Cloud-Lösungen für Unternehmen: Einsatzmöglichkeiten, Sicherheit und Auswahlkriterien

Wenn mehrere Abteilungen, Standorte und externe Partner mit denselben Unterlagen arbeiten, wird die Organisation von Dateien zur gemeinsamen Aufgabe. Dokumente müssen verfügbar sein, Zugriffsrechte müssen stimmen und Änderungen nachvollziehbar bleiben.

Cloud-Lösungen können diese Zusammenarbeit unterstützen. Sie stellen Speicher, Anwendungen oder Infrastruktur über ein Netzwerk bereit und ermöglichen den Zugriff unabhängig vom einzelnen Bürostandort.

Für größere Unternehmen und Konzerne reicht es allerdings nicht, lediglich Speicherplatz bereitzustellen. Eine Cloud muss in vorhandene Arbeitsabläufe passen, zentral verwaltet werden können und die Anforderungen an Datenschutz und Informationssicherheit erfüllen.

Die Anforderungen wachsen mit der Organisation

Die Mitarbeiterzahl allein sagt wenig darüber aus, welche Cloud-Lösung ein Unternehmen benötigt. Auch die Zahl der Standorte, die Art der Daten und die Zusammenarbeit mit externen Beteiligten spielen eine Rolle.

Ein international tätiges Unternehmen muss beispielsweise Zugriffe für verschiedene Gesellschaften und Projektteams organisieren. Ein Betrieb mit vertraulichen Entwicklungsunterlagen benötigt besonders klar abgegrenzte Freigaben. Andere Unternehmen müssen Dokumente über lange Zeit aufbewahren und bei Prüfungen bereitstellen können.

Für die Planung sind deshalb konkrete Anforderungen hilfreicher als eine reine Einteilung nach Unternehmensgröße:

• Welche Daten und Anwendungen sollen über die Cloud verfügbar sein?
• Welche Beschäftigten und externen Partner benötigen Zugriff?
• Welche bestehenden Systeme müssen angebunden werden?
• Welche Anforderungen gelten für Verfügbarkeit, Wiederherstellung und Aufbewahrung?

Aus diesen Punkten lässt sich ableiten, welche Funktionen benötigt werden und welche Aufgaben beim Unternehmen verbleiben.

Cloud-Modelle unterscheiden sich nach Leistung und Betrieb

Bei Cloud-Angeboten sind zwei Ebenen zu unterscheiden: die bereitgestellte Leistung und das Betriebsmodell.

Software as a Service (SaaS) stellt fertige Anwendungen bereit, etwa für Dateiaustausch oder Zusammenarbeit. Infrastructure as a Service (IaaS) liefert Ressourcen wie virtuelle Server und Speicher. Platform as a Service (PaaS) bietet eine Umgebung für die Entwicklung und den Betrieb eigener Anwendungen.

Je nach Leistungsmodell unterscheiden sich die Zuständigkeiten. Bei einer fertigen Anwendung übernimmt der Anbieter üblicherweise mehr Betriebsaufgaben als bei einer gemieteten Infrastruktur, auf der das Unternehmen eigene Software betreibt.

Eine Private Cloud ist einer einzelnen Organisation vorbehalten. Bei einer Public Cloud stellt ein Anbieter Dienste für mehrere Kunden bereit. Eine Hybrid Cloud verbindet unterschiedliche Cloud-Infrastrukturen.

Diese Begriffe bestimmen nicht automatisch das Sicherheitsniveau. Eine Public Cloud kann für Unternehmensdaten geeignet sein, wenn die technischen, vertraglichen und rechtlichen Voraussetzungen erfüllt sind. Eine Private Cloud benötigt ebenfalls eine sichere Konfiguration und einen verlässlichen Betrieb. Quelle: BSI – Grundlagen des Cloud Computing

Zusammenarbeit über Standorte und Unternehmensgrenzen hinweg

Ein typischer Einsatzbereich ist die Bereitstellung gemeinsamer Projektunterlagen. Beschäftigte können auf freigegebene Dokumente zugreifen, auch wenn sie an unterschiedlichen Standorten oder mobil arbeiten.

Eine gemeinsame Ablage kann die Zahl separat versendeter Dateikopien reduzieren. Synchronisation und Versionierung unterstützen dabei, aktuelle Arbeitsstände bereitzustellen und frühere Fassungen wiederzufinden. Ob mehrere Personen gleichzeitig ein Dokument bearbeiten können, hängt von den Funktionen der Anwendung ab.

Für die Zusammenarbeit mit Kunden, Lieferanten oder Dienstleistern lassen sich getrennte Projektbereiche einrichten. Externe Beteiligte erhalten Zugriff auf die benötigten Unterlagen. Interne Dokumente bleiben in anderen Bereichen.

Mobiles Arbeiten, Datenaustausch und standortübergreifende Zusammenarbeit gehören zu den zentralen Einsatzmöglichkeiten der bisherigen TeamDrive-Anwenderseite für Unternehmen.

Zugriffsrechte zentral organisieren

In größeren Organisationen verändern sich Berechtigungen laufend. Beschäftigte wechseln die Abteilung, übernehmen neue Aufgaben oder verlassen das Unternehmen. Externe Partner benötigen häufig nur zeitlich begrenzten Zugriff.

Eine Cloud-Lösung sollte diese Veränderungen zuverlässig abbilden können. Gruppen und Rollen erleichtern die Verwaltung, weil Berechtigungen nicht für jede Person einzeln eingerichtet werden müssen. Zugriffe sollten sich am tatsächlichen Aufgabenbereich orientieren.

Eine Anbindung an die vorhandene Benutzerverwaltung kann helfen, Konten und Berechtigungen konsistent zu verwalten. Für administrative Konten sind besonders restriktive Rechte sinnvoll.

Zusätzlich schützt eine Mehr-Faktor-Authentisierung den Zugang. Sie verlangt neben dem Passwort einen weiteren unabhängigen Nachweis, beispielsweise über eine Authenticator-App oder einen Sicherheitsschlüssel. Ein gestohlenes Passwort allein genügt dadurch nicht für die Anmeldung. Quelle: BSI – Zwei-Faktor-Authentisierung

Verschlüsselung und Schlüsselverwaltung gemeinsam betrachten

Verschlüsselung schützt Inhalte, indem sie diese ohne den passenden Schlüssel unlesbar macht. Bei der Bewertung eines Cloud-Dienstes sollte geklärt werden, wie Daten während der Übertragung und im Speicher verschlüsselt werden und wer sie entschlüsseln kann.

Bei Ende-zu-Ende-Verschlüsselung werden Inhalte zwischen den vorgesehenen Endpunkten geschützt. Entscheidend ist die konkrete Umsetzung, einschließlich der Verwaltung und Wiederherstellung der Schlüssel.

Für Unternehmen entsteht daraus eine organisatorische Aufgabe: Auch wenn Beschäftigte ausscheiden oder Geräte verloren gehen, müssen berechtigte Personen weiterhin auf geschäftlich benötigte Unterlagen zugreifen können.

Ein als „Zero Knowledge“ beschriebenes Konzept zielt darauf ab, dem Anbieter keinen Zugriff auf die unverschlüsselten Inhalte zu ermöglichen. Welche Metadaten dennoch verarbeitet werden, muss gesondert geprüft werden. Dazu können beispielsweise Kontoinformationen oder technische Nutzungsdaten gehören.

Verschlüsselung ersetzt außerdem weder sichere Endgeräte noch sorgfältige Freigaben. Wer berechtigt auf ein Dokument zugreifen kann, kann dessen Inhalt je nach Anwendung auch herunterladen oder weitergeben.

Datensicherung und Wiederherstellung planen

Cloud-Speicherung kann Daten räumlich vom eigenen Standort trennen. Das hilft beispielsweise, wenn lokale Geräte durch einen Brand, Wasserschaden oder Diebstahl verloren gehen. Für eine belastbare Datensicherung ist jedoch ein eigenes Konzept erforderlich.

Synchronisation kann versehentliche Löschungen oder beschädigte Dateien auf weitere Geräte übertragen. Deshalb muss geklärt sein, welche früheren Zustände wiederherstellbar sind und wie lange sie erhalten bleiben.

Unternehmen sollten festlegen, wie viel Datenverlust und welche Ausfallzeit ein Prozess verkraften kann. Daraus ergeben sich Anforderungen an Sicherungsintervalle und Wiederherstellung.

Bei Ransomware müssen Sicherungen gegen eine Mitbetroffenheit geschützt sein. Das BSI empfiehlt unter anderem offline aufbewahrte Sicherungskopien. Wiederherstellungsverfahren sollten regelmäßig getestet werden. Ein Backup allein verhindert zudem keinen möglichen Diebstahl vertraulicher Inhalte. Quelle: BSI – Maßnahmenkatalog Ransomware

Datenschutz hängt von der gesamten Verarbeitung ab

Wer personenbezogene Daten in einer Cloud verarbeitet, muss die Anforderungen der DSGVO berücksichtigen. Dazu gehören eine passende Rechtsgrundlage, Zweckbindung, angemessene Sicherheitsmaßnahmen und Regeln für Aufbewahrung und Löschung.

Ist der Anbieter als Auftragsverarbeiter tätig, muss die Zusammenarbeit nach Artikel 28 DSGVO geregelt werden. Dabei sind auch weitere Auftragsverarbeiter und deren Leistungen zu berücksichtigen.

Der Serverstandort ist ein relevantes Auswahlkriterium, beantwortet aber nicht alle Datenschutzfragen. Zusätzlich müssen mögliche Zugriffe, Supportleistungen und Übermittlungen in Drittländer betrachtet werden. Die DSGVO schreibt nicht pauschal vor, dass sämtliche Daten ausschließlich in Europa gespeichert werden dürfen; für Drittlandübermittlungen gelten besondere Voraussetzungen.

Auch bei einem deutschen Rechenzentrum bleibt das Unternehmen für die Rechtmäßigkeit seiner eigenen Verarbeitung verantwortlich. Quelle: DSGVO, insbesondere Artikel 5, 6, 28, 32 und 44 ff.

Archivierung ist eine eigene Anforderung

Laufende Projektdateien, Sicherungskopien und aufbewahrungspflichtige Unterlagen erfüllen unterschiedliche Zwecke. Ein Cloud-Speicher sollte deshalb nicht automatisch als Archiv betrachtet werden.

Für steuerlich relevante elektronische Unterlagen beschreiben die GoBD unter anderem Anforderungen an Vollständigkeit, Nachvollziehbarkeit und den Schutz vor unbemerkten Änderungen. Entscheidend sind die eingesetzte Technik und das tatsächlich angewendete Verfahren.

Unternehmen müssen festlegen, welche Dokumente archiviert werden, welche Fristen gelten und wie die Unterlagen während dieser Zeit lesbar und prüfbar bleiben. Auch die Verfahrensdokumentation gehört dazu. Eine geeignete Software unterstützt diese Aufgaben; die ordnungsgemäße Nutzung ergibt sich aus dem Zusammenspiel von System und Organisation. Quelle: Bundesfinanzministerium – GoBD

Cloud-Anbieter anhand des eigenen Betriebs vergleichen

Der Preis pro Nutzer oder pro Gigabyte ist nur ein Teil des Vergleichs. Für größere Unternehmen sind auch Verwaltung, Integration und langfristiger Betrieb relevant.

Ein Zertifikat oder Prüfbericht sollte immer auf seinen Geltungsbereich geprüft werden. Ebenso wichtig ist, welche Maßnahmen das Unternehmen selbst umsetzen muss.

Die Einführung mit einem konkreten Prozess beginnen

Ein Pilotprojekt zeigt, ob die Lösung im Arbeitsalltag funktioniert. Dafür eignet sich beispielsweise ein abgegrenzter Austauschprozess zwischen zwei Standorten oder mit einem externen Partner.

Neben der technischen Funktion sollten Bedienung, Berechtigungen und Support geprüft werden. Erst danach lässt sich sinnvoll entscheiden, wie weitere Abteilungen eingebunden werden.

Für den laufenden Betrieb brauchen Fachbereiche und IT klare Zuständigkeiten: Wer legt Projektbereiche an, genehmigt externe Zugriffe und überprüft bestehende Freigaben? Solche Regeln machen die Cloud-Nutzung auch bei wachsender Nutzerzahl verlässlich.

Informationen zur Umsetzung mit TeamDrive finden Sie auf unserer Seite zu Cloud-Lösungen für große Unternehmen und Konzerne.