Sicherheitsempfehlung für Cloud Computing Anbieter

CLOUD COMPUTING | VERTRAGSGESTALTUNG
CSPs sollten daher die Kunden darüber informieren, welche lokalen rechtlichen
Regelungen Auswirkungen auf die Vertraulichkeit, Integrität oder
Verfügbarkeit der Kundendaten haben können.
Ebenso sollten CSPs offenlegen, in welchen Rechts- und Besitzverhältnissen­sie­sich­befnden.­Nur­so­können­Kunden­beurteilen,­ob­ein­CSP­eingeeigneter
Geschäftspartner ist.
Gehört ein CSP beispielsweise zu einem Unternehmen, das in Konkurrenz
zu­einem­Cloud-Kunden­steht,­könnte­dies­zu­Interessenkonfikten­führenund
letztendlich dazu, dass der Kunde oder der CSP die bestehenden Verträge
kündigt. Deshalb kann es wichtig sein, zu wissen, wem der CSP gehört
und wie die Entscheidungsstrukturen beim CSP sind. Nicht alle Geschäftsformen
lassen aber solche Aussagen zu, da sich die Besitzverhältnisse bei
aktiennotierten Unternehmen ändern können und nur größere Aktionäre
ihren Aktienbesitz veröffentlichen müssen.
Auf jeden Fall sollte der Kunde vom CSP eine Freistellung von Rechtsstreitigkeiten
um Lizenzabgaben oder Patent-Auseinandersetzungen bei der
Nutzung des Dienstes erhalten.
Viele Anbieter von SaaS betreiben keine eigene Infrastruktur, sondern
nutzen wiederum PaaS- oder IaaS-Angebote anderer CSPs. In solchen
Fällen sind die für die Erbringung der Cloud Services wichtigen Subunternehmer
gegenüber den Kunden offenzulegen und diesen die erforderlichen
Informationen zur Verfügung zu stellen.
Bei wesentlichen Änderungen einer der oben genannten Punkte hat der
CSP seine Kunden in geeigneter Weise zu unterrichten.
Können bestimmte Cloud-Dienste nur genutzt werden, wenn die Kunden­hierfür­vorab­vom­CSP­bereitgestellte­Programme­installieren­(z.
B.­
Browser-Plugins bei SaaS), so ist dies den Kunden vor Vertragsschluss
mitzuteilen. Darüber hinaus sollte der CSP die Kunden auch auf Sicherheitsrisiken
hinweisen, die aus deren Nutzung entstehen können, sowie
auf erforderliche Sicherheitsmaßnahmen seitens des Kunden.
68