156
}
Minimum reduziert werden. Anders verhält es sich beim Zugriff auf die
virtuellen oder physischen Server, auf denen die Daten gespeichert sind. Auf
diese wird allein schon aufgrund von Wartungsarbeiten regelmäßig
zugegriffen werden, so dass es für den Kunden relevant ist zu wissen, wer
derartige Zugriffe tätigen kann und wie ein Zugriff auf die Daten selbst trotz
Zugriffs auf die diese beherbergende virtuelle oder physische Umgebung
verhindert wird.
Nachdem die Daten auch innerhalb eines Datenzentrums nicht fix einer
physischen Maschine zugewiesen sind, sondern zwischen den einzelnen
Servern verschoben werden, ist das Risiko einer gezielten Schädigung durch
Zugriff auf den physischen Server sehr gering. Es genügt daher festzulegen,
mit welchen Schutzmechanismen der Zugang zu den Servern abgesichert ist,
um dadurch den Mindeststandard vertraglich abzusichern.
Viel wesentlicher ist hingegen die Regelung des Zugriffs von außerhalb,
einerseits in Form des Zugriffs auf den virtuellen Server, andererseits in
Form des Zugriffs auf die Daten selbst, zumal dies keinen physischen Zugang
zum Server erfordert. Der sicherheitstechnische Vorteil virtualisierter
Umgebungen ist demgegenüber die Flexibilität und erleichterte
Anpassbarkeit der Sicherheitsmaßnahmen, die bei physischen Servern eher
starr und nur mit nicht unbeträchtlichem Kostenaufwand modifizierbar sind.
Es ist daher unumgänglich, nicht nur die Sicherheitsmaßnahmen sowohl für
den Zugriff auf den Server oder die Daten von außerhalb als auch auf die
Daten, wenn auf den virtuellen Server zugegriffen wird, zu kennen und zu
definieren, sondern auch die Möglichkeit vorzusehen, diese an aktuelle
Erfordernisse anzupassen. Dafür bietet sich die vertragliche Festsetzung
periodischer Sitzungen an, in denen solche Themen besprochen werden
können.
Zusätzlich ist die Regelung der Absicherung der Daten selbst
empfehlenswert. Diese erfolgt standardmäßig durch Kryptografie, wobei
hier eine regelmäßige Anpassung an den aktuellen Stand der Technik
festgesetzt werden sollte. Mögliche weitere Sicherheitsmaßnahmen sind (in
Verbindung mit der Kryptografie) die Aufspaltung eines Datensatzes und die
Verteilung auf mehrere physische Server oder gar Datenzentren. Damit wird
insbesondere der Schaden für den Fall begrenzt, dass ein Unberechtigter
Zugriff auf einen physischen Server erlangt und die Festplatten kopiert, da er
dann auch nach Dechiffrierung nur über einen unvollständigen Datensatz
verfügt.
