DMS aus der Cloud – Wie sicher ist die Cloud wirklich?

Wie steht es um den Datenschutz bei Cloud-basierten Dokumentenmanagementsystemen? Die Antwort erfahren Sie hier.

Die Vorbereitungsphase ist vorbei. Im Mai 2018 trat die Datenschutzgrundverordnung (DSGVO) endgültig in Kraft. Wer nun gegen Datenschutzrichtlinien verstößt, wird im Ernstfall kräftig zur Kasse gebeten. Die ersten Unternehmen waren seit diesem Zeitpunkt bereits in datenschutzrechtlichen Skandalen verwickelt und mussten teils hohe Strafen zahlen. 

Zögern bei der Cloud

Es versteht sich von selbst, dass sich Unternehmen so gut es geht davor schützen wollen, sich früher oder später in der gleichen Situation wiederzufinden. So zögern beispielsweise noch immer viele Unternehmen, im Bereich der Unternehmenssoftware auf eine Cloud-basierte Lösung umzusteigen, da zu große datenschutzrechtliche Bedenken bestehen. 

Bedenken berechtigt?

Doch sind diese tatsächlich auf Fakten basiert oder handelt es sich mehr oder weniger um einen Mythos und haltloses Angstgemache? Dieser Fragen wollen wir uns im Folgenden stellen. Doch zunächst müssen einige Begrifflichkeiten erläutert werden, um diese kontextbezogen besser einordnen zu können. 

Inhaltsverzeichnis

• Was ist ein DMS? - Eine Definition
• Was ist die Cloud? - Eine Definition
• Datenschutzrechtliche Nachteile des Cloud-basierten DMS 
• Datenschutzrechtliche Vorteile der Cloud
• Fazit: Datenschutz im Cloud-basierten DMS

Was ist ein DMS? - Eine Definition

Ein sogenanntes Dokumentenmanagement System (kurz DMS) dient, wie der Name bereits suggeriert, dazu, unternehmensrelevante Dokumente zentral zu verwalten. Unternehmen, welche ihren Arbeitsalltag nach wie vor ohne geeignetes DMS bewältigen, sammeln oft über die Zeit ganze Datensilos an. 

Datensätze sind teils in doppelter und dreifacher Form an anderen Stellen zu finden, da Vertrieb und Buchhaltung nicht mit demselben Datensatz arbeiten. So kommt es zu Problemen in der Übereinstimmung, Änderungen müssen mehrfach aufwendig händisch durchgeführt werden und es mangelt weitestgehend an Transparenz. 

Besonders, wenn ein Unternehmen wächst und sich dementsprechend auch die Menge an Dokumenten, die es verarbeitet, erhöht, sollte deshalb die Einführung eines DMS in Betracht gezogen werden. 

Was ist die Cloud? - Eine Definition

Das Konzept der Cloud – der sogenannten Wolke – ist im Grunde genommen nicht sonderlich komplex. Microsoft Azure definiert den Begriff Cloud wie folgt:
Die Cloud an sich kann man als riesige Netzwerk aus Remoteservern verstehen. Diese sind zumeist auf der gesamten Welt verteilt und miteinander verbunden, um als ein einziges großes Ökosystem arbeiten zu können. Dabei speichern und verwalten die Server Daten, führen Anwendungen aus oder bieten die Möglichkeit für Streams an. 

Einfach über das Internet zugreifen

Statt also auf den eigenen lokalen Server zuzugreifen, um all diese Dienste auszuführen, reicht ein internetfähiges Endgerät aus, um auf die Cloud zuzugreifen. So lange eine Internetverbindung besteht, kann von überall aus auf diese Dienste zurückgegriffen werden. 

Vermutlich ist der Mangel an Greifbarkeit ein Faktor, der bei vielen Unternehmen Unbehagen auslöst. So ist es nicht möglich, den geographischen Standort des Servers, auf dem die unternehmensinternen DMS Daten liegen, zu identifizieren. 

Cloud oft nicht greifbar

Denn die Daten werden nicht auf einem bestimmten Server gespeichert, sondern mittels des oben genannten Server Ökosystems verarbeitet. Doch ist es wirklich ein Nachteil, dass viele, uns unbekannte Server die Datenverarbeitung und -speicherung übernehmen? Im Folgenden wollen wir die Vor- und Nachteile einer Cloud-basierten DMS Lösung in Bezug auf den Datenschutz einmal näher durchleuchten. 

Datenschutzrechtliche Nachteile des Cloud-basierten DMS 

Dem Check Point Security Report 2019 zufolge kam es im Jahr 2018 in 18% der Unternehmen zu einem Cloud-Sicherheitsvorfall. Mit „Sicherheitsvorfälle“ sind in diesem Fall beispielsweise Datenlecks oder Datenverletzungen, aber auch Kontoentführungen und Malware-Infektionen, gemeint. 

Fehlkonfiguration oder Unsicherheit

Doch was waren die Gründe für diese Vorfälle? Liegt es tatsächlich an der „Unsicherheit“ der Cloud selbst? IT-Experten zufolge war eine Fehlkonfiguration der Cloud-Plattform tatsächlich der häufigste Grund. So waren vermutlich ganze 62% der Sicherheitsvorfälle in dieser Ursache begründet. 

Ursachen liegen oft woanders

Als zweithäufigste Ursache nannten Experten den unberechtigten Zugriff auf Cloud-Ressourcen, gefolgt von unsicheren Schnittstellen und APIs. Das Schlusslicht bilden die Entführung von Konten bzw. von Datenverkehr.

Entsprechende Sicherheitsvorkehrungen helfen

Es wird deutlich, dass die Unsicherheit also nicht im grundlegenden Konzept der Cloud selbst begründet ist. Wichtig ist, dass entsprechende Sicherheitsvorkehrungen getroffen werden, um die DMS Daten in der Cloud adäquat zu schützen. Zudem muss diese zunächst richtig konfiguriert werden. 
Im Folgenden wollen wir uns nun näher mit den datenschutzrechtlichen Vorteilen eines Cloud-basierten DMS auseinandersetzen. 

Datenschutzrechtliche Vorteile der Cloud

Die Nutzung einer Cloud-basierten DMS Lösung kann aus datenschutzrechtlicher Sicht durchaus auch Vorteile mit sich bringen. Zum einen kann auf Backups üblicherweise standortunabhängig zugegriffen werden, sofern eine stabile Internetverbindung besteht. 

Backups sichern Daten

Cloud-basierte DMS ist im Normalfall auf regelmäßige, automatisierte Backups ausgerichtet, sodass sich keiner der Mitarbeiter mit der Einhaltung manueller Backups auseinandersetzen muss. Kommt es widererwartend doch einmal zu einem Zwischenfall, können Daten idealerweise unmittelbar wiederhergestellt werden. Bei manuellen Backups, die auf externen Speichermedien in einem Bankschließfach außerhalb des Unternehmens liegen, ist dies deutlich aufwendiger. 

Datenlecks sollen vermieden werden

Hinzu kommt, dass große Cloud-Software Betreiber über ein umfangreiches Knowhow im Bereich des Datenschutzes verfügen. Auf den Servern dieser Betreiber liegen die Daten unzähliger Kunden, die es zu schützen gilt. Letzten Endes haben diese Konzerne vor allem auch ein eigenes Interesse daran, Skandale und Datenlecks so gut es geht zu vermeiden, da diese ihr eigenes Image erheblich in Mitleidenschaft ziehen würden. 

Sitz des Betreibers entscheidend 

Wichtig ist lediglich, dass Sie sich im Vorab mit dem entsprechenden Betreiber kurzschließen und über die für ihn geltenden Datenschutzrichtlinien informieren – besonders, wenn der Betreiber seinen Sitz außerhalb der Europäischen Union und somit außerhalb des Geltungsbereiches Der DSGVO hat. 
Tatsächlich sind Unternehmen, die Kundendaten über ein Cloud-basiertes DMS dazu verpflichtet, sich über die Datenschutzmaßnahmen die Seitens des Betreibers ergriffen werden, zu informieren. Dieser Schritt ist somit unabdingbar. 

Fazit: Datenschutz im Cloud-basierten DMS

Viele mögen nach wie vor von der Statistik abgeschreckt sein, laut der bei 18% der Unternehmen ein Cloud-basiertes System in einen sicherheitstechnischen Vorfall verwickelt war. Laut einer von Bitkom und KPMG durchgeführten Untersuchung gab jedoch auch über die Hälfte der untersuchten Unternehmen an, ihre Datensicherheit habe nach Einführung eines Cloud-Systems zugenommen.

Werden zudem in eigener Initiative extensive Datenschutzmaßnahmen getroffen – wie beispielsweise der Einsatz diverser Verschlüsslungsarten und ein entsprechendes Rollenvergabesystem – steht einem ausreichenden Datenschutz nichts mehr im Wege. Bestehen dennoch Bedenken, gibt es immer die Möglichkeit, zusätzlich die Meinung eines Datenschutzbeauftragten mit einzubeziehen.