Acht Tipps für die sichere Cloud

Tipp 5: Vorsicht beim Teilen

Tipp 5 - Vorsicht beim Teilen
Manuelle Zugriffsvergabe ist viel wert
Viele Cloud-Speicher bieten die Möglichkeit, Daten mit anderen Benutzern zu teilen. Wir beziehen uns auch hier noch einmal auf die bereits erwähnte Analyse durch die Forscher des Fraunhofer-Instituts, die darauf hinweisen, dass diese Möglichkeit des Teilens je nach technischer Umsetzung problematisch sein kann. So generieren einige Lösungen sehr lange, kaum vorhersagbare URLs, um auf diese Weise beispielswiese einen Austausch von Daten mit nicht angemeldeten Anwender zur ermöglichen. Das bedeutet aber auch, dass diese Daten damit frei zugänglich im Internet bereitstehen! Zwar würde sich kein Mensch diesen Link einfallen lassen, doch die Crawler der Suchmaschinen könnten durchaus fündig werden und die Ressourcen in den Suchkatalog aufnehmen. Ein Austausch sensibler Informationen setzt somit voraus, dass der Kommunikationspartner «ordentlich» angemeldet ist und der Zugriffschutz nicht nur mittels einer kryptischen URL realisiert wird. Lässt Ihre Cloud-Lösung diese Möglichkeit zu, müssen alle Anwender entsprechend verpflichtet werden, sie grundsätzlich nicht zum Datenaustausch einzusetzen.
Besondere Beachtung gilt zudem der Gruppenfunktionalität im Allgemeinen: Wer wechselnde Kommunikationspartner hat, muss zwingend darauf achten, welcher dieser Partner auf welche Informationen zugreifen kann. Die Pflege von Berechtigungen ist umso mühseliger, je weiter die Verschachtelung steigt. Deshalb gilt: Schaffen Sie lieber eine möglichst einfache, flache Ordner-Hierarchie, die Sie dann nach Beendigung der Zusammenarbeitsphase wieder entfernen. Auch hier gilt also: Die konstante Pflege der Daten und ihrer «Darreichung» ist extrem wichtig und sollte auch bei den Daten in der Cloud nie vernachlässig werden.
Auf der nächsten Seite: Tipp 6: Eigene Verschlüsselung



Kommentare
Avatar
Jaqueline L.
06.05.2013
Datum dieses Artikels? Zuviel wurde in den Medien über den «Patriot Act» und die mitunter für den europäischen Markt zu geringen Datenschutzrichtlinien in den USA berichtet. Die Diskussionen hinsichtlich des Patriot Acts sind bekannt: US-amerikanische Behörden wie das FBI, CIA oder NSA haben auch ohne richterliche Anordnung Zugriff auf Informationen auf Servern von US-Unternehmen. Auch wenn deutschsprachige Medien dieses Mantra ad nauseam repetieren, wird es dennoch nicht wahrer: http://www.justice.gov/archive/ll/subs/add_myths.htm#s201 Myth: "Because the government already had substantial authority under FISA to obtain a wiretap of a suspected terrorist, the real effect of this amendment is to permit wiretapping of a United States person suspected of domestic terrorism." [Electronic Privacy Information Center (EPIC), Mar. 19, 2003] Reality: Before the PATRIOT Act, law enforcement had the authority to conduct electronic surveillance - by petitioning a court for a wiretap order - when investigating many ordinary, non-terrorism crimes. Agents also could use wiretaps to investigate some, but not all, of the crimes that terrorists often commit. The non-terrorism offenses for which wiretaps were available included: drug crimes, mail fraud, and passport fraud. Section 201 enabled investigators to gather information when looking into the full range of terrorism-related crimes, including: chemical-weapons offenses, the use of weapons of mass destruction, killing Americans abroad, and terrorism financing. Section 201 preserved all of the pre-existing standards in the wiretap statute. For example, law enforcement still must: (1) apply for and receive a court order; (2) establish probable cause that criminal activity is afoot; and (3) first have tried to use "normal investigative procedures." Section 201 has proven to be extremely useful to law enforcement officials, as several recent wiretap orders have been based on this expanded list of terrorism offenses. This provision will sunset on December 31, 2005. Es ist genau genommen auch so, dass die USA als Serverstandort einem in der EU und besonders einem in Deutschland vorzuziehen ist, weil etwa nach deutschen Recht die Vorratsdatenhaltung - ohne einem gerichtlichen Untersuchungsbefehl notabene - zwingend vorgeschrieben ist. Es gibt einen weiteren Grund für die USA als Serverstandort: gerät eine Firma in Zahlungsschwierigkeiten und wird das Konkursverfahren gemäss Chapter 11 eröffnet, werden die Abonnenten im Zuge eines solchen Verfahrens benachrichtigt und während einer Karrenzfrist, die nicht unter 3 Monaten sein darf, angewiesen, ihre Daten vom Dienst abzuholen. In dieser Karrenzfrist ist der Betrieb und die Kosten der Server unter Chapter 11 geschützt, d.h. die dafür für den konkursiten Betreiber anfallenden Kosten stehen unter Konkursschutz gegenüber Drittparteien. Eine Situation wie in Deutschland, wo ein Anbieter von einem auf den anderen Tag die Server abstellen kann, kann daher gar nicht auftreten. Eine derartige, in deutschsprachigen Medien immer wieder beobachtbare bewusste Desinformation ist eines angeblich sachlich technisch orientierten Publikationsorgan unwürdig um nicht zu sagen disqualifizierend.

Avatar
malamba
12.06.2013
Die aktuellen Abhörskandale bzw Infos aus den U.S.A von z.b Edward Snowden, lassen doch sehr! grosse Bedenken gegenüber U.S Server-Standorten zu!!

Avatar
Nebuk
12.06.2013
Nur bei US Servern? :)

Avatar
MediaFan
17.03.2014
Das Interesse an auswertbaren Daten ist riesengross. Jeder, der sich überhaupt nur im Internet bewegt - egal, ob man einfach nur Webseiten aufruft oder Daten einer fremden Firma "übergibt" - sollte sich dessen bewusst sein. Ich finde die Idee völlig verrückt, irgendwelche Daten ins Internet "auszulagern". Ich kann nur einfach empfehlen, Daten lokal zu speichern und sich bitte (!) z.B. "LittleSnitch" zu installieren. Dadurch hat man zumindest eine geringe Kontrolle, wer welche Daten erhält. 1984 war die Idee, dass der Staat sich darum bemüht die Leute zu überwachen - das 21. Jahrhundert zeigt, dass jeder von sich aus viel zu viel verfügbar und auswertbar macht.