News

Ausgezeichnet: Die wichtigsten Cloud-Zertifikate

Mehr als die Hälfte der mittelständischen Unternehmen arbeitet mittlerweile in der IT-Wolke. Wie gut die Anbieter mit dem Schutz und der Sicherheit der ihnen anvertrauten Daten umgehen, bescheinigen Cloud-Zertifikate.

Cloud-Computing ist im Mittelstand angekommen. Mit Lösungen aus der Wolke arbeiten die Unternehmen flexibler, mobiler und effizienter: Sie beziehen nach Bedarf IT-Leistungen wie Speicherplatz, Rechenkapazitäten oder Software über das öffentliche Internet oder das unternehmens- sowie organisationsinterne Intranet und können die Anwendungen überall nutzen. Nach Ergebnissen des „Cloud Monitors 2015“ von KPMG in Zusammenarbeit mit dem Digitalverband Bitkom setzt bereits jedes zweite mittelständische Unternehmen bis 499 Mitarbeiter Cloud-Lösungen ein, bei Unternehmen mit mehr als 500 Mitarbeitern sind es sogar 70 Prozent.

Skeptisch sind aber nach wie vor Unternehmen, welche die Datenwolke noch nicht im Einsatz haben. Als Grund für ihr Zögern nennen sie „Angst um die Sicherheit der Daten und Anwendungen“, wenn sie diese außer Haus geben. Um diese Bedenken zu zerstreuen, setzen Anbieter auf die unabhängige Beurteilung der Qualität ihrer Produkte. Am bekanntesten sind die Zertifikate nach ISO 27001 in Sachen Sicherheitsmanagement oder ISO 22301 in puncto hohe Verfügbarkeit.

Gütesiegel von unterschiedlicher Qualität

Neben den beiden ISO-Standards gibt es auch einige von der Industrie getriebener Zertifizierungen wie etwa von der Cloud Security Alliance (CSA). „Solche Zertifikate decken jedoch nicht immer alle Aspekte ab, die beim Cloud Computing wichtig sind“, heißt es vom Bundesamt für Sicherheit in der Informationstechnik. Sie gewährleisten beispielsweise nicht, dass automatisch alle geschäftlichen Beziehungen mit dem Anbieter das Sicherheitsniveau liefern, das das Unternehmen benötigt. Die CSA etwa bietet das Certificate of Cloud Security Knowledge an, das grundlegende Kenntnisse zu Sicherheitsfragen von Clouds bescheinigt. Eine Compliance-Aussage zum deutschen Datenschutz ist damit aber nicht gegeben. „Wichtig ist daher, darauf zu achten, dass der Anbieter transparente Angaben zum Speicherort der Daten und zu den beteiligten Subunternehmern bei der Serviceunterbringung macht“, rät Andreas Weiss, Direktor Eurocloud Deutschland_eco.

Das Spektrum der Organisationen, die Cloud-Security-Audits anbieten, reicht von Branchenverbänden und Prüforganisationen über akkreditierte Unternehmen, die managementsystem-orientiert prüfen, bis hin zu Initiativen, die mit selbst entwickelten Zertifikaten arbeiten. Zu den bekannten Anbietern zählen der TÜV Rheinland, der BSI, Eurocloud und Cloud Ecosystem. „Unternehmen sollten immer nachfragen, auf welchen Anforderungen das Zertifikat basiert“, rät Olaf Siemens, Executive Vice President ICT & Business Solutions TÜV Rheinland. Seriöse Anbieter legen ihre Prüfkriterien auf Anfrage offen. „Es gibt Prüfkataloge, die auf Marktmasse ausgelegt sind, aber die Prüftiefe sehr stark vernachlässigen“, führt er aus.

Der Knackpunkt bei derzeitigen Zertifikaten: Ihr Gültigkeitszeitraum liegt zwischen einem und drei Jahren. Innerhalb dieses Zeitraums können sie jedoch auch ihre Gültigkeit verlieren, zum Beispiel wenn zentrale Hardwarekomponenten oder Softwaremodule ausgetauscht werden. Um diese kontinuierliche Überprüfung der Sicherheitsrisiken künftig zu ermöglichen, fördert das Bundesministerium für Bildung und Forschung (BMBF) mit dem Projekt „Next Generation Certification – NGCert“ die Entwicklung von Grundlagen und Verfahren für eine sogenannte dynamische Zertifizierung von Cloud-Diensten. Das Projekt, an dem ein Konsortium aus Universitäten, Verbänden und Wirtschaftsunternehmen unter der Leitung des Fraunhofer AISEC forscht, ist Teil des Themenfelds „Forschung für Sicheres Cloud Computing“ im Rahmen der Hightech-Strategie der Bundesregierung.

Das erklärte Ziel: Voraussichtlich bis 2017 soll ein dynamisches Gütesiegel auf den Markt kommen. Doch auch dann bleibt die Verantwortung für personenbezogene Daten letztendlich immer beim Nutzer, also dem Unternehmen, hängen. „Bevor es an die Auswahl des passenden Anbieters geht, sollte intern geklärt werden, welche Daten und Services man in die Cloud bringen will. Daraus leiten sich die Anforderungen an die Zertifikate in puncto Sicherheit, Qualität und Datenschutz ab“, erklärt Cloud-Experte Siemens. Ein vorangehender interner Strategieprozess ist deshalb unerlässlich.

Weitere Informationen