Das Cloud-Risiko – wie EU-Länder der Abhängigkeit von Microsoft entgehen

Deutschland, Frankreich, Italien – Leitplanken und Vorgaben für mehr Cloud-Sicherheit

Die europäische Sicherheitsarchitektur ist längst nicht nur durch den immer noch andauernden Krieg in der Ukraine bedroht. Bereits seit einigen Jahren sprechen geopolitische Sicherheitsexperten von einer hybriden Kriegsführung der großen Autokratien, insbesondere Russland und China, gegen die Staaten der westlichen Welt. Ein vorrangiges Angriffsziel ist hier vor allem die digitale Infrastruktur von staatlichen Einrichtungen und öffentlichen Trägern sowie Unternehmen der kritischen Infrastruktur, wie Finanzen, Gesundheit, Energieversorgung oder Verkehr.

Die fortschreitende Digitalisierung ist diesbezüglich eher Fluch statt Segen. Denn je digitaler unsere Gesellschaft ist, desto anfälliger ist sie auch für die verschiedensten Angriffsszenarien auf ihre Hard- und Software-Architektur. Sabotierte Unterseekabel in der Ostsee, erfolgreiche Cyberangriffe auf öffentliche Verwaltungen und Krankenhäuser oder große Datenlecks bei Cloud-Konzernen, wie zuletzt bei Microsoft, sind nur einige Beispiele der vergangenen Monate.

EU-weite und nationale Regelungen für mehr Sicherheit im Cloud-Computing

In der Europäischen Union unterliegen Unternehmen und öffentliche Institutionen bei der Nutzung von Cloud-Diensten verschiedenen regulatorischen Anforderungen. Grundsätzlich sind die Vorgaben der EU-weit gültigen Datenschutzgrundverordnung (DSGVO) zu beachten. Darüber hinaus variieren nationale Datenschutzgesetze, Sicherheitsvorschriften und branchenspezifische Regelungen von Land zu Land. Vielfach wurden diese nach dem Schrems-II-Urteil des Europäischen Gerichtshofs im Juli 2020, welches das als Grundlage der Datenübermittlung von Europa in die USA geltende EU-US Privacy Shield kippte, noch einmal geschärft. Das ist vor allem zur Sicherung von sensiblen Daten nur konsequent, denn seitdem liegt es in der Verantwortung des Datenexporteurs, vor einem Datentransfer, beispielsweise zu einem großen Cloud-Anbieter zu prüfen, ob die Rechte der betroffenen Personen im Drittland ein gleichwertiges Schutzniveau wie in der EU genießen.

Vor diesem Hintergrund haben wir uns einmal beispielhaft für die 3 größten EU-Länder Deutschland, Frankreich und Italien angeschaut, welche Regelungen und Vorgaben speziell für Behörden, öffentliche Träger und Unternehmen der kritischen Infrastruktur gelten und für mehr Datensicherheit und Datensouveränität im Cloud-Computing sorgen sollen. Zudem zeigen wir in der Praxis, warum sich die Union der Gemeinden der Romagna Forlivese (UCRF) in Norditalien anstelle der Cloud für gebrauchte Microsoft-Lizenzen im On-Premise-Betrieb entschieden hat.

Länderbeispiel 1: Deutschland

In Deutschland bestehen keine Verbote zur Nutzung von Cloud-Diensten, aber es gibt klare gesetzliche und regulatorische Vorgaben. Dennoch werden selbst in staatlichen Institutionen die bestehenden Risiken nach wie vor unterschätzt. So planen laut der Deutschen Gesellschaft für Informatik (GI) aktuell mindestens sechs Bundesländer das Videokonferenzsystem Teams oder das komplette Cloud-Office-Paket Microsoft 365 in ihrer Verwaltung einzuführen. Laut der IT-Experten gefährde dies die Datensouveränität Deutschlands und den Datenschutz von Millionen Bürger*innen und Unternehmen durch eine steigende Abhängigkeit von der Microsoft-Cloud. Die Risiken bestehen vor allem in Sachen Sicherheit und der unkalkulierbaren Entwicklung von Lizenzkosten. 

Insbesondere Unternehmen im Bereich der kritischen Infrastruktur, aber auch staatliche Institutionen und öffentliche Verwaltungen haben deshalb grundsätzlich dafür Sorge zu tragen, dass

• ihre Daten sicher verarbeitet werden
• der Cloud-Anbieter die DSGVO einhält,
• branchenspezifische Vorgaben berücksichtigt,
• unternehmerische Compliance-Anforderungen erfüllt und
• möglichst nationale oder europäische Anbieter wie IONOS, T-Systems oder Nextcloud bevorzugt werden.

Finanzsektor: Die zuständige Bundesanstalt für Finanzdienstleistungsaufsicht, kurz BaFin, hat spezielle Vorgaben zur Nutzung von Cloud-Diensten für Banken und Versicherungen in ihren MaRisk- und BAIT-Regelwerken (Bankaufsichtliche Anforderungen an die IT) festgelegt.

Gesundheitswesen: Die Nutzung von Cloud-Diensten unterliegt neben den Regelungen der DSGVO und dem Bundesdatenschutzgesetz (BDSG) noch dem Patienten-Datenschutzgesetz (PDSG). Die Akteure müssen dabei unter anderem sicherstellen, dass hochsensible Daten entweder in Deutschland oder der EU gespeichert und verarbeitet werden.

Länderbeispiel 2: Frankreich

Die Regelungen in Frankreich sind denen in Deutschland recht ähnlich. Auch im zweitbevölerungsreichsten EU-Land gelten die Vorgaben der DSGVO. Diese werden ebenfalls durch nationale Sicherheits- und Datenschutzgesetze sowie eine starke Förderung digitaler Souveränität ergänzt. Die wichtigsten Aspekte dabei sind:

In Frankreich gelten zusätzlich zur DSGVO die nationalen Datenschutzregelungen der Loi Informatique et Libertés, die von der Datenschutzbehörde CNIL (Commission Nationale de l'Informatique et des Libertés) überwacht werden. Ziel ist auch hier ein Höchstmaß an Sicherheit bei der Speicherung und Verarbeitung personenbezogener

Daten sowie deren Lokalisierung. Sensible Branchen wie die der kritischen Infrastruktur, Behörden und staatliche Institutionen dürfen oft nur zertifizierte Cloud-Anbieter wie beispielsweise SecNumCloud nutzen. Generell fördert Frankreich die Nutzung nationaler oder europäischer Anbieter und bevorzugt souveräne Lösungen. So hat die französische Regierung Partnerschaften mit Cloud-Anbietern wie Orange und Capgemini gegründet, um eine souveräne Alternative zu US-Anbietern, wie Microsoft, AWS oder Google zu schaffen.

Finanzsektor: Die französische Bankenaufsicht Autorité de Contrôle Prudentiel et de Résolution (ACPR) hat spezielle Anforderungen für Finanzinstitute in Bezug auf die Nutzung von Cloud-Diensten, ähnlich wie die der BaFin in Deutschland.

Gesundheitswesen: Die Speicherung von Gesundheitsdaten unterliegt besonders strengen Vorschriften, wie dem Hébergeur de Données de Santé (HDS). Cloud-Anbieter, die Gesundheitsdaten speichern oder verarbeiten wollen, benötigen eine HDS-Zertifizierung. Das hat zur Folge, dass beispielsweise Krankenhäuser und Versicherungsgesellschaften Ihre Gesundheitsdaten lieber ihre Daten im eigenen On-Premise-Rechenzentrum speichern und verarbeiten und überwiegend auf Cloud-Lösungen verzichten.

Länderbeispiel 3: Italien

In Italien gelten die folgenden Regelungen und Beschränkungen für die Nutzung von Cloud-Diensten:

• Neben der DSGVO legt das nationale Datenschutzgesetz Codice della Privacy hohe Anforderungen an die Verarbeitung personenbezogener Daten fest.
• Staatliche Einrichtungen, Behörden und öffentliche Verwaltungen müssen bevorzugt nationale oder europäische Cloud-Anbieter nutzen.
• IT-Sicherheitsstandards: Cloud-Dienste für kritische Infrastrukturen unterliegen strengen Sicherheitsanforderungen.
• Italien unterstützt die Nutzung souveräner europäischer Cloud-Dienste, wie die nationale Cloud Polo Strategico Nazionale (PSN).
  

Speziell für die Nutzung von Cloud-Diensten in staatlichen Einrichtungen und der öffentlichen Verwaltung hat Italien eine eigene Strategie mit drei Kategorien entwickelt:

1. Eindeutige Priorität hat die Nutzung der nationalen Cloud PSN, in der kritische und hochsensible Daten öffentlicher Organisationen gespeichert werden müssen.
2. Ebenfalls können Cloud-Dienste europäischer Anbieter genutzt werden, sofern diese die DSGVO und die weiteren nationalen Sicherheitsstandards erfüllen.
3. Für weniger sensible Daten sind internationale Cloud-Anbieter zwar erlaubt, allerdings nur auf Basis der strengen nationalen Sicherheits- und Datenschutzanforderungen, was diese in den meisten Fällen nicht erfüllen.

Finanzsektor: Die italienische Zentralbank Banca d'Italia und die Aufsichtsbehörde CONSOB haben spezifische Anforderungen für Banken und Finanzdienstleister definiert, die insbesondere die Datenlokalisierung und die Sicherheitsstandards von Cloud-Diensten betreffen.

Gesundheitswesen: Ähnlich wie in Frankreich oder Deutschland gelten in Italien für hochsensible Gesundheitsdaten strenge Vorschriften, wie die Datenspeicherung und -verarbeitung innerhalb der EU.

Beispiel Italien: Gemeindeverwaltung setzt auf Gebrauchtsoftware statt Cloud-Lösung

Die Union der Gemeinden der Romagna Forlivese (UCRF) suchte nach einer Lösung, ihren Bedarf an Softwarelizenzen für einen VMWare-Cluster zu decken und zukünftige Anforderungen zu planen, ohne dass das dafür begrenztes Budget überschritten wird. Die UCRF entschied sich für den rechts- und auditsicheren Kauf gebrauchter Softwarelizenzen von PREO, die sowohl erhebliche finanzielle Vorteile als auch die gewünschte Konformität und Flexibilität bieten.

Besonders wichtig: Durch den Kauf der gebrauchten Software für den On-Prem-Betrieb konnten rund 50 Prozent der Lizenzkosten im Vergleich zur jeweiligen Neuversion eingespart werden, was von entscheidender Bedeutung war, wie Dr. Riccardo Raffaelli, Abteilungsleiter Informationssysteme, bestätigt: "Wie in jeder öffentlichen Verwaltung ist der wirtschaftliche Aspekt von entscheidender Bedeutung, da es und die korrekte und sorgfältige Verwaltung öffentlicher Gelder geht. Die Lösung, durch den Kauf gebrauchter Software die Lizenzkosten nachhaltig zu senken, ist besonders für öffentliche Verwaltungen eine hervorragende Option." Den gesamten Kunden-Case lesen Sie hier.

Der Gemeindeverbund der Romagna Forlivese (UCRF) entstand 2014 durch den Zusammenschluss der drei Verbände Unione Montana Acquacheta - Romagna Toscana, Comunità Montana dell'Appennino Forlivese und Associazione di Comuni della Pianura Forlivese. Heute umfasst der Verbund insgesamt 14 Gemeinden mit über 67.000 Einwohnern.

Mit PREO setzen Sie auf einen erfahrenen und seriösen B2B-Anbieter

PREO bietet Unternehmen, Organisationen und öffentlichen Verwaltungen jederzeit eine große Auswahl an gebrauchten Lizenzen für den On-Premise-Betrieb oder die Integration in hybride Cloud-Lösungen. Dazu zählen insbesondere aktuelle und ältere Programmversionen von weitverbreiteter Standardsoftware marktführender Hersteller, wie Microsoft oder Adobe. Welcher Bedarf auch immer besteht, mit PREO haben Kund*innen alle Vorteile auf ihrer Seite und profitieren von

• hohen Einsparungen bei den laufenden Lizenzkosten von bis zu 70 Prozent gegenüber der jeweiligen Neuversion.
     
  
• 100 Prozent rechts- und auditsicherer Lizenzerwerb mit höchster Transparenz in allen Abwicklungsschritten inklusive kompletter Dokumentation im PREO-Lizenzportal “Easy Compliance“.
  
  
• persönlicher Beratung zu allen Fragen rund um Lizenztransaktionen oder der Integration von gebrauchten Softwarelizenzen in klassische Netzwerkstrukturen oder hybride Cloud-Modelle.
  
  
• bestehenden Kapazitäten zum Software-Lizenzmanagement bei großen IT-Infrastrukturprojekten mit tausenden Arbeitsplätzen und länderübergreifenden Standorten.
  
  
• mehr Nachhaltigkeit im IT-Bereich durch die Förderung einer aktiven Kreislaufwirtschaft und die Senkung des unternehmerischen CO2-Fußabdrucks. Apropos Nachhaltigkeit: PREO ist als einziger Händler für Gebrauchtsoftware mit einer aktuellen Scorecard bei EcoVadis, dem weltweit größten Anbieter von Nachhaltigkeitsratings, gelistet.
  
  
• der Expertise aus zahlreichen Referenzprojekten, die PREO bereits für namhafte Unternehmen aus verschiedenen Branchen und Sektoren erfolgreich realisiert hat.

Jetzt kostenfrei anfragen