Skip to main content
Fachgebiete
Automobil + Motoren Bauwesen + Immobilien Business IT + Informatik Elektrotechnik + Elektronik Energie + Nachhaltigkeit Finance + Banking Management + Führung Marketing + Vertrieb Maschinenbau + Werkstoffe Versicherung + Risiko
DE
EN
Themenseiten
Organisationspsychologie Projektmanagement Marketing Smart Manufacturing
Bücher
Zeitschriften
Weitere Formate
Podcasts Webinare Technik Webinare Wirtschaft Kongresse Veranstaltungskalender Awards
Jetzt Einzelzugang starten
Zugang für Unternehmen
Referenzkunden
ATZ-Fachkongress

Chassis.tech plus 2024


4 Kongresse in einer Veranstaltung

Treffen Sie in München die Fachleute von Chassis, Lenkung, Bremsen sowie Reifen/Räder.
Erweiterte Suche
Anmelden
nach oben
Erschienen in:
Buchtitelbild

2020 | OriginalPaper | Buchkapitel

1. Herausforderung Datenschutz und Datensicherheit in der Cloud

verfasst von : Hubert A. Jäger, Ralf O. G. Rieken, Edmund Ernst

Erschienen in: Manipulationssichere Cloud-Infrastrukturen

Verlag: Springer Fachmedien Wiesbaden

Einloggen

Aktivieren Sie unsere intelligente Suche, um passende Fachinhalte oder Patente zu finden.

search-config
loading …

Zusammenfassung

Der Begriff ,,Verschlüsselung“ wird klassisch fast synonym zum Begriff ,,Sicherheit“ gebraucht. Welche Sicherheitslücken offen bleiben, selbst wenn man Verschlüsselung nach allen Regeln der Kunst anwendet, und welche Herausforderung es bedeutet, diese zu schließen, wird in diesem ersten Kapitel behandelt. Zunächst wird die Verteilung der Rollen, der Verantwortung und der Haftung beim Cloud-Computing betrachtet. In diesem Zusammenhang spielt die Zertifizierung von Cloud-Diensten eine entscheidende Rolle. Anschließend werden die Angriffsmöglichkeiten, die Herausforderung des Datenschutzes und der Datensicherheit mit dem Fokus auf das spezielle Problem der Insider-Attacken und dem damit verbundenen Vertrauensdilemma besprochen. Daraus ergeben sich schließlich die Anforderungen an sicheres Cloud-Computing, die am Ende dieses Kapitels formuliert werden.

Sie haben noch keine Lizenz? Dann Informieren Sie sich jetzt über unsere Produkte:

Springer Professional "Wirtschaft+Technik"

Online-Abonnement

Mit Springer Professional "Wirtschaft+Technik" erhalten Sie Zugriff auf:

  • über 102.000 Bücher
  • über 537 Zeitschriften

aus folgenden Fachgebieten:

  • Automobil + Motoren
  • Bauwesen + Immobilien
  • Business IT + Informatik
  • Elektrotechnik + Elektronik
  • Energie + Nachhaltigkeit
  • Finance + Banking
  • Management + Führung
  • Marketing + Vertrieb
  • Maschinenbau + Werkstoffe
  • Versicherung + Risiko

Jetzt Wissensvorsprung sichern!

Jetzt informieren

Springer Professional "Technik"

Online-Abonnement

Mit Springer Professional "Technik" erhalten Sie Zugriff auf:

  • über 67.000 Bücher
  • über 390 Zeitschriften

aus folgenden Fachgebieten:

  • Automobil + Motoren
  • Bauwesen + Immobilien
  • Business IT + Informatik
  • Elektrotechnik + Elektronik
  • Energie + Nachhaltigkeit
  • Maschinenbau + Werkstoffe




 

Jetzt Wissensvorsprung sichern!

Jetzt informieren

Springer Professional "Wirtschaft"

Online-Abonnement

Mit Springer Professional "Wirtschaft" erhalten Sie Zugriff auf:

  • über 67.000 Bücher
  • über 340 Zeitschriften

aus folgenden Fachgebieten:

  • Bauwesen + Immobilien
  • Business IT + Informatik
  • Finance + Banking
  • Management + Führung
  • Marketing + Vertrieb
  • Versicherung + Risiko




Jetzt Wissensvorsprung sichern!

Jetzt informieren
Nächstes Kapitel Grundprinzip der Sealed Cloud
Fußnoten
1
Die umgekehrte Reihenfolge, dass etwa der Betreiber und Anbieter des Cloud-Dienstes einen unabhängigen Prüfer beauftragt, der seine Ergebnisse dann der Konformitätsberwertungs- bzw. Zertifizierungsstelle vorlegt, ist entsprechend einer Entscheidung der Deutschen Akkreditierungsstelle (DAkkS) nicht zulässig [1].
 
2
Ob hierfür eine weitere gesetzliche Grundlage nachgewiesen werden muss, ist umstritten. Diese datenschutzrechtliche Debatte ist für Deutschland mit der EU-Datenschutzgrundverordnung (DSGVO) neu aufgeflackert. Bisher (vor dem Inkrafttreten der DSGVO) wurde von einem gesetzlich speziell eingeräumten Privileg gesprochen, wenn der Cloud-Nutzer in ein Auftragsdatenverarbeitungsverhältnis eintrat und hierfür keine weitere gesetzliche Grundlage nachgewiesen werden musste.
 
3
Wie zuvor erwähnt, ist die Notwendigkeit einer gesonderten Rechtsgrundlage umstritten.
 
4
Mit ,,textlich“ ist hier eine rein elektronische aber in Textform abgefasste Vereinbarung gemeint, die aber nicht auf Papier mit einer von Hand aufgebrachten Unterschrift versehen sein muss.
 
5
Der Cloud-Nutzer muss einen Dienst auswählen, der einen für seine Zwecke angemessenen Schutz gewährleistet. Dazu muss er zunächst seinen konkreten Schutzbedarf kennen. Dieser hängt unter anderem von der Art der verarbeiteten Daten, der Menge der verarbeiteten Datensätze und dem Verwendungszweck der Daten ab. Dann wählt er einen Cloud-Dienst aus, dessen technisch-organisatorische Maßnahmen den Schutzbedarf risikoangemessen abdecken. Um diese Bedarfsermittlungs- und Cloud-Auswahl-Prozesse zu vereinfachen, wurden in den Datenschutzzertifizierungsverfahren (TCDP bzw. AUDITOR) so genannte Schutzklassen eingeführt, in denen jeweils ähnliche Schutzbedarfe und ähnliche Schutzanforderungen zusammengefasst sind.
 
6
Die genannten Maßnahmen reduzieren zu einem kleinen Teil auch die Wahrscheinlichkeit erfolgreicher Insider-Angriffe. Primär sind diese Maßnahmen jedoch zum Schutz gegen Angriffe von außen konzipiert.
 
7
Der zweite Satz dieser Definition wurde inzwischen in den Kriterienkatalog der DIN Spec 27557 zur Datenschutzzertifizierung übernommen (Projekt ,,AUDITOR“). Dort wird in den Erläuterungen zum Kriterium Nr. 2.4 – Zugriffskontrolle, der Begriff ,,manipulationsicher“ folgendermaßen definiert: ,,Technische Maßnahmen sind manipulationssicher, wenn sie nur durch das Zusammenwirken von mehreren unabhängigen Parteien verändert werden können.“ [8].
 
8
Alleine durch die Personalkostenstruktur kann bei skalierenden Cloud-Anwendungen kein manueller, privilegierter Eingriff auf Weisung des Cloud-Nutzers erfolgen. Solche Eingriffe sind bei üblichen Nutzungsentgelten für die Cloud-Dienste nicht wirtschaftlich. Des Weiteren erfolgen solche Eingriffe zeitlich verzögert, ein Umstand, den der moderne Cloud-Nutzer nicht mehr geneigt ist zu akzeptieren, da er inzwischen an automatisch in Sekundenschnelle umgesetzte Ausführung von Computerbefehlen gewöhnt ist.
 
9
Der Begriff ,,Trusted Execution Environment“ (TEE) steht für eine sichere bzw. vertrauenswürdige Laufzeitumgebung im Allgemeinen und wurde schon früh im Bereich der Prozessortechnik verwendet. Allerdings entsprachen TEEs keineswegs von Anbeginn den hier formulierten Sicherheitsanforderungen. Daher wurde der Begriff von den Autoren anfangs vermieden. In der Zwischenzeit gewinnt der Begriff TEE, vor allem im Bereich der Intel-Technologie ,,Software Guard Extensions“ (SGX) an Bedeutung und kann auch für die hier beschriebenen besonders geschützten Verarbeitungseinheiten verwendet werden.
 
10
Ein Begriff, der beispielsweise vom BSI im Anforderungskatalog nach § 113f TKG verwendet wird und bezeichnet, dass schützenswerte Daten nur in eine Richtung fließen können sollen.
 
11
Die Einführung von Verschlüsselung und deren Qualität als Anforderung ist eine technologieabhängige Aussage. Wegen der hervorragenden Rolle und dem hohen Grad an Transparenz und Standardisierung im Bereich der Kryptografie darf davon ausgegangen werden, dass durch diese technologische Festlegung keine Benachteiligung von Anbietern stattfindet. Die ISO-Kataloge, TCDP und AUDITOR enthalten bereits Anforderungen zur Kryptografie.
 
Literatur
1.
2.
3.
Kroschwald, Wicker (2012). Zulässigkeit von Cloud-Computing für Berufsgeheimnisträger. in Taeger, IT und Internet – mit Recht gestalten. S. 733 ff.
4.
5.
6.
I. Kunz and P. Stephanow. (2017). A process model to support continuous certification of cloud services. In: 31th International Conference on Advanced Information Networking and Applications (AINA).
7.
W Shi, J Cao, Q Zhang, Y Li und L Xu. (2016). Edge computing: Vision and challenges. IEEE Internet of Things Journal. Vol 3. Pages 637–646.
8.
9.
10.
11.
12.
13.
International Federation of Accountants. (2011). International Standards for Assurance Engagements (ISAE). http://​isae3402.​com/​, abgerufen am 19. Juni 2018.
14.
15.
16.
17.
18.
19.
20.
L. Abdullah, F. Freiling, J. Quintero, and Z. Benenson. (2018). Sealed Computation: Abstract Requirements for Mechanisms to Support Trustworthy Cloud Computing. 2nd International Workshop on SECurity and Privacy Requirements Engineering-SECPRE 2018 in conjunction with ESORICS2018.
Metadaten
Titel
Herausforderung Datenschutz und Datensicherheit in der Cloud
verfasst von
Hubert A. Jäger
Ralf O. G. Rieken
Edmund Ernst
Copyright-Jahr
2020
Buch
Manipulationssichere Cloud-Infrastrukturen

Print ISBN: 978-3-658-31848-2

Electronic ISBN: 978-3-658-31849-9

Copyright-Jahr: 2020

DOI
https://doi.org/10.1007/978-3-658-31849-9_1

Premium Partner

    Bildnachweise