Warum der Standort Ihrer Daten nicht allein darüber entscheidet, wer sie sehen, verändern oder verwalten kann.
Kundendaten, Angebote, Verträge, Kalkulationen und interne Unterlagen gehören zu den sensiblen Informationen eines Unternehmens.
Deshalb möchten Geschäftsführer verständlicherweise wissen, wer darauf zugreifen kann.
Solange die Daten auf eigenen Servern gespeichert werden, scheint die Antwort einfach:
Die Systeme stehen im Unternehmen. Der Zugriff wird intern geregelt.
Doch auch bei eigenen Servern können Mitarbeiter, Administratoren und externe IT-Dienstleister über weitreichende Berechtigungen verfügen.
Bei einer Cloud-Lösung kommen möglicherweise weitere Beteiligte hinzu.
Daraus entsteht eine wichtige Frage:
Wer kann tatsächlich auf unsere Unternehmensdaten zugreifen – und wie behalten wir darüber die Kontrolle?
Die Antwort hängt nicht allein vom Speicherort ab.
Entscheidend sind die vergebenen Berechtigungen, die technischen Schutzmaßnahmen und die vertraglich geregelten Zuständigkeiten.
Wer darf im Unternehmen auf welche Daten zugreifen?
Nicht jeder Mitarbeiter benötigt Zugriff auf sämtliche Unternehmensinformationen.
Die Buchhaltung arbeitet mit anderen Daten als der Vertrieb.
Die Personalabteilung benötigt besonders geschützte Informationen.
Und die Geschäftsführung verfügt möglicherweise über Unterlagen, die nur einem kleinen Personenkreis zugänglich sein sollen.
Deshalb sollten Zugriffsrechte nach den tatsächlichen Aufgaben vergeben werden.
Ein Mitarbeiter erhält die Berechtigungen, die er für seine Tätigkeit benötigt.
So viel wie nötig – und so wenig wie möglich.
Dieses Prinzip gilt unabhängig davon, ob die Daten auf eigenen Servern oder in der Cloud gespeichert werden.
Ein guter Schutz beginnt nicht beim Rechenzentrum, sondern bei der Frage, wer im Unternehmen welche Informationen benötigt.
Können Mitarbeiter des Cloud-Anbieters unsere Daten sehen?
Diese Frage lässt sich nicht für sämtliche Cloud-Angebote pauschal beantworten.
Zunächst muss unterschieden werden zwischen der Verwaltung der technischen Infrastruktur und dem Zugriff auf die darin gespeicherten Unternehmensdaten.
Ein Cloud-Anbieter benötigt bestimmte administrative Möglichkeiten, um seine vereinbarten Leistungen bereitzustellen und technische Störungen zu bearbeiten.
Daraus folgt jedoch nicht automatisch, dass jeder Mitarbeiter des Anbieters die Inhalte sämtlicher Kundendaten einsehen kann.
Welche Zugriffsmöglichkeiten tatsächlich bestehen, hängt von der technischen Architektur, den eingesetzten Schutzmaßnahmen und den vertraglichen Regelungen ab.
Auch Verschlüsselungsverfahren und die Verwaltung der zugehörigen Schlüssel können eine Rolle spielen.
Deshalb sollten Unternehmen vor einer Entscheidung klären:
Welche administrativen Zugriffsmöglichkeiten bestehen?
Für welche Aufgaben dürfen diese genutzt werden?
Wie werden solche Zugriffe geschützt und kontrolliert?
Welche zusätzlichen Dienstleister können beteiligt sein?
Welche vertraglichen Regelungen gelten?
Nicht die pauschale Zusicherung „Niemand kann Ihre Daten sehen“ ist entscheidend. Wichtig ist, dass Zugriffsmöglichkeiten nachvollziehbar geregelt und angemessen abgesichert sind.
Welche Rolle spielt der betreuende IT-Dienstleister?
Viele Unternehmen lassen ihre IT durch einen externen Dienstleister betreuen.
Das gilt für eigene Server ebenso wie für Cloud-Systeme.
Damit der Dienstleister Störungen beheben, Benutzer verwalten oder Systeme aktualisieren kann, benötigt er bestimmte administrative Berechtigungen.
Diese können umfangreicher sein als die Zugriffsrechte normaler Mitarbeiter.
Deshalb sollten solche Berechtigungen besonders sorgfältig verwaltet werden.
Wichtig sind beispielsweise:
Persönlich zugeordnete Administratorkonten
Geeignete zusätzliche Anmeldeabsicherung
Beschränkung der Berechtigungen auf notwendige Aufgaben
Nachvollziehbare administrative Änderungen
Geregelter Umgang mit Zugangsdaten
Entzug nicht mehr benötigter Berechtigungen
Welche Maßnahmen erforderlich sind, hängt von der eingesetzten Umgebung ab.
Ein IT-Dienstleister benötigt ausreichende Rechte, um seine Aufgaben erfüllen zu können. Diese Rechte sollten jedoch nicht weiter reichen als notwendig.
Was ist der Unterschied zwischen Zugriff und Berechtigung?
Diese Unterscheidung ist besonders wichtig.
Eine Person kann technisch die Möglichkeit haben, auf ein System oder Daten zuzugreifen, ohne organisatorisch oder rechtlich dazu berechtigt zu sein.
Umgekehrt kann ein Mitarbeiter für bestimmte Informationen zuständig sein, ohne dass die erforderlichen technischen Freigaben bereits eingerichtet sind.
Für einen wirksamen Schutz müssen deshalb mehrere Ebenen zusammenpassen.
Organisatorische Berechtigung: Wer darf welche Informationen für welchen Zweck verwenden?
Technische Zugriffskontrolle: Wie wird sichergestellt, dass nur entsprechend berechtigte Personen Zugriff erhalten?
Kontrolle und Nachvollziehbarkeit: Wie werden relevante Zugriffe und Änderungen überprüft?
Eine vertragliche Regelung allein verhindert noch keinen unberechtigten Zugriff.
Ebenso ersetzt eine technische Schutzmaßnahme nicht die klare Festlegung von Zuständigkeiten.
Sicherheit entsteht, wenn organisatorische Regeln und technische Kontrollen zusammenwirken.
Wie lassen sich unberechtigte Zugriffe verhindern?
Absolute Sicherheit gibt es nicht.
Aber Unternehmen können das Risiko unberechtigter Zugriffe durch geeignete Maßnahmen reduzieren.
Mehrfaktor-Authentifizierung
Bei der Anmeldung wird neben dem Passwort ein weiterer Nachweis benötigt.
Dadurch kann das Risiko reduziert werden, dass gestohlene Zugangsdaten allein für einen Zugriff ausreichen.
Individuelle Benutzerkonten
Mitarbeiter sollten nach Möglichkeit eigene Konten verwenden.
Gemeinsam genutzte Zugänge erschweren die Zuordnung von Aktivitäten und die Verwaltung von Berechtigungen; wo möglich, sollten sie vermieden werden.
Begrenzte Zugriffsrechte
Berechtigungen sollten sich an den tatsächlichen Aufgaben orientieren.
Besonders weitreichende Rechte sollten nur dort vergeben werden, wo sie erforderlich sind.
Regelmäßige Überprüfung
Wenn Mitarbeiter ihre Aufgaben wechseln oder das Unternehmen verlassen, sollten Berechtigungen unverzüglich angepasst oder entzogen werden.
Auch bestehende Zugriffsrechte sollten regelmäßig überprüft werden.
Schutz administrativer Zugänge
Administratorkonten verdienen besondere Aufmerksamkeit, weil sie umfangreiche Änderungen ermöglichen können.
Die wirksamste Zugriffskontrolle besteht nicht aus einer einzelnen Maßnahme, sondern aus einem abgestimmten Berechtigungskonzept.
Was bedeutet Verschlüsselung für den Zugriff auf Daten?
Verschlüsselung kann dazu beitragen, Unternehmensdaten vor unberechtigter Einsicht zu schützen.
Dabei ist allerdings entscheidend, wie sie eingesetzt wird.
Daten können beispielsweise während der Übertragung oder bei der Speicherung verschlüsselt werden.
Für die tatsächlichen Zugriffsmöglichkeiten spielt außerdem eine Rolle, wer die erforderlichen Schlüssel kontrolliert.
Wenn ein Dienst Daten zur Verarbeitung entschlüsseln muss oder der Anbieter die Schlüssel verwaltet, können andere Zugriffsmöglichkeiten bestehen als bei einer Lösung, in der ausschließlich das Unternehmen die Schlüssel kontrolliert. Auch dort müssen die tatsächlichen Verarbeitungswege geprüft werden.
Deshalb reicht die Aussage „Die Daten sind verschlüsselt“ allein nicht aus, um sämtliche Zugriffsfragen zu beantworten.
Verschlüsselung ist eine wichtige Schutzmaßnahme. Welche Zugriffe sie verhindert, hängt von ihrer konkreten Umsetzung ab.
Können ausländische Stellen auf Daten in deutschen Rechenzentren zugreifen?
Auch diese Frage lässt sich nicht allein anhand des Rechenzentrumsstandorts beantworten.
Für die rechtliche und technische Bewertung können unter anderem der Sitz des Anbieters, seine Unternehmensstruktur, eingesetzte Unterauftragnehmer und mögliche rechtliche Verpflichtungen relevant sein.
Ein deutscher Speicherort bedeutet deshalb nicht automatisch, dass Zugriffe aus anderen Ländern unter allen Umständen ausgeschlossen sind.
Ebenso bedeutet die Beteiligung eines internationalen Anbieters nicht automatisch, dass ausländische Stellen tatsächlich Zugriff auf sämtliche Kundendaten erhalten.
Hier muss zwischen theoretischen Möglichkeiten, rechtlichen Befugnissen und tatsächlichen technischen Zugriffsmöglichkeiten unterschieden werden.
Wer die Kontrolle über seine Daten beurteilen möchte, muss mehr betrachten als die Anschrift des Rechenzentrums.
[Wo liegen meine Daten in der Cloud?]
Ein Beispiel: Wenn ein Mitarbeiter das Unternehmen verlässt
Stellen wir uns ein Unternehmen mit 30 Mitarbeitern vor.
Die Mitarbeiter nutzen eine zentrale Geschäftsanwendung und verschiedene gemeinsam gespeicherte Dokumente.
Ein Mitarbeiter verlässt das Unternehmen.
Nun müssen seine Zugriffsrechte entzogen werden.
Dabei spielt es zunächst keine Rolle, ob die Daten auf einem eigenen Server oder in der Cloud gespeichert sind.
Entscheidend ist, dass bekannt ist, auf welche Systeme der Mitarbeiter zugreifen konnte.
Dazu können gehören:
Die zentrale Geschäftsanwendung
Gemeinsam genutzte Dokumente
Microsoft 365
Fernzugänge
Weitere externe Dienste
Wenn die Benutzerverwaltung unübersichtlich ist, besteht das Risiko, dass einzelne Berechtigungen bestehen bleiben.
Ein geregelter Austrittsprozess mit klaren Zuständigkeiten und einer vollständigen Übersicht der Zugänge hilft, solche Probleme zu vermeiden.
Die Kontrolle über Unternehmensdaten hängt deshalb auch davon ab, wie zuverlässig Benutzer und Berechtigungen verwaltet werden.
Dieses Beispiel dient der Veranschaulichung und beschreibt kein konkretes Kundenprojekt.
Verliert ein Unternehmen in der Cloud die Kontrolle über seine Daten?
Nicht zwangsläufig.
Ein Unternehmen kann auch bei externer Infrastruktur festlegen, welche Mitarbeiter welche Informationen nutzen dürfen.
Es kann Anforderungen an Sicherheitsmaßnahmen, vertragliche Zuständigkeiten und administrative Zugriffe stellen.
Allerdings muss geprüft werden, ob der gewählte Dienst diese Anforderungen tatsächlich erfüllt.
Nicht jede Cloud-Lösung bietet dieselben Möglichkeiten.
Auch Vertragsbedingungen und technische Abhängigkeiten können den Handlungsspielraum beeinflussen.
Deshalb sollte die Kontrolle über Unternehmensdaten nicht mit dem Besitz der Hardware gleichgesetzt werden.
Entscheidend ist, ob das Unternehmen seine Anforderungen an Berechtigungen, Schutzmaßnahmen und Verantwortlichkeiten wirksam umsetzen kann.
Welche Fragen sollten Geschäftsführer vor einer Cloud-Entscheidung stellen?
Für eine fundierte Entscheidung sollten einige Punkte geklärt sein.
Wer verwaltet unsere Benutzer und Berechtigungen?
Welche administrativen Zugriffsmöglichkeiten benötigt der Cloud-Anbieter?
Welche Rechte erhält unser IT-Dienstleister?
Wie werden besonders weitreichende Zugänge geschützt?
Wie werden Zugriffe und wichtige Änderungen nachvollziehbar gemacht?
Was geschieht mit Berechtigungen, wenn Mitarbeiter das Unternehmen verlassen?
Welche Regelungen gelten für weitere beteiligte Dienstleister?
Nicht jede Frage muss von der Geschäftsführung technisch beantwortet werden.
Aber die Verantwortlichkeiten sollten verständlich und nachvollziehbar geregelt sein.
Wie unterstützt novotec bei der Zugriffskontrolle?
Wir von novotec betrachten die Verwaltung von Benutzern und Berechtigungen als wichtigen Bestandteil einer zuverlässig betriebenen IT.
Dabei spielt es keine grundsätzliche Rolle, ob Anwendungen auf eigenen Servern oder in einer Cloud-Umgebung betrieben werden.
Zunächst möchten wir verstehen, welche Mitarbeiter welche Systeme und Informationen benötigen.
Auf dieser Grundlage können geeignete Berechtigungen und Schutzmaßnahmen festgelegt werden.
Bei Cloud-Lösungen berücksichtigen wir außerdem die administrativen Zuständigkeiten zwischen Infrastrukturbetreiber, Softwarehersteller und IT-Betreuung.
Für geeignete Cloud-Infrastruktur setzen wir auf Terra Cloud der WORTMANN-Gruppe.
Welche konkreten Zugriffsmöglichkeiten bestehen, hängt von den eingesetzten Leistungen und ihrer technischen Konfiguration ab.
Unser Ziel ist, dass nicht nur die Systeme funktionieren, sondern auch klar geregelt ist, wer auf welche Daten zugreifen darf und wer für die Verwaltung dieser Rechte verantwortlich ist.
Wissen Sie, wer auf Ihre Unternehmensdaten zugreifen kann?
Vielleicht möchten Sie Ihre vorhandenen Benutzerberechtigungen überprüfen.
Vielleicht beschäftigen Sie Fragen zu Administratorzugriffen oder externen Dienstleistern.
Oder Sie möchten vor einer Cloud-Migration sicherstellen, dass die Kontrolle über sensible Unternehmensinformationen erhalten bleibt.
Dann lohnt sich eine strukturierte Betrachtung Ihrer Anwendungen, Benutzer und Zugriffsrechte.
Weiterführende Informationen finden Sie hier:
[Sind Unternehmensdaten in der Cloud wirklich sicher?]
[Wo liegen meine Daten in der Cloud?]
[Warum wir für Cloud auf Deutschland setzen]
Mit unserem Cloud-Check erhalten Sie eine erste Orientierung zu wichtigen Entscheidungsfaktoren.
Oder sprechen Sie mit uns über Ihre Anforderungen an Zugriffsschutz und Berechtigungsverwaltung.