Sind Unternehmensdaten in der Cloud wirklich sicher?
Warum der Speicherort allein noch nichts darüber aussagt, wie gut Ihre Daten geschützt sind.
„Sind unsere Daten in der Cloud wirklich sicher?“
Diese Frage stellen sich viele Geschäftsführer, wenn sie darüber nachdenken, ihre Unternehmens-IT künftig außerhalb des eigenen Betriebs zu betreiben.
Die Sorge ist verständlich.
Unternehmensdaten gehören zu den wichtigsten Grundlagen des Geschäftsbetriebs. Kundendaten, Aufträge, Kalkulationen, Verträge und interne Informationen müssen geschützt und bei Bedarf verfügbar sein.
Wer solche Daten bisher auf eigenen Servern gespeichert hat, empfindet es möglicherweise als Kontrollverlust, sie einem externen Anbieter anzuvertrauen.
Doch bedeutet ein Server im eigenen Unternehmen automatisch mehr Sicherheit?
Und ist eine professionelle Cloud-Umgebung grundsätzlich besser geschützt?
Die entscheidende Frage lautet nicht allein, wo ein Server steht, sondern welche Maßnahmen Ihre Daten tatsächlich schützen.
Sind Daten auf einem eigenen Server sicherer?
Ein eigener Server vermittelt zunächst ein Gefühl von Kontrolle.
Die Hardware steht im Unternehmen.
Man weiß, wo sich die Daten befinden.
Und die Geschäftsführung entscheidet, wer Zugang zu den Räumen erhält.
Das sind nachvollziehbare Argumente.
Allerdings bedeutet die räumliche Nähe zum Server nicht automatisch, dass die gespeicherten Daten gut geschützt sind.
Denn auch eigene Server können durch Schadsoftware, unberechtigte Zugriffe, technische Defekte oder Bedienungsfehler beeinträchtigt werden.
Entscheidend ist deshalb, wie die Systeme eingerichtet, abgesichert und laufend betreut werden.
Dazu gehören beispielsweise regelmäßige Sicherheitsaktualisierungen, geeignete Zugriffsrechte und eine funktionierende Datensicherung.
Ein eigener Server kann sehr sicher betrieben werden. Er wird aber nicht allein dadurch sicher, dass er im eigenen Unternehmen steht.
Ist eine Cloud grundsätzlich sicherer?
Auch diese Frage lässt sich nicht pauschal beantworten.
Professionelle Cloud-Anbieter betreiben ihre Infrastruktur in dafür vorgesehenen Rechenzentren.
Dort können umfangreiche Maßnahmen für den physischen Schutz und den zuverlässigen Betrieb umgesetzt werden.
Dazu gehören beispielsweise kontrollierte Zutritte, geeignete Stromversorgung und technische Überwachung.
Solche Rahmenbedingungen lassen sich in einem kleineren Unternehmen nicht immer mit vertretbarem Aufwand selbst schaffen.
Allerdings schützt ein gut gesichertes Rechenzentrum nicht automatisch vor allen Gefahren.
Wenn Benutzerkonten unzureichend geschützt sind, Berechtigungen falsch vergeben werden oder Sicherheitsaktualisierungen ausbleiben, können auch Cloud-Systeme angreifbar sein.
Eine professionelle Infrastruktur schafft wichtige Voraussetzungen für Sicherheit. Die tatsächliche Sicherheit hängt jedoch auch von der Konfiguration und dem laufenden Betrieb ab.
Wer ist in der Cloud für die Sicherheit verantwortlich?
Eine häufige Fehlannahme lautet:
Wenn die Server in der Cloud stehen, kümmert sich der Anbieter automatisch um sämtliche Sicherheitsfragen.
So einfach ist es nicht.
Bei einer Cloud-Lösung sind die Verantwortlichkeiten aufgeteilt.
Der Infrastrukturbetreiber ist für die vereinbarten Leistungen seiner technischen Plattform verantwortlich.
Dazu können beispielsweise der Betrieb des Rechenzentrums und die Bereitstellung der gebuchten Infrastruktur gehören.
Andere Aufgaben müssen gesondert geregelt werden.
Dazu zählen je nach Betriebsmodell beispielsweise:
Verwaltung von Benutzern und Zugriffsrechten
Sicherheitsaktualisierungen der eingesetzten Systeme
Schutz der Anwendungen
Datensicherung und Wiederherstellung
Überwachung und Bearbeitung von Sicherheitsvorfällen
Betreuung der Mitarbeiter bei Problemen
Diese Aufgaben können beim Unternehmen selbst oder bei einem beauftragten IT-Dienstleister liegen.
Welche Leistungen der Cloud-Anbieter tatsächlich übernimmt, ergibt sich aus den jeweiligen Verträgen.
Cloud bedeutet deshalb nicht, sämtliche Verantwortung abzugeben. Entscheidend ist, die Aufgaben und Zuständigkeiten klar und überprüfbar zu verteilen.
Welche Gefahren bestehen für Unternehmensdaten?
Unabhängig davon, ob Daten auf eigenen Servern oder in der Cloud gespeichert werden, bestehen unterschiedliche Risiken.
Unberechtigte Zugriffe
Wenn Zugangsdaten gestohlen werden oder Benutzer zu weitreichende Berechtigungen erhalten, können Unbefugte möglicherweise auf sensible Informationen zugreifen.
Deshalb sind geeignete Authentifizierungsverfahren und eine sorgfältige Rechteverwaltung wichtig.
Schadsoftware und Cyberangriffe
Auch Cloud-Systeme können Ziel von Angriffen werden.
Entscheidend sind geeignete Schutzmaßnahmen, aktuelle Systeme und eine laufende Überwachung.
Versehentliches Löschen oder Verändern
Nicht jeder Datenverlust entsteht durch einen Angriff.
Auch Bedienungsfehler oder fehlerhafte Anwendungen können Daten beschädigen oder löschen.
Technische Störungen
Hardware, Software und Verbindungen können ausfallen.
Deshalb muss geplant werden, wie wichtige Anwendungen und Daten bei einer Störung wieder verfügbar gemacht werden.
Fehler bei der Administration
Ungeeignete Konfigurationen oder versehentliche Änderungen können Sicherheitslücken oder Betriebsprobleme verursachen.
Diese Risiken verschwinden durch einen Wechsel in die Cloud nicht. Sie müssen dort ebenso berücksichtigt werden wie bei eigenen Servern.
Was bedeutet ein guter Schutz für Unternehmensdaten?
Sicherheit besteht nicht aus einer einzelnen technischen Maßnahme.
Sie entsteht durch das Zusammenspiel verschiedener Vorkehrungen.
Dazu gehören insbesondere:
Zugriffsschutz: Nur berechtigte Personen sollen auf die jeweiligen Systeme und Daten zugreifen können.
Aktuelle Systeme: Bekannte Sicherheitslücken sollten durch geeignete Aktualisierungen und weitere Maßnahmen reduziert werden.
Überwachung: Auffälligkeiten und technische Probleme sollten möglichst frühzeitig erkannt werden.
Datensicherung: Wichtige Daten müssen entsprechend den betrieblichen Anforderungen gesichert und wiederhergestellt werden können.
Klare Zuständigkeiten: Es muss festgelegt sein, wer welche Aufgaben übernimmt und wer im Störungsfall handelt.
Geeignete Wiederherstellungsverfahren: Das Unternehmen sollte wissen, wie es nach einem schwerwiegenden Problem weiterarbeiten kann.
Welche Maßnahmen erforderlich sind, hängt von den eingesetzten Anwendungen, den verarbeiteten Daten und den betrieblichen Risiken ab.
Nicht die Anzahl der Sicherheitsprodukte ist entscheidend, sondern ob die Schutzmaßnahmen zum tatsächlichen Risiko des Unternehmens passen.
Sind meine Daten sicher, wenn das Rechenzentrum in Deutschland steht?
Ein Rechenzentrumsstandort in Deutschland kann für Unternehmen ein wichtiges Entscheidungskriterium sein.
Er schafft Klarheit darüber, wo die vereinbarte Infrastruktur betrieben wird, und kann die Prüfung rechtlicher und organisatorischer Anforderungen erleichtern.
Allerdings beantwortet der Standort allein nicht sämtliche Fragen.
Denn für den Datenschutz und die Datensicherheit ist unter anderem relevant, wer die Daten verarbeitet, welche Dienstleister beteiligt sind und welche Zugriffs- oder Übermittlungsmöglichkeiten bestehen.
Auch die vertraglichen Regelungen und die tatsächlichen technischen Schutzmaßnahmen spielen eine Rolle.
Ein deutscher Rechenzentrumsstandort bedeutet deshalb nicht automatisch, dass ausschließlich deutsche Unternehmen beteiligt sind oder dass Zugriffe aus anderen Ländern unter allen Umständen ausgeschlossen wären.
Der Standort ist ein wichtiger Bestandteil der Bewertung. Er ersetzt aber keine Prüfung der gesamten Datenverarbeitung und Sicherheitsarchitektur.
[Wo liegen meine Daten in der Cloud?]
Was passiert, wenn Daten trotz aller Maßnahmen verloren gehen?
Absolute Sicherheit gibt es weder bei eigenen Servern noch in der Cloud.
Deshalb sollte ein Unternehmen nicht nur versuchen, Datenverlust zu verhindern.
Es muss auch darauf vorbereitet sein, Daten im Bedarfsfall wiederherzustellen.
Eine geeignete, vom Produkt und Vertrag abhängige Datensicherung sollte sich an der Bedeutung der jeweiligen Daten und Anwendungen orientieren. Eine hohe Verfügbarkeit der Cloud-Infrastruktur ersetzt kein geprüftes Sicherungs- und Wiederherstellungskonzept.
Dabei sind unter anderem zwei Fragen wichtig:
Wie viel Datenverlust wäre im Ernstfall noch vertretbar?
Und wie schnell müssen wichtige Systeme wieder verfügbar sein?
Die Antworten können je nach Unternehmen sehr unterschiedlich ausfallen.
Ein Betrieb, der nahezu ohne Unterbrechung produzieren muss, hat andere Anforderungen als ein Unternehmen, bei dem bestimmte Anwendungen für einige Stunden nicht benötigt werden.
Eine zuverlässige IT-Sicherheitsstrategie berücksichtigt deshalb sowohl den Schutz vor Vorfällen als auch die Wiederherstellung danach.
Ein Beispiel: Zwei Unternehmen mit unterschiedlichen Sicherheitsanforderungen
Stellen wir uns zwei Unternehmen vor.
Das erste Unternehmen betreibt eine interne Anwendung, die nur von wenigen Mitarbeitern genutzt wird.
Ein zeitweiser Ausfall wäre ärgerlich, würde den Geschäftsbetrieb aber nicht unmittelbar gefährden.
Das zweite Unternehmen benötigt seine zentrale Anwendung für die laufende Auftragsbearbeitung.
Wenn diese Anwendung ausfällt, können wichtige Geschäftsprozesse nicht mehr wie gewohnt stattfinden.
Beide Unternehmen möchten ihre Daten schützen.
Die erforderlichen Maßnahmen können sich dennoch unterscheiden.
Beim zweiten Unternehmen sind möglicherweise zusätzliche Vorkehrungen für Verfügbarkeit und Wiederherstellung notwendig.
Diese Unterschiede bestehen unabhängig davon, ob die Systeme auf eigenen Servern oder in der Cloud betrieben werden.
Die Anforderungen an Sicherheit sollten sich aus den Geschäftsprozessen ergeben – nicht allein aus der Entscheidung für einen bestimmten Serverstandort.
Dieses Beispiel dient der Veranschaulichung und beschreibt keine konkreten Kundenprojekte.
Warum wir bei Cloud auf einen Anbieter aus Deutschland setzen
Für die Cloud-Infrastruktur unserer Kunden setzen wir auf Terra Cloud der WORTMANN-Gruppe aus Hüllhorst.
Damit entscheiden wir uns bewusst für einen Infrastrukturpartner mit Sitz in Deutschland. Wo einzelne Leistungen erbracht werden und welche weiteren Beteiligten Zugriffsmöglichkeiten haben, ist anhand des konkreten Angebots zu prüfen.
Für uns sind nachvollziehbare Zuständigkeiten und klar beschriebene Infrastrukturleistungen wichtige Auswahlkriterien.
Gleichzeitig gilt: Auch bei einem deutschen Anbieter müssen die konkreten Leistungen, Vertragsbedingungen und Sicherheitsmaßnahmen geprüft werden.
Die Herkunft eines Anbieters ersetzt keine technische und organisatorische Bewertung.
Unsere Entscheidung für Terra Cloud ist deshalb ein Bestandteil unseres Sicherheits- und Betriebskonzepts – aber kein pauschales Versprechen absoluter Sicherheit.
[Warum wir für Cloud auf Deutschland setzen]
Wie unterstützt novotec beim Schutz Ihrer Unternehmensdaten?
Wir von novotec betrachten Sicherheit nicht isoliert von den betrieblichen Anforderungen.
Zunächst möchten wir verstehen, welche Anwendungen und Daten für Ihr Unternehmen besonders wichtig sind.
Darauf aufbauend können wir geeignete Schutzmaßnahmen und Verantwortlichkeiten festlegen.
Dabei spielt es keine grundsätzliche Rolle, ob die benötigten Systeme auf eigenen Servern oder in einer Cloud-Umgebung betrieben werden.
In beiden Fällen müssen die Systeme angemessen abgesichert und zuverlässig betreut werden.
Wenn Cloud für Ihr Unternehmen infrage kommt, planen wir die notwendigen Leistungen und berücksichtigen dabei auch Datensicherung, Zugriffsrechte und laufende Sicherheitsmaßnahmen.
Unser Ziel ist nicht, Ihnen eine bestimmte Technologie als grundsätzlich sicher zu verkaufen. Unser Ziel ist eine IT-Umgebung, deren Risiken bekannt sind und die entsprechend geschützt wird.
Wie sicher wäre Cloud für Ihr Unternehmen?
Vielleicht möchten Sie wissen, ob Ihre Daten auf einem eigenen Server besser aufgehoben sind.
Vielleicht beschäftigen Sie Fragen zum Standort oder zum Zugriff durch Dritte.
Oder Sie möchten prüfen, welche Sicherheitsmaßnahmen bei einer möglichen Cloud-Lösung notwendig wären.
Dann lohnt sich eine Betrachtung Ihrer konkreten Anforderungen.
Weiterführende Informationen finden Sie hier:
[Wo liegen meine Daten in der Cloud?]
[Wer kann auf meine Unternehmensdaten zugreifen?]
[Was passiert, wenn die Cloud ausfällt?]
Mit unserem Cloud-Check erhalten Sie eine erste Orientierung zu wichtigen Entscheidungsfaktoren.
Oder sprechen Sie mit uns über Ihre Anforderungen an Sicherheit und Verfügbarkeit.