Die wichtigsten Fragen und Antworten
Was ist was bei der Cloud-Zertifizierung?
Bieten staatliche Organisationen wie Ministerien Cloud-Zertifizierung an?
Nicht direkt. Das BSI beschreibt Ansätze, um ein Zertifikat für die Sicherheit von Cloud Services zu etablieren. Dieser Ansatz besteht aus folgenden Teilen:
IT-Grundschutz-Zertifikat (insbesondere relevante IT-Grundschutz-Bausteine zum Cloud Computing),
Zertifikate zur Produktsicherheit nach Common Criteria für die als kritisch anzusehenden Komponenten sowie
weitere Nachweise, zum Beispiel zur Zuverlässigkeit.
Darüber hinaus gibt es eine Zertifizierungsinitiative vom Bundesministerium für Wirtschaft und Energie (BMWi). Das Pilotvorhaben wird vom Kompetenzzentrum des BMWi-Technologieprogramms Trusted Cloud durchgeführt.
Foto: BMWi
An dem Pilotprojekt sind alle maßgeblichen Akteure beteiligt, darunter mehrere Datenschutzbehörden, Anbieter und Anwender von Cloud-Diensten sowie Unternehmen aus den Bereichen der IT-Prüfung und IT-Rechtsberatung. Das Projekt soll im Frühjahr 2015 abgeschlossen werden. Das darin entwickelte Datenschutzzertifizierungsverfahren soll künftig von unabhängigen Zertifizierungsstellen für alle Cloud-Anbieter zur Verfügung stehen.
Wer bietet aktuell praktisch relevante Cloud-Zertifikate an?
Aktuell gibt es eine Vielfalt an Ausstellern von Cloud-Zertifikaten - in der Regel Branchenverbände und Prüforganisationen wie der TÜV -, die quasi einen eigenen "Markt" bilden. Weltweit befassen sich rund 150 Organisationen mit Aspekten der Standardisierung im Cloud Computing. Davon ist derzeit nur ein kleiner Teil relevant.
Foto: BMWi
Für den deutschen Cloud-Markt sind vor allem drei Gütesiegel wichtig: SaaS von EuroCloud, Trust in Cloud von Cloud EcoSystem und Certified Cloud Service vom TÜV Rheinland. Diese "Haussstandards" wollen über den IT-Grundschutz ISO 27001 hinausgehende Cloud-spezifischen Belange abdecken. Die Zertifizierungen zielen darauf ab, die Sicherheit einer Cloud auf Grundlage eigener Anforderungskataloge zu prüfen und mit einem Zertifikat zu bestätigen.
Wie lässt sich der Markt für Cloud-Zertifikate strukturieren?
Die Qualität und der Nutzen von Zertifikaten stehen und fallen mit den Organisationen, die mit der Prüfung beauftragt sind, sowie deren Prüfkriterien. Schwache Anforderungskataloge treffen weder die Bedürfnisse der Kunden noch helfen sie, die Qualitätsunterschiede von Cloud-Lösungen für den Nutzer klar zu präsentieren. Im Gegenteil, IT-Entscheider verlassen sich im Zweifelsfall auf diese vermeintlich geprüften Services, doch bekommen sie nicht die versprochene Qualität.
Grob gesprochen lassen sich die Anbieter von Cloud-Zertifikaten in drei Gruppen aufteilen. Bei der ersten Gruppe besteht die Prüfung im Prinzip aus kaum mehr als einer Konformitätserklärung seitens des Providers. Einige Cloud-Zertifikate bleiben an dieser Stelle der Selbstbewertung stehen. Bei der zweiten Gruppe erfolgt eine externe Prüfunng, indem die Provider über mehr oder weniger detaillierte Fragebögen Auskunft zur IT und zu sicherheitsspezifischen Belangen geben müssen. Die dritte Gruppe von Zertifikatsanbietern verlangt ein detailliertes technisches Audit, bei dem auch Experten vor Ort prüfen.