Heute werden Daten oft dezentral gespeichert – außerhalb des firmeneigenen Rechenzentrums oder des eigenen Zuhauses, in der Cloud. Aber wo genau liegen die Daten dann? Wer hat alles Zugriff darauf? Und wie sicher ist das? Dieser Beitrag aus unserer Reihe „Im Daten-Dschungel“ geht diesen Fragen nach.
Laut Cloud Monitor 2020 von Bitkom und KPMG setzen 76 Prozent der Unternehmen in Deutschland bereits auf die Cloud, weitere 19 planen ihren Einsatz. Die Cloud bietet ihnen die Möglichkeit, ihre komplette IT-Infrastruktur mit virtuellen Computern und Servern zu betreiben, sowie alle dafür notwendigen Programme. Darüber hinaus können sie in der Cloud ihre Daten speichern und sie als Plattform für IT-Entwicklungen nutzen. Microsoft Azure bietet dafür eine Vielzahl an Diensten an, dazu praktisch unbegrenzt Speicherplatz, Prozessorleistung und eine Hochverfügbarkeit jenseits der 99,9999 Prozent. Um das liefern zu können, betreibt Microsoft eine weltweit verteilte Cloud-Infrastruktur mit derzeit rund 160 physischen Rechenzentren, die auch untereinander vernetzt sind. Kein anderer Cloud-Anbieter auf der Welt kann eine vergleichbare Zahl bieten.
Welche Daten werden in der Microsoft-Cloud gespeichert?
Microsoft unterscheidet vier verschiedene Arten von Daten: Kundendaten, Diagnosedaten, von Online-Services generierte Daten sowie Professional–Service-Daten. Für das Verständnis des Datenschutzes bei Microsoft ist es wichtig zu verstehen, wie sich diese Daten unterscheiden.
- „Diagnosedaten“ sammelt Microsoft aus lokal installierter Software. Mithilfe dieser Daten stellt Microsoft sicher, dass die Clientsoftware ordnungsgemäß funktioniert. Mehr dazu erfahrt ihr in unserem Blogpost „Im Daten-Dschungel: Telemetrie – Analysen für den Schutz von Daten und Privatsphäre“.
- Von Online-Services generierte Daten fallen im Betrieb unserer Cloud-Dienste Microsoft 365, Dynamics 365 und Microsoft Azure an. Wir nutzen sie, damit Leistung, Sicherheit und Skalierung unserer Services auf dem von unseren Kunden gewünschten Niveau angeboten werden können.
- Professional Service-Daten werden uns von unseren Kunden zur Verfügung gestellt oder an uns im Rahmen von Vereinbarungen zur Nutzung geschickt. Dazu gehören auch Daten, die Onlinekunden zu Supportzwecken an Microsoft übermitteln.
- Der Begriff, mit dem wir uns an dieser Stelle intensiver befassen, ist der der „Kundendaten“. Er umfasst alle Text-, Audio-, Video- und Bilddateien, die ein Kunde zur Speicherung oder Verarbeitung in die Microsoft-Cloud lädt. Auch eigene Software, die in Azure gespeichert oder verteilt wird, zählt dazu. Kundeninhalte sind zum Beispiel E-Mails und Anlagen aus Exchange Online, Power–BI-Berichte, SharePoint–Online-Websiteinhalte oder Datenbanken.
Wo werden Kundendaten gespeichert?
Alle Kundendaten verbleiben vollständig innerhalb unseres vertrauenswürdigen Netzwerks Microsoft Azure.
Die globale Microsoft Azure Infrastruktur setzt sich aus zwei Schlüsselkomponenten zusammen – der physischen Infrastruktur und den verbindenden Netzwerkkomponenten. Die physische Infrastruktur besteht aus über 160 Rechenzentren, die in Regionen zusammengefasst und durch eines der größten zusammenhängenden Netzwerke der Welt miteinander verbunden sind. Mit der verschlüsselten Konnektivität der Netzwerkkomponenten bietet jedes der Rechenzentren hohe Verfügbarkeit, niedrige Latenzzeiten, Skalierbarkeit und immer neueste Fortschritte in der Cloud-Infrastruktur – alles auf der Azure-Plattform.
Zusammen halten diese Komponenten die Daten unsere Kunden vollständig innerhalb des vertrauenswürdigen Microsoft-Netzwerks und der verschlüsselte IP-Verkehr gelangt nie in das öffentliche Internet.
Der Kunde entscheidet selbst über den Speicherort
Über den genauen Ort der Datenspeicherung entscheiden unsere Kunden nach ihren speziellen Anforderungen und Bedürfnissen – von einer speziellen Region bis hin zu global verteilt. Für bestimmte Unternehmen mit sicherheitskritischen Infrastrukturen, etwa solche aus KRITIS-Branchen wie Energie, Gesundheit, Finanzwesen, Staat und Verwaltung oder Wasserversorgung, gibt es gesetzliche Vorschriften darüber, an welchen physischen Standorten Daten gespeichert werden dürfen („Datenresidenz“). Diese Vorschriften können sich je nach Art der Daten und dem nationalen Standort eines Unternehmens allerdings unterscheiden.
Mit den Geografien und Regionen von Azure bieten wir unseren Kunden verschiedene Möglichkeiten, um den Ort der Datenhaltung und den Datenzugriff auszuwählen und einzuschränken, ohne die Vorteile der hyperskalierbaren Microsoft Cloud dafür aufgeben zu müssen. Mit den im August 2019 eingeführten neuen deutschen Rechenzentrumsregionen bieten wir Unternehmen zudem die Möglichkeit, Microsoft 365, Azure, Dynamics 365 sowie Dienste der Power Platform mit Datenhaltung in Deutschland zu beziehen.
Die meisten Azure-Dienste werden regional eingesetzt und ermöglichen es dem Kunden, die Region auszuwählen, in der ein Service eingesetzt werden soll. Dazu zählen etwa virtuelle Maschinen, Speichermedien und SQL-Datenbanken. Eine vollständige Liste findet ihr in dieser Übersicht. Darüber hinaus können unsere Kunden bei der Auswahl eines Azure-Services auch die Region angeben, in der sie ihre Kundendaten speichern möchten („stored at rest“). Microsoft behält sich vor, aus Gründen der Datensicherheit solche Daten in andere Regionen zu replizieren. Aber auch dann verschieben wir diese Daten nicht außerhalb der vom Kunden gewählten Geografie.
Keine technischen Einschränkungen für unsere Kunden
Unsere Kunden sind selbstverständlich auch an gesetzliche Bestimmungen gebunden. Aber jenseits dieser Vorschriften können sie ihre Daten von jedem beliebigen Standort aus weltweit verschieben, kopieren oder darauf zugreifen. Der Zugriff auf Kundendaten wird streng kontrolliert und protokolliert, so dass unsere Kunden jederzeit nachvollziehen können, wer von wo aus auf welche Daten zugegriffen hat. Wie ihr diesen Datenzugriff erhaltet, zeigt das Dokument „Administrativer Zugriff“ auf unserer Webseite.
Den genauen Standort dieser wie aller anderen Rechenzentren, in denen wir Kundendaten rechtskonform speichern, verraten wir nicht. Dafür gibt es einen ganz bestimmten Grund: die Sicherheit. Denn wenn wir die genauen Standorte bekannt geben würden, gäben wir damit auch wenig wohlmeinenden Menschen Informationen an die Hand. In welchen Regionen und Städten wir unsere Rechenzentren haben, verraten wir schon, nur eben nicht mehr. Eine aktuelle Liste findet ihr hier.
Daten bewusst über mehrere Regionen verteilen
Es gibt, wie gesagt, gute Gründe für einzelne Unternehmen, ihre Daten ausschließlich an einem bestimmten geografischen Standort zu speichern. Umgekehrt gibt es aber gerade in den globalen Märkten auch Unternehmen, die das Gegenteil benötigen: eine Möglichkeit, ihre Daten weltweit auf unterschiedlichen Servern zu verteilen. In unserer Produktivitätslösung Microsoft 365 haben wir genau dafür die sogenannten Multi-Geo Capabilities eingeführt. Das ist zum Beispiel dann wichtig, wenn ihr mit euren Microsoft-Anwendungen unterschiedliche Mandanten (Tenants) pflegt, also Kunden, die an unterschiedlichen Standorten residieren. Mit Multi-Geo ist es möglich, die Daten jedes einzelnen Kunden an genau den Orten zu speichern, die eure Kunden brauchen oder wollen. Details zur Einrichtung und Administration von Multi-Geo findet ihr hier.
Nationale und internationale Anforderungen
Grundsätzlich sind unsere Kunden selbst für die rechtskonforme Speicherung ihrer personenbezogenen Daten verantwortlich. Sie haben also ein originäres Interesse daran, dass Microsoft als ihr Clouddienstanbieter alle EU-Datenschutzgesetze befolgt. Microsoft bietet seinen Kunden dafür mehr als 90 nationale und internationale Datenschutz-, Sicherheits- und Compliance-Zertifizierungen, darunter ISO 27001, ISO 27018, ISO 27701, SOC sowie den strengen Kriterienkatalog C5 des BSI („Cloud Computing Compliance Criteria Catalogue“).
Wir unterstützen die Regierungen dabei, Fragen zur grenzüberschreitenden Übermittlung von Daten zu klären. Das haben wir in der Vergangenheit schon häufiger so gemacht: So waren wir der erste Cloud-Anbieter, der mit den europäischen Datenschutzbehörden bei der Genehmigung der europäischen Musterklauseln (EU Model Clauses) zusammengearbeitet hat. Wir haben ebenfalls als erste die neuen technischen Standards für den Datenschutz im Cloud-Bereich eingeführt. Wir haben die grundlegenden Regelungen der EU-Datenschutz-Grundverordnung (EU-DSGVO) nicht nur umgesetzt, sondern auf unseren weltweiten Kundenstamm ausgedehnt. Und schließlich haben wir Verfügungen vor Gericht angefochten, mit denen der Zugang zu Kundendaten ermöglicht werden sollte – in einem Fall bis zum Obersten Gerichtshof der USA.
Mehr Informationen über Daten, Datensicherheit und Datenschutz findet ihr im Microsoft Trust Center.
Weitere Beiträge der Serie
Alle Beiträge unserer Reihe „Im Daten-Dschungel – Datenschutz von A bis Z“ gibt es hier.
Ein Beitrag von Thomas Langkabel
National Technology Officer bei Microsoft Deutschland
