openPR bei Google bevorzugen.(openPR) Der Markt für IT-Sicherheitsprodukte ist fest in amerikanischer Hand. HP, Trustwave, Symantec, Verizon, Qualys und viele mehr haben ihren Hauptsitz in den USA. Von dort aus betreuen sie tausende Kunden - auch in Europa.
Aber seit Edward Snowdens Enthüllungen fragen sich europäische Unternehmen vermehrt, welche ihrer Interna in welcher Form in den USA verarbeitet werden, zum Beispiel wenn sie vertrauensvoll Daten durch IT-Sicherheitssoftware „made in the USA“ analysieren lassen.
Die Grundlage eines IT-Sicherheitsprodukts ist unter anderem eine umfangreiche Analyse der IT-Infrastruktur des Nutzers und die Sammlung von sicherheitsrelevanten Ereignissen und Informationen. Bereits bei einem mittelständischen Unternehmen können so am Tag mehrere tausend Ereignisse registriert werden. Die Analyse dieser Daten und das Aussortieren von wichtigen Vorfällen sowie die Einleitung notwendiger Behebungsmaßnahmen obliegen dann dem Nutzer selbst. Da dazu jedoch viele hochspezialisierte, interne Ressourcen benötigt werden, bieten „Sicherheitsunternehmen“ aus den USA an, diese Daten durch ihre Spezialisten zu analysieren. Dazu müssen die zur Analyse notwendigen Daten vom Kundenunternehmen in die Zentralen der Sicherheitsunternehmen übertragen werden. „So gelangen sicherheitsrelevante Daten von Unternehmen täglich millionenfach in fremden Besitz, ja in ein fremdes Land. Was dann dort damit passiert, wissen wir letzten Endes nicht. Elektronische Daten haben die Eigenschaft, dass sie auf unbestimmte Zeit gespeichert und vom Besitzer weiterverwendet werden können“ warnt Christian Polster, Chief Strategy Officer von RadarServices IT-Security in Wien.
„Unseren Kunden ist dieses Problem bewusst. Deshalb ist es ihnen ein besonderes Anliegen, dass wir ein Unternehmen mit 100% europäischen Wurzeln sind. Aber nicht nur das. Wir teilen die Bedenken unserer Kunden hinsichtlich des Transfers von sicherheitsrelevanten Daten, sodass wir eine Lösung entwickelt haben, bei der die von uns zur Überprüfung der IT-Sicherheit benötigten Daten nie physisch das Unternehmen unseres Kunden verlassen. Sie kommen nie in unseren Besitz, wir speichern sie nicht und können sie damit auch nicht weiterverwenden“ so Polster weiter.
BusinessWeek (G. Ratnam & T. Capaccio, 11.1.13) als auch Guardian (G. Greenwald, 28.1.13) haben im Januar 2013 auf die engen Verbindungen zwischen amerikanischen IT-Sicherheitsanbietern und US-Behörden hingewiesen. Einige führende Personen aus der Branche schwärmen auf Nachfrage der Autoren geradezu von dieser engen Kollaboration der Privatwirtschaft mit den staatlichen Behörden wie der NSA, andere verbleiben mit „no comment“. Institutionalisiert ist die Zusammenarbeit ganz offiziell unter anderem in der „Intelligence and National Security Alliance“ bei der der „gegenseitige Informationsaustausch“ aller Beteiligten als ein wichtiges Ziel genannt wird. Zudem ist es laut ZDF Recherche (Frontal 21, 30.7.13) gang und gebe, dass an zentralen Internetknoten in Deutschland Daten angezapft werden. Hier hebelt US-Recht deutsches Datenschutzrecht aus, da der Betreiber des Datenknotens ein US-Unternehmen ist, über dessen Kabel mehr als die Hälfte des weltweiten Datenverkehrs läuft.
„Wenn amerikanische IT-Sicherheitsprodukte in europäischen Unternehmen eingesetzt werden und gleichzeitig eine durch öffentliche Quellen begründete Vermutung besteht, dass es ein weitreichendes Informationsnetz von Privatwirtschaft und Behörden wie der NSA geben könnte, bereitet uns das aus europäischer Sicht große Sorgen. Es gibt für Nutzer keine Möglichkeit herauszufinden, was mit Daten passiert, sobald sie einmal ihr Unternehmen und zudem unseren Kontinent verlassen haben. Ob das strenge deutsche Datenschutzrecht gilt und auch angewendet wird, ist im Einzelfall zu beurteilen. Wir können diese Tatsachen nur bewusst machen, zuständige Information-Security-Verantwortliche in Unternehmen sensibilisieren und darauf hinweisen, dass es alternative IT-Sicherheitslösungen wie unsere in Europa gibt, bei deren Einsatz Daten dort bleiben, wo sie hingehören - im Unternehmen des Kunden, für den wir IT-Sicherheitsleistungen erbringen“ so Polster abschließend.
