Eine sichere Cloud ist noch lange nicht souverän – und umgekehrt

Die Begriffe sind schnell definiert: 

• Cloud-Sicherheit beschreibt Maßnahmen, die Daten, Anwendungen und Systeme vor unbefugtem Zugriff, Verlust und Ausfall schützen. Dazu gehören Verschlüsselung, Identitäts- und Zugriffsmanagement, Sicherheitsupdates, Monitoring, Back-ups und klare Prozesse für den Umgang mit Vorfällen sowie physische Sicherheitsmaßnahmen.

Cloud-Sicherheit ist deshalb eine geteilte Verantwortung, die nicht mit der Vertragsunterzeichnung endet. Auch die Unternehmen, die die Cloud-Services nutzen, müssen Konfigurationen, Berechtigungen und eigene Anwendungen absichern. 

• Bei Cloud-Souveränität geht es darum, den Überblick und die Kontrolle zu behalten: darüber, wo Daten verarbeitet werden, wer Schlüssel und Betrieb steuert und wie sich die Technologie weiterentwickelt. Auch die geltenden Gesetze und Zugriffsrechte spielen eine Rolle – genauso wie die Möglichkeit, den Dienst zu wechseln, wenn sich etwas ändert oder der Anbieter ausfällt.

Souveränität bedeutet dabei nicht zwingend, alles selbst zu betreiben oder ausschließlich europäische Technik einzusetzen. Gemeint ist vor allem die Fähigkeit, informiert zu entscheiden und handlungsfähig zu bleiben. 

Doch was genau bedeutet das für die Unternehmen im Geschäftsalltag?  

Sie sollten beide Dimensionen im Blick behalten. Jede Entscheidung für einen Cloud-Service braucht Abwägungen: Welches Sicherheitsniveau ist genau für diese Anwendung notwendig und wie lassen sich entsprechende Maßnahmen umsetzen? Und zugleich: Bringt der Dienst das Unternehmen in eine geschäftskritische Abhängigkeit? Wieviel Kontrolle und Handlungsspielraum bleiben, auch im Ernstfall? Wie sieht eine realistische Exit-Strategie aus?  

„Sicher oder souverän?“ ist dabei nicht die Frage, die sich stellt. Relevanter ist vielmehr, welches Schutzniveau eine Anwendung haben soll und welche Abhängigkeiten dafür akzeptabel sind. Ein internes Kollaborationstool hat andere Anforderungen, als ein Produktionsplanungssystem als Teil einer digitalen Supply Chain. Muss Ersteres ersetzt werden, weil die Lizenzbedingungen des Anbieters untragbar geworden sind, ist das ärgerlich, aber verkraftbar. Letzteres hingegen ist ein geschäftskritischer Bestandteil der Produktion, der nicht so einfach ersetzt werden kann.

Wie lässt sich ein Cloud-Service finden, der sicher und souverän ist? 

Um einen Cloud-Service zu bewerten, sollten Sicherheit und Souveränität getrennt voneinander betrachtet werden. Das folgende Raster kann helfen, sich einem Optimum anzunähern: 

• Daten und Folgen eines Sicherheitsvorfalls einordnen 
  Um welche Art von Daten geht es: öffentliche Inhalte, interne Arbeitsdokumente, vertrauliche Kundeninformationen oder noch sensiblere, eventuell regulierte Daten? Was wären die Folgen, wenn Daten in unbefugte Hände kämen oder das System ausfiele?
• Ein Mindestmaß an Sicherheitsanforderungen festlegen 
  Von Berechtigungskonzept über Verschlüsselung bis Backups: Welche Maßnahmen sind essenziell für die eingesetzten Anwendungen und welche wünschenswert?
• Souveränitätsfragen konkretisieren 
  Wo werden Daten gespeichert und verarbeitet? Wer kann administrativ darauf zugreifen? Welche Rechtsordnungen und Unterauftragnehmer sind beteiligt? Wer kontrolliert die Schlüssel? Lassen sich Daten vollständig exportieren und löschen, und gibt es eine realistische Exit-Strategie?

Für die Auswahl zählt nicht allein, wer einen Cloud-Dienst anbietet oder wo der Anbieter seinen Sitz hat, sondern wie das konkrete Produkt ausgestaltet ist. Funktionen, Vertragsbedingungen, Support und Konfiguration bestimmen mit, welches Risiko tatsächlich entsteht. Deshalb sollten die Anforderungen an Sicherheit, Compliance und Souveränität für den jeweiligen Anwendungsfall festgelegt und gemeinsam bewertet werden. Bleiben dabei Risiken, die für die betreffenden Daten nicht tragbar sind, ist der Dienst keine geeignete Wahl – auch wenn Preis und Ökosystem überzeugen.