Cloud Act <--> DSGVO
Der Cloud Act bereitet Cloudbenutzern Probleme, wenn sie es mit der DSGVO ernst nehmen. Us- Behörden dürfen auf Daten auch auf europäischen Servern zugreifen, wenn sie von US-Hostern oder Cloudanbeitern verarbeitet werden. Das betrifft auch Ableger oder Kooperatio
onspartner dieser Firmen.
US- Anbieter raten daher zur Verschlüsselung der Daten.
Verschlüsselung: Um sich vor dem Zugriff zu schützen müssen die Daten also vor dem Auslagern in die Cloud verschlüsselt werden, sonst liegt der Schlüssel auf dem Cloudserver und unterliegt damit wieder dem Zugriff der Behörden.
Immer wenn der Cloudanbieter eine Verschlüsselung auf dem Server vornimmt, hat er selber den Schlüssel, oder, selbst wenn man diesen selber erzeugt, (Bring your own key, kurz BYOK) kann der Cloudanbieter immer einen Masterkey zum Entschlüsseln erstellen.
Im Cloud Act steht nichts über Entschlüsselung, der Zweck dieser US- Norm würde nicht erfüllt, wenn der Anbieter der Cloud nicht gezwungen werden könnte, die Daten zu entschlüsseln. Verboten ist es ihm auf jeden Fall nicht.
Der Ansatz “Bring your own encryption (BYOE)”, der Kunde verschlüsselt in Eigenregie, vor der auslagerung der Daten, funktioniert meist mit Software, die häufig nicht quelloffen ist, keiner weiß ob es Hintertüren, Generalschlüssel oder ähnliches gibt.
Alternativ werden noch wenige Open Source Lösungen angeboten, deren Code zwar meist sauber ist, die als Einzelplatzlösungen konzipert und für Gruppen selten geeignet sind. Diese Lösungen unterstützen meist keine Erzeugung unterschiedlicher Schlüssel, je nach Anwender.
Sicherheit in der Cloud ist also immer noch ein großes Problem, zumindest sowie ein Vertragspartner in irgendeiner Form mit den USA verbunden ist. Das kann man immer nur für den derzeitigen Zeitpunkt eruieren, es kann sich jederzeit ändern.
Wie schnell US- Behörden unliebsame Soft- oder Hardwareanbieter auszusperren, kann man deutlich am Fall Huawei sehen.
Tokenisierung: Nach DSGVO müssen Daten, die in der Cloud als nicht sicher abgelegt eingestuft werden müssen, zumindest zusätzlich verschleiert (Pseudonymisiert oder auch Tokenisiert) werden.
Hierbei werden die Daten durch Zufallswerte ersetzt, die dann in die Cloud geladen werden. Um aus diesen verschleierten Daten wieder echte, verarbeitbare, Daten zu bekommen, muss man eine Verknüpfungstabelle haben, mit der die Zufallsdaten wieder den Echtdaten zugeordnet werden können. Wer diese Tabelle hat, kann Daten verfälschen oder auch wieder herstellen.
Die Zuordnungstabellen müssen daher selber wieder verschlüsselt werden. Und das alles, ohne den Betriebsablauf zu belasten, praktikabel und nachvollziehbar für den Anwender.
Die größte Sicherheit hat man bei einer Kombination aus Verschlüsselung und Tokenisierung, bei einem rein europäischen Anbieter, der seinerseits der DSGVO unterliegt (und diese auch einhält!).
Mit der Existenz von Metadaten (was wurde wann, von wo, von wem, in welchem Zusammenhang…. hochgeladen) muss zusätzlich gerechnet werden, alleine aus diesen Daten lässt sich sehr viel Information gewinnen, auf die der Zugriff kaum verhindert werden kann.