Software-as-a-Service (SaaS) bietet zahlreiche Vorteile (SaaS) oder auch als cloudbasierte Softwareprodukte bezeichnet. Als Kunde erhalten Sie Zugang zu einer schnellen, stabilen, innovativen und kosteneffizienten Technologie- und Anwendungsinfrastruktur. Viele Unternehmen erkennen diese Vorteile an. Deshalb hat sich SaaS in vielen Bereichen zum bevorzugten Bereitstellungsmodell entwickelt. Doch wie wir alle wissen, hat die Medaille meist auch eine Kehrseite, die es zu berücksichtigen gilt.
TL;DRBei SaaS-Lösungen teilen sich Anbieter und Kunde die Verantwortung für die Datensicherheit, weshalb es von entscheidender Bedeutung ist, die Sicherheitspraktiken eines Anbieters vor Vertragsabschluss zu prüfen. Im Gegensatz zu lokalen Installationen, bei denen Sie die volle Kontrolle haben, werden Ihre sensiblen Finanzdaten bei cloudbasierter Software in der Infrastruktur Ihres Anbieters gespeichert, weshalb eine sorgfältige Prüfung der Sicherheitsvorkehrungen des Anbieters unerlässlich ist.
Wenn es um SaaS geht, könnten die Umstände im Zusammenhang mit der Datensicherheit durchaus diese Kehrseite darstellen, weshalb es sehr wichtig ist, diesen Aspekt zu untersuchen.
Die Frage lautet: „Haben Sie gründliche Vorarbeiten geleistet, wenn es darum geht, den Ansatz Ihrer SaaS-Anbieter in Bezug auf Datensicherheit zu bewerten?“
Cloud oder vor Ort?
Die meisten von Ihnen wissen wahrscheinlich bereits, was die Begriffe „Cloud“ und „On-Premise“ jeweils bedeuten. Um Ihnen jedoch einen besseren Überblick zu verschaffen, möchte ich kurz die Unterschiede zwischen den beiden Bereitstellungsmodellen skizzieren. Bei einem cloudbasierten Ansatz werden Software und Daten extern bereitgestellt. Im Gegensatz dazu wird bei „On-Premise“ die gesamte Infrastruktur mit Hardware und Servern, die zum Ausführen von Anwendungen und zum Speichern von Daten benötigt wird, von Ihnen selbst untergebracht – daher auch der Name „On-Premise“. Der Hauptvorteil des Cloud-Ansatzes besteht darin, dass er flexibler und kosteneffizienter ist. Als Unternehmen müssen Sie nicht in die Hardware oder Software investieren, die für den Betrieb der Anwendungen erforderlich ist. Außerdem müssen Sie sich keine Gedanken über die Wartung und Updates der jeweiligen Softwareprodukte machen. Allerdings verzichten Sie bei diesem Ansatz auf die Möglichkeit, die volle Kontrolle über die Datensicherheit zu behalten.
Wenn es um SaaS geht, teilen Sie und Ihr Anbieter sich die Verantwortung für die Datensicherheit – der Anbieter kümmert sich um alles, was die zugrunde liegende Infrastruktur betrifft, und Sie sind für die ordnungsgemäße, sichere und verantwortungsvolle Nutzung des Produkts verantwortlich.
Die Frage lautet: „Können Sie darauf vertrauen, dass Ihr SaaS-Anbieter seinen Teil der Arbeit ernst nimmt?“
Was Sie beachten müssen
Ich habe drei Tipps für Sie parat, wenn es um Sicherheit und SaaS-Lösungen geht. Diese sind sowohl relevant, wenn Sie auf der Suche nach neuer Software sind und den Markt analysieren, als auch, wenn Sie eine Überprüfung Ihrer bestehenden Anbieter in Betracht ziehen. Das ist übrigens von Zeit zu Zeit durchaus empfehlenswert.
Na gut, los geht’s:
1. Wählen Sie Ihre SaaS-Anbieter sorgfältig aus
Der erste Tipp ist meiner Meinung nach der wichtigste. Es geht um Vertrauen.
Das Angebot an SaaS-basierten Lösungen ist riesig. Sie haben zahlreiche Möglichkeiten. In unserem Fachgebiet beispielsweise, Spesenmanagement sowie Lösungen für die Verwaltung von Reisekosten… heutzutage gibt es eine Vielzahl von Optionen zur Auswahl. Tatsache ist, dass ein großer Teil der Verantwortung für die Datensicherheit beim Softwareanbieter liegt; daher sollten Sie bei der Auswahl Ihres Partners sorgfältig vorgehen.
Sie sollten nach Anbietern Ausschau halten, deren Lösung eine solide Kontrolle über Benutzerrechte und den Datenzugriff bietet; wenn möglich, ist es zudem von Vorteil, wenn der Anbieter Datenverschlüsselung anbietet. Es ist außerdem wichtig, dass Sie nachfragen, wo und wie die Daten gespeichert werden. Werden die Daten im Inland, in der EU, außerhalb der EU oder irgendwo in einem Keller aufbewahrt? Wie sieht die Serverkonfiguration aus und wie ist die Sicherheit in diesem Zusammenhang gewährleistet?
Außerdem sollten Sie sich darüber informieren, wie der Prozess der Datensicherung und -wiederherstellung abläuft.
Denken Sie auch daran, dass es für einen SaaS-Anbieter nicht kostenlos ist, ein robustes Sicherheitskonzept mit gut dokumentierten Prozessen aufzubauen und aufrechtzuerhalten. Daher rate ich Ihnen, es sich gut zu überlegen, bevor Sie sich für die günstigste Lösung auf Ihrer Auswahlliste entscheiden – auf lange Sicht kann sich das als kostspielige Angelegenheit erweisen!
2. Regeln für die Nutzung cloudbasierter Anwendungen festlegen
Dieser Tipp bezieht sich auf Ihren Aufgabenbereich – mit anderen Worten: Es geht um die angemessene und sichere Nutzung der SaaS-Produkte. Sie müssen klare Richtlinien und Regeln für die Nutzung cloudbasierter Software formulieren und umsetzen.
Im Idealfall muss diese Richtlinie sowohl die Nutzer als auch die Entscheidungsträger ansprechen, die Software anschaffen. Es muss sich um ein Regelwerk handeln, das festlegt, welchen Mitarbeitergruppen Zugriff auf die jeweiligen Tools gewährt wird und welche Zugriffsebenen den verschiedenen Mitarbeitern eingeräumt werden sollen. Außerdem muss darin festgelegt werden, wie auf die Produkte zugegriffen werden kann – d. h. über welche Geräte.
Außerdem sollte eine solche Richtlinie mit den Maßnahmen Ihres Unternehmens verknüpft sein, mit denen die Mitarbeiter im Hinblick auf den Umgang mit internetbasierten Softwarelösungen geschult werden. Wie können die Mitarbeiter beispielsweise sich selbst, ihre Identität, ihre Benutzernamen und Passwörter bestmöglich schützen?
3. Überlegen Sie, ob Sie ein separates Tool zum Schutz Ihrer SaaS-Daten benötigen
Vielleicht nutzen Sie bereits SaaS-Produkte verschiedener renommierter Anbieter mit strengen Sicherheitsmaßnahmen. Gleichzeitig ist Ihre Anwendungslandschaft jedoch möglicherweise so komplex geworden, dass es nun sinnvoll ist, in eine eigene Sicherheitsebene zu investieren.
Dieser Tipp steht natürlich in engem Zusammenhang mit Tipp Nummer 2, denn es gibt Lösungen auf dem Markt, die Ihnen helfen, Ihren Teil der Sicherheitsaufgaben zu bewältigen. Es ist jedoch ratsam, zunächst ein Rahmenwerk mit Regeln und Richtlinien (gemäß Tipp Nummer 2) zu etablieren, bevor Sie nach einem Tool suchen, mit dem Sie diese durchsetzen können. Sicherheitsverletzungen können auf viele verschiedene Arten auftreten, zum Beispiel durch unsachgemäße Weitergabe von Daten, Diebstahl (z. B. wenn Mitarbeiter Daten stehlen), kompromittierte Benutzerkonten aufgrund schwacher Passwörter, übermäßige Benutzerberechtigungen usw. Mit solchen Sicherheitsverletzungen müssen Sie sich auseinandersetzen.
Der Punkt ist: Wenn Sie Regeln für die Nutzung der cloudbasierten Tools Ihres Unternehmens festlegen, müssen Sie auch sicherstellen, dass Ihre Mitarbeiter diese Regeln einhalten. Und das kann eine Herausforderung sein, wenn die Landschaft groß und komplex geworden ist. Es gibt eine ganze Reihe von Lösungen, die Sie dabei unterstützen, und für den Anfang können Sie sich einmal ansehen, was einige der großen Anbieter wie McAfee und RSI, zu bieten hat.
Eine gemeinsame Verantwortung
Wie ich bereits weiter oben in diesem Blogbeitrag angedeutet habe, tragen Sie und Ihr Anbieter bei SaaS-Lösungen gemeinsam die Verantwortung für die Datensicherheit. Meiner Meinung nach ist es wichtig, dies im Hinterkopf zu behalten. Und genau darauf ziele ich mit diesen drei Tipps ab. Denn ganz gleich, wie sorgfältig Ihr eigenes Unternehmen in Sachen SaaS-Sicherheit vorgeht – es nützt nichts, wenn Sie sich für einen Anbieter entschieden haben, der seinen Teil der Aufgabe nicht erfüllt. Und umgekehrt gilt das natürlich auch.
Mein Unternehmen, Acubiz, ist ein etablierter Anbieter von cloudbasierter Software zur Verwaltung von Mitarbeiter- und Reisekosten. Wir nehmen unseren Teil der Arbeit im Bereich der Datensicherheit sehr ernst. Sehr, sehr ernst sogar. Dies ist ein wichtiger Bestandteil unserer Produktstrategie, denn wir sind davon überzeugt, dass ein solides Datensicherheitskonzept dazu dient, die Investitionen zu schützen, die unsere Kunden in unseren Service getätigt haben.
Denken Sie daran: Sie dürfen Anforderungen an Ihre Lieferanten stellen. So sollte es in einer vertrauensvollen Beziehung auch sein.
Die Frage lautet: „Vertrauen Sie Ihren derzeitigen SaaS-Anbietern?“
Häufig gestellte Fragen
Wer ist bei der Nutzung einer SaaS-Lösung für die Datensicherheit verantwortlich?
Bei SaaS ist die Verantwortung für die Sicherheit aufgeteilt. Der Anbieter ist für die zugrunde liegende Infrastruktur, die Server und die Sicherheit der Plattform verantwortlich. Der Kunde ist dafür verantwortlich, wie die Software genutzt wird: Zugriffskontrollen, Benutzerverwaltung und sichere Betriebsabläufe. Es ist entscheidend, diese Aufteilung zu verstehen, bevor man sich für eine cloudbasierte Software entscheidet.
Was ist der Unterschied zwischen cloudbasierter und lokal installierter Software in Bezug auf die Datensicherheit?
Bei On-Premise-Software besitzt und verwaltet Ihr Unternehmen die gesamte Hardware, die Server und den Datenspeicher selbst. Cloud-basierte Software wird vom Anbieter gehostet, wodurch Sie zwar weniger direkte Kontrolle über die Sicherheit haben, dafür aber mehr Flexibilität und geringere Infrastrukturkosten genießen. Der Nachteil dabei ist, dass Sie darauf vertrauen müssen, dass Ihr Anbieter die Infrastruktur in Ihrem Auftrag schützt.
Was sollten Sie bei der Bewertung der Datensicherheit eines SaaS-Anbieters prüfen?
Zu den wichtigsten zu prüfenden Bereichen gehören die Sicherheitszertifizierungen des Anbieters, die Speicherorte der Daten, die Verschlüsselungsstandards, die Verfahren zur Reaktion auf Sicherheitsvorfälle sowie die bisherige Erfolgsbilanz. Sie sollten außerdem die Datenverarbeitungsvereinbarungen des Anbieters prüfen und sich vergewissern, dass diese den einschlägigen Vorschriften wie der DSGVO entsprechen.
Sind cloudbasierte Finanzlösungen für sensible Unternehmensdaten tatsächlich sicher?
Seriöse SaaS-Anbieter investieren massiv in Sicherheit, da diese für ihr Geschäft von zentraler Bedeutung ist. Die Frage ist nicht, ob die Cloud von Natur aus weniger sicher ist als eine Vor-Ort-Lösung, sondern ob Ihr konkreter Anbieter seine Sicherheitsverantwortung ernst nimmt. Um dies herauszufinden, sollten Sie die richtigen Fragen stellen und die Zertifizierungen überprüfen.
