Cloud-Lösungen bieten Gemeinden erhebliche Vorteile wie Skalierbarkeit, moderne Kollaborationsmöglichkeiten und geografische Redundanz. Zum Schutz der Privatsphäre der Einwohnenden definieren die Kantone in ihren Datenschutzgesetzen strikte Anforderungen. Mit angemessenen technischen und organisatorischen Massnahmen sind diese auch bei einer Cloud-Nutzung erfüllbar. Damit gehen allerdings höhere Kosten, eingeschränkter Funktionsumfang und erhöhter Administrationsaufwand einher.
Die Herausforderung
Hohe Datenschutzanforderungen
Gemeinden unterstehen nicht dem Bundesgesetz über den Datenschutz (DSG) sondern den kantonalen Datenschutzgesetzen, z.B. dem umfassenderen Informations- und Datenschutzgesetz (IDG) des Kantons Zürich. Gemäss § 6 IDG bleibt die Gemeinde auch bei Auslagerungen vollumfänglich verantwortlich für die Datenbearbeitung. § 7 IDG verlangt die Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität und Nachvollziehbarkeit der Informationen. § 9 IDG besagt, dass Daten nur zum vorgesehenen Zweck verwendet werden dürfen, sofern keine Einwilligung vorliegt oder anonymisiert oder pseudonymisiert wird. Besonders kritisch sind grenzüberschreitende Datenflüsse (§ 19 IDG), die ein gleichwertiges Datenschutzniveau erfordern, was z.B. bei US-Anbietern durch den CLOUD Act nicht gewährleistet ist.
Neben dem IDG müssen weitere Gesetze befolgt werden, die z.B. zusätzlich Geheimnispflichten wie Amts- und Berufsgeheimnisse enthalten und die unverschlüsselte Auslagerung erschweren können.
Fragmentierte Systemlandschaften
Gemeindeverwaltungen betreiben aufgrund der Vielfalt der Aufgaben oft Hunderte von Applikationen, die jeweils von einer kleinen Anzahl von Mitarbeitenden verwendet werden. Es gibt wenig Standardisierung, Abteilungen verwenden spezifische Fachanwendungen unterschiedlichster Technologie, Herstellern und Altersgrade. Aufgrund des § 9 IDG (Zweckbindung) werden Daten meist dezentral gehalten.
Technische Massnahmen
Je nach Art der Anwendungen und deren Daten sind spezifische technische Massnahmen erforderlich um Cloud-Lösungen datenschutzkonform zu betreiben.
Cloud-Modelle: Die Wahl des Cloud-Modells ist entscheidend für IDG-Konformität.
- Public Clouds (z.B. AWS, Azure, Google Cloud) bieten hohe Skalierbarkeit, aber gemeinsame Infrastruktur mit anderen Kunden und dynamische Speicherorte. US-Hyperscaler unterstehen zudem dem US-CLOUD-Act. Public Clouds sind nur für unkritische Daten oder mit strikter Verschlüsselung geeignet.
- Private Clouds on-premise oder bei vertrauenswürdigen Hostern in der Schweiz oder der EU bieten dedizierte Infrastruktur mit stärkerer Kontrolle und Transparenz.
- Hybrid Clouds kombinieren beides: Kritische Systeme mit sensible Daten verbleiben in der Private Cloud und für nicht schützenswerte Daten wird die Public Cloud genutzt.
- Sovereignty Clouds sollen Schweizer Rechtsraum, lokale Datenspeicherung und Schutz vor CLOUD Act durch Datentreuhänder-Modell garantieren. Die Umstände sind jedoch genau zu prüfen.
Anbieterauswahl: Anstelle von proprietären Produkten können Open-Source Lösungen eingesetzt werden, die nach den Prinzipien Privacy By Design und Privacy by Default aufgebaut sind (z.B. ZenDis oder Wire anstelle von M365). Sie bieten Transparenz durch offenen Quellcode und unabhängige Audits.
End-to-End-Verschlüsselung und Double Key Encryption: Die clientseitige Verschlüsselung verhindert die Dateneinsicht durch die Cloud-Anbieter. Besonders wirksam ist Double Key Encryption (DKE): Daten werden mit zwei Schlüsseln verschlüsselt – der öffentlichen liegt beim Cloud-Anbieter und der private bei der Gemeindeverwaltung.
Hardware Security Modules (HSM) bieten bei der Verwaltung des privaten Schlüssels durch manipulationssichere Hardware oder Softwareservices zusätzlichen Schutz.
Bei der Datenspeicherung sollte zusätzlich zur Transportverschlüsselung eine Verschlüsselung at-rest implementiert werden.
Identity and Access Management (IAM): IAM-Systeme kontrollieren wer auf welchen Systemen und Daten Zugriff hat. Dies wird mit Multi-Faktor-Authentifizierung (MFA) und rollenbasierte Zugriffskontrolle (RBAC) sichergestellt. Die Nachvollziehbarkeit ist dank Logs aller Zugriffsversuche gewährleistet.
Data Loss Prevention (DLP): DLP-Systeme analysieren Inhalte, erkennen sensible Daten anhand von Mustern (z.B. AHV-Nummern) und blockieren kritische Aktionen wie das Hochladen unverschlüsselter Personendaten.
Backup und Disaster Recovery: Verschlüsselte Backups mit geografischer Redundanz innerhalb der Schweiz oder in Ländern mit gleichwertigem Datenschutzniveau werden automatisiert erstellt. Sie sichern die Verfügbarkeit und ermöglichen schnelle Wiederherstellung nach Ausfällen.
Organisatorische Massnahmen
Technische Lösungen allein reichen nicht aus. Die Analyse der Ist-Situation bildet die Basis für die Erstellung der Cloud-Strategie, der Richtlinien zur Integration von Cloud-Diensten und der Konzepte zur Gestaltung der Soll-Situation.
Wichtige organisatorische Massnahmen sind:
- Datenklassifizierung
- Datenschutz-Folgenabschätzung (DSFA)
- Bei Risiken Vorabkontrolle durch die Datenschutzbeauftragte (DSB)
- Informationssicherheits- und Datenschutzkonzept (ISDS)
- Vertragsgestaltung
- Schulung der Anwender
- Kontinuierliche Kontrolle
um nur einige Beispiele zu nennen.
Fazit
Datenschutzkonforme Cloud-Nutzung ist für Gemeinden möglich, erfordert aber Fachwissen sowie sorgfältige und ganzheitliche Planung. Für Lösungen ohne schützenswerte Daten kann das Cloud-Potential genutzt werden.
Achtung: Bei Lösungen mit schützenswerten Daten schränken Verschlüsselungen Basis-Cloud-Funktionen (wie z.B. bei Kollaboration, Suche oder Transkription) ein. Sicherheitskomponenten wie DLP, IAM und HSM bringen zusätzliche Komplexität und finanzielle und personelle Aufwände mit sich.
Die Kontrollpflicht der Gemeinde erstreckt sich auf den gesamten Cloud-Betrieb. Für Gemeinden mit begrenzten personellen und finanziellen Ressourcen stellt dies eine erhebliche Herausforderung dar. Eine Abwägung zwischen Sicherheitsanforderungen, Praktikabilität und verfügbaren Ressourcen ist essentiell. Es muss daher für jede Anwendung individuell bewertet werden, ob der Einsatz einer Cloud-Lösung sinnvoll und effektiv ist.
*Dieser Blog-Beitrag wurde mit Unterstützung von KI erstellt.
Weiterführende Literatur:
- Vorgaben der Datenschutzbeauftragten des Kantons Zürich: Auslagerung | DSB Kanton Zürich
- Bundesamt für Sicherheit in der Informationstechnik (BSI): BSI – Sichere Nutzung von Cloud-Diensten
- Privatim – Konferenz der schweizerischen Datenschutzbeauftragten: Merkblatt Cloud-spezifische Risiken und Massnahmen
- Bundesamt für Justiz: Bericht zum US CLOUD Act
