Münchner Kreis macht sich für mehr Sicherheit im Cloud Computing stark

München, 4. Februar 2010 - Für die Nutzung von Hardware, Software und IT-Services bedienen sich Unternehmen und Konsumenten immer häufiger der Angebote externer Dienstleister. Die benötigte IT-Infrastruktur und aktuelle Softwareanwendungen werden beim Cloud Computing dezentral über das Internet und nach Bedarf genutzt. Grund genug für den Münchner Kreis auf einer Konferenz mit rund 140 Experten aus Wirtschaft, Wissenschaft und Politik neue Wege zu mehr Sicherheit und Effizienz im IT-Management aufzuzeigen. „Spätestens wenn geschäftskritische, sensible Daten eines Unternehmens oder auch private Daten dem Internet preisgegeben werden, stehen dringende Fragen zu Sicherheit, Verfügbarkeit und vor allem zum Vertrauen im Raum“, so Prof. Arnold Picot, Vorstandsvorsitzender des Münchner Kreises.

Wie sich auf der Konferenz zeigte, bestehen die größten Bedenken gegenüber dem Cloud Computing hinsichtlich des Datenschutzes und der Datensicherheit. „Aufgrund der technischen Verknüpfung dezentral organisierter Rechnerleistungen wird es in Zukunft immer weniger nachvollziehbar, zu welchem Zeitpunkt an welchem Standort und nach welcher Rechtsordnung IT-Leistungen erbracht werden“, gab Dr. Alexander Duisberg von der Rechtsanwaltskanzlei Bird & Bird zu bedenken. Vor diesem Hintergrund müsse sich der Cloud-Nutzer fragen, welche Daten er überhaupt in die Cloud hineingeben oder auslagern dürfe. Michael Auerbach von T-Systems International hielt dem entgegen: „Auch wenn das Thema Sicherheit zu Recht eines der wichtigsten Aspekte in einer digitalen Welt darstellt, werden in dieser Diskussion allzu gern verschiedene Dinge in einen Topf geworfen“. So müsse man in der Diskussion um sicheres Cloud Computing zwischen der Sicherheit von Daten unterscheiden, die Endkonsumenten im Internet den Massenanwendungen preisgeben, und solchen, die Unternehmen der privaten Cloud von IT-Dienstleistern anvertrauen. „Mit einer privaten Cloud vereinbaren Kunde und Dienstleister, in welchen Rechenzentren und auf welchen Serverpools die anvertrauten Daten verarbeitet werden“, so Auerbach. Letztendlich läge der Unterschied zwischen Cloud Computing und dem klassischen seit Jahren praktizierten Outsourcing nur in Details.

Ministerialdirektor Martin Schallbruch vom Bundesministerium des Innern ging auf die zunehmende Abhängigkeit unserer Gesellschaft von funktionierender und verfügbarer IT-Infrastruktur und auf die allgemeine Verschärfung der IT-Sicherheitslage ein. Er stellte mit den Umsetzungsplänen „Bund“ und „KRITIS“ zwei Programme seines Ministeriums vor, die kritische Informationsinfrastrukturen in der Bundesverwaltung und in der Wirtschaft adressieren.

Mit Blick auf die technischen Rahmenbedingungen des Cloud Computing wies Prof. Jörg Schwenk von der Ruhr-Universität Bochum darauf hin, dass beim World Wide Web Consortium und bei der internationalen Organisation für Web-Standards OASIS eine Vielzahl von Standards zur Absicherung von Webdiensten erarbeitet worden sind. In der Praxis gebe es aber noch drei Hindernisse, die überwunden werden müssten: Erstens seien digitale Signaturen nicht hinreichend erforscht und würden in der Industrie oft falsch verstanden. Zweitens würden kryptographische Operationen wie Signatur und Verschlüsselung an Performanzproblemen leiden. Und drittens würden viele Sicherheitsstandards mit Hinblick auf ein 2-Parteien-Szenario entwickelt, während in der Praxis schon längst Webservices mit 3 und mehr Parteien orchestriert werden.

Prof. Gunter Dueck von IBM Deutschland äußerte die Ãœberzeugung, dass sich das Vertrauen in Cloud Computing langsam einstellen wird: „Die IT selbst kann die Entwicklung beschleunigen oder verzögern, je nachdem wie schnell sie die Anforderungen der Kunden und deren Wünsche nach einheitlichen Standards und transparenten Preisen erfüllt“. Die Vertrauensforschung weist darauf hin, dass Vertrauen in abstrakte Systeme dadurch aufgebaut und gepflegt wird, dass die Repräsentanten an den Zugangspunkten und die das System kontrollierenden Experten vertrauenswürdig sind. So resümierte Dr. Guido Möllering vom Max-Planck-Institut für Gesellschaftsforschung: „Es wird im Cloud Computing über alle Bemühungen um fehlerfreie Technologien, lückenlose Rechtsapparate, konsequente Aufsichtsinstanzen und vorsorgliche Versicherungen hinaus immer nötig sein, dass die Beteiligten Verantwortung für das System tragen - auch über ihre individuellen Verpflichtungen hinaus. Geschieht dies, werden sich viele weitere Akteure in die Wolke hineinwagen“.