Das Blog im Apfelpürée

Was bedeutet Cloud eigentlich?

Für die meisten ist die „Cloud“ eine große schwarze Kiste, in der ein Haufen Daten oder Dokumente gespeichert werden - aus den Augen aus dem Sinn. Genauer hingeschaut, ist es ein IT-Service, der ein wenig über eine statische Kiste hinausgeht:

• Die Cloud kann ein Online-Speicherplatz sein.
• Es kann sich bei einer Cloud um bestimmte Online-Anwendungen handeln (die iWork-Programme lassen sich beispielsweise auch als reine Cloud-Lösung nutzen).
• Und hinter dem Begriff Cloud kann sich eine ganze technische Infrastruktur verbergen, auf der Daten abgelegt oder Programme betrieben werden.

Probleme über Probleme

Der Cloud-Anbieter ist dabei ein externer Dienstleister, der als sogenannter Auftragsverarbeiter seine Dienste gegen Geld anbietet. Er erhält aber nicht nur dein Geld und deine Dokumente, sondern auch deine Nutzerdaten, Diagnosedaten, Trackingdaten etc. - und da fängt das datenschutzrechtliche Problem an, denn du hast kaum eine Kontrolle darüber, was der Dienstleister mit deinen Daten macht, daran ändert sich auch nicht viel, wenn du mit dem Dienstleister (wie vorgeschrieben und doch nur selten umgesetzt) einen Vertrag über die Auftragsdatenverarbeitung abschließt.

Im EU-Raum oder in Deutschland mag die Speicherung von Dokumenten auf fremden Servern rechtlich noch relativ gesichert sein, aber was, wenn der Anbieter seinen Service im US-amerikanischen Raum (und nicht nur dort) anbietet, wo man sich um Datenschutz nicht so sehr viele Grenzen setzt?

Digitale Rundumkontrolle in Echtzeit

Aber auch hierzulande gibt es Probleme: Wie sich zunehmend zeigt, sind Cloud-Anbieter (und damit deine dort abgelegten Dokumente und Daten) relativ schutzlos Forderungen aus der Politik ausgesetzt. Leider besteht seit vielen Jahren eine zunehmende Tendenz zu mehr Überwachung (sicher nur zu unserem Guten...) und gerade in diesen unguten Zeiten, in denen dank einer losgelassenen Pandemiepolitik kaum noch datenschutzrechtliche Grenzen gelten, wird es Zeit, sich um Alternativen Gedanken zu machen.

Daten und Dokumente werden, dies will eine aktuelle EU-Initiative (Richtlinie 2002/58/EG) vorschreiben, online verfügbare Inhalte vom Email-Verkehr über Chat-Verläufe bis hin zum Cloud-Speicher automatisiert zu durchsuchen. Geheimdienste sollen weitere Hintertüren zu derartigen Diensten bekommen und einige US-Dienste machen das bereits. Sicher mag das sinnvoll sein, wo es um Kinderpornos u.ä. illegale Sauereien geht, aber wo sind die Grenzen? Wo kann ich als Bürger kontrollieren, ob unter dem Vorwand bestimmter gesellschaftlicher Interessen kein Schindluder mit eben diesen rechtlichen Regelungen getrieben wird?

Du hast nix zu verbergen

Im Normalfall wird das auch so sein. Aber du würdest sicher Zeter und Mordio schrieb, wenn deine Papier-Post einfach so von staatlichen Behörden mitgelesen würde oder eine Behörde im Hintergrund deine Fotos durchstöbern würde, nur weil es irgendwelche Idioten gibt, die das Medium Brief für Kriminelle Zwecke mißbrauchen. Im Falle digitaler Überwachung hättest du noch nicht einmal eine Chance, mitzubekommen, wann du überwacht wirst, da diese Überwachung weitgehend spurlos erfolgt.

So kannst du unschuldig in den Verdacht geraten, irgendetwas Ungesetzliches getan zu haben. Vielleicht schmuggelt dir aber auch jemand Material von Kindesmissbrauch in deine Cloud, allein um dich zu diskreditieren. Du glaubst nicht, dass so etwas passiert? Dann lass dir gesagt sein, dass das Alltagsarbeit der Geheimdienste ist. Was ist, wenn du dann beispielsweise ein Einreisevisum in die USA beantragen möchtest - das könnte zum Problem werden. Von möglicherweise auch hierzulande ins Haus stehen Social Scoring möchte ich da noch gar nicht reden.

Und mach dir klar, dass das alles nur der Anfang ist. All diese Technologien sind vorhanden und wenn ihre Anwendung erst einmal legal etabliert worden ist, ist es zu spät. Wird die EU-Richtlinie umgesetzt, werden alle Bürger anlasslos unter Verdacht gestellt, Straftaten zu begehen. Bestimmte Filter werden dann ohne Unterschiede nicht nur Email- und Chat-Verkehr überwachen, sondern auch in der Cloud abgelegte Dokumente scannen.

Verschlüsselung ist keine Dauerlösung

Klar, du kannst deine Daten verschlüsseln (und das solltest du auch). Verlässlich ist dies nicht, denn staatliche Stellen fordern immer vehementer Schnittstellen, die ihnen ermöglichen, Verschlüsselungsmechanismen auszuhebeln. Es gab sogar schon Bestrebungen, Verschlüsselung im privaten Bereich grundsätzlich zu untersagen.

Auch Apple, ein Unternehmen, dass zumindest in der Selbstdarstellung halbwegs erfolgreich Datenschutz einen sehr großen Wert beimisst, hat bei der Verschlüsslung z.B. von iPhone-Backups bereits staatlichem Druck nachgegeben und ihre Verschlüssleungstechnologie beschnitten (Exclusive: Apple dropped plan for encrypting backups after FBI complained - sources). Tatsache ist: Auch wenn die Backups End-zu-End-verschlüsselt sind, hat Apple (und wer auch immer) immer noch einen Nachschlüssel.

Raus aus externen Cloud-Lösungen

Im Grunde genommen solltest du dir mittelfristig Gedanken darüber machen, wie du aller Bequemlichkeiten zum Trotz die vollständige Kontrolle über deine Daten zurückbekommst.

Du brauchst dazu geeignete Hardware in Form eines Netzlaufwerks und eines Routers, der deine beteiligten Rechner miteinander vernetzt oder der einen Zugriff der Rechner auf das NAS zulässt. Alternativ bietet sich eigener Webspace an oder ein gemieteter Server im Netz, was dann zwar auch keine umfassende Sicherheit bietet, was aber zumindest unter deiner Kontrolle liegt.

Solltest du deine Cloud-Lösung nicht auf auf ein nur lokal erreichbares NAS beschränken wollen, vielleicht weil du deine Daten unterwegs brauchst und/oder weil der Zugriff auf das NAS von außen gar nicht oder nur unter Schwierigkeiten erreichbar ist, benötigst du über eine eine Server- oder Webspace-Lösung hinaus noch eine entsprechende Software, welche die Cloud-Funktionalität dieser Lösungen bereitstellt, hier kommt am Ehesten NextCloud in Frage.

Und du benötigst eine Software, die deine Daten an die beteiligten Rechner ausliefert, bzw. an das NAS übergibt. Du brauchst also ein Dokumentenverwaltungssystem, das diese Vernetzung außerhalb externer Cloud-Dienstleister möglich macht - und da führt bei macOS-Nutzern eigentlich kaum etwas an DEVONthink vorbei.

Grundregeln für macOS und iOS

Überlege dir, Backups deiner iOS-Geräte nicht mehr auf dem Apple-Server zu machen, sondern auf dein Gerät zurückzuholen. In den Systemeinstellungen von iOS musst du dazu die Option In iCloud-Backup sichern deaktivieren. Allerdings musst du dich dann um ein manuelles lokales Backup kümmern.

Ebenso solltest du dir gut überlegen, ob du die Möglichkeit, den Desktop und den Dokumente-Ordner deines macOS-Rechners wirklich in die Cloud verschieben musst. Aus meiner Sicht hat das ohnehin mehr Nach- als Vorteile und es ersetzt keine zu klein gekaufte Festplattenkapazität. Kauf bei zu knappem Speichervolumen lieber eine externe Festplatte.

Und wenn es dir bei der Verlagerung der Dokumente und des Desktops in die Cloud um das rechnerübergreifende Arbeiten geht, bietet gerade DEVONthink mit seinen Synchronisationsmöglichkeiten praxisgerechtere Optionen.

Grundregeln für DEVONthink

DEVONthink-Datenbanken kannst du rechnerübergreifend synchronisieren. Aber wenn der SyncStore dann ebenfalls in einer Cloud liegt, solltest du diesen SyncStore verschlüsseln.Damit kannst du auch über datenschutzrechtlich grundsätzlich zweifelhafte Cloud-Lösungen ohne Probleme synchronisieren, denn alle Dateien, die DEVONthink auf dem Server ablegt bzw. über den SyncStore laufen lässt, sind ohne den zugehörigen Schlüssel vollkommen nutzlos. Hier gibt es dann tatsächlich kein Hintertürchen für Dritte.

Auch die lokalen Datenbanken auf macOS-Rechnern (mit DEVONthink-to-Go geht das leider nicht) kannst du verschlüsseln. Einmal kannst du die Datenbanken von vornherein als verschlüsselte Datenbank anlegen und zum Anderen könntest du eine Datenbank auf ein z.B. mit FileVault verschlüsseltes Volume legen. Das lässt sich auch nachträglich machen, indem du die Inhalte einer nicht verschlüsselten Datenbank in eine (ggfs. neu angelegte) verschlüsselte Datenbank verschiebst.

Grundregeln für Backups

Backups sind zwingende Sicherheitsmaßnahmen, aber sie bieten auch eine sicherheitstechnische Schwachstelle, wenn sie nicht verschlüsselt sind. Aber auch deine Backups kannst du auf ein verschlüsseltes Volume machen, wenn die Backup-Software nicht selbst eine Verschlüsselung zulässt.

Bildquelle: Pexels