188
4.1.3
Kontrollmöglichkeiten
Die Anforderung der Kontrolle eines externen IT‐Anbieters wird im Bereich
Cloud‐Computing zunehmend zu Problemen führen. Gerade in manchen
Datenschutzbestimmungen wird die Vor‐Ort‐Prüfung des Anbieters
eingefordert. Es stellt sich aber die Frage, wo ist denn „vor Ort“? Beim
Vertragsgeber, beim Rechenzentrumsdienstleister oder beim Betreiber des
Softwareangebots? Und wenn man einmal vom Standort der Daten ausgeht,
muss man sich auch die Frage stellen, welche Informationen man aus einem
persönlichen Besuch eines Rechenzentrums erhalten kann. Ohne eine
intensive Überprüfung durch geschulte Personen aus dem Bereich
Datenschutz, Datensicherheit, Betriebsführung und gegebenenfalls
Softwareentwicklung erhält man im besten Fall einen subjektiven Eindruck,
ob das Gesehene einen ordentlichen Eindruck macht, allerdings ohne
qualitative Aussage zur Umsetzung der technischen und organisatorischen
Maßnahmen.
Daher wird die Anwendung von Zertifizierungen durch anerkannte
Prüfstellen eine immer wichtiger werdende Funktion für den Nachweis der
Erfüllung von Kontrollpflichten sein.
4.2
Zertifizierung von Cloud‐Services durch EuroCloud
Die Entwicklung im Bereich Standards für Cloud‐Computing erfolgte bisher
vorrangig im Bereich der technischen Anforderungen und der betrieblichen
Integration.
Derzeit befindet sich eine Reihe von Cloud‐IT‐Zertifizierungen im Aufbau.
Eine Anlehnung an bestehende internationale Zertifizierungen aus dem
Bereich ISO, IDW und nationaler Prüfsysteme macht durchaus Sinn.
Allerdings ist es gerade bei einem Klassiker wie der ISO 27001 gar nicht so
klar, was denn überhaupt geprüft wurde. Es wird gerne mit dieser
Zertifizierung geworben, und es ist unstrittig, dass damit ein relevanter
Nachweis der Professionalität des Anbieters erfolgt. Bei dieser Zertifizierung
muss aber vorher der Anwendungsbereich (Scope) festgelegt werden, auf
den geprüft wird, und dieser muss nicht zwingend den Anforderungen der
Compliance‐Betrachtung entsprechen. In gleicher Weise ist auch die
beliebte Zertifizierung SSAE 16/ISAAE 3420 (vormals SAS 70 II) zu sehen, die
in erster Linie die korrekte Durchführung von Transaktionen in Bezug auf
buchhaltungsrelevante Vorgänge testiert.
