Cloud-Dienste: Microsoft wirbt mit Sicherheit nach ISO 27018

Für Kunden von Microsofts Cloud-Diensten sollen künftig Sicherheitsstandards nach ISO 27018 gelten. Bei Anfragen durch Strafverfolgungsbehörden sollen sie demnach benachrichtigt und ihre Daten nicht für Werbung eingesetzt werden. Davon profitieren aber nicht alle.

Artikel veröffentlicht am 18. Februar 2015, 13:30 Uhr, Jörg Thoma

Die Datenschutzbestimmungen für Microsofts Cloud-Dienste wie Office365 sind jetzt nach ISO27018 zertifiziert. (Bild: Microsoft)

Microsofts Cloud-Dienste Office 365 und Dynamics CRM Online sind von dem British Standards Institute (BSI) nach den Sicherheitsstandards zertifiziert worden, wie sie in ISO/IEC 27018 definiert sind. Diese Standards sollen für Microsoft weltweit gelten. Azure hat bereits eine solche Zertifizierung. In dem ISO-Standard werden Datenschutzbestimmungen beschrieben, darunter die Informationspflicht bei Behördenanfragen oder die Wiederverwendung von Kundendaten in Werbung. Jedoch gelten diese Standards bei Microsoft explizit nur für Geschäftskunden.

ISO 27018 ist erst im August 2014 verabschiedet worden. Der neue Standard baut auf ISO 27001 und ISO 27002 auf, fasst sie zusammen und erweitert sie. An dem Entwurf maßgeblich beteiligt war auch das BSI, das zahlreiche Forderungen in seiner Orientierungshilfe zum Cloud Computing einbringen konnte. Die in ISO 27018 festgelegten Datenschutzpflichten gelten auch als Grundlage für die europäische Datenschutzgrundverordnung, die voraussichtlich dieses Jahr noch in Kraft treten wird. Dann werden auch die länderspezifischen Datenschutzbestimmungen in der EU ungültig.

Datenschutz nach ISO-Standards

Die Richtlinien in dem Standard, die Microsoft jetzt hervorhebt, besagen unter anderem, dass personenbezogene Daten ausschließlich nach den Vorgaben der Kunden verarbeitet werden dürfen. Zudem muss Microsoft seinen Kunden mitteilen, auf welchen Servern genau sich seine Daten in der Cloud befinden, zumindest in welchen Ländern die Daten verarbeitet werden. Jede Verarbeitung durch Dritte muss den Kunden mitgeteilt werden. Außerdem muss Microsoft den Kunden jederzeit Zugriff auf seine Daten gewähren und entsprechende Werkzeuge bereitstellen, um sie zu löschen, zu ändern oder zu korrigieren. Sollten Unbefugte Zugriff auf persönliche Daten bekommen, muss Microsoft seine Kunden darüber umgehend informieren und mögliche Konsequenzen erläutern.

Und schließlich muss das Unternehmen dem Kunden mitteilen, wenn Strafverfolgungsbehörden Zugriff auf personenbezogene Kundendaten verlangen. Hier schränkt Microsoft aber ein: Eine Mitteilung dürfe nur erfolgen, wenn das nicht gegen geltende Gesetze verstoße.

Nationales Recht geht vor

Nach US-Recht können dortige Strafverfolgungsbehörden von Unternehmen durchaus verlangen, solche Durchsuchungsbefehle geheim zu halten, etwa mit den National Security Letters. Auch die seit den Snowden-Enthüllungen zunehmend veröffentlichten Transparenzberichte enthalten nur rudimentäre Informationen über die Zugriffe von Behörden auf Kundendaten in Unternehmen.

Microsoft und andere haben sich zwar bereits vor US-Gerichten gegen die Herausgabe von Daten von europäischen Kunden an US-Behörden gewehrt, bislang aber erfolglos. Die nächste Instanz soll den Fall weiter verhandeln. Immerhin kann Microsoft sich dabei auf den internationalen Standard ISO 27018 berufen. Die Umsetzung der Standardisierung dürfte wohl eher auf europäische Kunden zugeschnitten sein.