- Anzeigen -
Besuchen Sie auch unser Zeitschriftenportfolio im Bereich Governance, Risk, Compliance & Interne Revision

Datenverlust hat nichts mit Safe Harbour zu tun


Safe Harbor: Ratlosigkeit durch EuGH-Urteil, aber kein Grund zur Panik
Die Angst ist nur teilweise berechtigt, denn manche amerikanische Anbieter garantieren, dass die Daten nicht den Kontinent verlassen - So klagt beispielsweise Microsoft in letzter Instanz gegen die Herausgabepflicht nach dem Patriot Act für Daten aus Rechenzentren außerhalb der USA

Von Jörg Mecke ist Geschäftsbereichsleiter Business Productivity bei Fritz & Macziol

(04.11.15) - Das neue Urteil des Europäischen Gerichtshofes führt bei vielen Unternehmen zu einer Geisteshaltung zwischen einer selbsterfüllenden Prophezeiung und Ratlosigkeit. Die Spionage-Möglichkeiten der NSA machen den Menschen Angst und viele fragen sich, was eigentlich richtig und was falsch läuft. Der EuGH stellt jetzt fest, dass es falsch ist, die amerikanischen Rechenzentren (genauer: die Rechenzentren auf amerikanischen Boden) als sicheren Datenspeicherungsort gelten zu lassen. Dabei haben alle großen US-Anbieter auch Rechenzentren in Europa oder sogar in Deutschland. Vielfach sorgen sie aber für eine Datenspiegelung in andere Rechenzentren in der Welt, um mit dieser so genannten "Geo-Redundanz" die Systeme maximal ab Ausfall des primären Rechenzentrums durch Feuer, Sturm oder anderen höheren Gewalten abzusichern. Das ist gut für die Verfügbarkeit, die Kunden können aber die Datenspeicherung nicht mehr nachvollziehen.

Doch die Angst ist nur teilweise berechtigt, denn manche amerikanische Anbieter garantieren, dass die Daten nicht den Kontinent verlassen. So klagt beispielsweise Microsoft in letzter Instanz gegen die Herausgabepflicht nach dem Patriot Act für Daten aus Rechenzentren außerhalb der USA. Der Verlust der Datenhoheit soll so minimiert werden und Microsoft versucht mit der Klage eine Vorreiterrolle der vertrauensvollen Cloud-Anbieter zu erlangen. Andere machen es vielleicht zurückhaltender oder gar nicht, um Kunden nicht auf potentielle Probleme hinzuweisen. Wo was läuft, das sollte klar sein, sobald ein Anbieter die Auftragsdatenvereinbarung für Applikationen, Datenbanken oder ganze virtuelle Maschinen herausgibt. Denn schon vor dem Urteil galt eine besondere Sorgfaltspflicht. Jetzt ist die Unsicherheit jedoch wieder gestiegen, da die bisherigen Unternehmensentscheidungen für die Cloud durch den geänderten Rechtsrahmen wieder in Frage gestellt werden.

Die Skeptiker der Transformation von einer handwerklichen Datenverarbeitung zu einer industriell-automatisierten Informationstechnologie bekommen nun Wasser auf ihre Mühlen, obwohl sich nicht viel ändert. Die Angst vor der Veränderung ist noch größer als die Angst vor dem Datenverlust. Denn auch der Datenverlust hat nichts mit Safe Harbour zu tun. Wenn Geheimdienste sich etwa auf Internetknoten schalten, sind die Daten für sie einfacher zu verarbeiten, als wenn sie einen Rechenzentrumsanbieter um Datenherausgabe "bitten". Die Hysterie sollte sich in Grenzen halten. Datenverschlüsselung nach neuesten Standards gilt als sicher und sollte jederzeit und unabhängig von Safe Harbour und Patriot Act genutzt werden. Denn es geht nicht darum, den technologischen Wandel zu verteufeln, sondern diesen Wandel unter den herrschenden Bedingungen selbst zu gestalten. Schließlich gibt es alternativ auch attraktive deutsche Anbieter mit deutschen Rechenzentren, die nur nach deutschem Recht arbeiten.

Wer seine Daten umziehen will, sollte den Aufwand genau abschätzen: Während virtuelle Maschinen recht einfach und unkompliziert migriert werden können, wird es bei Applikationen schwieriger. Fritz & Macziol empfiehlt den Kunden aktuell, die gebotene Gelassenheit aus mehreren Gründen zu bewahren:

1. Zunächst bedarf es einer Reaktion der Europäischen Kommission zur Neuregelung des Datenverkehrs. Die Politik ist in der Pflicht und arbeitet bereits an einer europäischen Datenschutzgesetzgebung.
2. Der bisher gewählte Anbieter kann möglicherweise auf eine europäische Datensicherung verpflichtet werden.
3. Der Einsatz amerikanischer Software in europäischen Rechenzentren ist vom Urteil überhaupt nicht betroffen.

Die Datenschutzbeauftragten des Bundes und der Länder haben hierzu Handreichungen veröffentlicht, die eine verständliche und neutrale Lösungsansätze für Interessierten bieten, die dann mit dem gewählten Dienstleister in die Praxis überführt werden können. (Fritz & Macziol: ra)

Fritz&Macziol: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -




Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Kommentare und Meinungen

  • Pressevielfalt im Internet wird spürbar abnehmen

    Die EU hat sich auf eine neue Urheberrechtsrichtlinie geeinigt. Dazu erklärt Bitkom-Hauptgeschäftsführer Dr. Bernhard Rohleder: "Für die Künstliche Intelligenz ist die Urheberrechtsreform ein Schritt nach vorne. In allen anderen Bereichen kennt die Richtlinie nur Verlierer. So hat sich die EU für Upload-Filter und gegen Meinungsfreiheit entschieden. Erst löschen und bei Beschwerde wieder hochladen - das führt das Recht auf freie Rede ad absurdum. Von der uns bekannten Meinungsfreiheit werden wir uns in einem gewissen Maß verabschieden müssen.

  • Aus Unternehmenssicht praxisfern

    Zu den aktuellen Plänen der SPD für ein "Daten für alle Gesetz" sagt eco Vorstandsvorsitzender Oliver Süme: "Eine Debatte darüber wie und unter welchen Umständen Zugang zu Daten erfolgt ist wichtig und eine Gestaltungsaufgabe für die Politik. Es bedarf dabei einer sorgfältigen Abwägung, wann Daten - auch personenbezogene - zugänglich gemacht werden sollen. Das von der SPD angeregte "Daten-für-alle"-Gesetz halte ich in diesem Zusammenhang für problematisch, weil es aus Unternehmenssicht praxisfern ist und zum Hemmschuh für die weitere Entwicklung des Digitalstandorts Deutschland werden könnte. Ein nationaler Alleingang beim Thema Daten wäre in diesem Kontext mehr als unklug."

  • Geschäftsbetrieb möglichst effektiv zu stören

    Laut Recherchen der "Welt am Sonntag" beobachteten Sicherheitsbehörden im Vergleich zum letzten Jahr einen eindeutigen Anstieg von Angriffen auf die IT-Infrastruktur von Organisationen. Die Attacken, hinter denen oftmals ausländische Geheimdienste vermutet werden, zielen neuerdings weniger darauf ab, Geld zu erpressen - vielmehr ist das Ziel, den Geschäftsbetrieb möglichst effektiv zu stören. Beispielsweise werde die Wasser- und Stromversorgung manipuliert. Laut dem Bundesamt für Sicherheit in der Informationstechnik haben die Angriffe eine neue Qualität erreicht. Auch wenn selbstverständlich nicht jeder Störfall mit einem Hack gleichzusetzen sei, wie das BSI betont, sei die Zahl der Vorfälle doch deutlich gestiegen - von 145 im Berichtszeitraum Juni 2017 bis Ende Mai 2018 auf ganze 157 Meldungen in der zweiten Hälfte des Jahres 2018. Hiervon haben 19 dieser Vorfälle den Energiesektor betroffen.

  • Implementierung regulatorischer Anforderungen

    Europäischer Rat und Europäisches Parlament haben entschieden, die Übergangsfrist für so genannte kritische Referenzwerte (Benchmarks) bis Ende 2021 zu verlängern. Hiermit wird ein zentrales Anliegen der Deutschen Kreditwirtschaft (DK) aufgegriffen. Die Entscheidung ist laut Bundesverband deutscher Banken e.V. sehr zu begrüßen, denn der ursprünglich vorgesehene Zeitrahmen war erheblich zu kurz. Die Anbieter kritischer Referenzwerte konnten die Arbeiten an der methodischen Herleitung noch nicht abschließen.

  • Banken begrüßen Brexit-Steuerbegleitgesetz

    Der Deutsche Bundestag hat das Brexit-Steuerbegleitgesetz verabschiedet. Mit dem Gesetz sollen mögliche negative Folgen eines harten Brexit vermieden werden. "Wir sind in Deutschland auf einen harten Brexit vorbereitet! Dieses klare Signal hat die Politik mit dem verabschiedeten Gesetz gesendet", erklärte Andreas Krautscheid, Hauptgeschäftsführer des Bankenverbandes. "Bundestag und Bundesregierung zeigen, dass sie bereit sind, alle geeigneten Maßnahmen zu treffen, um Nachteile für die in Deutschland ansässigen Unternehmen zu vermeiden."