Datenschutz in der Cloud 5 Maßnahmen für eine sichere hybride Zusammenarbeit

Anbieter zum Thema

Dell GmbH

Insider Research

Southern Tech GmbH

Tresorit AG

Um Cloud-Zusammenarbeit wirklich sicher zu machen, müssen Unternehmen Maßnahmen ergreifen – so will es auch die DSGVO. Was sich hier vor allem bewährt hat: Verschlüsselung.

Kundenmails schnell von unterwegs beantworten, die Präsentation zur Jahresplanung mit der Kollegin teilen und mit dem Team im Videomeeting am digitalen Whiteboard brainstormen – Cloud-Services haben die digitale Zusammenarbeit auf ein neues Level gehoben. Und mit ihr hat sich eine neue Art des Arbeitens etabliert: Hybride Zusammenarbeit ist mobil, flexibel, effizient und bildet diverse Arbeits- und Lebensrealitäten ab. Sie basiert darauf, dass alle benötigten Daten jederzeit, überall und nur für die Mitarbeiter verfügbar sind, die sie verarbeiten. Doch der hybride Arbeitsplatz ist immer nur so sicher wie seine schwächste Komponente. Wie lässt es sich 2023 also mitarbeiterfreundlich und sicher arbeiten?

So gut die schöne neue Arbeitswelt ankommt, so risikoreich kann sie sein. Laut des Cloud-Monitors 2022 des Bitkom sind 84 Prozent aller Unternehmen in Deutschland mit mehr als zwanzig Beschäftigten in der Cloud. 38 Prozent von ihnen mussten sich aber bereits gegen Ransomware-Angriffe wehren. Das zeigt: Bei aller Flexibilität darf die Sicherheit nicht zu kurz kommen. Denn unabhängig davon, um welche Daten es im Einzelnen geht – sie alle sind für Organisationen schützenswert.

Hybrid? Aber sicher

Wie diese Daten zu schützen sind, regelt in der Europäischen Union die Datenschutz-Grundverordnung (DSGVO). Sie definiert technische und organisatorische Maßnahmen, die Unternehmen treffen müssen, um Datensicherheit zu gewährleisten und Geldstrafen zu vermeiden.

Viele Unternehmen setzen die notwendigen Maßnahmen auch um, bewegen sich dabei aber – vor allem aus Sicht von IT-Fachleuten – häufig auf Minimalniveau. Die meisten Compliance-Fachkräfte verwenden Mindeststandards für den Datenschutz, echte Datensicherheit sähe allerdings anders aus.

Mehr als das Minimum: 5 Mittel und Wege für mehr Datensicherheit

Wer sichere Cloud-Zusammenarbeit auch über die eigenen Firmenwände hinaus ermöglichen will, bedarf umfassender Präventionsmaßnahmen – hier sind fünf der wichtigsten:

• 1. Unternehmensabläufe nur mit umfassender Verschlüsselung: Arbeitsabläufe sollen Datenschutz standardmäßig berücksichtigen, Stichwort „privacy by design“ oder „privacy by default“. Dies erreichen Unternehmen beispielsweise durch den Einsatz von Diensten, die durchgängige Ende-zu-Ende-Verschlüsselung zur Verfügung stellen. So können sich alle im Unternehmen auf ihre Kerntätigkeiten konzentrieren und müssen sich weniger um verkomplizierte Prozesse kümmern. Die automatisierte Ende-zu-Ende-Verschlüsselung kann zusätzlich dafür sorgen, dass bestimmte Kommunikation innerhalb oder außerhalb des eigenen Betriebes von Mitarbeitern sicher per IT-Admin-Einstellung geteilt wird. Das gilt nicht nur für Datenaustausch im digitalen Workspace, sondern auch für etwa E-Mail-Anhänge.

• 2. Sicher von Client zu Client: Clientseitige Ende-zu-Ende-Verschlüsselung, bei der alle digitalen Assets vor dem Datenaustausch auf dem eigenen Endgerät verschlüsselt werden, ist sicher eine der effektivsten Datenschutzmethoden. Aber: Um clientseitige Verschlüsselung korrekt anzuwenden, müssten Mitarbeiter über spezielles IT-Wissen verfügen. Da bekanntermaßen menschlicher Irrtum die häufigste Ursache für Datenschutzverletzungen in der IT-Sicherheitswelt ist, kann die Lösung nicht allein in dieser Art der Verschlüsselung liegen.

• 3. Sicherheit aktiv steuern: Um zu kontrollieren, wie Mitarbeiterinnen und Mitarbeiter mit Daten umgehen, ist es sinnvoll, interne Sicherheitsrichtlinien nicht nur in Dokumenten festzuhalten, sondern auch IT-seitig entsprechende Rahmenbedingungen zu schaffen. So lässt sich beispielsweise über ein zentrales Admincenter regulieren, wer welche Zugriffsberechtigungen hat – sowohl für Einzelpersonen als auch für Gruppen. Je nach verwendetem Service lassen sich so zugelassene Geräte, Zeitbeschränkungen, Link-Tracking oder Befugnisse zum Teilen von Daten besser kontrollieren. Auch zusätzliche Verifizierungsstufen wie IP-Adressen-Filter oder 2-Stufen-Verifizierung sind hilfreich. Diese Maßnahmen sorgen dafür, das Risiko unfreiwilliger Datenenthüllungen zu verringern und die Verarbeitung personenbezogener Daten durch Auftragnehmende so weit wie nötig einzuschränken.

• 4. Datenaustausch nur in sicherer Umgebung: Hackerangriff, Verlust eines USB-Sticks oder die Weitergabe von Daten durch Mitarbeiter – Datenpannen passieren schnell. Die gedruckte Geheimhaltungsvereinbarung auf dem Schreibtisch kann ebenso kritisch sein wie unverschlüsselte E-Mails. Deshalb lohnt es, die Datenübertragung samt kollaborativer Verarbeitungen ausschließlich über eine sichere Umgebung zu organisieren – für den internen wie den externen Datenaustausch. Medienbrüche gilt es zu vermeiden, um einerseits Sicherheitsrisiken zu minimieren und andererseits hybride Zusammenarbeit konsequent digital und effizient zu ermöglichen. Ist der gesamte Cloud-Arbeitsplatz mit Zero-Knowledge-Verschlüsselung ausgestattet, erbeuten Hacker nach einem Cyberangriff nur verschlüsselte und damit unbrauchbare Daten.

• 5. Compliance-Prozess vereinfachen: Dass das Compliance-Management ein fortlaufender Prozess ist, ist weitgehend bekannt. Regelmäßige Systemscans, konsistentes Patching und dazugehörige Tests, Monitoring von Sicherheits- und Compliance-Landschaften und vieles mehr müssen Verantwortliche ständig im Auge behalten. Um Compliance-Prozesse zu vereinfachen, lohnt es sich, von Anfang an einen Workspace zu wählen, in dem Datensicherheit per Produktdesign mitgedacht wurde. Sind alle Prozesse, Features und bereitgestellten Add-ons „by design“ darauf ausgelegt, für ein Maximum an Datenschutz zu sorgen, ist die Einhaltung von Compliance-Richtlinien keine Zusatzaufgabe mehr, sondern automatisch miterledigt.

„Never trust, always verify“: Umgang mit der Bedrohung finden

Wer seinen Mitarbeitern einen zukunftssicheren virtuellen Arbeitsplatz bieten will, statt nur die Minimalanforderungen in puncto Datensicherheit abzuhaken, sollte vor allem Wert auf erweiterte Kontrolle per IT-Administration und konsequente Informationssicherheit legen. Schatten-IT gilt es, in Absprache mit den Mitarbeitern zu vermeiden und durch Funktionsintegrationen mit durchgängigen Sicherheitsmaßnahmen wie Authentifizierung, Verifizierung und Verschlüsselung zu ersetzen. Die Systeme und Werkzeuge der Wahl bilden die Prozesse des Unternehmens bestenfalls Schritt für Schritt mit Ende-zu-Ende-Verschlüsselung ab.

Dazu muss klar sein, wie innerhalb und außerhalb des Unternehmens Daten verarbeitet werden, also auch, wo diese gelagert werden, wer Zugriff hat und wie sie sicher von A nach B oder Client zu Client, kommen. Bei der Frage nach dem Zugriff lautet die Empfehlung klar: Zugriffsbeschränkungen einrichten nach dem Prinzip „Kenntnis nur, wenn nötig“. Ergänzend ist die Schärfung des Bewusstseins für Cyberattacken unerlässlich. Nur wer die Gefahren kennt, kann sie vermeiden. Denn: Um echten Datenschutz für den produktiven Hochsicherheitsarbeitsplatz der Zukunft zu gewährleisten, braucht es Teamarbeit.

Über den Autor

Szilveszter Szebeni ist Mitbegründer und CISO bei Tresorit, dem Tochterunternehmen für datensichere Kollaboration der Schweizerischen Post.

(ID:49433460)