Dreamteam: Benutzer- und Filer- und Clouddienste

[gea]

Wir hatten heute eine Diskussion über unsere Serverdienste die rollenbasierte Benutzerverwaltung, sicheren Datenserver und externe Zugriffsoptionen aus dem Internet kombinieren. Ausgangspunkt waren Anforderungen (kleine Hochschule) an Datensicherheit, Datenschutz, einfachste Konfigurierbarkeit und vertretbare Kosten und vor allem tauglich für personenbezogene Daten.

Weggefallen sind früh alle Speicherorte außerhalb der EU (DSGVO, fehlende Kontrollmöglichkeit, geringe Transparenz, Zugriff ausländischer Dienste ohne Kontrolle). Auch normale Clouddienste selbst die in der EU, ja selbst F&L Dienste wie BW Sync & Share (Nextcloud) sind wegen fehlender Authorisierung/ Authentifizierung (Zugriff per Link=NoGo) weggefallen. Auch wird z.B. beim Landesdienst BW Sync & Share die Speicherung personenbezogener Daten ohnehin ausgeschlossen. Zudem erfordert die externe Speicherung personenbezogener Daten detaillierte Kontrolloptionen und einen Vertrag zur Auftragsdatenverarbeitung.

Klar ist also dass interne Speicherung unabdingbar ist. Datensicherheit/ Datenschutz nach Stand der Technik bedeutet Ramsomware sicher, unveränderliche Versionierung und Verschlüssellung der Daten und des Backups. Rollenbasierte Benutzerverwaltung, das macht üblicherweise Windows Active Directory. Auch der Storage Part ist für mich ganz klar. ZFS kann das perfekt, bietet neuerdings Verschlüssellung und die Solarish basierten ZFS Varianten haben eine perfeke Windows Integration mit ntfs artigen Rechten, Windows kompatible Gruppenverwaltung (Gruppen in Gruppen) und Unterstützung von Windows SID Identifiern (Rechte im AD Backup/Restore bleiben erhalten) und Windows vorherige Version. Außerdem macht ZFS unter Solaris bei Installation, Betrieb und Updates kaum Probleme. Mit Solaris und OmniOS auch mit kommerzieller Supportoption.

Probleme machte uns bisher der sichere externe Zugriff aus dem Internet über sftp, ftps und https. Wir haben lange gesucht, bis wir uns jetzt abschließend für die Lösung Titan sftps Server entschieden haben.

Der externe Zugriff auf den Titan Server (Windows) erfolgt wahlweise über sicheres ftp oder https. Nach Anmeldung mit einem AD Account bekommt der Benutzer Ordner gezeigt. Das kann sein Homeverzeichnis sein oder aber gemeinsame Ordner auf dem ZFS Filer und das abhängig von der AD Gruppe des Benutzers oder gar des Benutzers selber. Windows Rechte werden transparent durchgereicht. Ordner für die der Benutzer keine Rechte hat, werden ausgeblendet. Webzugang über https bietet direktes Upload/ Download im Browser so wie bei Cloudlösungen üblich - genial gut gelöst. Einen Zugang per email-Link gibt es nicht aber das wäre auch das Aus für die Lösung gewesen. (keine Authentifizierung)

Kosten unseres Storage Dreamteams:
- Windows Server (je nach Useranzahl)
- ZFS Storage (je nach Kapazität)
- Titan SFTP (ca 1100 Euro + 500 Euro/Jahr + Windows Lizenz).
Titan mit https ca 2000 Euro

 

[VirtuGuy]

Ich vermute mal Ihr habt noch weitere Maßnahmen oder zumindestens 2FA für den externen Zugang? Externer Zugang nur über User/Kennwort ist im Fall der Fälle nicht mit der "Stand der Technik" Klausel in der DSGVO vereinbar.

Die anonyme (und deaktivierbare) Re-Share Funktion in Nextcloud ist übrigens aus DSGVO Sicht praktisch mit Email, Wechseldatenträger o.ä. gleichgesetzt. Wenn derartige Optionen ein Problem darstellen, müsstet Ihr dringenst noch weitere Maßnahmen treffen die über simple ACL hinausgehen.

 

[gea]

Es gibt sicher Fälle wo 2 Faktor Authentifizierung notwendig ist und Stand der Technik, z.B. Kreditkartenkauf mit SMS oder Banktransaktionen. Auch Datenaustausch von Medizindaten würde ich dazu zählen.

Hier geht es um den externen Zugriff auf interne Datenserver für Projektdaten bei denen nicht ausgeschlossen werden soll dass die auch Personenbezug haben jedoch ohne besonderen Schutzbedarf. Da sehe ich Name + Passwort bei entsprechenden Passwortrichtlinien auf einer Stufe mit z.B. externem Abruf der Mailbox wo Mails mit ähnlichen Daten per Name+Passwort abgerufen werden. Da ist das nach meiner Auffassung nach wie vor Stand der Technik.

Zugriff auf personenbezogene Daten per einfachem Link ist aber keineswegs gleichzusetzen mit Wechselplatten. Da wird physischer Zugriff vorausgesetzt und die Wechselplatte sollte verschlüsselt sein. Ein Link im falschen Mailverteiler oder Empfänger und der meldepflichtige Datenschutzvorfall ist da.

Hinzu kommt, dass der Leiter einer Einrichtung wie Hochschule oder Firma verantwortlich ist. Die Entscheidung ob Zugriff auf Daten der Einrichtung per anonymen Cloudlink geht, darf nicht beim einzelnen Benutzer liegen sondern muss zentral geregelt werden.

 

[VirtuGuy]

Es gibt sicher Fälle wo 2 Faktor Authentifizierung notwendig ist und Stand der Technik, z.B. Kreditkartenkauf mit SMS oder Banktransaktionen. Auch Datenaustausch von Medizindaten würde ich dazu zählen.

Zugriff auf personenbezogene Daten per einfachem Link ist aber keineswegs gleichzusetzen mit Wechselplatten. Da wird physischer Zugriff vorausgesetzt und die Wechselplatte sollte verschlüsselt sein. Ein Link im falschen Mailverteiler oder Empfänger und der meldepflichtige Datenschutzvorfall ist da.

Euer Ansatz entspricht im Grunde noch dem alten BDSG und ist ja nicht gänzlich verkehrt. Gerade weil eurer kompletter(?) Fileserver darüber zugänglich ist, sehe ich im Fall der Fälle keine Chance dabei ungeschoren herauszukommen. In dem Moment wo ich an User/Pass herankomme (z.B. weil ein Mitarbeiter die selben Kennwörter privat verwendet), sind die Daten anonym und von extern zugänglich. Aus DSGVO Sicht ist dies ohne weitere Maßnahmen nur schwer mit der "Stand der Technik" Klausel vereinbar. Bei MFA wird gerne auf die vermeintlichen Kosten verwiesen und viele Firmen berufen sich auf die entsprechenden Ausnahmen in der Verordnung. In eurem Fall habt Ihr aber schon die "teure" Lösung auf AD Basis und z.B. die Nutzung des AD Computer Accounts als zweiten Faktor wäre mit vertretbaren Mehrkosten möglich.

Sofern Ihr keine gesonderten Maßnahmen trefft, gibt es aus DSGVO Sicht kaum Unterschiede zwischen Re-Share, Email, USB Sticks usw. Am Ende handelt es sich um Transportmedien die unterschiedliche Maßnahmen und Risikobetrachtungen erfordern.
In diversen Lösungen wie Nextcloud kann ich das anonyme Sharing gänzlich unterbinden oder sehr granular steuern (nur bei verschlüsselten Daten, Dateigröße,..). Es ist auch ohne großen Aufwand möglich ersichtlich welche Daten wer, wann und wie verbreitet wurden. Es gibt auch für Wechseldatenträger vergleichbare Technologien, die meisten Unternehmen unterbinden nicht mal die Nutzung von unverschlüsselten/fremden Datenträgern. Ein verlorener Stick und der meldepflichtige Datenschutzvorfall ist da. Könntet Ihr in so einem Fall nachweisen welche Datenbestände betroffen waren?

 

[gea]

Es geht hier um den externen Zugriff auf je nach Benutzergrupper oder Benutzer festlegbare Ordner auf den verschiedenen internen Dateifilern unter Beachtung der gesetzten Windows ACL. USB Sticks oder externen Platten ist ein extra Themen genauso wie mögliches Fehlverhalten der Nutzer.

Authorisierung und Authentifizierung ist das Minimum kein optionales Verhalten wie bei üblichen Cloudlösungen und darf auch nicht vom einzelnen Benutzer entschieden werden. Auch das Beachten der gesetzten rollenbasierten ACL ist ein Muss. Eine zweite Authentifizierungsebene z.B. via Smartphone, eToken oder AD Computer Account ist eine zusätzliche Sicherheit um die man vermutlich irgendwann nicht herumkommt. Übliche Cloudlösungen liegen sicherheitstechnisch jedoch unter der angestrebten Lösung.

Es wird eh so sein, dass für unterschiedliche Abläufe Verfahrensverzeichnisse erstellt und mit dem Datenschutzbeauftragten abgestimmt werden müssen. Da entscheidet sich dann ob und wann eine zusätzliche 2 Faktor Authentifizierung notwendig wird.