Glossar: Cloud-, Sicherheits- und Compliance-Begriffe

Auftragsverarbeitungsvertrag (AVV)

Ein Auftragsverarbeitungsvertrag (AVV) regelt nach Artikel 28 DSGVO, wie ein Dienstleister personenbezogene Daten im Auftrag eines Unternehmens verarbeitet.

Authentifizierung

Authentifizierung ist der Nachweis, dass ein Nutzer, ein Gerät oder ein Dienst tatsächlich derjenige ist, für den er sich ausgibt. Sie ist die Grundlage jeder Zugriffskontrolle.

Der BSI C5 (Cloud Computing Compliance Criteria Catalogue) ist ein Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik, der Mindestanforderungen an sichere Cloud-Dienste definiert. Anbieter weisen die Erfüllung durch ein Testat nach.

Business-Cloud-Speicher

Business-Cloud-Speicher ist Cloud-Speicher für Unternehmen: Dateien liegen zentral auf den Servern eines Anbieters, Zugriffsrechte werden pro Team vergeben, ein Audit-Log macht Zugriffe nachvollziehbar und ein AVV regelt die Verarbeitung.

CIS (Center for Internet Security)

Das Center for Internet Security (CIS) ist eine gemeinnützige Organisation, die mit den CIS Controls und CIS Benchmarks anerkannte Standards für IT-Sicherheit bereitstellt.

Compliance

Compliance bezeichnet die Einhaltung gesetzlicher, regulatorischer und interner Vorgaben. In der Cloud betrifft sie vor allem Datenschutz, Informationssicherheit und Nachweispflichten.

Datenschutz

Datenschutz umfasst alle Regeln und Maßnahmen, die personenbezogene Daten vor Missbrauch schützen und das Recht auf informationelle Selbstbestimmung wahren.

Datensicherheit

Datensicherheit umfasst alle technischen und organisatorischen Maßnahmen, die Daten vor Verlust, Manipulation und unbefugtem Zugriff schützen.

Datensouveränität

Datensouveränität bezeichnet die vollständige Kontrolle einer Organisation über ihre Daten: wo sie gespeichert werden, wer darauf zugreifen kann und welchem Recht sie unterliegen.

Datenverschlüsselung

Datenverschlüsselung wandelt Daten mit einem Schlüssel in eine unlesbare Form um, sodass nur Befugte mit dem passenden Schlüssel sie wieder lesen können.

Digitale Signatur

Eine digitale Signatur ist das kryptografische Verfahren, das elektronische Signaturen technisch absichert: mit Schlüsselpaaren werden Echtheit und Unversehrtheit eines Dokuments nachgewiesen.

Digitale Souveränität

Digitale Souveränität ist die Fähigkeit von Staaten, Organisationen und Einzelnen, in der digitalen Welt selbstbestimmt zu handeln, ohne Abhängigkeit von Anbietern aus Drittstaaten.

Dokumentenkollaboration

Dokumentenkollaboration bezeichnet das gemeinsame Bearbeiten von Dokumenten durch mehrere Personen, idealerweise direkt im Browser und ohne lokale Programme.

DORA

DORA (Digital Operational Resilience Act) ist eine EU-Verordnung, die von Finanzunternehmen und ihren IKT-Dienstleistern digitale operationale Resilienz verlangt. Sie gilt seit dem 17. Januar 2025.

DSGVO

Die Datenschutz-Grundverordnung (DSGVO) ist das EU-weite Gesetz zum Schutz personenbezogener Daten. Sie regelt seit dem 25. Mai 2018, wie Unternehmen personenbezogene Daten erheben, speichern und verarbeiten dürfen.

DSGVO-Cloud

Eine DSGVO-Cloud ist ein Cloud-Dienst, der die Anforderungen der Datenschutz-Grundverordnung erfüllt und personenbezogene Daten rechtskonform verarbeitet.

Echtzeit-Zusammenarbeit

Echtzeit-Zusammenarbeit bezeichnet das gleichzeitige Bearbeiten eines Dokuments durch mehrere Personen, deren Änderungen sofort für alle sichtbar werden.

eIDAS-Verordnung

Die eIDAS-Verordnung ist der EU-Rechtsrahmen für elektronische Identifizierung und Vertrauensdienste, einschließlich elektronischer Signaturen.

Elektronische Signatur

Eine elektronische Signatur ist ein digitales Verfahren, um Dokumente rechtswirksam zu unterzeichnen. Die eIDAS-Verordnung unterscheidet drei Stufen: einfache, fortgeschrittene und qualifizierte Signatur.

E-Mail-Verschlüsselung

E-Mail-Verschlüsselung schützt den Inhalt und teils die Metadaten von E-Mails, sodass nur befugte Empfänger sie lesen können.

Ende-zu-Ende-Verschlüsselung

Bei der Ende-zu-Ende-Verschlüsselung werden Daten so verschlüsselt, dass ausschließlich Sender und vorgesehene Empfänger sie lesen können. Selbst der Anbieter hat keinen Zugriff auf die Inhalte.

Enterprise File Sync and Share (EFSS)

Enterprise File Sync and Share (EFSS) bezeichnet Unternehmenslösungen, mit denen Mitarbeitende Dateien geräteübergreifend synchronisieren und sicher teilen.

Große Dateien versenden

Große Dateien versenden bezeichnet die Übertragung von Dateien, die die Größenlimits von E-Mails überschreiten, idealerweise verschlüsselt und über kontrollierte Freigaben.

Identity and Access Management (IAM)

Identity and Access Management (IAM) umfasst Prozesse und Technologien, mit denen Unternehmen digitale Identitäten verwalten und den Zugriff auf Systeme und Daten steuern.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für Informationssicherheits-Managementsysteme (ISMS). Er definiert Anforderungen an den systematischen Schutz von Informationen; die Erfüllung wird durch eine Zertifizierung nachgewiesen.

IT-Security made in Germany

IT-Security made in Germany ist ein Vertrauenszeichen des Verbands TeleTrusT für Anbieter, deren IT-Sicherheitslösungen in Deutschland entwickelt und betrieben werden.

KRITIS

KRITIS steht für kritische Infrastrukturen, also Einrichtungen mit besonderer Bedeutung für das Gemeinwesen. Ihre Betreiber unterliegen in Deutschland erhöhten Pflichten zur IT-Sicherheit.

Least-Privilege-Prinzip

Das Least-Privilege-Prinzip besagt, dass jede Person und jedes System nur die minimal notwendigen Zugriffsrechte erhalten sollte.

Managed File Transfer (MFT)

Managed File Transfer (MFT) bezeichnet den zentral verwalteten, automatisierten und abgesicherten Austausch von Dateien zwischen Systemen, Anwendungen und Partnern.

Model Context Protocol (MCP)

Das Model Context Protocol (MCP) ist ein offener Standard, über den KI-Anwendungen wie Sprachmodelle sicher und strukturiert auf externe Datenquellen, Werkzeuge und Dienste zugreifen. Anthropic veröffentlichte MCP im November 2024.

Multi-Faktor-Authentifizierung (MFA)

Multi-Faktor-Authentifizierung (MFA) sichert die Anmeldung durch mindestens zwei unabhängige Faktoren ab, etwa Passwort plus Einmalcode, statt nur durch ein Passwort.

NIS-2-Richtlinie

Die NIS-2-Richtlinie ist eine EU-Richtlinie zur Erhöhung der Cybersicherheit. Sie verpflichtet Einrichtungen in wichtigen und besonders wichtigen Sektoren zu Risikomanagement, Meldepflichten und technischen Sicherheitsmaßnahmen.

Passwortlose Authentifizierung

Passwortlose Authentifizierung ersetzt Passwörter durch sicherere Verfahren wie Passkeys, biometrische Merkmale oder Hardware-Token.

Privileged Access Management (PAM)

Privileged Access Management (PAM) umfasst Verfahren und Werkzeuge, um privilegierte Konten mit weitreichenden Rechten besonders abzusichern und zu überwachen.

Qualifizierte elektronische Signatur (QES)

Die qualifizierte elektronische Signatur (QES) ist die höchste Stufe der elektronischen Signatur nach eIDAS und der handschriftlichen Unterschrift rechtlich gleichgestellt.

Retrieval-Augmented Generation (RAG)

Retrieval-Augmented Generation (RAG) ist ein Verfahren, bei dem ein Sprachmodell vor der Antwort relevante Informationen aus einer externen Wissensquelle abruft und in die Antwort einbezieht.

Rollenbasierte Zugriffskontrolle (RBAC)

Rollenbasierte Zugriffskontrolle (RBAC) vergibt Zugriffsrechte anhand von Rollen statt einzeln pro Person, was Berechtigungen übersichtlich und nachvollziehbar macht.

Sicherer Dateiaustausch

Sicherer Dateiaustausch bezeichnet das geschützte Teilen von Dateien mit internen und externen Partnern, verschlüsselt und mit kontrollierten Zugriffsrechten.

Sicherer Datenaustausch

Sicherer Datenaustausch bezeichnet die geschützte Übermittlung von Daten und Dokumenten zwischen internen und externen Partnern, verschlüsselt, kontrolliert und nachvollziehbar.

Single Sign-on (SSO)

Single Sign-on (SSO) erlaubt es, sich einmal anzumelden und danach ohne erneute Anmeldung auf mehrere Anwendungen zuzugreifen.

Souveräne Cloud

Eine souveräne Cloud ist ein Cloud-Dienst, bei dem Daten, Betrieb und Kontrolle vollständig im eigenen Rechtsraum bleiben, unabhängig von Anbietern aus Drittstaaten.

Souveräne KI

Souveräne KI bezeichnet den Einsatz künstlicher Intelligenz unter voller Kontrolle über Daten, Modelle und Infrastruktur, unabhängig von Anbietern aus Drittstaaten und im Einklang mit europäischem Recht.

TISAX

TISAX (Trusted Information Security Assessment Exchange) ist ein Prüf- und Austauschstandard für Informationssicherheit in der Automobilindustrie.

Trusted Cloud

Trusted Cloud ist eine Initiative des Bundesministeriums für Wirtschaft und Klimaschutz (BMWK) und ein Label, das vertrauenswürdige, transparente Cloud-Dienste auszeichnet.

US CLOUD Act

Der US CLOUD Act ist ein US-Gesetz von 2018, das US-Behörden Zugriff auf Daten von US-Unternehmen ermöglicht, unabhängig davon, wo diese Daten weltweit gespeichert sind.

Versionierung

Versionierung hält frühere Stände einer Datei fest, sodass Änderungen nachvollziehbar sind und sich ältere Versionen wiederherstellen lassen.

Virtueller Datenraum (VDR)

Ein virtueller Datenraum (VDR) ist eine gesicherte Online-Umgebung, in der Unternehmen sensible Dokumente kontrolliert bereitstellen und mit ausgewählten Partnern teilen.

Zero Trust

Zero Trust ist ein Sicherheitsmodell, das keinem Nutzer und keinem Gerät automatisch vertraut. Jeder Zugriff wird überprüft, unabhängig davon, ob er aus dem internen Netz oder von außen kommt.

Zugriffskontrolle

Zugriffskontrolle regelt, wer auf welche Daten und Systeme zugreifen darf. Sie stellt sicher, dass Nutzer nur die Rechte erhalten, die sie für ihre Aufgabe benötigen.

Glossar