Schlagwort: Cloud Computing

ULD: Hinweise zum datenschutzkonformen Cloud Computing

16. Juli 2012

Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) hat – auf einer Empfehlung der Artikel-29-Datenschutzgruppe vom 1. Juli 2012 beruhende – Hinweise zur datenschutzgerechten Erbringung und Nutzung von Cloud-Dienstleistungen nach deutschem und europäischem Recht veröffentlicht. Dort wird u.a. betont, dass der Vertrag zwischen Cloud-Anbieterin und -Anwenderin inhaltlich den Anforderungen des § 11 Abs. 2 S. 2 Bundesdatenschutzgesetz genügen müsse. Aus Gründen der Rechtssicherheit sei es ferner von Nöten, dass dieser Vertrag zusätzlich regelt, dass die Cloud-Anbieterin dazu verpflichtet ist, die Cloud-Anwenderin über alle Unterauftrags- verhältnisse und über alle Orte, an denen personenbezogene Daten gespeichert oder verarbeitet werden können, zu informieren. Bei der gesetzlich geforderten sorgfältigen Auswahl der Dienstleister, reiche des Weiteren ein Blick auf die Datensicherheit nicht aus. Neben Verfügbarkeit, Vertraulichkeit und Integrität sei es erforderlich, die Datenschutz-Schutzziele Transparenz, Nicht-Verkettbarkeit und Intervenierbarkeit umzusetzen. Ferner sei bei einer Übermittlung personenbezogener Daten in die USA seitens der verantwortlichen Stelle – auch nach Auffassung der Art. 29–Gruppe – ein schlichtes Verlassen auf eine Selbstzertifizierung nach den Safe Harbor Prinzipien nicht hinreichend. Vielmehr müsse die Zertifizierung und die Einhaltung der Prinzipien selbst überprüft werden.

Cloud Computing ist eine technische Realität, bei der die Beachtung der Datenschutzvorschriften zwingend gefordert ist. Dies gilt auch hinsichtlich der Zugriffe staatlicher Stellen, insbesondere durch Strafverfolgungsbehörden, in Drittstaaten. Transparenz ist für die Nutzerinnen und Nutzer gerade beim Cloud Computing unverzichtbar. Mit dem EuroPriSe-Zertifikat des ULD können Cloud-Anbieter die Einhaltung der europäischen Vorgaben verlässlich und transparent nachweisen. Die Bestrebungen der EU-Kommission, Clouds `Made in Europe´ besonders zu zertifizieren, sind zu unterstützen, wenn die Siegel – wie bei EuroPriSe – durch unabhängige Stellen auf der Basis qualifizierter Gutachten im Rahmen eines definierten, transparenten Verfahrens verliehen werden.“, so der Leiter des ULD Thilo Weichert.

Dropbox, CloudMe & Co.: Datenschutz-Experten warnen

1. Juni 2012

Forscher des Bereichs Cloud-Sicherheit des Frauenhofer-Instituts Darmstadt (SIT) haben beliebte Webdienste, welche Netzwerk-Dateisysteme für die Synchronisation von Dateien zwischen Rechnern und Benutzern bereitstellen und eine Online-Datensicherung ermöglichen, im Rahmen einer Studie getestet und teilweise erhebliche Sicherheitsmängel im Segment des Datenschutzes festgestellt.

Zu den untersuchten Diensten gehörten auch die beliebten Dienste Dropbox und CloudMe. Michael Herfert, Leiter des Forschungsbereichs, urteilte deutlich über den Umstand, dass Dropbox trotz der technischen Machbarkeit keine Verschlüsselung der Daten während der Ablage auf den Rechnern gewährleisten würde: “Der Nutzer kann nur darauf vertrauen, dass Dropbox die Daten nicht einsehen will.” Andere Anbieter hätten eine solche Verschlüsselung bereits integriert, dementsprechend herrsche unter den Forschern Einigkeit darüber, dass auch Dropbox diesen Service hätte einrichten können. Ebenso würden andere Sicherheitsstandards nicht erfüllt.

Noch empfindlicher fällt das Urteil über den Service CloudMe aus. Dieser gewährleistet nach den Studienergebnissen im Gegensatz zu den anderen Anbietern selbst während der Übermittlung zwischen den Heimcomputern und den Servern keine Verschlüsselung der Daten. Zudem sei die URL der Daten schlecht und durch ihre Einfachheit theoretisch sogar über Suchmaschinen ablesbar.

Angesichts der Testergebnisse empfiehlt die Forschergruppe den Usern, ihre Daten vor dem Hochladen selbst zu verschlüsseln.

 

EU-Standardvertragsklauseln für die Microsoft Cloud

30. Mai 2012

Nach einer Meldung von heise.de hat Microsoft angekündigt, dass künftig die EU-Standardvertragsklauseln auch für den Cloud-Dienst „CRM-Online“ verfügbar seien. Neben Office 365 ist dies der zweite Cloud-Dienst von Microsoft, für den die Vertragsklauseln aus der Feder der EU-Kommission herangezogen werden können. Unternehmen in Europa ist auf ihrer Grundlage gestattet, Daten in Länder ohne angemessenes Datenschutzniveau zu transferieren, wenn sich der Vertragspartner zur Einhaltung der Standardvertragsklauseln verpflichtet hat. Sie stellen nach einer Orientierungshilfe zum Cloud-Computing der Konferenz der Datenschutzbeauftragten von Bund Ländern vom Septemer 2011 die Mindestanforderungen für internationales Cloud-Computing dar, wenn die Anbieter keine Safe-Harbor-Zertifizierung vorweisen können.

Berliner Datenschutzbeauftragter: Gefahren für den Missbrauch von persönlichen Daten sind 2011 erheblich gestiegen

4. April 2012

Der Berliner Datenschutzbeauftragte Dr. Alexander Dix hat in seinem Jahresbericht 2011 auf die stark erhöhte Gefahr eines Missbrauchs bei der Nutzung und Verarbeitung von privaten Daten hingewiesen.

Die Privatsphäre des Bürgers sei insbesondere durch neuartige Überwachungstechniken in Staat und Wirtschaft bedroht. Hier nimmt der Bericht vor allem Cloud-Computing sowie soziale Netzwerke aber auch den Einsatz von sogenannten Staatstrojanern ins Visier.

Unternehmen und Behörden müssten ebenfalls bei der Nutzung von Cloud-Computing die grundsätzlichen Anforderungen an Datenverarbeitungsprozesse, zu denen neben Informationssicherheit etwa auch Kontrollierbarkeit, Transparenz und Beeinflussbarkeit gehörten, erfüllen.

Facebook-Nutzern rät der Datenschutzbeauftragte die Timeline Funktion nicht zu aktivieren oder zumindest die Reichweite in die Vergangenheit zu begrenzen. Zudem sollte es Facebook-Apps und anderen Webseiten verwehrt sein, Einträge ungefragt auf die persönliche Neuigkeiten-Seite zu schreiben.

Im Rahmen der in der Vergangenheit kontrovers diskutierten staatlichen Maßnahmen wie die gesetzliche Verankerung der Online-Durchsuchung und die durch das Bundesverfassungsgericht vorgenommene Abgrenzung zur unzulässigen Quellen-Telekommunikationsüberwachung kommt der Bericht zu dem Ergebnis, dass die “Informationelle Selbstbestimmung, Persönlichkeitsrechte und die sich daraus ergebenden Forderungen für die Freiheit des Einzelnen nach den Vorgaben des Grundgesetzes […] zusehends in die Defensive gegenüber den Interessen des Staates zur Vorbeugung und Verfolgung von Straftaten und zur Gewährleistung von Sicherheit und Ordnung [geraten].”

Eine weitere besondere Herausforderung für den Datenschutz sieht der Datenschutzbeauftragte darin, dass große internationale – vor allem aber US-amerikanische – Unternehmen, wie Google, Apple, Amazon und vor allem Facebook immer größere Mengen an personenbezogenen Daten verarbeiten und speichern ohne dabei das deutsche und europäische Datenschutzrecht hinreichend zu berücksichtigen.

ENISA mahnt zur Vorsicht beim Cloud Computing

23. November 2011

Udo Helmbrecht, Direktor der Europäischen Agentur für Netz- und Informationssicherheit, warnte Medienberichten zufolge vor einer unvorsichtigen Nutzung des Cloud Computings. Gerade mittelständische Unternehmen speicherten sensible Daten in der digitalen Wolke, so Helmbrecht, ohne datenschutzrechtliche Risiken zu beachten. Handele es sich um ausländische Anbieter von Cloud Computing, landeten die Daten möglicherweise in den USA oder anderen Drittstaaten. Dieser Datentransfer verstößt möglicherweise gegen das Bundesdatenschutzgesetz – und birgt damit ungeahnte Risiken für die Unternehmen, die auf das kostensparende Cloud Computing setzen.

Nach Ansicht von Helmbrecht seien die ersten Skandale beim Cloud Computing nur noch eine Frage der Zeit. (ssc)

Können deutsche Unternehmen Cloud-Anbieter mit Sitz in den USA noch nutzen?

10. Oktober 2011

Nachdem bekannt wurde, dass US-Behörden selbst dann Zugriff auf bei US-Cloud-Anbietern gespeicherte Daten erhalten, wenn sich diese auf Servern innerhalb der EU befinden, stellt sich für viele deutsche Unternehmen die Frage, ob es generell noch möglich ist, in datenschutzkonformer Weise mit US-Anbietern zusammenzuarbeiten.

Aus der Orientierungshilfe – Cloud Computing, welche die Arbeitskreise Technik und Medien der Konferenz der Datenschutzbeauftragten des Bundes und der Länder veröffentlicht haben, ergibt sich, dass die deutschen Datenschutzbehörden eine Zusammenarbeit mit US-Cloud-Anbietern nicht generell für unmöglich halten.

Bei der Übermittlung von Daten außerhalb der EU und des EWR kann durch den Cloud-Anwender als verantwortliche Stelle ein ausreichendes Schutzniveau sichergestellt werden, indem Standardvertragsklauseln oder Binding Corporate Rules verwendet werden. Nach Einschätzung der Datenschützer wurden allerdings die spezifischen Regelungen der Auftragsdatenverarbeitung nicht vollständig abgebildet. Daher fordern sie, dass Cloud-Anwender über die Vereinbarung von Standardvertragsklauseln hinaus, die Anforderungen nach § 11 Abs. 2 BDSG erfüllen und entsprechend eine Auftragsdatenverarbeitung vertraglich vereinbaren. Zusammengenommen können diese Maßnahmen dazu führen, dass die Übermittlung durch den Erlaubnistatbestand des § 28 Abs. 1 Satz 1 Nr. 2 BDSG gedeckt ist. Dies alles gilt für die USA ebenso, wie für andere Drittstaat ohne angemessenes Datenschutzniveau.

Wenn eine Verarbeitung personenbezogener Daten durch einen Cloud-Anbieter in den USA erfolgt,  können die Standardvertragsklauseln ebenso wie Binding Corporate Rules entbehrlich sein, falls der Cloud-Anbieter gemäß der Safe-Habor-Grundsätze zertifiziert ist. In Ermangelung einer flächendeckenden Kontrolle der Selbstzertifizierungen durch Kontrollbehörden in Europa und den USA sehen die Datenschützer die Cloud-Anwender in der Pflicht gewisse Mindestkriterien zu prüfen, bevor sie personenbezogene Daten an ein auf der Safe-Harbor-Liste geführtes US-Unternehmen übermitteln. Von den Cloud-Anwendern fordern sie dabei:

  • Sich zu überzeugen, ob das Zertifikat des Cloud-Anbieters noch gültig ist und sich auf die betreffenden Daten bezieht.
  • Zu prüfen, ob der Cloud-Anbieter sich gemäß FAQ 9 Frage 4 des Safe-Harbor-Abkommens zur Zusammenarbeit mit den EU-Datenschutzaufsichtsbehörden verpflichtet hat, falls Beschäftigtendaten verarbeitet werden sollen.
  • Sicherzustellen, dass der Cloud-Anwender vom Cloud-Anbieter alle nötigen Informationen erhält, wenn ein Betroffener eine Anfrag an ihn richtet.
  • Eine schriftliche Vereinbarung zur Auftragsdatenverarbeitung entsprechend § 11 Abs. 2 BDSG zu treffen.

Abschließend halten die Arbeitskreise fest, dass eine Safe-Harbor-Zertifizierung den Cloud-Anwender nicht von der Erfordernis einer Rechtsgrundlage für die Übermittlung (z.B. § 28 Abs. 1 Satz 1 Nr. 2 BDSG) oder seiner Kontrollpflicht analog § 11 Abs. 2 Satz 3 BDSG entbindet.

Diese Anforderungen verdeutlichen einmal mehr, dass datenschutzkonformes Cloud Computing immer noch mit vielen Fallstricken versehen ist. (se)

Wirtschaftsvertreter reagieren auf mögliche Weitergabe von Cloud-Daten an US-Behörden

4. August 2011

Nach der Reaktion der Datenaufsichtsbehörden zu dem Eingeständnis Microsofts, dass US Firmen unter Umständen auch innerhalb Europas gespeicherte Cloud Daten an die US Behörden weitergeben müssen, äußerten sich nach einem Bericht der Financial Times nun auch Unternehmensvertreter zu den Auswirkungen dieser Praxis. IT-Verantwortliche aus Europa gaben demnach bei einer Serie von privaten Financial Times Meetings in Deutschland und der Schweiz bekannt, dass man US Cloud Service Anbieter meiden werde, da nicht einmal sicher gestellt sei, dass man im Falle eines Zugriffs auf die Daten darüber informiert würde. Ein Teil der Befragten wollten daraus die Konsequenz ziehen, auf Cloud-Dienste komplett zu verzichten, während andere Teilnehmer der Meetings lokalen Anbietern den Vorzug geben möchten.

Alan Murphy, der bei F5 Networks für Virtualisierung und Cloud Services zuständig ist, sieht in der zweiten Alternative mehr eine Chance, denn eine Notlösung. Nach Angaben der Financial Times führte er aus, dass gerade auf Grund der Weigerung der europäischen Wirtschaft in Zukunft US basierte Dienste zu nutzen, kleinere lokale Anbieter die Chance erhielten, auf Kosten der bekannten Marktgrößen Kunden zu gewinnen. Dazu müssten die kleinen Anbieter nach seiner Ansicht nur garantieren, dass ihre Cloud Angebote den örtlichen Datenschutzanforderungen entsprechen.(se)

US-Behörden erhalten Zugriff auf Cloud-Daten, die in Europa gespeichert sind

2. Juli 2011

Gordon Frazer, Managing Director bei Microsoft UK, räumte zum Start des Online-Office-Dienstes Office 365 ein, dass US-Behörden auch dann Zugriff auf Daten gewährt werden müsste, wenn diese physikalisch auf europäischen Servern gespeichert sind.

Auf Grundlage des USA Patriot Acts ist ein solcher Zugriff dann nicht auszuschließen, wenn eine Firma ihren Hauptsitz in den USA hat oder alle Anteile von einer US-Mutterfirma gehalten werden. Neben Microsoft sind auch sonstige Internetgrößen wie Amazon, Apple und Google betroffen. Dies wird auch durch die Aussage Frazers, dass weder Microsoft noch andere Firmen die Garantie geben könnten (, dass den US-Behörden kein Zugriff auf die Daten gewährt wird), deutlich.

Nach Möglichkeit würden die Kunden aber von einem solchen Zugriff unterrichtet. Die Einschränkung “nach Möglichkeit” ist notwendig, da bestimmte US-Behörden wie das FBI einen National Security Letter erlassen können, welcher es den betroffenen Stellen verbietet, Informationen über die Anfrage weiterzugeben (sogenannte Gag order).

Insgesamt wurde damit zum ersten Mal eine solche Zugriffsmöglichkeit explizit bestätigt. Unternehmen, die den rechtlichen Anforderungen des Datenschutzes beim Cloud-Computing Genüge tun wollen, kann somit vorerst nur geraten werden, ihre Daten einem europäischen Anbieter anzuvertrauen. (se)

Pages:  1 2
1 2