Cloud Computing erfordert vor allem eins: Vertrauen. Wieso, und wie man feststellen kann, ob dieses Vertrauen gerechtfertigt ist oder nicht, verrät dieser Standpunkt Sicherheit.

Cloud Computing, das klingt richtig schön nebulös. Und da schickt man seine vertraulichen Daten hin bzw. vertraut von dort gelieferten Informationen? Wer würde schon seine Verträge, Kalkulationen, ... einem wildfremden Menschen anvertrauen? Oder auf den Rat einer ominösen Gruppe wildfremder Menschen eine Entscheidung treffen? Niemand, oder? Aber beim Cloud Computing wird genau das gemacht. Merkwürdig, nicht war? Betrachten wir mal als abstraktes Beispiel die gemeinsame Nutzung von in der Cloud gespeicherten Daten.

Gemeinsam genutzte Daten

Im Standpunkt Sicherheit vom 26. Oktober 2009 hatte ich ja schon die gemeinsame Nutzung von Dokumentvorlagen kommentiert, die bei Google Docs dazu führen konnten, das darin eingetragene persönliche Daten wie z.B. auch die Bankverbindung an alle anderen Nutzer übertragen wurden - ohne dass das dem "Opfer" bekannt war. Das kann man beliebig fortführen, aber da ja niemand so genau weiß, was diese "Cloud" denn nun genau kann oder noch können wird, bleibe ich mal ganz allgemein: Man speichert also Daten in der Cloud, um sie gemeinsam mit Freunden, Kollegen, ... zu nutzen. Ob das nun gemeinsames Nutzen im Sinne von gemeinsamen Änderungen an den Daten ist oder der gemeinsame Zugriff auf von nur einer Stelle änderbaren Daten, soll dabei egal sein. Diese Daten haben einen gewissen Wert - ob das nun ein eher ideeller Wert ist, weil es sich um einen gemeinsam als Hobby geschriebenen Roman handelt, der sowieso irgendwann nach der Fertigstellung kostenlos ins Netz gestellt werden soll, oder ob es vertrauliche Unternehmensdaten sind (für die dann evtl. zusätzlich noch gesetzliche Regelungen wie Datenschutzbestimmungen gelten), soll dabei egal sein.

Daten schützen

Diese Daten sollen natürlich nur der jeweiligen Gruppe zugänglich sein und keinem Dritten. Fangen wir mal mit einer einfachen Frage an: Wie schützen wir diese Daten, wenn wir sie auf dem eigenen Server ins Internet stellen? Erst mal brauchen wir eine Zugriffskontrolle, die dafür sorgt, das nur die befugten Nutzer der jeweiligen Gruppe auf die Daten zugreifen können. Dann müssen die Daten verschlüsselt übertragen werden, um Lauscher auszusperren. Wollen wir ganz sicher gehen, können wir die Daten auf dem Server verschlüsseln. Und was passiert, wenn wir das nun auf die Cloud übertragen? Erst mal ändert sich eine Voraussetzung: Wir dürfen weder dem Serverbetreiber noch den anderen Benutzern des Cloud-Dienstes vertrauen. Während wir auf dem eigenen Server (hoffentlich) nur vertrauenswürdige Benutzer haben, müssen wir auf einem fremden Server immer mit böswilligen Benutzern rechnen. Die Daten zu verschlüsseln, wäre also die beste Lösung: Selbst wenn irgend jemand auf die Daten zugreifen kann, kann er nichts damit anfangen, solange er die Verschlüsselung nicht brechen kann. Verschlüsselung ist zwar nur ein Zeitschloss, das in Zeiten der Cloud u.U. sehr schnell ablaufen kann, aber wenn man sie richtig wählt, hält sie (hoffentlich) so lange, dass das Ergebnis der Entschlüsselung für den Angreifer nutzlos ist. Im allgemeinen wird eine Verschlüsselung der Daten aber an der Cloud-Anwendung scheitern, die auf die Verarbeitung von Klartextdaten ausgelegt ist. Man könnte bei z.B. Google Docs sicher auch verschlüsselte Daten eingeben, aber das Bearbeiten wird dann ziemlich schwierig. Also müssen wir Vertrauen haben: Wir müssen dem Betreiber des jeweiligen Angebots vertrauen, oft ohne viel über ihn zu wissen. Und wir müssen darauf vertrauen, das er unsere Daten vor unbefugten Zugriffen schützt. Ziemlich viel Vertrauen, für meinen Geschmack jedenfalls.

Vertrauen, wer Vertrauen verdient

Fangen wir erst mal beim Betreiber an: Wer ist das überhaupt? Bei den großen Anbietern ist das relativ klar (oder auch nicht, wer weiß schon als Laie, wer bei einem US-Unternehmen im Zweifelsfall das Sagen hat?), jedenfalls für den Augenblick. Der aber schnell vorbei sein kann, wenn der Betreiber von einem anderen Unternehmen aufgekauft wird. Immerhin können wir anhand des für die Verschlüsselung der Datenübertragung sehr wahrscheinlich verwendeten SSL-Zertifikats (hoffentlich) feststellen, mit wem wir es zu tun haben. Fragt sich dann nur, ob wir dem zum einen "persönlich" vertrauen, und zum anderen, ob wir ihm zutrauen, mit unseren Daten verantwortungsbewusst um zu gehen und sie vor unbefugten Zugriffen zu schützen. Bei einem Anbieter wie z.B. Amazon sollte man davon ausgehen, das man beide Punkte bejahen kann. Bei Google... nun, bei einem Unternehmen, dessen Haupt-Geschäftszweck das Sammeln von Daten ist, bin ich da doch etwas skeptisch, was das Vertrauen betrifft. Da stellt sich die Frage nach dem zutrauen eigentlich gar nicht mehr. Google verrät zwar, was es über die Benutzer weiss, aber wenn man Google misstraut, darf man diesen Angaben natürlich auch nicht vertrauen. Und seien wir doch mal ehrlich: Wie vertrauenswürdig ist jemand, der es nötig hat, immer wieder zu beteuern, das er ja nichts böses tut? Bei anderen, bisher unbekannten Anbietern, ist die Einschätzung der Vertrauenswürdigkeit noch viel schwieriger. Zumal Datenschutzerklärungen etc. im Zweifelsfalls weniger Wert sind als das Papier, auf dem sie nicht gedruckt sind.

Vertrauen - wem und wo?

Ach ja: WO ist diese Cloud eigentlich? D.h., wo stehen die jeweiligen Server, auf denen die Daten gespeichert sind? Womöglich in den USA, dem Land der unbegrenzten Datenzugriffe durch Behörden aller Art? Und egal wo sie stehen: WELCHES Recht gilt dann - das aus dem Land des Nutzers, des Betreibers, oder des Server-Standorts? Wer darf auf diese Daten wann zugreifen? Vorratsdatenspeicherung, Online-Durchsuchung und ihre jeweiligen nationalen Entsprechungen sowie jeweils andere Datenschutzbestimmungen werfen da doch einige Fragen auf. Solange das alles nicht geklärt ist, sollte man sich genau überlegen, welche Daten man einer Cloud anvertraut.

Carsten Eilers