Wieso IR-Manager die Cloud nicht fürchten müssen

In der Investor Relations werden oftmals Informationen verarbeitet, die als besonders kritisch gelten. IR-Verantwortliche zeigen sich daher – so unsere Erfahrung – oftmals skeptisch gegenüber Cloud-Anwendungen. Das Beispiel Office-Programme zeigt aber, dass sich die IR der Cloud nicht verschließen kann und wahrscheinlich schon heute (mehr oder weniger bewusst) in der Cloud arbeitet.

Oftmals herrscht aber auch eine falsche Vorstellung von der Cloud. Geschäftlich genutzte Cloud-Leistungen sind nicht zu vergleichen mit (teilweise kostenlosen) Diensten, die wir aus dem Privaten kennen. Hier werden leistungsstarke IT-Leistungen angeboten, die unter IT-Sicherheitsexperten als besonders sicher gelten. Denn die hohen Sicherheitsanforderungen (Zugangsbeschränkungen, Ausfallsicherheit, Schutzmechanismen) und Erfahrungen im Falle von kritischen Vorfällen sprechen für die Cloud-Anbieter. Die Alternative – eine autarke Lösung mit eigener Hardware – auf diesem Level umzusetzen, ist mit immensen Aufwänden verbunden und stellt sich daher für die große Mehrheit der Unternehmen erst gar nicht.

Der Cloud Monitor 2020 zeigt, dass 41 % der befragten Unternehmen auch sicherheitsrelevante Business-Daten in die Cloud legen. Vor allem Großkonzerne gehen hier voran. Zudem offenbart die Befragung auch eine immense Lücke zwischen der Sichtweise von Cloud-Nutzern und Nicht-Nutzern hinsichtlich der Sicherheit. Denn Cloud-Nutzer schätzen eben jene als besonders hoch ein.

Allerdings sollten an den Cloud-Betreiber einige Anforderungen gestellt werden:

1. Eine Datenverarbeitung von kritischen Daten sollte nur innerhalb der EU erfolgen. Denn dort sind die Standards, zum Beispiel aufgrund der DSGVO, besonders hoch.
2. Der Cloud-Dienstleister sollte regelmäßig auditiert werden. Die ISO-Richtlinie 27001 ist der gängige Standard.
3. Das Hochverfügbarkeitsangebot des Anbieters sollte überprüft und dokumentiert werden. Dazu gehören zum Beispiel Vorkehrungen hinsichtlich Einbruch-, Feuer- und Wasserschäden, sowie Maßnahmen für eine konstante Stromversorgung.
4. Die eingesetzte Hardware sollte regelmäßigen Load- und Stresstests unterliegen, um eine ausreichende Belastbarkeit sicherzustellen. Außerdem sollten regelmäßig Desaster Recovery Tests durchgeführt werden, um im Ernstfall eine geringe Ausfallzeit sicherzustellen.
5. Die Datenübertragung sollte nur verschlüsselt erfolgen. Ein 128-Bit-SSL-Kanal ist der typische Standard.
6. Die Datenspeicherung kritischer Daten sollte ausschließlich in verschlüsselter Form stattfinden. Hier wird von Experten der Verschlüsselungsstandard AES-256 empfohlen.