Gateway-Verschlüsselung Cloud-Nutzung und Datenschutz: endlich abheben!

Anbieter zum Thema

Kodak Alaris Germany GmbH

cit GmbH

Net at Work GmbH

Für sichere Datennutzung in der Cloud muss man das Rad nicht neu erfinden, sagt unser Gastkommentator – und stellt eine erprobte Lösung vor.

Das vom ehemaligen Wirtschaftsminister groß angekündigte Gaia-X-Projekt, das Hickhack um die Nutzung von MS-Cloud-Lösungen an Schulen oder die flächendeckende Einführung des E-Rezepts: Die Reihe an Sonderwegen, um Cloud-Einsatz und Datenschutz unter einen Hut zu bringen, ließe sich beliebig fortsetzen. Insbesondere wenn die Öffentliche Hand im Spiel ist, scheint die Tendenz zu bestehen, das Rad bei jedem Digitalisierungsprojekt neu erfinden zu wollen, anstatt den aktuellen Stand der Technik zu nutzen. Dabei gibt es aus Datenschutzsicht bewährte Techniken und Vorgehensweisen, die sich leicht in nahezu jedem Digitalisierungsprojekt nutzen lassen.

Worum geht es?

Häufig geht es in Digitalisierungsprojekten um den möglichst effizienten Austausch von Daten zwischen verschiedenen Personen und Organisationen. Für diese Aufgabe etwas anderes als Cloud Computing in Erwägung zu ziehen, ist alles andere als zeitgemäß. Beim Thema Cloud Computing schrillen allerdings, nicht ganz zu Unrecht, die Alarmglocken der Datenschützer. Dabei ist eine sichere und DSGVO-konforme Nutzung der Cloud auch für die Verarbeitung sensibelster Daten kein Zauberwerk.

Die Lösung

Wer Daten bei Austausch und Verarbeitung in der Cloud schützen möchte, kann aus einer Reihe marktgängiger Techniken wählen. Dabei sollte allerdings tatsächlich der aktuelle Stand der Technik berücksichtigt und nicht versucht werden, neue Herausforderungen mit der Technik von gestern zu bewältigen. Pseudonymisierung und Verschlüsselung sind das moderne Mittel der Wahl. Nur diese Methoden bieten ausreichenden Schutz, selbst wenn es zu einer Datenpanne oder einem gelungenen Cyberangriff kommen sollte.

Unter IT-Security-Experten herrscht mittlerweile Einigkeit darüber, dass sich Datenverlust durch Unachtsamkeit oder kriminelle Aktivitäten nicht hundertprozentig verhindern lässt. Das gilt auch für anonymisierte und/oder verschlüsselte Daten. Diese allerdings sind für Unbefugte vollkommen nutzlos, weil sie nicht gelesen werden bzw. nicht bestimmten Personen zugeordnet werden können. Das macht den Datenschutz durch Pseudonymisierung und Verschlüsselung so einzigartig. Nur diese Vorgehensweise gewährleistet den geforderten Datenschutz und erhöht gleichzeitig die Datensicherheit.

Tor mit Sicherheit

Die beste Möglichkeit, Pseudonymisierung und Verschlüsselung umzusetzen, besteht im Einsatz eines Verschlüsselungs-Gateways, das die Daten codiert, bevor sie in die Cloud übertragen werden. Der Vorteil eines Gateways liegt per se in der Tatsache, dass eine Organisation die komplette Hoheit über ihre Daten behält. Externe oder die Endanwendung können die Daten nicht entziffern. Die Organisation hat jederzeit die Kontrolle über die Verschlüsselungsmethode und die verwendeten Schlüssel. Dadurch behält sie auch die vollständige Datenautonomie und gewährleistet die Einhaltung der DSGVO, unabhängig vom benutzten Cloud-Anbieter.

Sogar US-amerikanische Clouds lassen sich nutzen, weil diese nie Zugriff auf die Informationen im Klartext erhalten. Die Möglichkeiten Pseudonymisierung und Verschlüsselung mit einem Gateway lassen beispielsweise das Gaia-X-Projekt in fragwürdigem Licht erscheinen: Es wird mit enormem Aufwand versucht, den US-amerikanischen Platzhirschen etwas adäquates Europäisches entgegenzusetzen, obwohl sich deren Dienste hier und jetzt problemlos datenschutzkonform nutzen lassen.

Der Einsatz eines Gateways bietet auch Vorteile im Vergleich zu einer herkömmlichen Datenverschlüsselung oder Pseudonymisierung, die Probleme mit der Tatsache hat, dass verschlüsselte Daten auch für die Anwendung nicht entzifferbar sind, in der diese erstellt wurden. Ein Gateway kann die Datenfelder bei der Verschlüsselung/Pseudonymisierung indizieren und die entsprechenden Indizes in einer separaten, dedizierten Datenbank ablegen. Sucht ein Anwender nach einer bestimmten verschlüsselten/pseudonymisierten Information, findet das Gateway in der Datenbank die Indizes, die der Suchanfrage entsprechen, und stellt dem Anwender die Informationen im Klartext zur Verfügung. Bei entsprechender technischer Umsetzung nimmt der Prozess selbst bei der Indexierung hunderttausender Datensätze nicht mehr als wenige Millisekunden in Anspruch.

Cloud mit Datenschutz

Selbst zum Schutz sensibler Patientendaten wird das beschriebene Verfahren bereits erfolgreich eingesetzt. Ein Fliegerarzt kommentiert seine Erfahrungen mit dem Gateway wie folgt: „Es gab keine andere akzeptable technologische Lösung, die es uns ermöglicht hätte, sowohl mit der Anwendung als auch mit der Datenbank in der Cloud zu arbeiten. Mit der Verschlüsselungstechnologie von eperi ist das jetzt möglich. Dies hat uns veranlasst, in die Cloud zu migrieren.“ Den IT-Verantwortlichen in Deutschland möchte man die Frage zurufen: Und wann hebt Ihr ab?

(ID:49235658)