Modul 7 · 7.2
Deutsch
Lieferanten und Cloud-Dienste beurteilen
Modul 7: Zugang, Dienstleister und Cloud · Lesezeit: 11 Minuten
Lernziel: Nach dieser Lektion können Sie einen Lieferanten oder Cloud-Dienst hinsichtlich Sicherheit, Datenschutz und Exit beurteilen, erklären, was ein Auftragsverarbeitungsvertrag nach der DSGVO regeln muss, und eine Lieferantenübersicht führen.
Kernbegriffe: geteilte Verantwortung, Auftragsverarbeiter, Auftragsverarbeitungsvertrag, Unterauftragsverarbeiter, Speicherort der Daten, Zertifizierung (zum Beispiel ISO 27001), Exitstrategie, Lieferantenübersicht
Ihre Sicherheit ist so stark wie Ihre Lieferanten
Ein kleines Unternehmen hat selten eigene Server. Die E-Mail läuft bei einem Anbieter, die Buchhaltung in einem Online-Paket, der Webshop auf einer Plattform, die Laptops werden von einem IT-Unternehmen verwaltet, und die Lohnbuchhaltung läuft über ein Steuerbüro. Das ist sinnvoll: Diese Partner können Sicherheit oft besser organisieren, als Sie es selbst könnten. Es bedeutet aber auch, dass ein grosser Teil Ihrer Sicherheit in den Händen anderer liegt.
Zeichnen Sie das einmal für sich auf. Setzen Sie Ihr Unternehmen in die Mitte und ziehen Sie eine Linie zu jeder Partei, die Daten von Ihnen speichert oder Zugriff auf Ihre Systeme hat. Stellen Sie bei jeder Linie zwei Fragen:
- Was, wenn dieser Partner ausfällt? Eine Störung, eine Insolvenz, eine Preiserhöhung, wegen der Sie wechseln möchten.
- Was, wenn bei diesem Partner Daten durchsickern? Ein Einbruch beim Lieferanten, ein Mitarbeiter, der zu viel einsehen kann, ein Konto des IT-Unternehmens, das übernommen wird.
Geteilte Verantwortung
In Lektion 6.1 haben Sie bereits das Modell der geteilten Verantwortung kennengelernt: Der Anbieter eines Cloud-Dienstes sorgt für das Rechenzentrum, die Server und das Funktionieren der Software; Sie bleiben verantwortlich für Ihre Daten, Ihre Konten und Ihre Einstellungen. Microsoft schreibt in seiner Dokumentation wörtlich, dass dies bei jeder Art von Cloud-Dienst so bleibt, auch bei fertiger Standardsoftware.
Was das in der Praxis bedeutet:
| Das regelt meist der Anbieter | Das regeln Sie immer selbst |
|---|---|
| Physische Sicherheit des Rechenzentrums | Wer ein Konto hat und mit welchen Rechten (Lektion 7.1) |
| Updates der Server und der Software | Zwei-Faktor-Authentifizierung aktivieren und nutzen |
| Verfügbarkeit gemäss den Vereinbarungen | Was Sie teilen und mit wem (Lektion 7.3) |
| Backups für Notfälle (sofern vereinbart) | Ein eigenes Backup oder einen Export dessen, was Sie wirklich nicht verlieren dürfen (Modul 6) |
Ein häufiger Fehler ist die Annahme, der Anbieter regle etwas, das Sie nie nachgefragt haben. Fragen Sie also nach.
Auftragsverarbeiter und Auftragsverarbeitungsvertrag
Sobald ein Lieferant personenbezogene Daten für Sie verarbeitet, gelten die Regeln der DSGVO. Denken Sie an Kundendaten in Ihrem Webshop, E-Mails mit Namen und Adressen, Gehaltsdaten oder einen Cloud-Speicher mit Lebensläufen von Bewerbern.
- Sie sind der Verantwortliche: Sie bestimmen, wofür und wie die Daten verwendet werden.
- Der Lieferant ist ein Auftragsverarbeiter: Er verarbeitet die Daten in Ihrem Auftrag, für Ihre Zwecke.
Artikel 28 der DSGVO besagt, dass Sie nur Auftragsverarbeiter einsetzen dürfen, die hinreichende Garantien für geeignete technische und organisatorische Massnahmen bieten. Die Vereinbarungen halten Sie in einem Auftragsverarbeitungsvertrag fest, schriftlich (elektronisch ist zulässig). Gemäss Artikel 28 Absatz 3 regelt dieser Vertrag jedenfalls Gegenstand, Dauer, Art und Zweck der Verarbeitung, welche Arten von personenbezogenen Daten und betroffenen Personen es betrifft, und dass der Auftragsverarbeiter:
- nur auf Ihre schriftliche Weisung hin tätig wird;
- dafür sorgt, dass seine Mitarbeiter zur Vertraulichkeit verpflichtet sind;
- die Sicherheitsmassnahmen nach Artikel 32 trifft;
- nur mit Ihrer Zustimmung einen Unterauftragsverarbeiter einsetzt, unter denselben Pflichten;
- Ihnen hilft, wenn Betroffene ihre Datenschutzrechte ausüben (Auskunft, Berichtigung, Löschung);
- Ihnen bei Sicherheit, Datenpannen und einer eventuellen Datenschutz-Folgenabschätzung hilft (Artikel 32 bis 36);
- nach Abschluss die Daten löscht oder zurückgibt und Kopien entfernt, nach Ihrer Wahl;
- Ihnen die Informationen zur Kontrolle der Einhaltung der Vereinbarungen bereitstellt und Audits ermöglicht.
Ein Unterauftragsverarbeiter ist eine Partei, die Ihr Auftragsverarbeiter seinerseits beauftragt, zum Beispiel das Rechenzentrum Ihres Hosting-Anbieters oder der E-Mail-Dienst Ihres Buchhaltungspakets. Die DSGVO besagt, dass der Auftragsverarbeiter Ihnen gegenüber voll haftbar bleibt, wenn ein Unterauftragsverarbeiter seinen Pflichten nicht nachkommt. Fragen Sie nach der Liste der Unterauftragsverarbeiter.
Die zuständige Datenschutzaufsichtsbehörde empfiehlt, die Vereinbarungen konkret zu formulieren, anstatt nur den Gesetzestext zu wiederholen, und festzulegen, wie schnell und mit welchen Informationen der Lieferant Sie über eine Datenpanne informiert. Das Letzte ist wichtig: In Lektion 8.2 sehen Sie, dass Sie innerhalb von 72 Stunden melden müssen, und diese Frist beginnt erst zu laufen, sobald Sie davon wissen.
Viele Anbieter haben einen Standard-Auftragsverarbeitungsvertrag. Lesen Sie ihn, und achten Sie darauf, ob er wirklich unterschrieben oder akzeptiert werden muss: Bei manchen Anbietern tritt er nicht automatisch in Kraft.
Diese Lektion bietet eine allgemeine Erläuterung und stellt keine Rechtsberatung dar. Der vollständige Text steht in der DSGVO auf eur-lex.europa.eu.
Fragen, die Sie einem Lieferanten stellen sollten
Eine Beurteilung muss kein vierzigseitiger Auditbericht sein. Für ein kleines Unternehmen funktioniert eine feste Fragenliste gut. Die Antworten stehen oft schon auf der Website des Lieferanten, auf einer Sicherheitsseite oder in einer Liste häufig gestellter Fragen.
| Thema | Frage |
|---|---|
| Speicherort | Wo liegen meine Daten, auch die Backups? Gehen sie in Länder ausserhalb des Europäischen Wirtschaftsraums? |
| Zugang | Kann ich Zwei-Faktor-Authentifizierung für alle meine Nutzer erzwingen? Kann ich Nutzern eigene Rechte zuweisen? |
| Backup | Erstellt der Lieferant Backups, wie oft, wie lange werden sie aufbewahrt, und kann ich selbst wiederherstellen? |
| Verschlüsselung | Sind die Daten während der Übertragung und auf der Festplatte verschlüsselt? |
| Datenpanne | Wie schnell und wie informiert der Lieferant mich bei einem Vorfall? |
| Unterauftragsverarbeiter | Welche Parteien beauftragt er, und wie erfahre ich von Änderungen? |
| Zertifizierung | Gibt es ein Zertifikat, zum Beispiel ISO 27001, und wofür gilt es? |
| Exit | Kann ich alle meine Daten in einem nutzbaren Format exportieren? Was geschieht mit meinen Daten nach der Kündigung? |
Zur Zertifizierung: ISO/IEC 27001 ist eine internationale Norm mit Anforderungen an ein Managementsystem für Informationssicherheit. ISO selbst zertifiziert nicht; das macht eine unabhängige Zertifizierungsstelle. Ein Zertifikat zeigt, dass eine Organisation ihre Sicherheit planmässig regelt, garantiert aber nicht, dass nie etwas passiert. Achten Sie vor allem auf den Anwendungsbereich auf dem Zertifikat: Gilt er für den Dienst, den Sie nutzen, oder nur für ein einzelnes Büro oder eine Abteilung?
Exit: weggehen können ist auch Sicherheit
Eine Exitstrategie ist Ihr Plan, einen Lieferanten zu verlassen, gezwungen oder freiwillig. Das klingt nach etwas für später, muss aber schon bei der Auswahl mitgedacht werden: Wenn Sie erst bei einer Insolvenz feststellen, dass Sie Ihre Kundendatei nicht exportieren können, ist es zu spät.
Prüfen Sie deshalb im Voraus:
- ob Sie alle Daten exportieren können, und in welchem Format (ein offenes Format wie CSV, Standard-E-Mail oder gewöhnliche Dateien ist besser als ein proprietäres Format);
- wie lange Ihre Daten nach der Kündigung noch verfügbar sind;
- ob Ihr Domainname auf Ihren eigenen Namen läuft und Sie die Nameserver selbst ändern können (Lektion 4.3);
- ob Sie einen aktuellen Export selbst aufbewahren, als Teil Ihres Backups (Lektion 6.1).
Die Lieferantenübersicht
Halten Sie alles in einer Lieferantenübersicht fest: eine Tabelle mit je Lieferant dem Dienst, welche Daten dort gespeichert sind, ob personenbezogene Daten dabei sind, ob ein Auftragsverarbeitungsvertrag besteht, wer bei Ihnen zuständig ist, den wichtigsten Antworten aus der Fragenliste und der Exitmöglichkeit. Prüfen Sie sie einmal im Jahr und wenn ein neuer Dienst hinzukommt.
Fällt einer Ihrer Kunden unter das BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes (Lektion 9.1), können Sie damit rechnen, dass dieser Kunde Ihnen als Lieferant genau solche Fragen stellen wird. Mit einer eigenen Übersicht haben Sie die Antworten bereit.
In der Praxis: so sieht es aus
Viele Anbieter stellen die Antworten auf diese Fragen auf einer Sicherheitsseite bereit. In der Beispielumgebung WebOké beschreibt die Nextcloud-Anleitung zum Beispiel, was der Anbieter regelt und was der Nutzer selbst tut: wo die Daten liegen, Verschlüsselung bei der Übertragung und auf den Festplatten, verpflichtende Zwei-Faktor-Authentifizierung, Updates und Backups, und dass Sie für die geschäftliche Nutzung mit personenbezogenen Daten einen Auftragsverarbeitungsvertrag abschliessen. Diese Einteilung (was regelt der Lieferant, was mache ich selbst) ist genau das, wonach Sie bei jedem Lieferanten suchen sollten. Bei anderen Anbietern steht es oft in einem Trust Center, auf einer Sicherheitsseite oder in den Bedingungen; steht es dort nicht, fragen Sie nach.
Zusammenfassung
- Zeichnen Sie Ihre Lieferanten auf und fragen Sie bei jeder Linie: Was, wenn dieser Partner ausfällt, was, wenn dort Daten durchsickern?
- Geteilte Verantwortung: Der Anbieter regelt die Infrastruktur, Sie Ihre Daten, Konten und Einstellungen.
- Verarbeitet ein Lieferant personenbezogene Daten für Sie, ist er Auftragsverarbeiter, und Sie schliessen einen Auftragsverarbeitungsvertrag nach DSGVO Artikel 28.
- Nutzen Sie eine feste Fragenliste: Speicherort, Zugang, Backup, Verschlüsselung, Datenpanne, Unterauftragsverarbeiter, Zertifizierung, Exit.
- Ein Zertifikat sagt etwas aus, prüfen Sie aber den Anwendungsbereich; regeln Sie Ihren Exit, bevor Sie ihn brauchen.
Quiz
Aufgabe
Aufgabe D7.2: Ihre Lieferantenübersicht. Erstellen Sie eine Tabelle Ihrer fünf wichtigsten Lieferanten und Cloud-Dienste. Tragen Sie je Lieferant ein, welche Daten dort gespeichert sind, ob personenbezogene Daten dabei sind, ob ein Auftragsverarbeitungsvertrag besteht, und suchen Sie die Antworten auf die Fragenliste aus dieser Lektion heraus (Speicherort, Zwei-Faktor-Authentifizierung, Backup, Datenpanne, Unterauftragsverarbeiter, Zertifizierung, Exit). Versuchen Sie, bei mindestens einem Dienst tatsächlich einen Export durchzuführen.
Aufgabe D7.2: Ihre Lieferantenübersicht
So gehen Sie vor: (1) Zeichnen Sie Ihr Unternehmen in die Mitte mit Linien zu jeder Partei, die Daten von Ihnen aufbewahrt oder Zugang zu Ihren Systemen hat. (2) Wählen Sie die fünf wichtigsten aus und erstellen Sie eine Tabelle mit: Dienst, welche Daten, personenbezogene Daten (ja/nein), Auftragsverarbeitungsvertrag (ja/nein/nicht nötig), Eigentümer bei Ihnen, und den Antworten auf die Fragenliste aus Lektion 7.2: Standort der Daten und Backups, Zwei-Faktor-Authentifizierung erzwingbar, Backup und eigenständiges Wiederherstellen, Verschlüsselung, wie schnell bei einer Datenpanne, Subauftragsverarbeiter, Zertifizierung mit Anwendungsbereich, Export und was nach Kündigung geschieht. (3) Suchen Sie die Antworten zuerst in der Dokumentation, der Sicherheitsseite oder den Bedingungen des Anbieters. Notieren Sie die Quelle. Steht es nicht dort, stellen Sie die Frage dem Anbieter und notieren Sie die Antwort. (4) Prüfen Sie bei jedem Anbieter, der personenbezogene Daten für Sie verarbeitet, ob ein Auftragsverarbeitungsvertrag besteht, und ob dieser akzeptiert oder unterzeichnet werden muss. (5) Erstellen Sie bei mindestens einem Dienst tatsächlich einen Export Ihrer Daten und prüfen Sie, ob Sie ihn öffnen können. (6) Schreiben Sie beim wichtigsten Dienst in drei Sätzen Ihren Ausstiegsplan: Wohin wechseln Sie, wie bekommen Sie Ihre Daten mit, wie viel Zeit brauchen Sie dafür.
Ihre Haken und Notizen bleiben nur in diesem Browser; wir senden sie nirgendwohin. Sind Sie angemeldet, speichern wir in Meine Kurse nur, dass Sie die Aufgabe erledigt haben.
Weiterführende Informationen
Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich oder anders.
- Nextcloud-Anleitung 3.1: Wie sichert WebOké Ihre Nextcloud ab?
- Nextcloud-Anleitung 15.13: Häufig gestellte Fragen zu Sicherheit und Datenschutz
- DSGVO (Verordnung (EU) 2016/679), Artikel 28: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Microsoft, Shared responsibility in the cloud (Englisch): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility