Wie die Nachrichtenagentur Reuters berichtet war der Rüstungskonzern Lockheed Martin vergangene Woche Ziel von Hackerangriffen. Zwar seien laut Lockheed keine sensiblen Daten in fremde Hände geraten, die Netzzugänge für Mitarbeiter waren aber als Folge nur eingeschränkt nutzbar. Die Attacke steht in Zusammenhang mit einem erfolgreichen Hackerangriff auf die Sicherheitsfirma RSA, die die Absicherung des Zugangs zur “Secure Cloud” von Lockheed realisiert hat.
Für Wolfgang Munz, den Geschäftsführer des Speicher- und Informationsmanagementspezialisten dataglobal, stellt sich nicht erst seit diesem Vorfall die Frage: Was soll überhaupt in die Cloud?
“Dass Unternehmen Clouds nutzen, ist nachvollziehbar und sinnvoll. Schließlich verspricht die Wolke nicht nur mehr Flexibilität in Sachen IT-Nutzung und -Skalierung, sondern auch deutliche Kostenvorteile. Nachvollziehbar ist aber auch die Skepsis vieler Unternehmen, ob in der Cloud ein ausreichender Datenschutz gewährleistet ist. So sehen laut einer Studie von PricewaterhouseCoopers rund zwei Drittel der Anbieter von Cloud-Services den Datenschutz als die größte Herausforderung an. Und zumindest die deutschen Mittelständler sind nicht davon überzeugt, dass die Aufgaben, die aus dieser Herausforderung entstehen, zuverlässig und umfassend gelöst sind. So lässt sich erklären, dass nur gut zehn Prozent dieser Klientel Cloud-Services nutzen.
Eine zentrale Frage sollte sich jeder Verantwortliche deshalb stellen, der über die Nutzung von Cloud-Services für sein Unternehmen nachdenkt. Was darf, kann und soll in die Cloud?
Um die erste Frage beantworten zu können, ist es unabdingbar zu wissen, welchen Wert und welche Sensibilität die infrage kommenden Daten besitzen. Dies stellt viele Unternehmen allerdings vor eine schier unlösbare Aufgabe, da sie keinen wirklichen Überblick in ihre Datenhaltung haben. Daher ist es wichtig zu wissen, was man hat, wo man es hat und was man schließlich in die Cloud schieben kann und darf. Abhängig von rechtlichen Aspekten, unternehmensinternen Sicherheitsvorgaben zum Datenschutz und auch einsatzorientierten Gesichtspunkten wie Zugriffszeiten und Datentransferkapazitäten kann es nämlich wenig sinnvoll sein, einfach alle Daten aufgrund der genannten Vorteile in die Wolke zu transferieren, um später festzustellen, dass diese Idee doch keine allzu gute war. Freilich gehört zur lückenlosen Feststellung der Wertigkeit von Daten eine gewisse Portion Vorarbeit: Die Daten des unternehmenseigenen Informationspools – und zwar in seiner Gänze – müssen eindeutig klassifiziert sein. Gut, dass die Software-Industrie Werkzeuge bereitstellt, die bei der schnellen, einfachen und kosteneffizienten Klassifizierung von Daten eingesetzt werden können.
Mithin lässt sich auf Basis dieser Klassifizierung daher entscheiden, ob die Nutzung von Cloud-Services für bestimmte Unternehmensbereiche überhaupt sinnig ist. So spricht wenig dafür, dass ein Unternehmen etwa die Daten seiner Forschungs- und Entwicklungsabteilung aus einer internen, funktionalen und abgesicherten Netzinfrastruktur auslagert. Denn Vorfälle wie der bei Lockheed zeigen, dass Public Clouds, auch wenn sie noch so aufwändig und kostspielige abgesichert sind, eine breite Angriffsfläche bieten können – wenn man darin Daten vorhält, die dort einfach nicht hingehören.”