Zu fragen, „wo“ denn die Cloud ist, ist die „Alles-in-die-Cloud“-Jünger
Blasphemie. Denn das tolle an der Cloud ist ja gerade, dass sie „immer
und überall“ (Erste Allgemeine Verunsicherung) ist. Dabei stimmt das
nicht: Am Ende laden die virtuellen Maschinen dann doch wieder auf
„Kisten“, als ganz physikalischer Hardware, und die muss ja irgendwo
stehen. Und damit spielen die Sicherheitsvorkehrungen des externer
Dienstleister plötzlich eine wichtige Rolle: Denn BDSG §11 verweist die
Verantwortung klar an den Auftraggeber: Der hat zu prüfen, ob der
Auftragnehmer ordentlich arbeitet, zuverlässig ist und den Datenschutz
enthält.
Wer also mit voller Konsequenz auf die Cloud setzt, tut gut daran,
seinem Anbieter auch unter dem Aspekt der Informationssicherheit auf den
Zahn fühlen. Hier einige Punkte, die Sie vor Vertragsabschluss klären
sollten.
Kann der Anbieter eine Vereinbarung zur Auftragsdatenverarbeitung
(nach BDSG) vorlegen? In den nächsten zwei Jahren können Sie ein
„Oops, haben wir noch nicht, erstellen wir aber“ so eben noch
akzeptieren. Es gibt aber trotzdem Minuspunkte. Wer es in zwei Jahren
nicht kann, dem sollten sie den Rücken kehren.
Hat der ISP einen Datenschutzbeauftragten (DSB)? Ein fehlender DSB
ist ein hartes Ausschlusskriterium. Aber Abzüge gibt es auch für einen
DSB, der nicht versteht, wozu Sie die obige Vereinbarung benötigen. Es
mangelt diesem dann offensichtlich am Bewusstsein, was wichtig ist.
Wo liegen die Daten? Nicht jeder ISP hat ein eigenes Rechenzentrum.
Fragen Sie deshalb auf jeden Fall nach, wo er denn seine Services
hostet. Wenn ich bei einem (deutschen) SaaS-Anbieter keinen Hinweis
finden, wo die Daten gehostet werden, werde ich skeptisch. Erst heute
habe ich einen gesehen, der in einer Präsentation vollmundig „PCI DSS
zertifizierte, hochsichere Server“ und „verschlüsselte Backups“
verspricht, sich im Kleingedruckten aber vorbehält, die Daten bei
„externe[n] Hosting-Provider[n]“ zu speichern. Seien Sie neugierig,
fragen Sie nach. Wer technisch versiert ist, kann auch mit Tools wie
nslookup und whois einiges an Erkenntnis gewinnen.
In welchem Rechenzentrum stehen die – physikalischen – Maschinen?
Verlassen Sie sich nicht auf die Versprechungen des Dienstleisters. Ein
Besuch im Rechenzentrum lohnt sich. Ich habe schon AS400 in Toiletten
oder Kartons, Kabelsalat und Holzböden im Rechenzentrum gesehen. Wenn
solche Missstände noch nicht einmal beseitigt werden, wenn Kunden
kommen, sollten Sie auf Abstand gehen. Der Grundschutzkatalog
„Infrastruktur“
gibt hier wertvolle Tipps.
Kann der Anbieter eine Zertifikat nach ISO 27001 vorweisen?
Grundsätzlich ist dieses Zertifikats ein gutes Zeichen. Spricht es doch
dafür, dass sich der Dienstleister mit dem Thema Sicherheit
auseinandergesetzt hat. Aber: Die Zertifizierung belegt zwar, dass der
ISP ein Information Security Management (ISMS) hat, es ist aber damit
weder gewährleistet, dass es funktioniert, noch dass alle Maßnahmen
umgesetzt sind. Achten Sie auch darauf, welcher Teil des Unternehmens
überhaupt zertifiziert wurde. Weitere gute Zeichen sind ein
BSI-Grundschutzzertifikat und Hinweise auf Standardprozesse etwa nach
ITIL.
Es gibt viele Anbieter auf dem Markt. Die erhöhte Nachfrage nach
Rechenzentrumskapazität durch die Cloud hat einen Wettbewerb ausgelöst,
der von den Großen wie Micorosoft, Google, 1&1 oder Amazon mit
gewaltiger Marketingmacht geführt wird. Das heißt aber noch lange nicht,
dass sie mit einem dieser Giganten auf der sicheren Seite sind,
respektive, dass er zu Ihnen passt. Oft ist die bessere Wahl – vor allem
für Mittelständler – sich einen guten, bewährten mittelständischen ISP
als Partner zu suchen, der mit Ihnen auf Augenhöhe diskutiert und Ihre
Bedürfnisse kennt. Prüfen Sie also, fragen Sie – aber nehmen Sie bitte,
bitte nicht den Nächstbesten – auch nicht wenn er Google oder Microsoft
heißt.
Wenn Sie Unterstützung bei der Auswahl, der Untersuchung oder den
Gesprächen brauchen, sprechen Sie mich an :-)
