Kontrollverlust durch die Cloud

WIEN. Die Nachfrage von Fach­abteilungen in Unternehmen nach verschiedensten Cloud-Diensten steigt konstant an – und bringt die IT-Abteilungen in Bedrängnis. Der Grund: In den meisten Unternehmen reicht die Zeit kaum aus, um Cloud-Dienste auch hinsichtlich der Datensicherheit und des Datenschutzes zu überprüfen. Eine Umfrage der Cloud Security Alliance (CSA) ergab, dass IT-Verantwortliche durchschnittlich zehn Anträge auf Service-Nutzung eines Cloud-Dienstes pro Monat erhalten. Das Problem: Für die Bearbeitung und Beurteilung eines Antrags benötigen sie knapp 18 Tage. Diese zeitliche Diskrepanz kann ein gefährlicher Nährboden für sogenannte Schatten-IT sein, warnt der Cloud-Security-Anbieter Skyhigh Networks. Denn eine aktuelle Analyse der tatsächlichen Cloud-Nutzung in europäischen Unternehmen zeigt, dass die große Mehrheit der durchschnittlich über 1.000 Cloud-Dienste pro Betrieb ohne Wissen der IT verwendet wird. Gleichzeitig mangelt es vielen Services zusätzlich auch an zentralen Sicherheitsmerkmalen wie Verschlüsselung und Data Loss Prevention (DLP).

Unüberschaubare Dienste
Laut der Auswertung der tatsächlichen Cloud-Nutzung in der Studie „Cloud Adoption & Risk in Europe Report Q1 2016“ von Skyhigh Networks befinden sich in einem europäischen Unternehmen mittlerweile durchschnittlich 1.038 Cloud-Dienste im Einsatz (im Vorjahr waren es noch 782) – der überwiegende Teil davon ohne Wissen der IT-Abteilung. Die Folgen sind unter anderem Lizenzkosten für eigentlich unnötige Dienste sowie ein massiver Kontrollverlust. Oft lassen sich Compliance und Datenschutz nicht mehr gewährleisten.
Die IT-Verantwortlichen wissen recht genau, warum sie die Einführung bestimmter Cloud-Dienste missbilligen. Der CSA-Umfrage zufolge begründen sich rund 55% der Ablehnungen darauf, dass bereits eine Lösung mit ähnlicher Funktionalität im Hause ist. Danach dominieren Sicherheitsbedenken: Misstrauen gegenüber dem Anbieter des Cloud-Dienstes (53%), fehlende Verschlüsselung (46%), mangelnde DLP-Funktionalität (44%) sowie Datenspeicherung in einem Land, dessen Gesetzgebung nicht die gewünschten Anforderungen an den Datenschutz erfüllt (42%).

Evaluierung notwendig
Eine gründliche Evaluierung ist notwendig. Denn obwohl sich rund 90% der bestehenden Cloud-Dienste an Unternehmen wenden, eignen sich die wenigsten davon für den Unternehmenseinsatz. Das CloudTrust-Programm von Skyhigh Networks bewertet fortlaufend über 16.000 Cloud-Dienste hinsichtlich Datenschutz und Datensicherheit.
So stellen nur 44% der Service-Anbieter klar, dass die gespeicherten Daten ausschließlich dem ­Anwender gehören, und lediglich 18% löschen diese umgehend, sobald der Anwender sein Benutzerkonto kündigt. Neun Prozent der Dienste speichern die Daten zwar verschlüsselt, jedoch nicht einmal ein Prozent ermöglicht es den ­Unternehmen, einen individuellen Schlüssel zu verwenden. Das Fazit von Skyhigh Networks: Im End­ergebnis lassen sich nur acht ­Prozent der Services bedenkenlos im Unternehmens­umfeld verwenden.
„Cloud-Dienste sind prinzipiell sofort einsatzbereit“, sagt Daniel Wolf, Regional Director D-A-CH von Skyhigh Networks. „Benötigen IT-Verantwortliche zu lang, um ­Anfragen von Fachabteilungen zu bearbeiten, nehmen diese gern mal selbst das Heft in die Hand. Dabei werden dann wichtige Sicherheitsmaßnahmen umgangen. Der Kriterienkatalog des CloudTrust-­Programms enthält eindeutige Handlungsempfehlungen. Dadurch kann man die IT Cloud-Dienste wesentlich schneller evaluieren.“