TÜV-geprüfte Cloud

Nach einer umfassenden Prüfung hat Fabasoft für seine Cloud-Services das Zertifikat "Certified Cloud Services" erhalten. [...]

Die technische und wirtschaftliche Sinnhaftigkeit von Cloud-Services zweifelt inzwischen wohl niemand mehr an. Was das Vertrauen in die Datensicherheit angeht, gibt es hingegen noch massive Zweifel auf Anwenderseite – nicht zuletzt aufgrund der Geheimdienst-Enthüllungen von Edward Snowden.

Fabasoft setzt sich aus diesem Grund schon seit einiger Zeit für die Vertrauensbildung in Sachen „Cloud-Services made in Europe“ ein und gibt beispielsweise für Daten, die in der derzeit für die DACH-Region angebotenen Fabasoft-Cloud gespeichert werden, eine Standortgarantie ab: „Bei uns können sich die Anwender aussuchen, ob ihre Daten in Wien, Nürnberg oder in Attinghausen gespeichert werden, und es ist auch möglich, die Daten selbstständig zwischen diesen Standorten zu verschieben“, erklärt Karl Mayrhofer, Geschäftsführer der Fabasoft Cloud GmbH, im Gespräch mit der COMPUTERWELT.

Um noch mehr Vertrauen auf Anwenderseite zu schaffen, hat Fabasoft sein Cloud-Angebot nun vom TÜV Rheinland prüfen lassen. Das Zertifikat „Certified Cloud Services“ bescheinigt für drei Jahre offiziell die hohe Qualität und Sicherheit der Fabasoft Cloud-Services. „Das von uns ausgestellte Zertifikat bestätigt Anwendern, dass die Fabasoft Cloud die Aspekte der Sicherheit, der Funktionalität und der Interoperabilität sowie des Datenschutzes und weiterer rechtlicher Ansprüche erfüllt“, erklärt Hendrik Reese, Principal Consultant bei der TÜV Rheinland i-sec Gmbh. Fabasoft ist damit das achte Unternehmen insgesamt und das erste österreichische Unternehmen, das dieses Zertifikat vom TÜV Rheinland erhalten hat, und befindet sich damit in Gesellschaft von Konzernen wie T-Systems International oder Vodafone Group Services.

Das Zertifikat weist nach, dass die Fabasoft-Angebote im Bereich Cloud-Infrastruktur und Cloud-Applikation folgende Ziele erreicht haben: sicheres Hosting von Daten, sichere Datenübertragung, sicherer Betrieb von unternehmenskritischen Anwendungen, Qualität und Verfügbarkeit der Serviceerbringung, hohe Service-Kontinuität, hohe on-demand Skalierbarkeit, Sicherheit und Qualität des Datenzugriffs und der Datenspeicherung, sichere Anmeldeverfahren und Berechtigungssysteme zur Steuerung des Datenzugriffs auf Netzwerkebene sowie Schutz vor Angriffen nach dem neuesten Stand der Technik.

Laut Reese ist die Hürde, die Fabasoft für den Erhalt des Zertifikats überspringen musste, „eine sehr hohe“, denn Basis für die Prüfung ist ein eigens vom TÜV Rheinland entwickelter, umfassender Anforderungskatalog für Sicherheit und Compliance. „Certified Cloud Services“ orientiert sich an den hohen Anforderungen des deutschen Bundesdatenschutzgesetzes, am Informationssicherheitsmanagement nach ISO 27001 und am IT-Grundgesetz des BSI. „Wir haben über ein Jahr gebraucht, um intern alle für so eine Prüfung notwendigen fachlichen Kompetenzen aufzubauen“, erklärt Reese.

TYPISCHE SCHWACHSTELLEN
Als typische Schwachstellen von Cloud-Services haben sich nach den Erfahrungen von Reese vor allem zwei Aspekte herauskristallisiert: „Zum einen ist bei vielen Cloud-Services die Mandantenfähigkeit nicht sauber gelöst.“ Damit besteht die Gefahr, dass Kunden eines Cloud-Providers unter Umständen Zugriff auf Daten anderer Kunden dieses Providers haben. Die zweite weitverbreitete Sicherheitslücke bei Cloud-Services sind Self-Service-Portale: „Ist ein solches Portal angreifbar, dann ist damit das ganze Cloud-Service verwundbar“, sagt Reese.

Bei der Prüfung der Fabasoft-Cloud hat der TÜV Rheinland „eine gröbere Sicherheitslücke gefunden“, die jedoch sofort nach der Aufdeckung geschlossen wurde. Auf Nachfrage der COMPUTERWELT wollten jedoch „auf  Grund von Sicherheitsgründen“ weder Reese noch Mayrhofer nähere Auskünfte zur Schwachstelle geben. Auskunftsfreudiger ist der Fabasoft-Cloud-Geschäftsführer bei der Frage, warum sich sein Unternehmen ausgerechnet an den TÜV Rheinland gewendet hat: „Weil diese Zertifizierung von der EU im Bereich Cloud als führend eingestuft wird.“ (oli)