Cloud-Computing lohnt sich meist nicht

NIFIS: Cloud-Computing lohnt sich meist nicht

Viele Firmen sind auf MegaUpload hereingefallen, ohne die Gefahr zu ahnen

Frankfurt am Main, 17. November 2012 – Cloud-Computing lohnt sich für die Wirtschaft in der Regel nicht, weil der dafür notwendige Aufwand zur Identifizierung der in der Cloud speicherbaren Daten höher ist als die Kostenersparnis durch die Auslagerung auf einen externen Dienstleister. Diese Auffassung vertritt die NIFIS Nationale Initiative für Informations- und Internet-Sicherheit e.V. (www.nifis.de). „Jedes Unternehmen muss genau prüfen, welche Daten so sensibel sind, dass sie nicht in die Cloud gehören und welche Cloud-fähig sind. Diese Klassifizierung nach sensiblen Daten, wie z.B. personenbezogenen Daten, hat regelmäßig zu erfolgen, jedes Mal, wenn ein neuer Dienst „in die Cloud“ gehen soll – und das ist nur mit einem erheblichen Aufwand möglich“, erklärt NIFIS-Vorstandsmitglied Mathias Gärtner. Nach Einschätzung der Nationalen Initiative für Informations- und Internet-Sicherheit gibt es derzeit kein zuverlässiges automatisiertes Verfahren, um sensible von Cloud-geeigneten Daten gemäß den Anforderungen der deutschen Datenschutzgesetzgebung zu separieren.

Der NIFIS-Vorstand verweist auf die Schwierigkeiten, die praktisch alle Firmen heute schon bei der gesetzlich vorgeschriebenen E-Mail-Archivierung hätten, zwischen geschäftskritischen (z.B. nach handelsrechtlich oder steuerrechtlich relevanten Daten), unwichtigen und privaten E-Mails zu unterscheiden. „Die für gesetzestreues Cloud-Computing erforderliche Klassifizierung nach geeigneten und nicht geeigneten Daten ist noch schwieriger als bei der E-Mail-Archivierung und daher nach heutigem Stand der Technik nicht automatisierbar. Sobald man jedoch den manuellen Bearbeitungsaufwand einkalkuliert, lohnt sich Cloud-Computing in der Regel schlichtweg nicht“, erläutert Mathias Gärtner.

Eine Erklärung des Cloud-Anbieters, dass die Datenzentren in Europa stünden und somit den Datenschutzrichtlinien der Europäischen Union genügten, hebt die Notwendigkeit zur Klassifizierung meistens nicht auf, betont der NIFIS-Vorstand. Insbesondere bei US-Anbietern oder Anbietern die in den USA „substantial businesses“ betreiben, sei Vorsicht geboten, weil sich die US-Regierung bei amerikanischen Firmen selbst dann den Zugriff auf die Server erlaubt, wenn diese im Ausland, also beispielsweise in der EU, stehen. Zudem weist Mathias Gärtner auf die Gefahr des Cloud-Ausfalls aus technischen oder rechtlichen Gründen hin. Als Beispiel nennt er den von den Behörden geschlossenen Anbieter MegaUpload: „Viele Unternehmen hatten Firmendaten auf MegaUpload ausgelagert. Nach der Beschlagnahmung des Dienstes waren diese Daten schlichtweg nicht mehr verfügbar. Im Zweifel haftet jedoch stets der Vorstand oder Geschäftsführer des Unternehmens, das seine Daten egal wohin ausla gert“, betont NIFIS-Vorstand Mathias Gärtner.

NIFIS Nationale Initiative für Informations- und Internet-Sicherheit e.V. ist eine neutrale Selbsthilfeorganisation, die die deutsche Wirtschaft im Kampf gegen die täglich wachsenden Bedrohungen aus dem Netz technisch, organisatorisch und rechtlich unterstützen möchte. Vornehmliches Ziel der Arbeit der unter dem Dach der NIFIS organisierten Gremien ist es, Vertraulichkeit, Verfügbarkeit und Integrität sowie den sicheren Transport von Daten in digitalen Netzwerken sicherzustellen. Dazu entwickelt die NIFIS seit ihrer Gründung im Jahr 2005 unterschiedliche Konzepte und setzt diese in pragmatische Lösungen um. Zu den Schwerpunkten der Tätigkeit zählen die aktive Kommunikation und die Bereitstellung von Handlungsempfehlungen und Dienstleistungen.