Modul 1 · 1.1
Deutsch
Was ist die Cloud, und wer kann auf Ihre Daten zugreifen?
Modul 1: Warum eine europäische Cloud? · Lesezeit: 10 Minuten
Lernziel: Nach dieser Lektion können Sie erklären, was "die Cloud" ist, welche Parteien auf Ihre Daten zugreifen können und warum der Standort des Rechenzentrums nicht die ganze Geschichte ist.
Kernbegriffe: Cloud, SaaS, PaaS, IaaS, Anbieter, Rechenzentrum, Jurisdiktion, Administratorzugriff, Verschlüsselung während der Übertragung, Verschlüsselung im Ruhezustand, Ende-zu-Ende-Verschlüsselung, Schlüsselverwaltung
Die Cloud ist der Computer eines anderen
"Die Cloud" klingt nach etwas Vagem, das über uns schwebt. In Wirklichkeit ist sie ganz konkret: Ihre Dateien, E-Mails und Kalender liegen auf Computern (Servern) eines anderen Unternehmens, in einem Gebäude voller Server: einem Rechenzentrum. Sie mieten ein Stück dieser Computer und nutzen es über das Internet.
Nehmen wir Bakkerij De Korrel, eine Bäckerei mit zwölf Mitarbeitenden und der Domain example.com. Die Inhaberin, Sanne, nutzt seit Jahren ein bekanntes Paket eines grossen amerikanischen Technologieunternehmens: E-Mail unter info@example.com, einen gemeinsamen Kalender für die Lieferrouten, Rezepte und Angebote in Online-Ordnern sowie einen Chat mit der Belegschaft. Das funktioniert gut. Aber Sanne weiss eigentlich nicht, wo diese Daten liegen und wer alles darauf zugreifen kann.
Drei Arten von Cloud
Ihnen begegnen drei Abkürzungen. Der Unterschied liegt darin, wie viel der Anbieter für Sie übernimmt:
| Art | Was Sie mieten | Beispiel | Was Sie selbst tun |
|---|---|---|---|
| SaaS (Software as a Service) | Einen fertigen Dienst | Online-E-Mail, Online-Speicher, Online-Office | Nur nutzen und einrichten |
| PaaS (Platform as a Service) | Eine Plattform, um Ihre eigene Software zu betreiben | Eine verwaltete Datenbank oder Webhosting | Ihre eigene Anwendung pflegen |
| IaaS (Infrastructure as a Service) | Reine Server, Speicher und Netzwerk | Ein virtueller Server (VPS) | Alles ab dem Betriebssystem |
Dieser Kurs behandelt vor allem SaaS: die Dienste, die eine kleine Organisation täglich nutzt. Bei SaaS übernimmt der Anbieter fast alles. Das ist bequem, bedeutet aber auch, dass der Anbieter fast alles in der Hand hat.
Wer kann auf Ihre Daten zugreifen?
Wenn Ihre Daten bei einem Clouddienst liegen, gibt es grundsätzlich mehr Parteien, die darauf zugreifen können, als nur Sie selbst:
- Sie und Ihre Kollegen, mit Ihren Konten. Und jeder, mit dem Sie etwas teilen.
- Der Anbieter: Administratoren, die die Systeme warten, Support-Mitarbeitende, die Ihnen helfen, und automatische Systeme (zum Beispiel Spamfilter oder Virenscanner), die Ihre Daten lesen, um ihre Arbeit zu erledigen.
- Parteien, die der Anbieter beauftragt: das Rechenzentrum, ein Unternehmen, das den Support in einem anderen Land übernimmt, ein Backup-Anbieter. Diese nennt man Unterauftragsverarbeiter (Lektion 1.2 und 9.2).
- Behörden: Polizei, Justiz und Nachrichtendienste des Landes, dem der Anbieter untersteht, sofern das Gesetz das erlaubt. Welche Gesetze das sind, lesen Sie in Lektion 1.3.
- Angreifer, wenn die Sicherheit mangelhaft ist oder jemand Ihr Passwort erbeutet.
Punkt 1 und 5 regeln Sie grösstenteils selbst, mit guten Passwörtern und Zwei-Faktor-Authentifizierung (Lektion 7.3). Punkt 2, 3 und 4 hängen vom gewählten Anbieter ab. Darum geht es in diesem Kurs.
Warum das Rechenzentrum nicht die ganze Geschichte ist
Viele Anbieter sagen heutzutage: "Ihre Daten liegen in Europa." Das ist gut, aber nur ein Teil der Antwort. Es gibt drei Ebenen:
- Wo steht der Server? Das Land des Rechenzentrums. Das bestimmt zum Beispiel, welche Polizei physisch an die Maschine herankommt.
- Wer ist der Anbieter, und wer ist der Eigentümer? Ein Unternehmen unterliegt dem Recht des Landes, in dem es ansässig ist. Ist der europäische Anbieter eine Tochtergesellschaft eines amerikanischen Unternehmens, kann das amerikanische Mutterunternehmen von einem amerikanischen Gericht verpflichtet werden, Daten herauszugeben, die es "in seiner Macht" hat, auch wenn diese in Europa liegen.
- Wer hat den Schlüssel? Sind die Daten verschlüsselt, stellt sich die Frage, wer sie entschlüsseln kann.
Das Wort für "welchem Recht etwas untersteht" ist Jurisdiktion. Ein Server in Frankfurt eines Unternehmens mit einem Mutterunternehmen in den Vereinigten Staaten unterliegt also gleichzeitig zwei Jurisdiktionen. In Lektion 2.1 lernen Sie fünf Fragen, mit denen Sie das bei jedem Anbieter klären.
Verschlüsselung: drei Arten, eine Kernfrage
Verschlüsseln bedeutet, Daten für jeden ohne den richtigen Schlüssel unlesbar zu machen. Sie hören drei Arten:
| Art | Was schützt sie? | Wer hat Zugriff? |
|---|---|---|
| Verschlüsselung während der Übertragung (https, TLS) | Daten zwischen Ihrem Gerät und dem Server | Der Anbieter sieht alles, sobald es ankommt |
| Verschlüsselung im Ruhezustand (verschlüsselte Festplatten) | Daten auf den Festplatten im Rechenzentrum, zum Beispiel wenn eine Festplatte gestohlen wird | Der Anbieter hat den Schlüssel und kann die Daten somit lesen |
| Ende-zu-Ende-Verschlüsselung (E2E) | Daten sind nur auf Ihren Geräten lesbar | Nur Sie (und wer von Ihnen den Schlüssel erhält) |
Die Kernfrage lautet stets: Wer verwaltet den Schlüssel? Bei Verschlüsselung während der Übertragung und im Ruhezustand ist das der Anbieter. Das ist notwendig, denn sonst könnte der Anbieter Ihre Dateien nicht im Browser anzeigen, durchsuchen oder in einem Online-Office bearbeiten lassen. Es bedeutet auch: Wird der Anbieter verpflichtet, Daten herauszugeben, kann er das technisch tun.
Ende-zu-Ende-Verschlüsselung löst dieses Problem, kostet aber Komfort. Gemeinsam im Browser an einem Dokument arbeiten, im Inhalt suchen und ein Passwort wiederherstellen funktioniert dann oft nicht mehr. Und verlieren Sie den Schlüssel, kann niemand mehr Ihre Dateien öffnen. Für die meisten Daten einer Bäckerei ist E2E nicht nötig; für einen Ordner mit zum Beispiel Personalakten kann es eine Überlegung wert sein.
Was das für Bakkerij De Korrel bedeutet
Sanne bringt es auf den Punkt. Ihre E-Mail, ihr Kalender und ihre Dateien liegen bei einem amerikanischen Unternehmen. Laut der Website dieses Unternehmens liegen die Daten "in Europa". Aber das Unternehmen selbst unterliegt amerikanischem Recht, und das Unternehmen hat die Schlüssel. Das ist kein Grund zur Panik: Es ist nichts schiefgelaufen. Aber Sanne hat keinen Überblick darüber, wer in Zukunft darauf zugreifen kann, und sie hat keinen Einfluss auf die Regeln. Genau das ist die Frage, mit der sich dieser Kurs befasst: Möchten Sie das so belassen, und wenn nicht, wie steigen Sie um, ohne etwas zu verlieren?
Wichtig, das gleich zu sagen: Ein europäischer Anbieter ist nicht automatisch sicherer. Ein schlecht abgesicherter europäischer Dienst ist schlechter als ein gut abgesicherter amerikanischer. Es geht um zwei Dinge gleichzeitig: gute Sicherheit und eine Jurisdiktion, deren Regeln Sie kennen und die Sie von einem europäischen Gericht prüfen lassen können.
Dies ist eine Erläuterung, keine Rechtsberatung.
In der Praxis: So sieht es bei einem Anbieter aus
Ein Anbieter sollte diese Fragen einfach beantworten können. Bei WebOké steht es zum Beispiel in der Nextcloud-Anleitung: Die Daten liegen in zwei niederländischen Rechenzentren, der Datenverkehr läuft über https, die Festplatten sind verschlüsselt, und wer möchte, kann für einen Ordner Ende-zu-Ende-Verschlüsselung aktivieren, mit den entsprechenden Einschränkungen. Andere europäische Anbieter haben ähnliche Seiten, oft unter Bezeichnungen wie "Sicherheit", "Trust Center" oder "Datenschutz". Steht es nirgends, fragen Sie einfach nach. Ein Anbieter, der nicht sagen kann, wo Ihre Daten liegen und wer darauf zugreifen kann, ist keine gute Wahl.
Zusammenfassung
- Die Cloud ist der Computer eines anderen: Server in einem Rechenzentrum eines Unternehmens.
- Bei SaaS übernimmt der Anbieter fast alles und hat somit auch fast alles in der Hand.
- Neben Ihnen können der Anbieter, seine Unterauftragsverarbeiter, Behörden und Angreifer grundsätzlich auf Ihre Daten zugreifen.
- Der Standort des Rechenzentrums ist eine Ebene; der Sitz und der Eigentümer des Anbieters bestimmen ebenfalls, welchem Recht Ihre Daten unterliegen.
- Bei Verschlüsselung während der Übertragung und im Ruhezustand hat der Anbieter den Schlüssel; nur bei Ende-zu-Ende haben Sie ihn, mit weniger Komfort.
Quiz
Aufgabe
Aufgabe A1.1: Wo befinden sich Ihre Daten jetzt? Geben Sie Ihre eigene Domain ein (oder eine Domain Ihrer Organisation). Das Programm ermittelt, wo Ihre E-Mail ankommt (MX) und wo Ihre Website liegt (A/AAAA), und zu welchem Netzwerkeigentümer diese IP-Adressen gehören. Sie geben vorab ein, welches Unternehmen und welches Land Sie erwarten. Danach vergleichen Sie.
Aufgabe E1.1: Wer hat Zugriff? Wählen Sie einen Dienst, den Sie täglich nutzen (E-Mail, Speicher oder Chat). Recherchieren Sie auf der Website des Anbieters, wo die Daten liegen, welches Unternehmen der Anbieter ist und wo es ansässig ist, und welche Art von Verschlüsselung verwendet wird. Tragen Sie die fünf Parteien aus dieser Lektion für diesen Dienst ein.
Aufgabe E1.1: Wer hat Zugriff?
Wählen Sie einen Dienst (E-Mail, Speicher oder Chat) und suchen Sie die Informationen auf der Website des Anbieters.
Ihre Haken und Notizen bleiben nur in diesem Browser; wir senden sie nirgendwohin. Sind Sie angemeldet, speichern wir in Meine Kurse nur, dass Sie die Aufgabe erledigt haben.
Weiterführende Informationen
Die Schritte in diesen Artikeln gelten für die Dienste von WebOké; bei anderen Anbietern funktioniert es ähnlich.
- Nextcloud-Anleitung 1.1: Was ist Nextcloud und was ist ein WebOké Nextcloud?
- Nextcloud-Anleitung 3.1: Wie sichert WebOké Ihre Nextcloud ab?
- Nextcloud-Anleitung 3.9: End-to-End-Verschlüsselung: wann ja, wann nicht
- WebOké Anleitung 14.3: WHOIS, IP-Lookup und SSL-Checker
- NIST SP 800-145, The NIST Definition of Cloud Computing (Definition von SaaS, PaaS und IaaS)