Cloud-Anbieter fühlen sich für Sicherheit nicht zuständig

Eine Reihe von Cloud-Computing-Anbietern fühlt sich für die Sicherheit von Daten auf ihren Plattformen nicht zuständig. Bei einer Veranstaltung zu den rechtlichen Aspekten von Cloud-Computing sagte unter anderem der Chef von Microsofts Rechtsabteilung, Dervish Tayyip, man könne keine finanziellen Garantien abgeben für den Fall, dass in der Cloud abgelegte Firmendaten entwendet würden.

„Wir sind ja keine Versicherung“, so Tayyip gegenüber ZDNet. „Es ist wichtig, dass Kunden verstehen, dass Cloud-Angebote standardisiert sind – sie sind, wie sie sind. Wenn das Angebot nicht den Wünschen eines Kunden entspricht, ist Cloud-Computing für ihn vielleicht nicht realistisch umsetzbar.“

Man arbeite auch mit anderen Anbietern daran, Cloud-Angebote zu standardisieren, um sie wirtschaftlich rentabler zu machen. „Manche Angebote sind sehr flexibel – da schwanken auch die Preise sehr. Das ist aber nicht unser Geschäftsmodell.“

Auch Dells Rechtsberater Nick Hyner sagte auf der Veranstaltung, er stelle immer wieder überzogene Erwartungen der Kunden fest, wenn er mit Unternehmen Cloud-Verträge aushandle. „Wenn Unternehmenskunden sich standardisierte Clouddienste ansehen, kann es sein, dass der Wert der Transaktion und die Erwartungen bezüglich finanzieller und anderer Risiken des Kunden nicht zusammenpassen. Beispielsweise ist es nicht möglich, sich individuellen Sicherheitsrichtlinien anzupassen.“

Folgen hat die von Dell und Microsoft gezeigte Einstellung für sie nicht. Simon Bradshaw, Wissenschaftler an der Queen-Mary-Universität London, sagt: „Die Kunden lassen sich von mangelnder Haftung nicht abschrecken, weil sie woanders auch keine besseren Bedingungen bekommen.“ Gerade kleine Unternehmen sind seiner Meinung nach in einer schwierigen Situation, wenn ihr Provider ihre Daten nicht schützen könne. Für Endanwender gebe es zumindest den Verbraucherschutz, und große Firmen könnten aufgrund ihrer wirtschaftlichen Bedeutung aggressiv verhandeln.

Ebenfalls in London hatte gestern ein Sicherheitsforscher darauf hingewiesen, dass Cyberkriminelle als „Early Adopter“ die Cloud schon für sich entdeckt hätten. Er empfahl Firmen, sie müssten sich von dem Konzept lösen, dass Bedrohungen von außen kommen und nach innen vordringen. Rik Ferguson von Trend Micro: „Fangen Sie bei Ihren Daten an und vergewissern Sie sich, dass Ihre Daten – egal wo – sicher sind, und dann sorgen Sie dafür, dass Systeme, die mit diesen Daten arbeiten, sich selbst verteidigen können.“ Dieses Konzept ist aber unmöglich zu verfolgen, wenn der Cloud-Dienstleister keine Verantwortung für die Daten seiner Kunden übernimmt.