n\n

Bei der Pr\u00fcfung des Cloud Anbieters muss darauf geachtet werden, dass die Dienste datenschutzkonform ablaufen. Seit dem Schrems II Urteil<\/a> und dem Ende des US Privacy Shield-Abkommens hat sich die Auswahl potenzieller AnbieterInnen jedoch verringert. Personenbezogene Daten von EU-B\u00fcrgerInnen d\u00fcrfen nur noch dann in Drittl\u00e4nder \u00fcbermittelt werden, wenn sie dort einen gleichwertigen Schutz genie\u00dfen. Aufgrund des Patriot Acts, der US-Firmen im Verdachtsfall dazu verpflichtet, amerikanischen Beh\u00f6rden Zugriff auf ihre Daten zu gew\u00e4hren, gelten US-amerikanische Cloud Provider nicht mehr als datenschutzkonform. F\u00fcr den Fall, dass Sie als Unternehmen Service-Anbieter nutzen, die ihre Rechenzentren im europ\u00e4ischen Ausland betreiben, sollten Sie in jedem Fall EU-Standardschutzklauseln vereinbaren.<\/p>\n\n\n\n

Alternativ w\u00e4chst jedoch auch der europ\u00e4ische Markt an Cloud Services. Aus Deutschland bieten beispielsweise Your Secure Cloud<\/a>, luckyCloud<\/a> oder LeitzCloud<\/a> datenschutzkonforme Dienste an.<\/p>\n\n\n\n

Wie sicher Daten in der Cloud sind, h\u00e4ngt in erster Linie von der Verschl\u00fcsselung und dem Passwortschutz ab. Viele AnbieterInnen stellen mittlerweile eine Zwei-Faktor-Authentisierung bereit, sodass zus\u00e4tzlich zum Passwort ein TAN oder ein USB-Stick ben\u00f6tigt wird. <\/p>\n\n\n\n

Ob Daten in der Cloud sicher sind, h\u00e4ngt deshalb nicht nur von dem\/der AnbieterIn, sondern auch von den MitarbeiterInnen des Unternehmens ab. Neben der Erstellung eines starken Passworts<\/a> sollten Sie auch darauf achten, sich nicht aus \u00f6ffentlichen Netzen einzuloggen und die Cloud des Unternehmens nicht f\u00fcr private Zwecke zu nutzen.<\/p>\n\n\n\n

\u00dcberlegen Sie deshalb, ob Ihre MitarbeiterInnen mithilfe ihres Smartphones Zugriff auf die Unternehmens Cloud haben sollten. Neben der Flexibilit\u00e4t und Ortsungebundenheit birgt dies auch Risiken. Schadprogramme k\u00f6nnen sich schnell und unbemerkt beispielsweise durch die Installation einer Anwendung auf einem Smartphone installieren und auch an Daten in der Cloud gelangen. Zudem kann auch der Verlust oder Diebstahl eines mobilen Endger\u00e4ts dazu f\u00fchren, dass interne Daten in falschen H\u00e4nde geraten.<\/p>\n\n\n\n

FAKT: 97 Prozent aller Google-Workspace-NutzerInnen haben mindestens einer Anwendung eines\/einer DrittanbieterIn Zugriff auf ihr gesch\u00e4ftliches Google-Konto gegeben.<\/p>\n\n\n\n

Neben der Pr\u00fcfung des\/der Cloud AnbieterIn sollte deshalb auch die Belegschaft f\u00fcr den Umgang mit der Cloud sensibilisiert werden. Hierf\u00fcr haben wir von lawpilots eine eigene Online-Schulung konzipiert, die sowohl Ihre MitarbeiterInnen als auch das Management dar\u00fcber aufkl\u00e4rt, wie sie die Cloud gefahrlos nutzen k\u00f6nnen. Zus\u00e4tzlich bieten wir viele weitere Online-Schulungen zum Thema Datenschutz an, die mit visuell aufbereiteten Einheiten den sicheren Umgang mit Daten im Unternehmen f\u00f6rdern.<\/p>\n\n\n\n

\"\"<\/a><\/figure>\n\n\n\n

IT-Sicherheit: Cloud Grundschutz<\/h2>\n\n\n\n

Worauf ein Unternehmen bei der Cloud Nutzung achten sollte:<\/p>\n\n\n\n

    \n
  1. Wurde der\/die Cloud AnbieterIn gepr\u00fcft und entspricht den Anspr\u00fcchen des Unternehmens bzw. den zu verarbeiteten Daten?<\/li>\n\n\n\n
  2. In welchem Land befinden sich die Rechenzentren des\/der AnbieterIn?<\/li>\n\n\n\n
  3. Erfolgt die \u00dcbertragung der Daten \u00fcber eine verschl\u00fcsselte Verbindung?<\/li>\n\n\n\n
  4. Verwenden alle MitarbeiterInnen sichere Passw\u00f6rter? <\/li>\n\n\n\n
  5. Mit welchen Ger\u00e4ten d\u00fcrfen MitarbeiterInnen die Cloud nutzen?<\/li>\n<\/ol>\n\n\n\n

    Checkliste f\u00fcr eine sichere Transformation<\/h2>\n\n\n\n
      \n
    1. Multi-Cloud-Strategie: Um die Komplexit\u00e4t Ihrer IT-Struktur in Cloud L\u00f6sungen \u00fcbersetzen zu k\u00f6nnen, vollziehen Sie den Wandel schrittweise und nutzen Sie evtl. unterschiedlicher Cloud Anbieter.<\/li>\n\n\n\n
    2. Prozessanalyse: Wichtige Schnittstellen zwischen den IT-Diensten sowie Abh\u00e4ngigkeiten und Wechselwirkungen m\u00fcssen vor der Transformation bekannt sein und ber\u00fccksichtigt werden.<\/li>\n\n\n\n
    3. Zielsetzung: Die Anforderungen an die Cloud L\u00f6sungen m\u00fcssen der Unternehmensstrategie entsprechen.<\/li>\n\n\n\n
    4. Skill Gap: Die Umstellung auf die Cloud setzt auch neue Anforderungen an Ihre MitarbeiterInnen. Analysieren Sie die Qualifikationsdefizite und bauen Sie neue Kompetenzen auf.<\/li>\n\n\n\n
    5. Datenschutz: Seien Sie sich Ihrer Verantwortung bewusst und schulen Sie Ihre MitarbeiterInnen im sicheren Umgang mit Daten. Pr\u00fcfen Sie auch vor der Auswahl des\/der Cloud AnbieterIn die Zertifikate, den Serverstandort und die Verschl\u00fcsselungsoptionen.<\/li>\n<\/ol>\n\n\n\n

      Was ist eine Schatten IT?<\/h2>\n\n\n\n

      Durchschnittliche Unternehmen mit 500 \u2013 2.000 MitarbeiterInnen nutzen heutzutage etwa 805 verschiedene Apps und Cloud Dienste. 97 Prozent dieser Anwendungen geh\u00f6ren zur sogenannten \u201eSchatten-IT\u201c.<\/p>\n\n\n\n

      Zur Schatten-IT z\u00e4hlen alle Installationen, die au\u00dferhalb der Sichtbarkeit und Verwaltung der IT-Abteilung stattfinden. Das Gegenteil stellt die On-Premises-Installation dar: hierbei werden Administratorenrechte, Passw\u00f6rter und IT-Support ben\u00f6tigt.<\/p>\n\n\n\n

      Cloud Services bieten h\u00e4ufig Softwarel\u00f6sungen an, die ein:e einzelne:r MitarbeiterIn oder eine Abteilung ohne R\u00fccksprache mit der IT-Abteilung installieren kann. Dadurch verlieren Unternehmen schnell den \u00dcberblick und es kommt zu doppelten SaaS-K\u00e4ufen, zu nicht genutzten oder nicht ausgelasteten Lizenzen und einer starken Zunahme an Geb\u00fchren.<\/p>\n\n\n\n

      \"\"<\/a><\/figure>\n\n\n\n
      \n\n\n\n

      Quellen<\/strong>:<\/p>\n\n\n\n