Der Teil 3 unserer Serie über die Datenresidenz nimmt die Problematik aus den vorhergehenden Teilen 1 und 2 auf und thematisiert, in welchen Situationen Verschlüsselung den Informationsschutz verbessert.

Es gibt nur beschränkte Möglichkeiten Daten angemessen zu schützen. Eigentlich sind es nur zwei grundlegende Prinzipien, die den erforderlichen Datenschutz sicherstellen: man schliesst die Daten ein und/oder man verschlüsselt diese. Wir sind allerdings überzeugt, dass nur eine starke, uneingeschränkte Verschlüsselung den erforderlichen Datenschutz gewährt und die Compliance ermöglicht, die uns ruhig schlafen lässt, um als Einzelpersonen, Unternehmen oder öffentlich-rechtliche Institutionen Daten untereinander sicher auszutauschen.

Wie lassen sich Daten schützen? Zwei Möglichkeiten stehen uns dabei grundsätzlich zur Wahl: das «Einschliessen der Daten» und das «Verschlüsseln der Daten». Alle anderen Methoden basieren dann eigentlich nur auf das Vertrauen gegenüber Dritten.

Prinzipien des Informationsschutzes

Starten wir zuerst mit der Null-Lösung. Allen Warnungen und Risiken zum Trotz gibt es heute (noch zu viele) Unternehmen, Institutionen oder Einzelanwender, die der IT Security nicht die notwendige Beachtung schenken. Natürlich, es gibt sie immer, die Möglichkeit nichts zu tun und darauf zu vertrauen, dass schon alles gut kommt. Im Bereich Datenschutz sollte jedoch allen inzwischen klar geworden sein, dass die Null-Lösung eher ein fahrlässiges Warten auf den IT-Security-Vorfall ist. Sind Sie, lieber Leser, liebe Leserin trotzdem Anhänger von blindem Vertrauen, dass genau Sie von der Problematik nicht betroffen sind, auch in Zukunft nicht betroffen sein werden, dann verfügen Sie über ausserordentliche Fähigkeiten der Verdrängung. Ich beglückwünsche Sie zu Ihrem unbeschwerten Leben.

Wir raten jedoch dringend, folgende Prinzipien des Informationsschutzes in Betracht zu ziehen:

Einschliessen der Daten
Solange die schützenswerten Daten den eigenen Tresor (Datacenter) nicht verlassen, sind sie dort gut aufbewahrt. Das hängt natürlich von entsprechenden Schutzmassnahmen z.B. gegen Ransomware und Datenklau ab. Aber grundsätzlich ist das Wegschliessen von Wertgegenständen ein seit Jahrtausenden bewährtes Prinzip.

Verschlüssen der Daten
Das Prinzip des «Einschliessens» ist mit der heutigen Zeit der Cloudifizierung jedoch nicht wirklich vereinbar. Schliesslich basiert das Geschäftsmodell von Cloud Providern (oft mit Sitz im Ausland) auf der Datenhaltung auf Geräten Dritter. Wirklicher Schutz jenseits des eigenen Kontrollbereichs kann nur Verschlüsselung bieten.

Was geht jenseits des eigenen Kontrollbereiches?

Cloudprovider haben kein grundsätzlich neues Universum geschaffen, in welchem andere Regeln gelten. Sie machen etwas in einem beschränkten Bereich sehr gut und bieten dies sehr vielen Kunden an. Es sind also extreme Spezialisten für meist stark eingegrenzte Themen. Deren Systeme müssen allerdings nach wie vor installiert, gewartet und betrieben werden. Tätigkeiten, welche meist noch Menschen erledigen. Diese Provider bieten diese im Grunde leicht zugänglichen und für uns interessanten Services auch nicht an, weil sie grosszügig sind, sondern weil dahinter ein knallhartes Economy-of-Scale-Geschäftsmodell steht. Die Provider wollen also Geld verdienen. Es ist primärer Daseinszweck. Damit diese Firmen also ihren eigenen Zweck mit dem Bedürfnis ihrer Kunden vereinen können, müssen gleich gelagerte Interessen bestehen. In der Regel wird dies dadurch erreicht, dass der Kunde den Provider für eine Dienstleistung bezahlt. Der Kunde bezahlt immer mit irgendetwas. Entweder mit Geld oder mit seinen Daten.