Warum die Cloud deine Daten nicht schützt

[U-Labs YouTube]

Antwort von @Volker-Dirr:
@emmweh. Erklär mir mal genauer was du meinst. Du glaubst also, dass Leute da für die Software_Probleme ins Rechenzentrum reinspazieren? Sorry, aber die Rechenzentren sind oft nur angemietet und physisch recht gut geschützt. Die Software wird i.d.R. immer remote gemacht. Woher hast du deine Informatioenen? Aus Büchern von vor 30 Jahren? Und nochmal: Eine Verschlüsselung ist nur ein bedingter, kleiner Schutz. Ist genau so wie wenn du sagst, dass du dein Haus oder Auto abschließt. DIebe kommen trotzdem ins Haus und können trotzdem mit dem Auto wegfahren. Dafür braucht man nicht zwingend einen Schlüssel. Den muss man auch nicht per "Brute Force" nachbauen/knacken. Das macht man duch andere Angriffe viel einfacher. Lies dich mal etwas in das Thema Sicherheit ein. Du hast offensichlich nur einen Teil der Grundlagen verstanden. Ich mache mir ehlich gesagt vor Staatlichen Zugriffen keine Sorge, auch dann nicht, wenn meine Daten unverschlüsselt sind. Weil die ganz andere Möglichkeiten haben an meine Daten zu kommen. Wenn die z.B. meine Bank und Depotdaten haben wollen, dann brauchen die nicht irgendetwas aus meiner Cloud entschlüsseln. Die gehen einfach zur Bank und lassen sich das geben. Punkt. Da nutzt mir eine Verschlüsselung gar nichts. Und deine Verschlüsselung musst du auch immer entschlüsseln, sonst kannst du es nicht nutzen. Und wenn du es entschlüsseln kannst, dann können das auch grundsätzlich andere Leute machen. Lies dich mal etwas professionell in das Thema ein und bleib nicht so oberflächlich.

[U-Labs YouTube]

Antwort von @emmweh.:
@Volker-Dirr Faszinierend, was du aus meinen zwei Sätzen alles rauslesen kannst. Danke, für die in den Kommentar investierte Zeit. Ich mach' das seit 30 Jahren beruflich.

[U-Labs YouTube]

Antwort von @Volker-Dirr:
@emmweh. Aber dann vermutlich nicht besonders erfolgreich oder du haust deine Kunden über das Ohr. Wie kann man damit prahlen, dass Hetzner ruhig die Daten lesen darf, weil sie ja eh so sicher verscfhlüsselt sind, aber gleichzeitig sich darüber aufregen, wenn ein Staat oder andere Leute die Daten lesen können. Wenn die so gut verschlüsselt sind, dann sollten also weder ein Staat noch andere Leute das lesen können. Oder anders gesagt: Wenn die Verschlüsselung ausreichen würde, dann könnte man seine Daten doch ruhig öffentlich ins Netz stellen und allen Leuten erlauben die Daten zu lesen. Das wird aber nicht gemacht. Drei mal darfst du raten warum. Und dann denk nochmal über deinen Satz nach, dass du einigen Leuten das Lesen der Daten doch noch "erlaubst". Erkennst du jetzt deinen Fehlschluß?

[U-Labs YouTube]

Antwort von @metalogos68:
Unsere Schule ist seit Jahren bei Hetzner und das aus sehr gutem Grund.
Rechtsstandort ist Deutschland -> sollte einer der Mitarbeiter tatsächlich Zugang zu unseren verschlüsselten Daten bei Hetzner erlangen (was äußerst unwahrscheinlich ist, wenn die Daten verschlüsselt sind), dann drohen dem/der Mitarbeiter/in
ernsthafte Konsequenzen (zumal es sich um hoheitliche Daten handelt!).
Wäre ein solches Risiko es wert? Wären die Daten einer Schule von solch großer Bedeutung, dass bei Hetzner jemand bereit wäre
sich für solche Daten bestechen zu lassen?
Der Service ist (nach den Erfahrungen an unserer Schule mit Hetzner) hervorragend.
Keine IT-Abteilung im Ministerium oder der Regierung wäre auch nur im Ansatz in der Lage einen solchen Service, eine solche
Verlässlichkeit zu bieten - wenn Schule (damit sind besonders die Ministerien gemeint) mal wieder "Unternehmen" spielt,
ist dies stets sehr kostspielig für alle die Steuern zahlen ausgegangen.
Anstatt mit Firmen wie Microsoft mit ihrem dubiosen Geschäftsgebaren und deren verantwortungs-scheuen Rechtsabteilungen
"deals" auszuhandeln, ist es deutlich besser mit leistungsfähigen und rechtssicheren Firmen in Deutschland oder Frankreich
zu verhandeln wenn es um IT-Dienste wie Cloudanbieter geht.
Ja, Boshaftigkeit, Machenschaften und Betrug wird es bei Firmen in Deutschland, Frankreich und auch der Schweiz (nur bei diesen drei Ländern kann ich aus Erfahrung sprechen) geben. Ein wichtiger Unterschied ist jedoch (zurzeit zum Glück noch),
dass es in diesen Ländern Rechtssicherheit mit harten Konsequenzen gibt.
Hetzner ist damit mindestens das geringere Übel - Meiner Erfahrung nach jedoch ist Hetzner, wenn eine Institution sich für Cloud-Services entscheidet, eine Art Goldstandart in Deutschland (besonders wenn Sicherheit, Kosten und Nutzen wichtig sind).
Die Schweiz hat ebenfalls sehr gute Dienste, jedoch kosten die
auch mehr. Frankreich baut seine unabhängige IT deutlich aus (von Behörden-IT, über unabhängige KI-Dienste, ....).
Es lohnt sich sicherlich Frankreichs massiven Ausbau einer unabhängigen IT im Auge zu behalten und von ihnen zu lernen oder gar eng zu kooperieren.

[U-Labs YouTube]

Antwort von @Volker-Dirr:
@metalogos68 Also unsere wirlich wichtigen Daten in der Schuile (Anschriften, Noten, ...) sind bei einem lokalen Rechenzentrum. Vom Prinzip aus dem von dir genannten Grund. Die "anderen" Daten der Schüler und Lehrer (Also die Präsentationen von Katzen, Bäumen, ... Wie man 5x+6x ausrechnet, ... Also das schon Millionenfach eh im Netz vorhanden ist, was insofern "echt" keinen "Wert" hat und, abgesehen von dem einen Schüler und dem einen Lehrer, absolut keinen interessiert, dass liegt bei uns bei einem großen Player. Einfach deshalb, weil es a) in Summe viel günstiger ist, da kann unser lokales Rechenzentrum gar nicht mithalten und weil es b) viel mehr Features bietet, da kann auch nicht unser lokales Rechenzentrum (und auch nicht Hetzner) mithalten.
Und ob jemand Daten stielt? Ja, Snowden hatte ein Jahresgehalt von 200.000 $ und hat es gemacht. Es haben schon Leute ihren Job verloren, weil sie Papier für ein paar Cent aus ihrer Firma bewußt wiederholt gestolen haben, obwohl sie über 100.000 verdient haben. ... Also dieses "wird schon keiner machen" ist leider unrealistisch. Je größer eine Firma ist, desto eher kommt es vor. Und wenn es nur darum geht dem Boss ein auszuswischen oder einfach nur, weil man es kann. Es kommt vermutlich auch darauf an, was man unter "privat" versteht. Wenn man da nur sein Auto fotografiert, welches eh jeder draußen sehen kann, dann ist das zwar rechtlich ein privates Foto, aber im Grunde echt kein "Geheimnis". Warum sollte man also solche Bilder nicht in der Cloud speichern. Unter privaten Daten im strengen sinn verstehe ich etwas, was sonst (fast) kein anderer wissen darf/kann/soll. Und ob ein Staat das ganze nicht mal in der Cloud kontrollieren sollte, steht wiederum auf einen anderen Blatt. Das kann auch Vorteile haben. Viele Cloudanbieter scannen zum Beispiel auch nach Viren, warum also nicht auch nach rechtlich verbotenen Dingen. Wenn ein Polizist durch die Straße geht und einfach nur präsenz zeigt(kontrolliert, dann sagt auch keiner: "Ohh... du böser Polizist, warum läufst du hier rum. Es hat hier keiner was gemacht. Geh weg!". Er geht halt nicht bei dir nach Hause in die Wohnung. Das ist der kleine Unterschied. Die kontrolle dürfte, wenn man es vergleichen möchte, demnach nicht auf der Cloud stattfinden, aber sehrwohl vor dem Eintreten. Wie so immer im Leben, alles hat seine Vor- und Nachteile.

[U-Labs YouTube]

Antwort von @metalogos68:
@Volker-Dirr
Deine Antwort enthält einige berechtigte Punkte, aber sie wird weder durch Polemik noch durch Unterstellungen und ungenaue Analogien überzeugender.

Ja: Insider-Risiken existieren. Niemand bestreitet, dass auch bei einem professionellen Anbieter theoretisch ein Mitarbeiter Daten missbrauchen kann (wobei dies bei zusätzlicher Verschlüsselung ohnehin nicht "einfach" möglich ist). Daraus folgt aber nicht, dass alle Cloud-Anbieter sicherheitstechnisch gleich zu bewerten wären oder dass ein professionelles Rechenzentrum genaugenommen nicht sicherer sei. Das ist eine logisch wenig konsistente Verkürzung.

Sicherheit bemisst sich nicht daran, ob ein Restrisiko theoretisch denkbar ist. Mit einer solchen Haltung wäre jedes System unsicher: lokale Server, Ministerial-IT, Schulserver, private NAS-Systeme, Papierakten, USB-Sticks, E-Mail-Postfächer und auch das lokale Rechenzentrum, auf das du dich berufst. Entscheidend sind Schutzmaßnahmen, Zugriffskontrolle, Protokollierung, Verschlüsselung, organisatorische Trennung, Vertragslage, Rechtsstandort, Audits, Personalprozesse und Reaktionsfähigkeit bei Vorfällen.

Dein Snowden-Vergleich mag rhetorisch wirkungsvoll sein, aber fachlich und inhaltlich bleibt er schwach. Snowden war kein beliebiger Cloud-Mitarbeiter mit Langeweile, sondern hatte in einem geheimdienstlichen Kontext weitreichende Zugriffsrechte. Daraus abzuleiten, dass ein Mitarbeiter eines Hosting-Anbieters ohne Weiteres Kundendaten massenhaft kopieren könne, ist kein Beleg, sondern ein Extrembeispiel, das du verallgemeinerst.

Auch dein Beispiel mit Menschen, die wegen geringwertiger Diebstähle ihren Arbeitsplatz verloren haben, belegt nicht das, was du daraus machst. Es zeigt lediglich, dass Menschen irrational handeln können. Es zeigt aber nicht, dass ein professioneller Cloud-Anbieter deshalb nicht sicherer sein kann als eine lokal schlecht gewartete Infrastruktur.
Ein Restrisiko ersetzt keine wirkliche Risikobewertung!

Deiner späteren Differenzierung zwischen verschiedenen Datenarten dient der Sache bei der Beurteilung wie Daten in einer Cloud gesichert werden könnten: Noten, Anschriften, Gesundheitsdaten und sensible Schülerakten sind anders zu bewerten als allgemeine Unterrichtsmaterialien oder Präsentationen ohne relevanten Personenbezug.
Genau diese Differenzierung ist sinnvoll.
Jedoch widerspricht diese deiner anfänglichen Pauschalaussage, private Daten hätten auch verschlüsselt nichts in der Cloud zu suchen. Das ist zu absolut und undifferenziert.
Entscheidend ist, welche Daten, welche Verschlüsselung, wer die Schlüssel kontrolliert und welcher Schutzbedarf besteht.

Problematisch und zu kurz gegriffen erachte ich außerdem deine Analogie zur Polizei.
Eine Cloud ist nicht einfach eine Straße. In einer Cloud liegen häufig private Dokumente, schulische Unterlagen, Kommunikationsinhalte, Fotos, personenbezogene Daten und teilweise besonders schutzwürdige Informationen. Automatisiertes Scannen nach Viren ist nicht dasselbe wie inhaltliche Kontrolle nach rechtlich verbotenen Dingen.
Das eine dient der technischen Sicherheit, das andere berührt Datenschutz, Vertraulichkeit, Grundrechte und Missbrauchsrisiken. Diese wichtige Unterscheidung verwischst du.

Was deinen Schreibstil betrifft: Die herablassende und durchaus als besserwisserisch anzusehende sowie polemische Art
zu schreiben, macht deine Argumentation nicht stärker noch macht sie diese in allen Punkten wahr.
Formulierungen wie da brauch nur ein Mitarbeiter Langeweile haben oder der permanente Rückgriff auf Extremfälle erzeugen Alarmismus, ersetzen aber keine saubere Analyse.
Polemik ist kein Sicherheitskonzept!
Und ein scharf formulierter Verdacht wird nicht dadurch wahr, dass man ihn drastisch genug formuliert.

Der sachliche Kern deiner Aussage hätte wie folgt sein können:

Cloud-Nutzung sollte nach Datenklassen, Schutzbedarf, Anbieter, Verschlüsselung, Schlüsselverwaltung, Rechtsstandort und organisatorischen Maßnahmen, ..... bewertet werden.

Das wäre ein belastbarer Beitrag gewesen.
Stattdessen argumentierst du über weite Strecken mit Extrembeispielen, Unterstellungen und Analogien, die mehr verwirren als klären.

Für mich ist die Diskussion an dieser Stelle beendet.
Der zeitliche Aufwand, den diese Debatte inzwischen verursacht hat, steht in keinem Verhältnis zum Erkenntnisgewinn.
Ich habe nicht den Eindruck, dass es dir noch um eine nüchterne Prüfung von Risiken, Schutzmaßnahmen und realistischen Alternativen geht, sondern zunehmend darum, deine Ausgangsposition um jeden Preis zu retten.
Darauf werde ich (und hoffentlich alle anderen hier) nicht weiter eingehen.

[U-Labs YouTube]

Antwort von @Volker-Dirr:
@metalogos68 Interessant, was du von meinem Schreibstiel hälst, wenn du dir hier die Videos von U-Labs anguckst. Der Stil ist doch noch extremer als meiner. Man erkennt doch in fast jedem Video wie pauschla und "herablassend" er das ganze formuliert. Dein TExt ist so formuliert, dass er extrem verharmlost und Hetzer als einzig "gute" dastellt, währened andere kommerzielle ausländische Anbieter grundsätzlich schlecht dargestellt werden. Auch staatlciher Zugriff bzw. eine KI. welche automatisch deine Daten scennt wird (indirekt) pauschla als schlecht abgewertet, obwohl das gar nicht so nein muss. Guck dir doch z.B. mal deinen E-Mail Ordner an. Werden da ab und zu mal E-Mail in den Spam-Odner geschoben?! Dann erklär mir mal, wie das gehen soll, wenn doch die Daten so gut verschlüsselt sind und wenn das niemand liest. Deine E-Mail werden logischerweise gelesen. Da, es gibt E-Mail Verschlüsselung, aber ich habe bisher kaum Schulen gesehen, die ihren öffneltichen Key angeben, damit man verschlüsselt kommunizieren kann. Noch interessanter finde ich, dass du andere Leute von der Kommunikation mit mir abhalten willst. Die Leute dürfen also nicht selbst denken und du versuchst ihnen die Kommunikation inrirekt zu untersagen?! Also kurz: Deine Antwort ist viel zu pauschal. Man muss das ganze differenziert sehen. Wenn man es pauschla beantworten will, dann kann man nur "Private Daten gehören nicht in die Cloud" bei diesem Video sagen, da hier im Video ja die Gefahren geannnt werden, dass die Cloud ggf. sehr leicht lesbar ist. Die Puaschale Aussage "Cloud ist ungefährlich" hingegen ist fahrlässig, weil sie viel zu undifferenziert ist und somit unnötige gefahren birgt. Warum soll man etwas in die Cloud stellen, wenn man gar keinen Vorteil von der Cloud hat. Dein Papierkram besipeil ist daher unsinnig. Weil a) ich gar nichts gegen digitale Sepicherung gesagt habe, klar hat die Vorteile, aber eben auch Nachteile. und b) das z.B. in NRW in der BASS eindeutig geregelt ist. Daten auf Papier sind grundsätzlich erstmal sicherer als digital. Ich darf mir als Leher Papier kaufen und darauf Noten speichern. Ich darf mir hingegen nicht einen privaten Rechner kaufen und darauf Noten speichern. Das dürfte ich nur auf Antrag. Die Anträge dafür kann man sich von der Bezierksregierung holen. Der Antrag würde bei mir allerdings nicht genehmigt werden, weil ich ein Dienstgerät habe.

[U-Labs YouTube]

Antwort von @Volker-Dirr:
@metalogos68 Was meinst du mit "nur er hat Recht?" Ich bitte ihn doch es mir genauer zu erklären. Wie kommst du eigentlich auf die Idee anderen Leuten eine Diskussion ausreden zu wollen? Das kenne ich eigentlich nur von extremitischen Demos, wo ein "Chef" den "Demonstranten" vorschreibt, dass sie mit der Presse nicht sprechen dürfen. DAS nenne ich ich "unterirdisch". Anderen Leute eine Diskussion zu verbieten ist "unterirdisch". Das soll also der "wahre Weg" sein. Interessante Ansicht.

[U-Labs YouTube]

Antwort von @metalogos68:
@Volker-Dirr Du hast Recht, anderen Leuten in dem Kontext in dem sich unsere Kommentare bewegen eine Diskussion ausreden zu wollen ist ebenfalls "unterirdisch" und es ist definitiv nicht ein oder der "wahre Weg", sondern eines der vielen Gegenteile davon. In meinem Kommentarverlauf erscheint der Kommentar nicht mehr auf welchen ich meinen unsachlichen und nicht angebrachten "Kommentar" geschrieben habe. Wenn du eine Möglichkeit kennst, wie ich diesen unsachlichen Kommentar von mir löschen kann (ich finde den Kommentar leider nicht mehr), werde ich dies umgehend vornehmen.

[U-Labs YouTube]

Antwort von @Volker-Dirr:
@metalogos68 Manchmal zeigt Google die Kommentare verzögert an. Ich sehe meine Kommentare machmal sogar 5 mal, obwohl ich nur ein mal geschrieben habe. Die eigenen Kommentare findet man am besten so wieder: Erst auf der linken Seite gucken. Da gibt es "History" (Heißt das auf Deutsch auch so? Ich habe den Englische Oberfäche aktiv), dann auf der rechten Seite "Manage all history" und etwas weiter unten rechts "Comments".