Ara hat geschrieben: ↑Sonntag 24. November 2019, 14:57Darum sind mE auch justizinterne Cloudsysteme vom Sicherheitsaspekt eher kritisch zu sehen. Häufig wird angeführt, man hätte dann die Kontrolle über die System, was aber faktisch so nicht ganz richtig ist. Auch in den internen Rechenzentren wird natürlich Hard- und Software von externen Dienstleistern genutzt. Die Kontrolle über nen Server im eigenen Rechenzentrum ist faktisch nicht viel größer als zum Beispiel bei AWS.
"Faktisch" wird die gesamte IT der Justiz durch einen mal mehr (großer IT-Service-Anbieter), mal weniger (landeseigener Betrieb) externen Dienstleister betrieben, der alle Server, alle Anwendungen, alle Datenleitungen samt Übergängen in andere Netze, das gesamte Accountmanagement, die gesamte Arbeitsplatzkonfiguration, die gesamte Hardwareausstattung und den gesamten Support leistet. Mir erschließt sich jetzt nicht, warum dann die interne Cloud unsicherer sein soll als bspw. der Fileserver, der im Zweifelsfall im selben Rechenzentrum steht und auf dessen Netzlaufwerken alle Dateien liegen, oder die Datenbank, auf denen alle Daten der Fachanwendungen gespeichert sind.
Das muss sich mir aber auch nicht erschließen; das landesinterne Netz ist für die Speicherung und Übermittlung von - auch personenbezogenen - Daten bis einschließlich VS-NfD zugelassen. Wie der Dienstherr das organisiert, ist seine Sache, und das ist auch gut so.
Ara hat geschrieben: ↑Sonntag 24. November 2019, 14:57Die Nachteile sind dagegen, dass ich den Clouddienst der Justiz gezielt angreifen kann, was ich zum Beispiel deutlich schwerer kann, als wenn die Daten zum Beispiel irgendwo bei OneDrive liegen.
Man kann sie natürlich auch einfach irgendwo bei einem Filesharing-Dienst hochladen, die Chance ist gut, dass sie da keiner findet.
Nur vorschriftsgemäß ist das vermutlich nicht.
Ara hat geschrieben: ↑Sonntag 24. November 2019, 14:57Zwingt man die Richter und Staatsanwälte zu komischen Regelungen (extra Beantragung von Accounts... Hardware-Tokens.... VPNs... usw...) dann wird das - insbesondere von technisch wenig versierten Nutzern - schlicht umgangen und die verschicken unverschlüsselt Emails.
Ein VPN ist kein Problem - das läuft schlicht transparent im Hintergrund. Einfach auf ein Icon klicken, dann ist man "drin". Hardware-Tokens sind bereits bekannt, weil darüber der Webmail-Zugang lief, und nur eine Übergangslösung. Die Beantragung eines Cloud-Accounts ist ebenso trivial wie die Anmeldung bei irgendeinem anderen Dienst im Netz: Mailadresse und Passwort vergeben, fertig. Danach funktioniert Drag & Drop. Wer das nicht hinbekommt, ist von dem Umgang mit verschlüsselten USB-Sticks oder dem Verschlüsseln von Dokumenten für den Mailversand aller Voraussicht nach ebenfalls überfordert. Und letztlich ist niemand gehindert, schlicht seinen Laptop mit heimzunehmen und daran zu arbeiten; wenn die Datei in einem synchronisierten Verzeichnis liegt, dann wird sie beim nächsten Anschluß am Arbeitsplatz automatisch auf das Netzlaufwerk synchchronisiert.
Wer das alles nicht hinbekommt, wird auch eher nicht am heimischen Rechner sitzen und dort Texte selbst tippen (sondern allenfalls ein mobiles Diktiergerät mit nach Hause nehmen).
Letztlich lässt sich ohnehin nicht mit letzter Sicherheit verhindern, dass jemand personenbezogene Daten unverschlüsselt per Mail verschickt oder eine Aktentasche mit den Verfahrensakten in der Stadtbahn vergisst ...