Ist es sicher, unsere Daten in die Cloud zu verlagern, oder sollten wir sie auf dem eigenen Server behalten?

Wenn über eine neue Software, einen Kundenassistenten oder ein Terminsystem gesprochen wird, kommt oft eine Frage: „Wo werden unsere Daten liegen, in der Cloud? Ist die Cloud sicher?“ Die Frage ist berechtigt. Doch sie richtet sich meist auf das Falsche: in welchem Gebäude die Daten physisch liegen. Ob Daten sicher sind, hängt aber weniger von ihrem Standort ab als davon, wer sie schützt, wer sie öffnen kann und wie sie zurückkommen, wenn sie verloren gehen.

Eigener Server oder Cloud: Wo liegt der eigentliche Unterschied?

Mit „unserem eigenen Server“ ist meist ein Rechner in einer Ecke des Büros oder ein bei einem Hosting-Anbieter gemieteter Server gemeint. „Die Cloud“ sind Server, die im Rechenzentrum eines großen Infrastrukturanbieters laufen. Der Unterschied zwischen beiden zeigt sich in folgenden Punkten:

• Physischer Schutz. Ein Server im Büro ist Feuer, Wasserschäden, Stromausfällen und Diebstahl ausgesetzt. In Rechenzentren gibt es eigene Maßnahmen gegen diese Risiken.
• Updates und Wartung. Auf dem eigenen Server muss jemand die Updates für Betriebssystem und Software regelmäßig einspielen. Ein nicht eingespieltes Update bedeutet eine bekannte Sicherheitslücke, die vor der Tür wartet.
• Kontrolle. Auf dem eigenen Server liegt alles in Ihrer Hand; das ist Vorteil und Last zugleich. In der Cloud verwaltet der Anbieter einen Teil der Infrastruktur, Sie verwalten Ihren Anteil.

Kurz gesagt bedeutet der eigene Server „wir schützen es selbst“; wenn das aber niemand tatsächlich tut, sind die Daten womöglich weniger geschützt als angenommen.

Wer schützt was? Geteilte Verantwortung

In der Cloud ist die Sicherheit auf zwei Seiten aufgeteilt. Der Anbieter schützt das Gebäude, die Hardware und die Basisinfrastruktur. Das Konto, die Passwörter, wer welche Datei sehen darf, die Anwendung selbst und die Kontrolle über die Backups verwaltet dagegen meist der Kunde oder das Softwareunternehmen, das in seinem Auftrag arbeitet. Ein erheblicher Teil der Datenlecks entsteht nicht durch das Knacken der Infrastruktur, sondern durch einen falsch eingestellten Freigabelink, ein schwaches oder gemeinsam genutztes Passwort oder das nicht gesperrte Konto einer Person, die das Unternehmen verlassen hat. Diese Fehler können in der Cloud genauso passieren wie auf dem eigenen Server.

Backup: die am häufigsten vergessene Hälfte der Sicherheit

Sicherheit bedeutet nicht nur, zu verhindern, dass jemand mit schlechten Absichten an die Daten gelangt; sie bedeutet auch, dass die Daten nicht verloren gehen. Eine Festplatte kann ausfallen, ein Mitarbeiter kann versehentlich einen Ordner löschen, eine Ransomware kann Dateien sperren. In solchen Fällen hilft nur ein Backup, das regelmäßig erstellt und an einem separaten Ort aufbewahrt wird. Folgende Fragen sollten Sie stellen:

• Wie oft wird ein Backup erstellt?
• Wird das Backup getrennt vom Speicherort der eigentlichen Daten aufbewahrt?
• Wie lange werden die Backups aufbewahrt?
• Wann wurde die Wiederherstellung aus einem Backup zuletzt getestet?

Die letzte Frage ist besonders wichtig: Ein nie getestetes Backup ist ein Backup, dessen Funktion nicht nachgewiesen ist. Für die URİKEM-Produkte haben wir im Abschnitt Datensicherheit offen dargelegt, wo Kunden-, Termin- und Assistentendaten gespeichert werden, wie oft sie gesichert und wie lange sie aufbewahrt werden.

Zugriff: Wer kann die Daten sehen?

Wer die Daten öffnen kann, ist ebenso wichtig wie ihr Speicherort. In einem System, in das sich alle mit demselben Benutzernamen einloggen, weiß niemand, wer was geändert hat. In einer guten Ordnung hat jede Person ihr eigenes Konto, jeder sieht nur die Daten, die er für seine Arbeit braucht, der Zugang ausscheidender Mitarbeiter wird am selben Tag gesperrt, und nach Möglichkeit wird bei der Anmeldung ein zweiter Bestätigungsschritt verlangt. Für Websites und Verwaltungsoberflächen gilt dieselbe Logik; die Website aktuell zu halten, zu überwachen und zu sichern gehört dazu. Wie wir das umsetzen, beschreiben wir in unserem Produkt Website-Wartung und -Sicherheit.

Wenn KI ins Spiel kommt

Bei einem KI-gestützten Werkzeug stellt sich eine zusätzliche Frage: Was passiert, wenn Text an den KI-Dienst gesendet wird? Dieses Thema behandeln wir gesondert im Beitrag Lernt KI aus Ihren Daten?. Kurz gesagt: Die gesendeten Daten sollten auf ein Minimum beschränkt werden, im Vertrag sollte stehen, ob der Dienstanbieter die Daten für das Modelltraining verwendet, und wenn Daten ins Ausland übermittelt werden, erfordert das mit Blick auf personenbezogene Daten eine gesonderte Information und Einwilligung.

Fragen vor der Entscheidung

• In welchem Land und auf der Infrastruktur welches Anbieters liegen die Daten?
• Wer verwaltet die Infrastruktur, wer die Anwendung und die Konten?
• Wie oft und wohin wird gesichert, und wie lange werden Backups aufbewahrt?
• Wer hat Zugriff, und wie wird der Zugriff entzogen?
• In welchem Format erhalten wir die Daten zurück, wenn der Dienst endet?

Worauf Sie achten sollten

Treffen Sie Ihre Entscheidung nicht auf Grundlage allgemeiner Sätze wie „die Cloud ist sicher“ oder „unser eigener Server ist sicherer“. Beide Optionen sind sicher, wenn sie richtig verwaltet werden, und riskant, wenn sie vernachlässigt werden. Wenn Sie personenbezogene Daten verarbeiten, sind der Speicherort und eine mögliche Übermittlung ins Ausland auch im Hinblick auf das KVKK (das türkische Datenschutzgesetz) wichtig; holen Sie dazu die Einschätzung Ihrer eigenen Rechtsberatung ein. Verlangen Sie von Ihrem Softwareunternehmen schriftliche Antworten auf die obigen Fragen; ein Unternehmen, das sie nicht beantworten kann, weiß womöglich auch nicht, wie es Ihre Daten schützt.

Häufig gestellte Fragen

Ist die Cloud sicherer als unser eigener Server?

Nicht von selbst. Der Cloud-Anbieter schützt die physische Infrastruktur; Konten, Passwörter, Zugriffsrechte und die Kontrolle über die Backups liegen weiterhin in Ihrer Verantwortung oder der Ihres Softwareunternehmens. Richtig verwaltet können beide Optionen sicher sein.

Was sollten wir tun, um unsere Daten zu sichern?

Stellen Sie sicher, dass das Backup regelmäßig erstellt, getrennt von den eigentlichen Daten aufbewahrt und für einen festgelegten Zeitraum gespeichert wird. Am wichtigsten ist, dass die Wiederherstellung aus dem Backup ab und zu tatsächlich getestet wird.

Können wir unsere Daten zurückbekommen, wenn wir den Dienst beenden?

Das sollte von Anfang an im Vertrag stehen. Fragen Sie vor Beginn, in welchem Format (zum Beispiel Excel oder CSV) die Daten bei Vertragsende übergeben und wie sie danach gelöscht werden.