Cloud-Datensicherheit

Verschlüsselung, aber die richtige Frage dazu

Jeder Anbieter schreibt "verschlüsselt" auf die Seite. Die Frage, die zählt: wer hält den Schlüssel? Wenn der Anbieter den Schlüssel hält, kann er im Zweifel auf deine Daten zugreifen, und eine Behörde könnte ihn dazu verpflichten. Bei einer zusätzlichen Schlüsselverwaltung auf deiner Seite bleibt der Zugriff bei dir, dafür trägst du auch die Verantwortung, den Schlüssel nicht zu verlieren. Kläre das vor dem Kauf, nicht danach.

Zugriffssteuerung und Rollen

Ein sauberes Rollenkonzept ist wichtiger als jede Einzelfunktion. Du willst nicht jedem Mitarbeiter einzeln Rechte geben, sondern Rollen definieren (Buchhaltung, Vertrieb, Geschäftsführung) und Menschen diesen Rollen zuordnen. Achte darauf, dass die Software Rechte auch wieder wegnehmen kann, ohne dass jemand halbe Tage sucht. Und achte darauf, ob sie Zwei-Faktor-Anmeldung erzwingen kann, nicht nur anbieten.

Protokolle und Alarme

Ein Protokoll, das niemand liest, ist nutzlos. Die Frage ist, ob die Software dir aktiv Bescheid gibt, wenn etwas Ungewöhnliches passiert: ein Login aus einem anderen Land, ein Massen-Download, eine neue Freigabe nach außen. Frag in der Demo konkret, wie so ein Alarm bei dir ankommt und wer ihn bekommt.

Sicherung und Wiederherstellung

Sicherung ist die eine Hälfte, Wiederherstellung die andere und die wichtigere. Viele Betriebe sichern brav und stellen erst im Ernstfall fest, dass die Wiederherstellung Stunden dauert oder Teile fehlen. Achte auf die Frage, wie granular du zurückspielen kannst: nur die ganze Datenmenge oder auch eine einzelne Datei von letztem Dienstag.

Lass die richtige Person testen

Lass die Software in der Demo von der Person bedienen, die später täglich damit arbeitet, nicht vom Chef und nicht vom externen Berater. Wenn deine Bürokraft die Freigabe eines Ordners nicht in zwei Minuten hinbekommt, wird das im Alltag zur Fehlerquelle. Bedienbarkeit ist kein Luxus, sie ist Teil der Sicherheit, denn umständliche Software führt dazu, dass Leute Umwege bauen.

Prüfe die Integration in das, was du schon hast

Eine Datensicherheit, die neben deinen bestehenden Werkzeugen steht und nichts davon kennt, erzeugt Doppelarbeit. Kläre, ob die Lösung mit deinem vorhandenen Anmeldesystem und deinem Cloud-Speicher zusammenarbeitet. Sonst pflegst du Nutzerkonten an zwei Stellen, und genau da entstehen die verwaisten Zugänge.

Frag nach dem Serverstandort und der Vertragsgrundlage

Wo liegen die Daten physisch, und mit wem schließt du den Vertrag ab? Ein Anbieter mit europäischem Serverstandort, aber Mutterkonzern außerhalb der EU, ist rechtlich nicht dasselbe wie ein rein europäischer Anbieter. Das ist keine Kleinigkeit, sondern entscheidet mit über deine Compliance.

Teste den Support, bevor du ihn brauchst

Stell während der Testphase eine echte Frage an den Support und miss, wie lange die Antwort dauert und ob sie auf Deutsch verständlich ist. Im Ernstfall, wenn Daten weg sind oder ein Konto kompromittiert wurde, entscheidet die Reaktionszeit über den Schaden.

Die meisten Anbieter rechnen pro Nutzer und Monat ab. Das klingt übersichtlich, hat aber Tücken: Zusatzfunktionen wie erweiterte Protokollierung oder längere Aufbewahrung stecken oft in einer teureren Stufe. Rechne nicht mit dem Einstiegspreis, sondern mit der Stufe, die die Funktionen enthält, die du wirklich brauchst.

Kosten, die man leicht übersieht

• Speichervolumen: Manche Modelle deckeln das enthaltene Volumen und berechnen jedes zusätzliche Gigabyte. Bei Sicherungen wächst der Bedarf mit der Zeit.
• Wiederherstellung: Vereinzelt kostet das Zurückholen großer Datenmengen extra oder wird nach übertragenem Volumen abgerechnet. Frag danach.
• Einrichtung: Die Ersteinrichtung mit Rollenkonzept und Anbindung an bestehende Systeme kostet Arbeitszeit, intern oder extern. Das ist der größte einmalige Posten und taucht in keiner Preisliste auf.
• Schulung: Wenn niemand die Software versteht, zahlst du zweimal.

Der ehrliche Rechenansatz

Rechne nicht nur die Lizenz, sondern die Gesamtkosten über drei Jahre: Lizenz plus Einrichtung plus Schulung plus die interne Zeit für laufende Pflege. Ein günstiges Werkzeug, das viel Handarbeit verlangt, kann teurer sein als ein teureres, das Arbeit abnimmt. Und plane einen Puffer für Wachstum ein, denn Nutzerzahl und Datenmenge steigen fast immer.

Der verwaiste Zugang

Ein Mitarbeiter verlässt den Betrieb, aber sein Cloud-Konto bleibt aktiv, weil die Kündigung im Personalbereich nicht mit der IT verknüpft ist. Monate später ist das Konto noch da, mit vollen Rechten. Das ist einer der häufigsten Fehler, und er kostet nichts außer Aufmerksamkeit. Ein fester Prozess, der bei jedem Austritt die Konten abschaltet, verhindert das.

Die Sicherung, die nie getestet wurde

Ein Betrieb sichert jahrelang, ohne die Wiederherstellung ein einziges Mal auszuprobieren. Als es darauf ankommt, stellt sich heraus, dass die Sicherungen unvollständig waren. Teste die Wiederherstellung mindestens einmal im Jahr mit einem echten Datensatz, nicht nur auf dem Papier.

Freigaben nach außen, die keiner mehr kennt

Jemand teilt eine Datei per Link "für alle mit dem Link", um schnell etwas zu verschicken, und der Link bleibt für immer offen. Über die Jahre sammeln sich hunderte solcher Links. Eine Übersicht über alle aktiven externen Freigaben, regelmäßig durchgesehen, räumt hier auf.

Zu viele Vollzugriffe

Weil das Rechtevergeben mühsam ist, bekommt am Ende jeder Administratorrechte. Dann kann jeder alles, und im Schadensfall lässt sich nicht mehr sagen, wer verantwortlich war. Vergib Rechte nach dem Grundsatz: nur so viel, wie jemand für seine Aufgabe braucht.

Die zentrale Grundlage ist die Datenschutz-Grundverordnung, die in Deutschland, Österreich und mit eigener Umsetzung auch im Umfeld der Schweiz die Verarbeitung personenbezogener Daten regelt. Sobald du Kunden- oder Mitarbeiterdaten in der Cloud verarbeitest, brauchst du mit deinem Anbieter einen Vertrag zur Auftragsverarbeitung. Ohne diesen Vertrag ist die Nutzung rechtlich angreifbar, unabhängig davon, wie sicher die Technik ist.

Serverstandort und Drittlandübermittlung

Wenn Daten die EU verlassen, brauchst du eine gültige rechtliche Grundlage dafür. Das ist ein bewegliches Feld, weil sich die Rechtslage zu Übermittlungen in Drittländer immer wieder ändert. Praktisch heißt das: ein europäischer Serverstandort und ein europäischer Vertragspartner ersparen dir viele Diskussionen. Prüfe das im Vertrag, nicht auf der Werbeseite.

Dokumentationspflicht

Du musst nachweisen können, welche Daten du wo und wie schützt. Ein Verzeichnis der Verarbeitungstätigkeiten gehört dazu, ebenso eine Dokumentation deiner technischen und organisatorischen Maßnahmen. Eine gute Software hilft dir dabei, indem sie Protokolle und Konfigurationen exportierbar macht.

Branchenbesonderheiten

In der Schweiz gilt das eigene Datenschutzgesetz, das der europäischen Linie ähnelt, aber nicht identisch ist. In bestimmten Branchen (Gesundheit, Finanzen) kommen zusätzliche Vorgaben dazu. Wenn du in so einer Branche arbeitest, kläre die konkreten Anforderungen mit einer fachkundigen Stelle, bevor du dich festlegst, denn die allgemeinen Regeln reichen dann nicht aus.

Schritt 1: Bestandsaufnahme

Schreib auf, welche Daten du wo liegen hast und welche davon besonders schützenswert sind (personenbezogen, geschäftskritisch). Ohne diese Liste kaufst du blind.

Schritt 2: Priorität festlegen

Entscheide, welches der drei Grundprobleme (Verlust, Zugriff, Nachvollziehbarkeit) bei dir zuerst gelöst werden muss. Das grenzt die Kategorie ein und spart dir das Anschauen von Werkzeugen, die dein Hauptproblem gar nicht adressieren.

Schritt 3: Anforderungsliste statt Wunschliste

Trenne "muss" von "wäre nett". Ein Vertrag zur Auftragsverarbeitung, europäischer Serverstandort und erzwungene Zwei-Faktor-Anmeldung sind für die meisten Betriebe ein Muss. Sortiere danach.

Schritt 4: Zwei bis drei Kandidaten testen

Hol dir Testzugänge und lass die spätere Nutzerin die Standardaufgaben durchspielen: Ordner freigeben, Freigabe entziehen, eine Datei wiederherstellen. Miss die Zeit und notiere, wo es hakt.

Schritt 5: Gesamtkosten rechnen

Stell die Drei-Jahres-Kosten der Kandidaten gegenüber, inklusive Einrichtung und interner Zeit. Nimm nicht automatisch den günstigsten Lizenzpreis.

Schritt 6: Verträge prüfen lassen

Bevor du unterschreibst, lass den Vertrag zur Auftragsverarbeitung und die Angaben zum Serverstandort von jemandem prüfen, der sich mit Datenschutz auskennt. Das kostet einmalig etwas und erspart dir später viel.

Schritt 7: Einführung mit Prozess

Führe die Software nicht nur ein, sondern verankere die Prozesse: wer schaltet Konten bei Austritt ab, wer prüft externe Freigaben, wann wird die Wiederherstellung getestet. Ohne Prozesse verpufft die beste Technik nach einem halben Jahr.

Wenn du diese sieben Schritte ehrlich durchgehst, triffst du keine perfekte, aber eine begründbare Entscheidung. Und begründbar ist im Zweifel genau das, was du gegenüber einer Behörde oder einem Kunden brauchst.