Welches Prüfsiegel macht eine Cloud wirklich sicher?

Immer mehr Fachbereichsleiter evaluieren und budgetieren in ihrem Verantwortungsbereich Public Cloud Services. Häufig hat man es aber im Zuge der Umsetzung intern mit Cloud-Skeptikern als Gegenüber zu tun, die sich schwer tun zu entscheiden, welcher Cloud-Anbieter die firmeneigenen Daten „behüten“ soll. Abhilfe bei der Qual der Wahl können hier unabhängige Zertifikate schaffen, ist Andreas Dangl, Business Unit Executive Cloud Services bei Fabasoft, überzeugt. Ein Gastkommentar. [...]

Wie eingangs erwähnt evaluieren und budgetieren immer mehr Fachbereichsleiter  in ihrem Verantwortungsbereich Public Cloud Services (IDC-Studie „Cloud Computing in Deutschland 2017“). Häufig hat man es aber im Zuge der Umsetzung intern mit Cloud-Skeptikern als Gegenüber zu tun, bei denen enorme Aufklärungsarbeit geleistet werden muss. Welche Vorteile die Cloud mit sich bringt, ist meist schnell geklärt, welcher Cloud-Anbieter hingegen die firmeneigenen Daten „behüten“ soll, ist letztendlich schwieriger zu entscheiden. Abhilfe bei der Qual der Wahl können hier unabhängige Zertifikate oder Testate schaffen, die Transparenz beglaubigen und Vertrauen erwecken. Und immerhin ist für 57 Prozent aller Kunden das ausschlaggebende Argument bei der Auswahl eines Cloud-Providers die Vertrauenswürdigkeit (IDG „Cloud Security Studie“). Spektakuläre Cyberattacken auf Dienste wie Twitter, Yahoo, Soundcloud und Co. haben ihr übriges zu einem erhöhten Sicherheitsbedürfnis beigetragen. Zu dem gesellen sich zunehmende gesetzliche Regulierungen und steigende Sicherheitsanforderungen innerhalb der EU (siehe auch Blogartikel von Andreas Dangl „5 Cloud-Megatrends 2018“). Bleibt also die Frage zu klären: Woran erkennt man glaubwürdige Zertifikate?

Geprüfte Anbieter garantieren Sicherheit

Anknüpfungspunkte für eine erste Bestandsaufnahme sind die Eigendarstellung der Zertifikatsanbieter im Internet, die Zahl der vergebenen und genutzten Zertifikate sowie die Liste der Unterstützer und Partner. Cloud–Experten wissen: der größte Unterschied besteht darin, ob Labels nach einem Self-Assessment vergeben werden oder einem externen Audit unterliegen. Bei Self-Assessments wird das Gütesiegel nur anhand einer Selbstauskunft vergeben. Der Kunde muss demnach darauf vertrauen, dass der Anbieter die Kriterien wirklich erfüllt und deren Einhaltung sicherstellt. Bei einem externen Audit überprüft ein Angehöriger einer unabhängigen Zertifizierungsorganisation, ob hinreichende Voraussetzungen hinsichtlich der Qualität und der Sicherheit von Cloud–Services gegeben sind. Noch einen Schritt weiter gehen Prüfungen, bei denen der Cloud-Anbieter nicht nur am Tag des Audits bestehen muss, sondern wo alle Kriterien den Kunden vertraglich zugesichert werden – also rund um die Uhr, an jedem Tag des Jahres. Dann sind Themen wie Sicherheit, Privacy by Design und Transparenz nachhaltig in der ganzen Firma, in allen Dienstleistungen und in allen Prozessen verankert – also auch bei der Geschäftsführung und im Vorstand.

Wem nun vertrauen?

Mit dem C5-Testat, abgekürzt für „Cloud Computing Compliance Controls Catalogue“, hat das Bundesamt für Sicherheit in der Informationstechnik genau so einen neuen Maßstab in Sachen Sicherheit und Transparenz gesetzt. Als Auditoren kommen Wirtschaftsprüfer wie KPMG oder PwC zum Einsatz, die direkt vom Cloud-Provider beauftragt werden. So will das BSI eine Unabhängigkeit des Zertifikats sichern. Weltweit halten nur fünf Unternehmen dieses Zertifikat – der österreichische Cloud-Anbieter Fabasoft ist der erste europäische Anbieter, der alle 114 technischen und organisatorischen Anforderungen des BSI vollständig erfüllt und diese den Kunden auch vertraglich zusichert.

Des Weiteren gibt es eine Reihe von ISO-Zertifizierungen, die ebenso für eine hohe Qualität von Cloud–Diensten bürgen. Anerkannt ist die ISO-Zertifizierung nach ISO/IEC 27001, die auch beim IT-Grundschutz-Zertifikat des BSI berücksichtigt wird. 2014 führte die International Organization for Standardization (ISO) die Erweiterung ISO/IEC 27018:2014 ein, die auf Cloud–Dienste abgestimmt ist und den Datenschutz in der Cloud regelt. Besonders wertvoll für Kunden ist das Zertifikat ISO 20000-1, das vor allem auf die Bedürfnisse und Anforderungen der Kunden ausgerichtet ist. Die Zielsetzung hierbei lautet: höchstmögliche Qualität bei IT–Services. Last but not least: das vom TÜV Rheinland vergebene Zertifikat für „Certified Cloud Services“ qualifiziert Cloud-Anbieter durch interne und externe Analysen der technischen, physikalischen und organisatorischen Sicherheitsmaßnahmen.

Die „Stars“ unter den Cloud-Services

2016 wurde von der unabhängigen Non-Profit-Organisation EuroCloud Star (ECSA) zum ersten Mal weltweit eine 5-Sterne-Zertifizierung vergeben. Fabasoft erhielt als bislang einziges Cloud–Service mit 5 Sternen die höchste Auszeichnung und wurde damit zur sichersten Cloud der Welt gekürt. Für Cloud-Nutzer hat diese Zertifizierung die Bedeutung einer Versicherungspolice gegen Datenmissbrauch. Das Besondere daran: bei der Überprüfung wird die gesamte Wertschöpfungskette ins Visier genommen.

Worauf sollten Sie also bei Zertifikaten achten?

• Unabhängigkeit der Zertifizierungsorganisation
• Unterschied zwischen Self-Assessments und externen Audits beachten
• Vertraglich verankerte Kriterienkataloge wie z. B. das C5-Testat des BSI
• ISO-Standards

*Andreas Dangl ist Business Unit Executive Cloud Services bei Fabasoft, einem europäischen Cloud-Anbieter für Business-to-Business-Collaboration „Made in Europe“.