zur Kenntnisnahme - Berliner Beauftragter für Datenschutz und ...

sollten 14
:
Bericht des Berliner Beauftragten
für Datenschutz und Informationsfreiheit
� Bei der Datenverarbeitung im eigenen Hause existieren
für den privilegierten Zugriff auf sensitive
Daten durch Systemverwalter physische, logische
und von Mitarbeitenden gesteuerte Kontrollmechanismen
der IT-Abteilungen. Diese verlieren bei der
Auslagerung „in die Wolke“ dadurch ihre Funktion,
dass fremde Administratoren den Zugriff auf die
sensitiven Daten erhalten. Die Kundenunternehmen
müssen sich daher detaillierte Informationen über
die Systemadministratoren beim Anbieter verschaffen,
über die Auswahlkriterien bei ihrer Einstellung,
über die auf sie wirkende Aufsicht sowie die eingesetzten
Verfahren und die Zugriffskontrolle.
� Auch wenn die Datenverarbeitung ausgelagert wurde,
behalten die Kunden wie bei der „normalen“
Datenverarbeitung im Auftrag ihre volle datenschutzrechtliche
Verantwortung für ihre eigenen
Daten 15
. Zur Aufrechterhaltung der „Compliance“,
also der Einhaltung der gesetzlichen Bestimmungen
bei der Verarbeitung von Daten, sollten die Kunden
darauf achten, dass sich die Anbieter externen Audits
und Zertifizierungen unterwerfen.
� Cloud Computing bedeutet auch, dass mehrere Kunden
in der gleichen Umgebung verarbeiten lassen.
Damit entstehen Risiken, die in einer nicht hinreichenden
Trennung der gespeicherten Daten liegen.
Die Kunden müssen sich daher vor der Auftragsvergabe
absichern, welche Methoden zur Trennung der
Daten unterschiedlicher Auftraggeber angewandt
werden. Sofern dies durch Verschlüsselung erfolgt,
muss der ordnungsgemäße Entwurf der Verschlüsselungssysteme
geprüft werden, um sicherzugehen,
dass die Verfügbarkeit der Daten gewährleistet ist.
� Die Kunden sollten sich genau darüber informieren,
welche Maßnahmen im Falle des Ausfalls der Speichersysteme
beim Dienstleister für die vollständige
Wiederherstellung von Daten und Anwendungsverfahren
vorgesehen sind, bevor man ihm die Daten
anvertraut.
� Die Entdeckung ungewöhnlicher oder illegaler Aktivitäten
ist beim Cloud Computing erschwert, da
der Kunde nicht immer weiß, wo die Daten verarbeitet
werden, und dies sich auch unbemerkt ändern
kann. Die Provider sind daher vertraglich zu verpflichten,
dass spezielle Überprüfungen auf ungewöhnliche
oder illegale Aktivitäten möglich sind
14 K. Friedmann: Wo die Gefahren lauern, http://www.computerwoche.de/1867951
15 §§ 11 Abs. 1 BDSG bzw. § 3 Abs. 1 BlnDSG gelten natürlich auch bei Cloud Computing.
Stellungnahme des Senats
für Datenschutz und Informationsfreiheit berücksichtigt.
7