Modul 7 · 7.2
Lieferanten und Clouddienste beurteilen
Modul 7: Zugang, Dienstleister und Cloud · Lesezeit: 11 Minuten
Lernziel: Nach dieser Lektion können Sie einen Lieferanten oder Clouddienst auf Sicherheit, Datenschutz und Exit beurteilen, erklären, was ein Auftragsverarbeitungsvertrag nach der DSGVO regeln muss, und eine Lieferantenübersicht führen.
Kernbegriffe: geteilte Verantwortung, Auftragsverarbeiter, Auftragsverarbeitungsvertrag, Unterauftragsverarbeiter, Speicherort der Daten, Zertifizierung (zum Beispiel ISO 27001), Exitstrategie, Lieferantenübersicht
Ihre Sicherheit ist nur so stark wie Ihre Lieferanten
Ein kleines Unternehmen hat selten eigene Server. Die E-Mail läuft bei einem Anbieter, die Buchhaltung in einem Onlinepaket, der Webshop auf einer Plattform, die Laptops werden von einem IT-Unternehmen verwaltet, und die Lohnbuchhaltung läuft über ein Lohnbüro. Das ist sinnvoll: Diese Partner können Sicherheit oft besser regeln, als Sie es selbst könnten. Es bedeutet aber auch, dass ein großer Teil Ihrer Sicherheit in den Händen anderer liegt.
Zeichnen Sie es einmal für sich auf. Setzen Sie Ihr Unternehmen in die Mitte und ziehen Sie eine Linie zu jedem Partner, der Daten von Ihnen aufbewahrt oder Zugang zu Ihren Systemen hat. Stellen Sie bei jeder Linie zwei Fragen:
- Was, wenn dieser Partner ausfällt? Eine Störung, eine Insolvenz, eine Preiserhöhung, wegen der Sie wechseln möchten.
- Was, wenn bei diesem Partner Daten durchsickern? Ein Einbruch beim Lieferanten, ein Mitarbeiter, der zu viel einsehen kann, ein Konto des IT-Unternehmens, das übernommen wird.
Geteilte Verantwortung
In Lektion 6.1 haben Sie bereits das Modell der geteilten Verantwortung kennengelernt: Der Anbieter eines Clouddienstes sorgt für das Rechenzentrum, die Server und die Funktionsweise der Software; Sie bleiben verantwortlich für Ihre Daten, Ihre Konten und Ihre Einstellungen. Microsoft schreibt in seiner Dokumentation ausdrücklich, dass dies bei jeder Art von Clouddienst so bleibt, auch bei fertiger Software.
Was das in der Praxis bedeutet:
| Das regelt meistens der Anbieter | Das regeln Sie immer selbst |
|---|---|
| Physische Sicherheit des Rechenzentrums | Wer ein Konto hat und mit welchen Rechten (Lektion 7.1) |
| Updates der Server und der Software | Zwei-Faktor-Authentifizierung aktivieren und nutzen |
| Verfügbarkeit gemäß den Vereinbarungen | Was Sie teilen und mit wem (Lektion 7.3) |
| Backups für Notfälle (sofern vereinbart) | Ein eigenes Backup oder einen Export dessen, was Sie wirklich nicht verlieren dürfen (Modul 6) |
Ein häufiger Fehler ist die Annahme, dass der Anbieter etwas regelt, das Sie nie nachgefragt haben. Fragen Sie es also einfach nach.
Auftragsverarbeiter und Auftragsverarbeitungsvertrag
Sobald ein Lieferant personenbezogene Daten für Sie verarbeitet, gelten die Regeln der DSGVO. Denken Sie an Kundendaten in Ihrem Webshop, E-Mails mit Namen und Adressen, Gehaltsdaten oder einen Cloudspeicher mit Lebensläufen von Bewerbern.
- Sie sind der Verantwortliche: Sie legen fest, wofür und wie die Daten verwendet werden.
- Der Lieferant ist Auftragsverarbeiter: Er verarbeitet die Daten in Ihrem Auftrag, für Ihre Zwecke.
Artikel 28 der DSGVO besagt, dass Sie nur Auftragsverarbeiter einsetzen dürfen, die hinreichend Garantien für geeignete technische und organisatorische Maßnahmen bieten. Die Vereinbarungen halten Sie in einem Auftragsverarbeitungsvertrag fest, schriftlich (elektronisch ist zulässig). Nach Artikel 28 Absatz 3 regelt dieser Vertrag mindestens den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen, sowie dass der Auftragsverarbeiter:
- nur auf Ihre schriftliche Weisung hin tätig wird;
- dafür sorgt, dass seine Mitarbeiter zur Vertraulichkeit verpflichtet sind;
- die Sicherheitsmaßnahmen nach Artikel 32 trifft;
- nur mit Ihrer Zustimmung einen Unterauftragsverarbeiter einsetzt, unter denselben Pflichten;
- Sie unterstützt, wenn Menschen ihre Datenschutzrechte ausüben (Auskunft, Berichtigung, Löschung);
- Sie bei der Sicherheit, bei Datenpannen und einer eventuellen Datenschutz-Folgenabschätzung unterstützt (Artikel 32 bis 36);
- nach Beendigung die Daten löscht oder zurückgibt und Kopien entfernt, nach Ihrer Wahl;
- Ihnen die Informationen zur Kontrolle der Einhaltung der Vereinbarungen zur Verfügung stellt und Audits ermöglicht.
Ein Unterauftragsverarbeiter ist ein Partner, den Ihr Auftragsverarbeiter selbst wieder einschaltet, zum Beispiel das Rechenzentrum Ihres Hostinganbieters oder den E-Mail-Dienst Ihres Buchhaltungspakets. Die DSGVO legt fest, dass der Auftragsverarbeiter Ihnen gegenüber vollständig haftbar bleibt, wenn ein Unterauftragsverarbeiter seinen Pflichten nicht nachkommt. Fragen Sie nach der Liste der Unterauftragsverarbeiter.
Die zuständige Datenschutzaufsichtsbehörde empfiehlt, die Vereinbarungen konkret zu formulieren, statt nur den Gesetzestext zu wiederholen, und festzulegen, wie schnell und mit welchen Informationen der Lieferant Sie über eine Datenpanne informiert. Das Letzte ist wichtig: In Lektion 8.2 sehen Sie, dass Sie innerhalb von 72 Stunden melden müssen, und diese Frist beginnt erst zu laufen, sobald Sie davon wissen.
Viele Anbieter haben einen Standard-Auftragsverarbeitungsvertrag. Lesen Sie ihn, und achten Sie darauf, ob er wirklich unterzeichnet oder akzeptiert werden muss: Bei manchen Anbietern tritt er nicht automatisch in Kraft.
Diese Lektion bietet eine allgemeine Erläuterung und ist keine Rechtsberatung. Der vollständige Text steht in der DSGVO auf eur-lex.europa.eu.
Fragen, die Sie einem Lieferanten stellen sollten
Eine Beurteilung muss kein vierzigseitiger Auditbericht sein. Für ein kleines Unternehmen reicht eine feste Fragenliste. Die Antworten stehen oft schon auf der Website des Lieferanten, auf einer Sicherheitsseite oder in einer Liste häufig gestellter Fragen.
| Thema | Frage |
|---|---|
| Speicherort | Wo liegen meine Daten, auch die Backups? Gehen sie in Länder außerhalb des Europäischen Wirtschaftsraums? |
| Zugang | Kann ich Zwei-Faktor-Authentifizierung für alle meine Nutzer verpflichtend machen? Kann ich Nutzern eigene Rechte zuweisen? |
| Backup | Erstellt der Lieferant Backups, wie oft, wie lange werden sie aufbewahrt, und kann ich selbst wiederherstellen? |
| Verschlüsselung | Sind die Daten unterwegs und auf der Festplatte verschlüsselt? |
| Datenpanne | Wie schnell und wie informiert der Lieferant mich bei einem Vorfall? |
| Unterauftragsverarbeiter | Welche Partner schaltet er ein, und wie erfahre ich von Änderungen? |
| Zertifizierung | Gibt es ein Zertifikat, zum Beispiel ISO 27001, und wofür gilt es? |
| Exit | Kann ich alle meine Daten in einem nutzbaren Format exportieren? Was geschieht mit meinen Daten nach Kündigung? |
Zur Zertifizierung: ISO/IEC 27001 ist eine internationale Norm mit Anforderungen an ein Managementsystem für Informationssicherheit. ISO zertifiziert nicht selbst; das macht eine unabhängige Zertifizierungsstelle. Ein Zertifikat zeigt, dass eine Organisation ihre Sicherheit planmäßig regelt, garantiert aber nicht, dass nie etwas passiert. Achten Sie vor allem auf den Geltungsbereich des Zertifikats: Gilt es für den Dienst, den Sie nutzen, oder nur für ein einzelnes Büro oder eine Abteilung?
Exit: Weggehen können ist auch Sicherheit
Eine Exitstrategie ist Ihr Plan, um einen Lieferanten zu verlassen, erzwungen oder freiwillig. Das klingt nach etwas für später, muss aber schon bei der Auswahl mitgedacht werden: Wenn Sie erst bei einer Insolvenz feststellen, dass Sie Ihren Kundenbestand nicht exportieren können, ist es zu spät.
Prüfen Sie daher im Voraus:
- ob Sie alle Daten exportieren können, und in welchem Format (ein offenes Format wie CSV, Standard-E-Mail oder gewöhnliche Dateien ist besser als ein proprietäres Format);
- wie lange Ihre Daten nach der Kündigung noch verfügbar sind;
- ob Ihr Domainname auf Ihren eigenen Namen läuft und Sie die Nameserver selbst ändern können (Lektion 4.3);
- ob Sie einen aktuellen Export selbst aufbewahren, als Teil Ihres Backups (Lektion 6.1).
Die Lieferantenübersicht
Halten Sie alles in einer Lieferantenübersicht fest: eine Tabelle mit pro Lieferant dem Dienst, welche Daten dort liegen, ob personenbezogene Daten dabei sind, ob ein Auftragsverarbeitungsvertrag besteht, wer bei Ihnen zuständig ist, den wichtigsten Antworten aus der Fragenliste und der Exitmöglichkeit. Gehen Sie sie einmal im Jahr durch, und auch, wenn ein neuer Dienst hinzukommt.
Fällt einer Ihrer Kunden unter das BSI-Gesetz (NIS-2-Umsetzung) (Lektion 9.1), dann können Sie erwarten, dass dieser Kunde Ihnen als Lieferanten genau solche Fragen stellen wird. Mit einer eigenen Übersicht haben Sie die Antworten bereit.
In der Praxis: So sieht es aus
Viele Anbieter stellen die Antworten auf diese Fragen auf einer Sicherheitsseite bereit. In der Beispielumgebung WebOké beschreibt die Nextcloud-Anleitung zum Beispiel, was der Anbieter regelt und was der Nutzer selbst tut: wo die Daten liegen, Verschlüsselung unterwegs und auf den Festplatten, verpflichtende Zwei-Faktor-Authentifizierung, Updates und Backups, sowie dass Sie für die geschäftliche Nutzung mit personenbezogenen Daten einen Auftragsverarbeitungsvertrag abschließen. Diese Aufteilung (was regelt der Lieferant, was mache ich selbst) ist genau das, wonach Sie bei jedem Lieferanten suchen sollten. Bei anderen Anbietern steht es oft in einem Trust Center, auf einer Sicherheitsseite oder in den Bedingungen; steht es dort nicht, fragen Sie einfach nach.
Zusammenfassung
- Zeichnen Sie Ihre Lieferanten auf und fragen Sie bei jeder Linie: Was, wenn dieser Partner ausfällt, was, wenn dort Daten durchsickern?
- Geteilte Verantwortung: Der Anbieter regelt die Infrastruktur, Sie Ihre Daten, Konten und Einstellungen.
- Verarbeitet ein Lieferant personenbezogene Daten für Sie, ist er Auftragsverarbeiter, und Sie schließen einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO ab.
- Nutzen Sie eine feste Fragenliste: Speicherort, Zugang, Backup, Verschlüsselung, Datenpanne, Unterauftragsverarbeiter, Zertifizierung, Exit.
- Ein Zertifikat sagt etwas aus, prüfen Sie aber den Geltungsbereich; regeln Sie Ihren Exit, bevor Sie ihn brauchen.
Quiz
Aufgabe
Aufgabe D7.2: Ihre Lieferantenübersicht. Erstellen Sie eine Tabelle Ihrer fünf wichtigsten Lieferanten und Clouddienste. Tragen Sie für jeden Lieferanten ein, welche Daten dort liegen, ob personenbezogene Daten dabei sind, ob ein Auftragsverarbeitungsvertrag besteht, und ermitteln Sie die Antworten auf die Fragenliste aus dieser Lektion (Speicherort, Zwei-Faktor-Authentifizierung, Backup, Datenpanne, Unterauftragsverarbeiter, Zertifizierung, Exit). Versuchen Sie, bei mindestens einem Dienst tatsächlich einen Export durchzuführen.
Aufgabe D7.2: Ihre Lieferantenübersicht
So gehen Sie vor: (1) Zeichnen Sie Ihr Unternehmen in die Mitte mit Linien zu jeder Partei, die Daten von Ihnen aufbewahrt oder Zugang zu Ihren Systemen hat. (2) Wählen Sie die fünf wichtigsten aus und erstellen Sie eine Tabelle mit: Dienst, welche Daten, personenbezogene Daten (ja/nein), Auftragsverarbeitungsvertrag (ja/nein/nicht nötig), Eigentümer bei Ihnen, und den Antworten auf die Fragenliste aus Lektion 7.2: Standort der Daten und Backups, Zwei-Faktor-Authentifizierung erzwingbar, Backup und eigenständiges Wiederherstellen, Verschlüsselung, wie schnell bei einer Datenpanne, Subauftragsverarbeiter, Zertifizierung mit Anwendungsbereich, Export und was nach Kündigung geschieht. (3) Suchen Sie die Antworten zuerst in der Dokumentation, der Sicherheitsseite oder den Bedingungen des Anbieters. Notieren Sie die Quelle. Steht es nicht dort, stellen Sie die Frage dem Anbieter und notieren Sie die Antwort. (4) Prüfen Sie bei jedem Anbieter, der personenbezogene Daten für Sie verarbeitet, ob ein Auftragsverarbeitungsvertrag besteht, und ob dieser akzeptiert oder unterzeichnet werden muss. (5) Erstellen Sie bei mindestens einem Dienst tatsächlich einen Export Ihrer Daten und prüfen Sie, ob Sie ihn öffnen können. (6) Schreiben Sie beim wichtigsten Dienst in drei Sätzen Ihren Ausstiegsplan: Wohin wechseln Sie, wie bekommen Sie Ihre Daten mit, wie viel Zeit brauchen Sie dafür.
Ihre Haken und Notizen bleiben nur in diesem Browser; wir senden sie nirgendwohin. Sind Sie angemeldet, speichern wir in Meine Kurse nur, dass Sie die Aufgabe erledigt haben.
Weiterführende Informationen
Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich oder anders.
- Nextcloud-Anleitung 3.1: Wie sichert WebOké Ihre Nextcloud ab?
- Nextcloud-Anleitung 15.13: Häufig gestellte Fragen zu Sicherheit und Datenschutz
- DSGVO (Verordnung (EU) 2016/679), Artikel 28: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Microsoft, Shared responsibility in the cloud (Englisch): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility