Die Cloud als sichere Alternative - warum der Betrieb eines eigenen Servers immer riskanter wird
"Denn was man schwarz auf weiß besitzt, kann man getrost nach Hause tragen" – so steht es schon in Goethes „Faust“ und nach diesem Motto handeln auch die meisten deutschen Mittelständler, wenn sie ihre Daten auf einem Server im eigenen Hause speichern. Immer mehr Personalberatungen rechnen allerdings Kosten und Risiken gegen und kommen zu dem Schluss, dass eine Cloud-Lösung die günstigere und zugleich sicherere Alternative darstellt. Die Gründe sind vielschichtig und werden immer zahlreicher.
96 Seiten umfasst allein der vom Bundesamt für Sicherheit in der Informationstechnik (BSI) herausgegebene „Leitfaden zur Basis-Absicherung nach IT-Grundschutz“ mit einer Einführung in die minimalen Anforderungen an Verwaltung und Unternehmen, sensible Daten zu schützen und abzusichern. Beschrieben sind darin etwa organisatorische und personelle Sicherheitsaspekte oder die Absicherung von Anwendungen und Diensten, aber auch der baulich-technischen Gegebenheiten. In der europäischen Datenschutz-Grundverordnung EU-DSGVO finden sich analoge Vorgaben, dort als technisch-organisatorische Maßnahmen bezeichnet, die über die Zeit immer weiter konkretisiert und verschärft werden.
Einfalltore vermeiden – physisch wie digital
Natürlich kann man einen eigenen Server betreiben, ohne sich um diese Anforderungen zu kümmern. Auch heute kommen dafür mancherorts noch gewöhnliche PCs zum Einsatz, die einfach irgendwo im Büro stehen, wo gerade Platz ist – vielleicht gar in den Sanitärräumen oder im Wartebereich – so dass die Geräte von jedermann eingesehen oder entwendet werden können. Und spätestens dann fangen die Probleme an: Kommen nämlich personenbezogene Daten, etwa von Bewerbern, abhanden (beispielsweise bei einem Einbruch), muss der Verlust nach Art. 33 EU-DSGVO unverzüglich, spätestens nach 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden – einschließlich der getroffenen Schutzmaßnahmen. Wer nicht nachweisen kann, die geforderten Präventivmaßnahmen erfüllt zu haben, sollte auf schwierige Fragen vorbereitet sein.
Ähnlich kritisch kann es bei einem digitalen Einbruch werden, gegen den auch sichere Server-Räume allein nicht helfen. Reichen die digitalen Schutzkonzepte nicht aus, Angreifer aus dem Unternehmensnetzwerk fernzuhalten, sind schnell sämtliche Daten gestohlen – oder in Geiselhaft genommen: Seit einiger Zeit häufen sich neuartige Hacker-Angriffe, die Daten abschöpfen oder verschlüsseln und erst gegen Lösegeld wieder freigeben. Meist genügt der Befall eines einzigen Arbeitsplatzrechners, damit sich die Schadsoftware im ganzen Unternehmen ausbreiten kann. Dann sind grundsätzlich auch alle Datensicherungen betroffen, die über das lokale Netzwerk erreichbar sind.
Kein Wunder, dass immer mehr Unternehmen sich entscheiden, diese Risiken nicht mehr selbst zu tragen und den erheblichen Aufwand für die Absicherung von Servern und Netzwerken an externe Rechenzentren abzugeben. Hier gibt es eigene Sicherheitsexperten, die sich ausschließlich um die physische wie logische Absicherung der Daten kümmern und alle denkbaren Abwehrmaßnahmen realisieren. Sicherheitspatches und Updates werden stets aktuell eingespielt und selbst wenn das gesamte Rechenzentrum zerstört wird, sorgt geografische Redundanz dafür, Datenverluste und Produktivitätsausfälle zu vermeiden.
Das bessere Rechenzentrum ist die Cloud
Noch besser als ein klassischer Rechenzentrumsbetrieb ist dabei die Nutzung von „Software as a Service“ aus der Cloud – auch, aber nicht nur aus Sicht des Datenschutzes. Immerhin arbeiten Cloud-Anwendungen in aller Regel als Web- oder mobile Apps ohne nennenswerte lokale Datenspeicherung. Das hat den Vorteil, dass keine umfangreiche Software auf den Arbeitsplatzrechnern installiert und regelmäßig aktualisiert werden muss, was mehr Flexibilität bei der Gerätenutzung bedeutet und den Administrationsaufwand im eigenen Betrieb weiter senkt. Zugleich ist damit aber auch natürlicherweise das Risiko des Verlustes sensibler Daten begrenzt, wenn einmal Arbeitsplatzrechner aus dem Büro gestohlen werden, ein Laptop in der Sicherheitskontrolle am Flughafen liegen bleibt oder ein Mobiltelefon verloren geht. Logisch separierte Netzwerke und hochsicher betriebene IT-Systeme reduzieren die Risiken zusätzlich.
So sinnvoll der Betrieb einer Recruiting-Lösung aus einem hochsicheren Rechenzentrum in der Cloud also auch erscheint, bleibt doch die entscheidende Frage, welchen Preis man für die gewonnene Qualität und Sicherheit zahlen muss. Die überraschende Antwort: weniger als für den lokalen Server. Denn vom redundanten Betrieb über das Netzwerkmanagement bis hin zu Backups und Wartungsarbeiten treibt der Cloud-Provider zwar einen viel höheren Aufwand als ein Einzelunternehmen. Aber dieser Aufwand verteilt sich auf die Vielzahl von Kunden, von denen jeder nur für die Leistung zahlen muss, die er in Anspruch nimmt.
Geregelt wird das in einem Service-Level-Agreement (SLA), das festlegt, welche Leistungen mit welcher Verfügbarkeit (bei guten Anbietern bis zu 99,98%) zur Verfügung gestellt werden, und einem Vertrag zur Auftragsdatenverarbeitung, mit dem der Kunde seine Pflichten zum Datenschutz rechtskräftig an den Cloud-Betreiber weitergibt. So liegt die Verantwortung in kompetenten Händen, der Management-Aufwand ist outgesourct und der Anwender kann sich voll und ganz auf sein eigentliches Geschäft konzentrieren – etwa das Recruiting.