Cloud Computing. Datenschutzrechtliche Aspekte. Diplom-Informatiker Hanns-Wilhelm Heibey

Transkript

1 Cloud Computing Datenschutzrechtliche Aspekte Diplom-Informatiker Hanns-Wilhelm Heibey Berliner Beauftragter für Datenschutz und Informationsfreiheit

2 Was ist Cloud Computing? Nutzung von IT-Dienstleistungen, die von Anbietern über ein offenes Netz (IP-Netz) bereitgestellt werden Im Wesentlichen über das Internet Aber auch: Über das Intranet von Unternehmen und Behörden 2

3 Was ist Cloud Computing? Wirtschaftliche Attraktivität des CC durch Skalierbarkeit bedarfsgerecht Flexibilität bei Buchung, Nutzung und Stilllegung Verbrauchsabhängige Bezahlung Einsparung eigener technischer Infrastrukturen, Betriebsund Wartungskosten Verfügbarkeit unabhängig von geographischen Standorten 3

4 Was ist Cloud Computing? Geschäftsmodelle in Bezug auf das Verhältnis zwischen Anbieter und Anwender Public Cloud (Angebot auf dem freien Markt) Private Cloud (Angebot innerhalb eines Unternehmens oder einer Körperschaft öffentlichen Rechts) Mischformen Community Cloud (mehrere Anbieter von Private Clouds für definierten Kundenkreis) Hybrid Cloud (Kombination der anderen drei Modelle) 4

5 Was ist Cloud Computing? Geschäftsmodelle in Bezug auf die Angebotstiefe Infrastructure as a Service (IaaS) Zugriff auf meist virtualisierte Komponenten zur Datenverarbeitung, zum Datentransport und zur Datenspeicherung Platform as a Service (PaaS) Zugriff auf eine Infrastruktur und einer Entwicklungsumgebung für eigene Anwendungen Software as a Service (SaaS) Zugriff auf bereit gestellte Anwendungen, üblicherweise als Webservice, häufig Office-Anwendungen (z. B. Google Docs) 5

6 Was ist Cloud Computing? In der datenschutzrechtlichen Terminologie ist CC Datenverarbeitung im Auftrag i.s.v. 11 BDSG mit dem Anwender als Auftraggeber und datenschutzrechtlich verantwortliche Stelle (Gretchenfrage: Kann er die Verantwortung in einer Public Cloud überhaupt wahrnehmen?) dem Anbieter als (weisungsgebundenen) Auftragnehmer (Gretchenfrage: Ist er bereit, die Weisungen zu beachten?) 6

7 Risiken des Public Cloud Computing Sicherstellung der datenschutzrechtlichen Verantwortlichkeit des Cloud-Anwenders Wo findet die Datenverarbeitung statt? Kann er den Ort der Datenverarbeitung festlegen? Ist der Ort außerhalb der EU oder des EWR (Drittstaat), so gelten besondere rechtliche Rahmenbedingungen für den Datentransfer ( 4 Abs. 3 Nr.3 BlnDSG, 3 Abs. 8 Satz 3 BDSG). Welche Garantien hat er, dass staatliche Stellen in Drittstaaten nicht den Zugriff auf Daten verlangen? Z. B. müssen sich alle US-Anbieter vertraglich einen Vorbehalt nach dem Patriot Act zubilligen lassen! 7

8 Risiken des Public Cloud Computing Sicherstellung der datenschutzrechtlichen Verantwortlichkeit des Cloud-Anwenders Wie kann er sich vor der Auftragsvergabe von der Datensicherheit überzeugen ( 3 Abs. 1 Satz 4 BlnDSG, 11 Abs. 2 Satz 4 BDSG)? Wie kann er die vertragsgerechte Ausführung seiner Datenverarbeitung überwachen? Wie können die Betroffenenrechte (Löschung, Berichtigung, Sperrung, Auskunft usw.) wahrgenommen werden? Wie kann er die Verantwortlichkeit auch dann wahren, wenn es wie bei CC eher üblich Unterauftragsverhältnisse gibt? 8

9 Risiken des Public Cloud Computing Cloudspezifische Risiken für die Datensicherheit Fragliche Umsetzung der Löschungsgebote bei entsprechenden Kommandos des Anwenders oder beim Wechsel des Verarbeitungsortes Fehlende Nachvollziehbarkeit der Datenverarbeitung mittels Protokollierung und Dokumentation Unkontrollierbare Vervielfältigung und Verteilung von Daten Mangelnde Sorgfalt bei der Einrichtung von Cloud-Diensten, z. B. bei der Prüfung der rechtlichen Zulässigkeit der Datenverarbeitung, Austestung mit Echtdaten 9

10 Risiken des Public Cloud Computing Klassische Risiken für die Datensicherheit, z. B. versehentliches oder vorsätzliches Fehlverhalten von Mitarbeitern und Unteranbietern des Anbieters Nutzung von Sicherheitslücken beim Anbieter durch andere Kunden des Anbieters oder durch Angriffe Dritter Missbrauch der Anbieter-Plattform (Passwortklau, Aufbau von Botnetzen, Einschleusung von Schadsoftware, SPAM- Versand) Nutzung von Sicherheitslücken auf dem Übertragungsweg computerkriminelles Handeln durch mangelhafte Modalitäten bei der Registrierung 10

11 Risiken des Public Cloud Computing Klassische Risiken für die Datensicherheit, z. B. Mängel der Datentrennung zwischen den verschiedenen Anwendern Fehlende Transparenz der Datenverarbeitung in der Cloud, damit keine Kontrolle der Anwender Gefährdungen der Verfügbarkeit der Cloud (Leistungsverweigerung des Anbieters, Ausfall von Hardware, Diensten und Anwendungen, Ausfall des Netzes, mangelhaftes Qualitätsmanagement Angriff durch Schadsoftware Beendigung der Geschäftsaktivitäten des Anbieters (z. B. durch Konkurs) 11

12 Mindestanforderungen für die Public Cloud-Nutzung Offene, transparente und detaillierte Informationen der Anbieter über die technischen, organisatorischen und rechtlichen Rahmenbedingungen Transparente, detaillierte und eindeutige vertragliche Regelungen, insb. zum Ort der Datenverarbeitung, zur Benachrichtigung über eventuelle Ortswechsel, zur Portabilität und Interoperabilität für einen eventuellen Umzug zu einem anderen Anbieter 12

13 Mindestanforderungen für die Public Cloud-Nutzung Umsetzung von abgestimmten Sicherheitsmaßnahmen auf beiden Seiten Aktuelle und aussagekräftige Nachweise (Zertifikate anerkannter und unabhängiger Prüfungsorganisationen) über die Infrastruktur, Informationssicherheit, Portabilität und Interoperabilität 13

14 Quelle Orientierungshilfe Cloud Computing der Konferenz der Datenschutzbeauftragten des Bundes und der Länder (inkl. Düsseldorfer Kreis) Stand: ratgeber/technisch-organisatorische-empfehlungenund-orientierungshilfen 14

15 Vielen Dank für Ihre Aufmerksamkeit! Dipl.-Inform. Hanns-Wilhelm Heibey Bereichsleiter Informatik, Stellvertretender Beauftragter Beim Breliner Beauftragten für Datenschutz und Informationsfreiheit Tel.: