Was passiert mit Firmendaten in der Cloud beim Konkurs des Anbieters?

München – End of Live – der Consumer-Cloud-Dienst Wuala wird seinen Betrieb einstellen. Was für private Anwender dank der Vorankündigung nur ärgerlich und arbeitsintensiv ist, ist für eine Firma ein größeres Risiko und ein erheblicher Kosten- und Zeitfaktor. Aber auch im boomenden Markt für Business-Clouds tummeln sich (zu) viele Wettbewerber. Die Folge: Der Markt dürfte sich im Laufe der nächsten Jahre konsolidieren. Doch was wird aus Unternehmensdaten, die auf Servern eines eingestellten Dienstes liegen? Wie sicher sind die Daten dann noch? Und welche Garantien gibt es, dass nach Schließung weiterhin alle organisatorischen Sicherheitsmaßnahmen eingehalten werden? Ist ein Dienst erst verschwunden, lässt sich kaum herausfinden, wer vielleicht die Daten von Kunden nicht geschützt oder sie sogar zu Geld gemacht hat.

Da bei Wuala gar keine Verarbeitung der Daten in der Cloud vorgesehen war, lediglich Daten Ende-zu-Ende verschlüsselt abgespeichert wurden, stellen sich solche Fragen glücklicherweise nicht in der Härte. Doch bei vielen anderen Diensten, die Daten verarbeiten müssen, ist es durchaus ein Thema, dass der Schutz durch organisatorische Maßnahmen, die allein Menschen ausführen und einhalten, eine risikoreiche Sicherheitslücke darstellen können. Eine technische Vorrichtung hingegen ist weder geldgierig noch bestechlich noch erpressbar. Deshalb sollte der technische Schutz von Unternehmensdaten Hauptaugenmerk jeder Cloud-Lösung sein, die ein Unternehmen ins Auge fasst. Die deutsche IT-Sicherheitsfirma Uniscon hat aus diesem Grund die mittlerweile in den USA und der EU patentierte Sealed-Cloud-Technologie entwickelt und kann mit ausschließlich technischen Maßnahmen sicherstellen, dass nur Nutzer auf Daten zugreifen können, die in der Sealed Cloud verarbeitet werden.

Wie können Firmen für den Ernstfall vorsorgen?

Bei Abschluss eines Cloud-Vertrages müssen Kunde und Anbieter klar regeln, was im Falle einer Insolvenz oder eines Verkaufs des Dienstleisters mit den Unternehmensdaten passiert. Denn nicht zuletzt die NSA-Skandale haben gezeigt, wie wertvoll Daten von Unternehmen und Behörden für andere Unternehmen und Behörden sind.

Daten, die für Menschen einsehbar sind, lassen sich auch weitergeben: Sobald Daten verarbeitet werden, liegen sie in den Verarbeitungsservern unverschlüsselt vor und können vom Betreiber eines Dienstes eingesehen werden. Deshalb versuchen Cloud-Dienst-Betreiber die Server mit organisatorischen Maßnahmen abzusichern. Daten, die ausschließlich von einer technischen Vorrichtung geschützt verarbeitet werden, sind jedoch selbst vom Zugriff des Betreibers geschützt. Bei der technisch versiegelten Cloud von Uniscon sind demnach auch einem neuen Betreiber des Dienstes oder der Serverfarmen die Daten unzugänglich. Denn die Sicherheitsroutinen und die Sicherheitstechnik kann man rückwirkend nicht ändern. Unternehmen können sich also in jedem Fall sicher sein, dass kein Dritter auf die sensiblen Daten zugreifen wird, weil es technisch gar nicht möglich ist. Bevor ein Zugriff auf das System und die Daten überhaupt erfolgen kann, werden alle Daten mit nutzerindividuellen Schlüsseln verschlüsselt gesichert, alle unverschlüsselten Daten löschen sich spurlos. Diese vom Hersteller entwickelte Betreibersicherheit geht an den neuen Eigentümer über. Selbst, wenn das Datencenter aufgelöst würde, beispielsweise durch die Insolvenz eines Unternehmens, bleiben die Daten in der Sealed Cloud versiegelt.

Wenn die Daten wie beim Kommunikationsdienst IDGARD von Uniscon in Standardformaten vorliegen, dann ist auch die Portabilität gewährleistet. Kunden haben daher genügend Zeit, die Daten zu sichern oder an einen anderen Dienst zu übertragen. Nach drei Monaten löscht das System die Daten – rechtlich nachweisbar – spurlos und nicht wiederherstellbar.

Quelle: Uniscon GmbH