Schwachstellen für digitale Gegenangriffe zurückzuhalten, ist in höchstem Maße riskant
Sollten Staaten Schwachstellen zurückhalten, um die eigenen Möglichkeiten eines Hack Back zu stärken? Nein, meint Dirk Schrader, CMO von Greenbone Networks, Vulnerability-Management-Anbieter, als Reaktion auf den Spiegel-Artikel „Das Cyber-Dilemma“.
Gut gezielte Cyber-Angriffe können heute das gesellschaftliche Leben ganzer Staaten lahmlegen. Bei einem totalen Blackout der Energieversorgung würden etwa wichtige elektronische Geräte in Krankenhäusern ausfallen und Lebensmittelkühlketten nicht mehr funktionieren. Auch ließen sich keine Notrufe mehr tätigen und die Frischwasserversorgung wäre gefährdet. Es ist daher gut und wünschenswert, dass die Regierung darüber diskutiert, wie sie die eigenen kritischen Infrastrukturen bestmöglich vor böswilligen Cyber-Angriffen schützen kann. So sind Maßnahmen eins bis drei des vom Bundesverteidigungs- und Bundesinnenministeriums vorgestellten Fünf-Stufen-Plans absolut richtig und wichtig: Prävention von Cyber-Angriffen, Umleitung von Daten eines erkannten Angreifers und Aufklärung von Hacker-Offensiven.
Hack Backs haben unvorhersehbare Nebenwirkungen
Der in Stufe vier und fünf verfolgte Ansatz, gefundene Schwachstellen zurückzuhalten, sie also nicht zu veröffentlichen, um sie für einen sogenannten „Hack Back“ zu nutzen, ist jedoch schon aus technischer Sicht nicht praktikabel. So sollen sich Cyber-Experten in Stufe vier des Plans über eine bisher nicht veröffentlichte Schwachstelle Zugriff auf das IT-System des Hacker verschaffen, um Daten „zurückzuklauen“. Doch bereits hier lauern zahlreiche Fallstricke: Gibt es Kopien von den Daten? Sind die Daten verteilt gespeichert? Wem gehört der Server überhaupt? Und was ist, wenn der Server in einem befreundeten Land steht und Eigentum der dortigen Regierung ist?
Stufe 5 – die von Hackern genutzten Server zu zerstören – erinnert wiederum sehr an das Vorgehen der britischen Regierung nach den Snowden-Enthüllungen. Hier wurden Festplatten der britischen Tageszeitung „The Guardian“ mit Bohrern zerstört. Die Folge eines solchen Vorgehens: Nutzen auch andere unbeteiligte Einrichtungen den Server, wären auch deren Daten unwiederbringlich verloren. Insbesondere bei kritischen Infrastrukturen wie Krankenhäusern hätte dies fatale Folgen.
In diesem Zusammenhang stellt sich außerdem die bisher nicht thematisierte Frage, gegen wen solche Maßnahmen der Stufen 4 und 5 theoretisch gerichtet sein können – und dürfen. Wenn ausländische Dritte vom Hack Back betroffen sind, wertet deren Regierung das als Angriff und hackt auch zurück? Eine solche Spirale sollte verhindert werden.
Unveröffentlichte Schwachstellen sind immer ein Risiko
Darüber hinaus gibt es auch bei der Beschaffung von bisher unveröffentlichten Schwachstellen ein sehr konkretes Problem: Findet man selbst eine neue Sicherheitslücke, muss man immer davon ausgehen, dass feindlich gesinnte Hacker oder Regierungen ebenfalls auf diese aufmerksam werden. Es gilt also, die eigene Infrastruktur gegen einen Angriff über ebenjene Schwachstelle zu schützen. Doch wie gelingt das, wenn es dafür noch keinen Patch gibt? Die Thematik ist umso brisanter, wenn man das Wissen über eine Schwachstelle von einem Dritten gekauft hat. Denn Gegner sind natürlich in der Lage, das Gleiche zu tun.
Spätestens wenn die Schwachstelle für einen Hack Back genutzt wurde, ist sie ein maßgeblicher Risikofaktor, denn: Ab diesem Zeitpunkt ist sie bekannt, wird analysiert und von Gegnern eventuell ebenfalls für einen Angriff genutzt. Derselbe Mechanismus greift bei digitalen Schläferzellen – Schadsoftware, die über eine Schwachstelle unbemerkt im IT-System von potenziellen Gegnern platziert wird und bei Bedarf zum Einsatz kommt. Denn auch hier gilt: Ab ihrem Bekanntwerden – etwa indem die Schadsoftware gestartet wird – ist sie ein potenzielles Einfallstor in das eigene IT-System.
Fazit: Digitalen Waffen keinen Entwicklungsraum geben
Schwachstellen zurückzuhalten, um sie für Hack Backs zu nutzen, ist weder politisch, noch administrativ, noch technologisch tragbar. Schlussendlich erhöht jede nicht geschlossene Schwachstelle das Risiko eines erfolgreichen Angriffs. Die Folgen eines solchen sind in unserer komplex vernetzten Welt unvorhersehbar. Im schlimmsten Fall kommt es zu einem Kaskadeneffekt, der das komplette gesellschaftliche Leben zum Erliegen bringt. Dieses Risiko sollten Regierungen auf keinen Fall eingehen, denn sie sind für das Wohl der Bürger verantwortlich. Anstatt sich also um zwischenstaatliche Verfahren über die Weitergabe von Schwachstellen zu bemühen, sollte die politische Energie vielmehr auf die Ächtung von D-Waffen (digitalen Waffen) nach dem Vorbild des Genfer Protokolls zielen.
https://www.greenbone.net/wp-content/uploads/01_Logo-mit-Schriftzug_500px_on_white_horiz1.jpg00Dirk Schraderhttps://www.greenbone.net/wp-content/uploads/01_Logo-mit-Schriftzug_500px_on_white_horiz1.jpgDirk Schrader2018-09-19 10:02:252018-09-19 10:02:25Heckmeck mit Hack Back
Am 5. Juli hat das Parlament der Europäischen Union der EU-Kommission geraten, das sogenannte EU-US Privacy Shield auszusetzen. Damit erneuert und verhärtet das EU-Parlament seine Position zu den im Privacy Shield vorgesehenen Datenschutz-Richtlinien für US-Unternehmen, die Daten von EU-Bürgern verarbeiten und speichern. Schon im Oktober letzten Jahres hatte das EU-Parlament eine Liste mit 10 Empfehlungen veröffentlicht, die auf Lücken und Schwächen im Privacy Shield hinwiesen.
In der Empfehlung an die EU-Kommission wies das Parlament besonders darauf hin, dass die US-Administration es bisher nicht geschafft hat, zwei Kernelemente des Privacy Shields umzusetzen. So gibt es beispielsweise noch immer keinen Ombudsmann, der das U.S. Privacy Civil Liberties Oversight Board (PCLOB) führt, geschweige denn gibt es Mitglieder in diesem Board. Damit fehlt EU-Bürgern ein Ansprechpartner im Falle von Datenschutzverletzungen und somit die Möglichkeit, den eigenen Rechten auch in den USA überhaupt Gehör zu verschaffen.
Privacy Shield löst Safe Harbor ab
Zur Erinnerung: Privacy Shield wurde als Ersatz für das Safe Harbor-Abkommen eingeführt. Safe Harbor kippte, weil der Europäische Gerichtshof 2015 der Klage des österreichischen Juristen Maximilian Schrems stattgegeben hatte. Die Safe Harbor-Regeln sollten einen ’sicheren Datenhafen‘ für sensible Daten auch außerhalb der EU schaffen, damit diese Daten zum Beispiel in den USA weiterverarbeitet werden konnten. Ausgelöst durch die Snowden-Veröffentlichungen (insbesondere PRISM) wurde dieses Abkommen überprüft und schließlich durch Privacy Shield ersetzt.
EU-Parlament bestätigt Einschätzung: Sensible Daten sind bei US-Firmen nicht sicher
Wie bereits in meinem letzten Blog-Beitrag erläutert, sollten sensible aber auch sicherheitsrelevante Daten eines Unternehmens Europa nicht mehr verlassen. Die Einschätzung des Parlaments verstärkt die Dringlichkeit für den Datenschutz. Sicherheitsrelevante Daten wie Intellectual Property oder administrative Zugänge wie Domain-Passwörter sollten nicht zu Cloud-Anbietern in die USA gegeben werden. Der Cloud Act und Privacy Shield sind nicht vereinbar.
Mehr Information zur Resolution des EU-Parlaments ist hier veröffentlicht, eine Analyse finden Sie hier (in Englisch).
https://www.greenbone.net/wp-content/uploads/01_Logo-mit-Schriftzug_500px_on_white_horiz1.jpg00Dirk Schraderhttps://www.greenbone.net/wp-content/uploads/01_Logo-mit-Schriftzug_500px_on_white_horiz1.jpgDirk Schrader2018-07-14 12:06:182018-07-16 12:38:53Nach Privacy Shield: EU-Parlament rät erneut zur Aussetzung des Datentransfers in die USA
Im März dieses Jahr hat der US-Kongress den sogenannten Cloud Act verabschiedet. Dieser erlaubt US-Behörden weltweiten Zugriff auf Daten von US-Unternehmen – auch wenn deren Server in der EU stehen. Für Unternehmen, die Daten bei US-Dienstleistern speichern, steht damit auch ihre IT-Sicherheit auf dem Spiel.
Der sogenannte Cloud Act (Clarifying Lawful Overseas Use of Data Act, deutsch: Gesetz zur Klarstellung des rechtmäßigen Umgangs mit Daten im Ausland) verpflichtet US-Unternehmen Daten unabhängig vom Speicherort auf Anfrage an amerikanische Behörden herauszugeben. Die US-Gesetzgebung stellt damit amerikanisches Recht in einem EU-Mitgliedsstaat über EU-Recht. US-Firmen befinden sich zukünftig also in einem Dilemma: Verweigern sie den Zugriff, brechen sie amerikanisches Recht und umgekehrt europäisches.
Microsoft hat gekämpft und verloren
Einer der Hintergründe der Entscheidung war der Fall Microsoft. Die Angelegenheit reicht bis 2013 zurück. Damals ermittelte das US-Justizministerium wegen Drogenkriminalität und verlangte von Microsoft Zugriff auf das E-Mail-Konto eines Verdächtigen. Da der Server mit den Daten jedoch in Irland stand, erklärte Microsoft den Durchsuchungsbeschluss für ungültig. Es kam zu einem Prozess, den Microsoft in erster Instanz verlor und in zweiter Instanz gewann. Aufgrund des neuen Cloud Act wurde dieser Fall nun aber für erledigt erklärt. Wie eine akzeptable Lösung zwischen den USA und der EU beziehungsweise den einzelnen Mitgliedstaaten in diesem Dilemma aussehen kann, wird momentan noch diskutiert.
Sensible Daten sind bei US-Firmen nicht mehr sicher
Was bedeutet das nun aber für Unternehmen, die Dienstleistungen von US-Firmen in Anspruch nehmen? In erster Linie muss ihnen klar sein, dass eine echte Compliance zur EU-DSGVO hieran scheitern kann. Einen Schritt weiter gedacht, können US-Behörden durch den Cloud Act aber auch geradezu willkürlich Zugriff auf sämtliche Daten eines Unternehmens erlangen, die bei einem US-amerikanischen Partner oder Dienstleister gespeichert sind – dies umfasst also auch Geschäfts- und Betriebsgeheimnisse oder Informationen über getroffene IT-Sicherheitsmaßnahmen.
Sicherheitsrelevante Daten sollten das Unternehmen nicht verlassen
Unternehmen, die IT-Sicherheitsdienstleistungen, wie etwa Schwachstellenmanagement, von US-Anbietern beziehen und sensible Security-Daten auch bei diesen speichern, sollten daher jetzt handeln. Für größtmögliche Sicherheit sollten sie mindestens zu einem europäischen Partner wechseln, der Daten ausschließlich in Rechenzentren innerhalb der EU speichert. Letztlich stellt sich dabei auch die grundlegende Frage, ob sicherheitsrelevante Daten das Unternehmen überhaupt verlassen sollten – oder müssen. Denn auf dem Markt gibt es durchaus IT-Security-Dienstleister, deren Lösungen ausschließlich innerhalb der Unternehmens-IT arbeiten und Daten weder in die Cloud noch zum Anbieter übertragen.
Ein Beispiel dafür ist unser Greenbone Security Manager. Er scannt IT-Netzwerke auf Schwachstellen und leitet Daten und Reports ausschließlich innerhalb des sicheren Unternehmens-Netzwerks weiter.
Cloud Act fordert zum Handeln auf
Der Cloud Act zeigt einmal mehr, dass dem Thema Datenschutz in den USA ein wesentlich anderer Stellenwert zukommt als in Europa: Während die Europäer Datenschutz als ein Menschenrecht ansehen, ist es in den Vereinigten Staaten „lediglich“ ein Bürgerrecht – das sich demzufolge auch nur auf US-Amerikaner bezieht. In der amerikanischen Gesetzgebung werden die Interessen europäischer Bürger also auch in Zukunft wenig bis gar keine Berücksichtigung finden. Darauf müssen sich Unternehmen einstellen. Sie sollten den Cloud Act daher zum Anlass nehmen und sensible Daten außerhalb des Zugriffsbereichs amerikanischer Behörden bringen. Dies kann etwa durch einen Wechsel zu europäischen oder deutschen Dienstleistern geschehen. Der Königsweg im Bereich IT-Sicherheit ist jedoch Lösungen zu wählen, bei denen sensible Daten das Unternehmen gar nicht erst verlassen.
Heckmeck mit Hack Back
Blog, NewsSchwachstellen für digitale Gegenangriffe zurückzuhalten, ist in höchstem Maße riskant
Sollten Staaten Schwachstellen zurückhalten, um die eigenen Möglichkeiten eines Hack Back zu stärken? Nein, meint Dirk Schrader, CMO von Greenbone Networks, Vulnerability-Management-Anbieter, als Reaktion auf den Spiegel-Artikel „Das Cyber-Dilemma“.
Gut gezielte Cyber-Angriffe können heute das gesellschaftliche Leben ganzer Staaten lahmlegen. Bei einem totalen Blackout der Energieversorgung würden etwa wichtige elektronische Geräte in Krankenhäusern ausfallen und Lebensmittelkühlketten nicht mehr funktionieren. Auch ließen sich keine Notrufe mehr tätigen und die Frischwasserversorgung wäre gefährdet. Es ist daher gut und wünschenswert, dass die Regierung darüber diskutiert, wie sie die eigenen kritischen Infrastrukturen bestmöglich vor böswilligen Cyber-Angriffen schützen kann. So sind Maßnahmen eins bis drei des vom Bundesverteidigungs- und Bundesinnenministeriums vorgestellten Fünf-Stufen-Plans absolut richtig und wichtig: Prävention von Cyber-Angriffen, Umleitung von Daten eines erkannten Angreifers und Aufklärung von Hacker-Offensiven.
Hack Backs haben unvorhersehbare Nebenwirkungen
Der in Stufe vier und fünf verfolgte Ansatz, gefundene Schwachstellen zurückzuhalten, sie also nicht zu veröffentlichen, um sie für einen sogenannten „Hack Back“ zu nutzen, ist jedoch schon aus technischer Sicht nicht praktikabel. So sollen sich Cyber-Experten in Stufe vier des Plans über eine bisher nicht veröffentlichte Schwachstelle Zugriff auf das IT-System des Hacker verschaffen, um Daten „zurückzuklauen“. Doch bereits hier lauern zahlreiche Fallstricke: Gibt es Kopien von den Daten? Sind die Daten verteilt gespeichert? Wem gehört der Server überhaupt? Und was ist, wenn der Server in einem befreundeten Land steht und Eigentum der dortigen Regierung ist?
Stufe 5 – die von Hackern genutzten Server zu zerstören – erinnert wiederum sehr an das Vorgehen der britischen Regierung nach den Snowden-Enthüllungen. Hier wurden Festplatten der britischen Tageszeitung „The Guardian“ mit Bohrern zerstört. Die Folge eines solchen Vorgehens: Nutzen auch andere unbeteiligte Einrichtungen den Server, wären auch deren Daten unwiederbringlich verloren. Insbesondere bei kritischen Infrastrukturen wie Krankenhäusern hätte dies fatale Folgen.
In diesem Zusammenhang stellt sich außerdem die bisher nicht thematisierte Frage, gegen wen solche Maßnahmen der Stufen 4 und 5 theoretisch gerichtet sein können – und dürfen. Wenn ausländische Dritte vom Hack Back betroffen sind, wertet deren Regierung das als Angriff und hackt auch zurück? Eine solche Spirale sollte verhindert werden.
Unveröffentlichte Schwachstellen sind immer ein Risiko
Darüber hinaus gibt es auch bei der Beschaffung von bisher unveröffentlichten Schwachstellen ein sehr konkretes Problem: Findet man selbst eine neue Sicherheitslücke, muss man immer davon ausgehen, dass feindlich gesinnte Hacker oder Regierungen ebenfalls auf diese aufmerksam werden. Es gilt also, die eigene Infrastruktur gegen einen Angriff über ebenjene Schwachstelle zu schützen. Doch wie gelingt das, wenn es dafür noch keinen Patch gibt? Die Thematik ist umso brisanter, wenn man das Wissen über eine Schwachstelle von einem Dritten gekauft hat. Denn Gegner sind natürlich in der Lage, das Gleiche zu tun.
Spätestens wenn die Schwachstelle für einen Hack Back genutzt wurde, ist sie ein maßgeblicher Risikofaktor, denn: Ab diesem Zeitpunkt ist sie bekannt, wird analysiert und von Gegnern eventuell ebenfalls für einen Angriff genutzt. Derselbe Mechanismus greift bei digitalen Schläferzellen – Schadsoftware, die über eine Schwachstelle unbemerkt im IT-System von potenziellen Gegnern platziert wird und bei Bedarf zum Einsatz kommt. Denn auch hier gilt: Ab ihrem Bekanntwerden – etwa indem die Schadsoftware gestartet wird – ist sie ein potenzielles Einfallstor in das eigene IT-System.
Fazit: Digitalen Waffen keinen Entwicklungsraum geben
Schwachstellen zurückzuhalten, um sie für Hack Backs zu nutzen, ist weder politisch, noch administrativ, noch technologisch tragbar. Schlussendlich erhöht jede nicht geschlossene Schwachstelle das Risiko eines erfolgreichen Angriffs. Die Folgen eines solchen sind in unserer komplex vernetzten Welt unvorhersehbar. Im schlimmsten Fall kommt es zu einem Kaskadeneffekt, der das komplette gesellschaftliche Leben zum Erliegen bringt. Dieses Risiko sollten Regierungen auf keinen Fall eingehen, denn sie sind für das Wohl der Bürger verantwortlich. Anstatt sich also um zwischenstaatliche Verfahren über die Weitergabe von Schwachstellen zu bemühen, sollte die politische Energie vielmehr auf die Ächtung von D-Waffen (digitalen Waffen) nach dem Vorbild des Genfer Protokolls zielen.
Nach Privacy Shield: EU-Parlament rät erneut zur Aussetzung des Datentransfers in die USA
BlogAm 5. Juli hat das Parlament der Europäischen Union der EU-Kommission geraten, das sogenannte EU-US Privacy Shield auszusetzen. Damit erneuert und verhärtet das EU-Parlament seine Position zu den im Privacy Shield vorgesehenen Datenschutz-Richtlinien für US-Unternehmen, die Daten von EU-Bürgern verarbeiten und speichern. Schon im Oktober letzten Jahres hatte das EU-Parlament eine Liste mit 10 Empfehlungen veröffentlicht, die auf Lücken und Schwächen im Privacy Shield hinwiesen.
In der Empfehlung an die EU-Kommission wies das Parlament besonders darauf hin, dass die US-Administration es bisher nicht geschafft hat, zwei Kernelemente des Privacy Shields umzusetzen. So gibt es beispielsweise noch immer keinen Ombudsmann, der das U.S. Privacy Civil Liberties Oversight Board (PCLOB) führt, geschweige denn gibt es Mitglieder in diesem Board. Damit fehlt EU-Bürgern ein Ansprechpartner im Falle von Datenschutzverletzungen und somit die Möglichkeit, den eigenen Rechten auch in den USA überhaupt Gehör zu verschaffen.
Privacy Shield löst Safe Harbor ab
Zur Erinnerung: Privacy Shield wurde als Ersatz für das Safe Harbor-Abkommen eingeführt. Safe Harbor kippte, weil der Europäische Gerichtshof 2015 der Klage des österreichischen Juristen Maximilian Schrems stattgegeben hatte. Die Safe Harbor-Regeln sollten einen ’sicheren Datenhafen‘ für sensible Daten auch außerhalb der EU schaffen, damit diese Daten zum Beispiel in den USA weiterverarbeitet werden konnten. Ausgelöst durch die Snowden-Veröffentlichungen (insbesondere PRISM) wurde dieses Abkommen überprüft und schließlich durch Privacy Shield ersetzt.
EU-Parlament bestätigt Einschätzung: Sensible Daten sind bei US-Firmen nicht sicher
Wie bereits in meinem letzten Blog-Beitrag erläutert, sollten sensible aber auch sicherheitsrelevante Daten eines Unternehmens Europa nicht mehr verlassen. Die Einschätzung des Parlaments verstärkt die Dringlichkeit für den Datenschutz. Sicherheitsrelevante Daten wie Intellectual Property oder administrative Zugänge wie Domain-Passwörter sollten nicht zu Cloud-Anbietern in die USA gegeben werden. Der Cloud Act und Privacy Shield sind nicht vereinbar.
Mehr Information zur Resolution des EU-Parlaments ist hier veröffentlicht, eine Analyse finden Sie hier (in Englisch).
US Cloud Act gefährdet IT-Sicherheit
BlogIm März dieses Jahr hat der US-Kongress den sogenannten Cloud Act verabschiedet. Dieser erlaubt US-Behörden weltweiten Zugriff auf Daten von US-Unternehmen – auch wenn deren Server in der EU stehen. Für Unternehmen, die Daten bei US-Dienstleistern speichern, steht damit auch ihre IT-Sicherheit auf dem Spiel.
Der sogenannte Cloud Act (Clarifying Lawful Overseas Use of Data Act, deutsch: Gesetz zur Klarstellung des rechtmäßigen Umgangs mit Daten im Ausland) verpflichtet US-Unternehmen Daten unabhängig vom Speicherort auf Anfrage an amerikanische Behörden herauszugeben. Die US-Gesetzgebung stellt damit amerikanisches Recht in einem EU-Mitgliedsstaat über EU-Recht. US-Firmen befinden sich zukünftig also in einem Dilemma: Verweigern sie den Zugriff, brechen sie amerikanisches Recht und umgekehrt europäisches.
Microsoft hat gekämpft und verloren
Einer der Hintergründe der Entscheidung war der Fall Microsoft. Die Angelegenheit reicht bis 2013 zurück. Damals ermittelte das US-Justizministerium wegen Drogenkriminalität und verlangte von Microsoft Zugriff auf das E-Mail-Konto eines Verdächtigen. Da der Server mit den Daten jedoch in Irland stand, erklärte Microsoft den Durchsuchungsbeschluss für ungültig. Es kam zu einem Prozess, den Microsoft in erster Instanz verlor und in zweiter Instanz gewann. Aufgrund des neuen Cloud Act wurde dieser Fall nun aber für erledigt erklärt. Wie eine akzeptable Lösung zwischen den USA und der EU beziehungsweise den einzelnen Mitgliedstaaten in diesem Dilemma aussehen kann, wird momentan noch diskutiert.
Sensible Daten sind bei US-Firmen nicht mehr sicher
Was bedeutet das nun aber für Unternehmen, die Dienstleistungen von US-Firmen in Anspruch nehmen? In erster Linie muss ihnen klar sein, dass eine echte Compliance zur EU-DSGVO hieran scheitern kann. Einen Schritt weiter gedacht, können US-Behörden durch den Cloud Act aber auch geradezu willkürlich Zugriff auf sämtliche Daten eines Unternehmens erlangen, die bei einem US-amerikanischen Partner oder Dienstleister gespeichert sind – dies umfasst also auch Geschäfts- und Betriebsgeheimnisse oder Informationen über getroffene IT-Sicherheitsmaßnahmen.
Sicherheitsrelevante Daten sollten das Unternehmen nicht verlassen
Unternehmen, die IT-Sicherheitsdienstleistungen, wie etwa Schwachstellenmanagement, von US-Anbietern beziehen und sensible Security-Daten auch bei diesen speichern, sollten daher jetzt handeln. Für größtmögliche Sicherheit sollten sie mindestens zu einem europäischen Partner wechseln, der Daten ausschließlich in Rechenzentren innerhalb der EU speichert. Letztlich stellt sich dabei auch die grundlegende Frage, ob sicherheitsrelevante Daten das Unternehmen überhaupt verlassen sollten – oder müssen. Denn auf dem Markt gibt es durchaus IT-Security-Dienstleister, deren Lösungen ausschließlich innerhalb der Unternehmens-IT arbeiten und Daten weder in die Cloud noch zum Anbieter übertragen.
Ein Beispiel dafür ist unser Greenbone Security Manager. Er scannt IT-Netzwerke auf Schwachstellen und leitet Daten und Reports ausschließlich innerhalb des sicheren Unternehmens-Netzwerks weiter.
Cloud Act fordert zum Handeln auf
Der Cloud Act zeigt einmal mehr, dass dem Thema Datenschutz in den USA ein wesentlich anderer Stellenwert zukommt als in Europa: Während die Europäer Datenschutz als ein Menschenrecht ansehen, ist es in den Vereinigten Staaten „lediglich“ ein Bürgerrecht – das sich demzufolge auch nur auf US-Amerikaner bezieht. In der amerikanischen Gesetzgebung werden die Interessen europäischer Bürger also auch in Zukunft wenig bis gar keine Berücksichtigung finden. Darauf müssen sich Unternehmen einstellen. Sie sollten den Cloud Act daher zum Anlass nehmen und sensible Daten außerhalb des Zugriffsbereichs amerikanischer Behörden bringen. Dies kann etwa durch einen Wechsel zu europäischen oder deutschen Dienstleistern geschehen. Der Königsweg im Bereich IT-Sicherheit ist jedoch Lösungen zu wählen, bei denen sensible Daten das Unternehmen gar nicht erst verlassen.
Einen Überblick zum Cloud Act gibt es hier im iX-Artikel.