Nelson - stock.adobe.com
Wie der Datenschutz Confidential Computing einordnet
Die Datenschutzaufsichtsbehörden haben zu Confidential Computing Stellung bezogen. Unternehmen sollten wissen, wie Confidential Computing dem Datenschutz in der Cloud helfen kann.
Geht es um die Wahl des Cloud-Anbieters, rangieren Vertrauen in IT-Sicherheit, Datenschutz und Compliance sowie Leistungsfähigkeit und Stabilität (je 99 Prozent) und die Möglichkeit zur Datenverschlüsselung (96 Prozent) ganz oben, so der Cloud Report 2025 des Digitalverbands Bitkom (PDF). Mit deutlichem Abstand folgen Interoperabilität (69 Prozent), Nachhaltigkeitsthemen wie Klimaneutralität (67 Prozent), das Herkunftsland des Anbieters (67 Prozent) und Standorte der Rechenzentren in Deutschland oder der EU (64 Prozent).
Datenschutz bei Nutzung von Cloud Computing ist schon lange ein vorherrschendes Thema. Betrachtet man die Anwendungen und Datenkategorien, die mit der Cloud-Nutzung in Verbindung stehen, wird dies in Zukunft sogar noch wichtiger: Aktuell nutzt laut Bitkom jedes vierte Unternehmen (26 Prozent) KI-Dienste aus der Cloud – aber für fast doppelt so viele (51 Prozent) wird KI aus der Cloud in fünf Jahren interessant sein. Ebenfalls stark zunehmen soll die Cloud-Nutzung des CRM (plus 19 Prozentpunkte, von 38 auf 57 Prozent), Webconferencing (plus 15 Prozentpunkte, von 50 auf 65 Prozent) und Sicherheitssoftware (plus 14 Prozentpunkte, von 56 auf 70 Prozent).
Sicherheitstechnologien, die die Daten und Datenverarbeitung in der Cloud schützen können, sind deshalb von großer Bedeutung für den Cloud-Erfolg.
Schutz der Vertraulichkeit in der Cloud
Dies ist den Datenschutzaufsichtsbehörden sehr bewusst. Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat deshalb auf ihrer Zwischenkonferenz am 16. Juni 2025 eine Entschließung zu Confidential Cloud Computing veröffentlicht (PDF).
Dabei stellt die DSK klar: Der Begriff „Confidential Computing“ bezeichnet nicht eine einzelne Technologie, sondern wird von verschiedenen Anbietern unterschiedlich belegt. So wird beispielsweise eine Verschlüsselung von Daten im Arbeitsspeicher oder aber auch eine reine Zugriffsbeschränkung auf reservierte Speicherbereiche als Confidential Computing bezeichnet.
Unter dem Begriff „Confidential Cloud Computing” werden teilweise Technologien damit beworben, dass Daten sogar vor dem Cloud-Betreiber geheim gehalten werden können. Eine solche allgemeine Aussage trägt jedoch nicht der tatsächlichen Komplexität der eingesetzten Technologie Rechnung, so die Datenschützer. Die DSK möchte deshalb solche „Werbeversprechen“ kritisch einordnen.
Was Datenschützer zu Confidential Cloud Computing sagen
Zuerst einmal müsse man sich vergegenwärtigen, wer der mögliche Angreifer sein kann. Sollen Cloud-Daten vor dem Cloud-Anbieter geheim gehalten werden, erfordere dies ein viel stärkeres Schutzmodell: Der Betreiber hat physischen Zugang zu den Systemen und umfangreiche Möglichkeiten, die Hardware und Software zu manipulieren. Für eine valide Bewertung der Wirksamkeit von Maßnahmen sei ein differenziertes Modell erforderlich, das auch unterschiedlichen Gruppen von Mitarbeitenden des Betreibers und seiner Auftragnehmer berücksichtigt, so die DSK.
Eine Verbesserung der Sicherheit könne sich dadurch ergeben, dass – insbesondere mittels Verschlüsselung - Zugriffsmöglichkeiten innerhalb der Organisation des Betreibers (und seiner Auftragsverarbeiter) eingeschränkt werden. Auch vor einer missbräuchlichen Nutzung oder Manipulation bestünde ein gewisser Schutz.
Aber: Solche Maßnahmen ändern aus Sicht der DSK nichts an der Tatsache, dass sich der Betreiber grundsätzlich Zugriff auf die Daten verschaffen kann. Die teilweise anzutreffende Behauptung, dass die Kontrolle über die Datenverarbeitung vollständig auf den Nutzenden übergehe, sei nicht haltbar. Es sei beispielsweise offensichtlich, dass die Kontrolle über die Verfügbarkeit der Datenverarbeitung auch beim Cloud-Betreiber liegt. Auch sei es offensichtlich nicht möglich, jede unrechtmäßige Datenverarbeitung im Cloud-Kontext zu verhindern, beispielsweise eine unrechtmäßige Löschung.
Wichtig ist das Schlüsselmanagement
Eine besondere Bedeutung kommt laut DSK dem eingesetzten Schlüsselmanagement zu. Tatsächliche Geheimhaltung vor dem Cloud-Betreiber sei nur gewährleistet, wenn die Daten zu jedem Zeitpunkt so verschlüsselt sind, dass der Cloud-Betreiber den zur Entschlüsselung notwendigen Schlüssel nicht in Erfahrung bringen oder nutzen kann.
Wichtig sei auch, dass der Cloud-Betreiber nachweist, dass er zu keinem Zeitpunkt die Möglichkeit hat, die Verschlüsselung zu manipulieren (durch Machine-in-the-Middle-Angriffe oder den Austausch eines Nutzenden-Schlüssels durch einen selbst gewählten Schlüssel).
Ein besonderes Augenmerk sollte auf die Übergänge zwischen den verschiedenen „Verschlüsselungsdomänen“ gelegt werden, etwa der Übergang von „data-at-rest“ zu „data-in-use“, wie die DSK betont. Wenn bei solchen Übergängen ein Wechsel der eingesetzten Schlüssel vorgenommen wird, und zu diesem Zweck eine kurzzeitige Entschlüsselung der Daten stattfindet, liegen die Daten möglicherweise kurzzeitig in unverschlüsselter Form vor, warnen die Aufsichtsbehörden.
Eine typische Annahme sei, dass es keine physikalischen Angriffe gibt. Ist dies nicht zutreffend (etwa, weil der Cloud-Betreiber einem Dritten physischen Zugang zur Hardware ermöglichen oder Schlüssel oder Zertifikate auf Hardware herausgeben oder austauschen muss), so hat diese Technik nicht den versprochenen Effekt, wie die DSK betont.
Confidential Cloud Computing muss hinterfragt werden
„Confidential Cloud Computing“ kann aus Sicht der DSK das allgemeine Sicherheitsniveau erhöhen und typischerweise einen wertvollen Schutz gegen andere Nutzende auf der gleichen Hardware und gegen einzelne Innentäter bieten. Aber: Grundsätzlich müsse man davon ausgehen, dass ein Cloud-Betreiber Zugriffsmöglichkeiten auf die zu schützenden Daten besitzt. Die Aussagen, mit denen solche Technologien beworben werden, müssten daher kritisch hinterfragt werden. Die Schlussfolgerungen und die sich aus dem Angebot ergebenden oder zusätzlich zu ergreifenden Maßnahmen aus Gründen der Nachweis- und Rechenschaftspflicht müssten nachvollziehbar dokumentiert werden.
Wichtige Erkenntnisse zu Confidential Computing
Offensichtlich bleibt der Cloud-Datenschutz eine Herausforderung und ist für die Datenschützer nicht einfach durch Confidential Computing zu lösen, es kommt immer auf das genaue Schutzmodell, die Schutztechnologie, die Umsetzung und die konkrete Möglichkeit an, Zugriffe des Cloud-Anbieters wirkungsvoll unterbinden zu können.
