Cloud-Sicherheit: Warum der Provider die Unternehmenskommunikation nicht schützt

Höchste Standards beim Cloud-Anbieter garantieren keine sichere E-Mail-Kommunikation. Günter Esch (SEPPmail) fordert Eigenverantwortung.

Cloud-Dienste nehmen Unternehmen die Bereitstellung eigener Hardware, regelmäßige Updates sowie die Skalierung ab. Diese Bequemlichkeit entbindet Firmen jedoch nicht von ihrer eigenen Verantwortung für den Datenschutz.

Günter Esch, Geschäftsführer der SEPPmail – Deutschland GmbH, stellt in einem aktuellen Kommentar klar:

„Ein Cloud-Provider schützt seine Plattform. Er kann jedoch nicht entscheiden, welche Nachricht vertraulich ist. Er kennt nicht jeden Geschäftsprozess. Und er weiß nicht, ob ein Empfänger sensible Informationen erhalten darf.“

Günter Esch, Geschäftsführer der SEPPmail – Deutschland GmbH

Anzeige

Obwohl die Rechenzentren großer Anbieter über extrem hohe Sicherheitsstandards verfügen, entstehen die meisten Lücken nicht bei der Infrastruktur selbst. „Viele Sicherheitsvorfälle entstehen nicht durch einen Angriff auf das Rechenzentrum. Sie entstehen durch kompromittierte Konten, falsche Berechtigungen oder Fehlkonfigurationen,“ so Esch.

E-Mail-Sicherheit erfordert mehr als Transportverschlüsselung

Während sich viele IT-Verantwortliche auf den Schutz von Benutzerkonten und gespeicherten Dateien konzentrieren, bleibt der Abfluss von Daten nach außen häufig unzureichend abgesichert. Eine einfache Transportverschlüsselung schützt lediglich einzelne Übertragungsstrecken, garantiert aber keine durchgängige Vertraulichkeit bis zum Empfänger. Für eine sichere Geschäftskommunikation seien daher drei Kernfaktoren entscheidend:

• Vertraulichkeit: Sicherstellung, dass ausschließlich der vorgesehene Empfänger die Nachricht lesen kann.
• Empfängerauthentifizierung: Eindeutige Identifizierung der empfangenden Person.
• Authentizität: Nachweisbare Überprüfbarkeit der Echtheit des Absenders.

Solche Richtlinien lassen sich nach Angaben des Experten nicht pauschal vom Cloud-Provider vorgeben, sondern müssen durch ergänzende Schutzmaßnahmen wie ein zentrales Secure E-Mail Gateway automatisiert durchgesetzt werden.

Das Prinzip der geteilten Verantwortung

Der Schutz digitaler Geschäftsprozesse beruht maßgeblich auf dem sogenannten Shared-Responsibility-Modell. „In der Cloud-Sicherheit ist dieses Prinzip als Shared-Responsibility-Modell bekannt: Der Anbieter sichert die Plattform, das Unternehmen sichert, wie es die Plattform nutzt,“ erklärt Esch. Verschlüsselung, digitale Signaturen und verbindliche Versandregeln verbleiben nahezu immer in der Verantwortung des Kunden. Die Cloud biete zwar eine stabile Basis, könne eine eigenständige, kontrollierte Sicherheitsstrategie des Unternehmens jedoch nicht ersetzen.

(SEPPmail/red)