Compliance

Verstärkung des europäischen Portfolios für Datensouveränität mit Assured Workloads for EU

Fri, 18 Mar 2022 06:00:00 +0000

Sowohl öffentliche als auch private Organisationen in Europa verlagern ihre Betriebsprozesse und Daten zunehmend in die Cloud. Dabei müssen sie darauf vertrauen können, dass ihre Anforderungen bezüglich Sicherheit, Datenschutz und digitaler Souveränität erfüllt werden. Dazu gehört, dass Daten in einer bestimmten europäischen Region gespeichert werden, der Support durch EU-Personal sichergestellt ist und die Möglichkeit besteht, den administrativen Zugriff auf Kundendaten und Schlüssel zu kontrollieren, die zum Schutz der Daten verwendet werden.

Um Google Cloud-Kunden dabei zu unterstützen, diesen Anforderungen gerecht zu werden, ist Assured Workloads for EU nun allgemein verfügbar. Wie bereits in unserem einführenden Blogpost beschrieben, ermöglicht Assured Workloads for EU unseren GCP-Kunden die Initiierung und den Betrieb von Workloads mit folgenden Merkmalen:

die Datenspeicherung in einer Google Cloud EU-Region ihrer Wahl

die Beschränkung des Zugriffs durch Mitarbeiter*innen und des Kundensupports in EU-Mitgliedsstaaten

die kryptographische Kontrolle über den Datenzugriff, einschließlich kundenseitig verwalteter Schlüssel

Sehen wir uns genauer an, wie Cloud-Workloads mit diesen Kontrollfunktionen in der Google Cloud Console konfiguriert werden:

Assured Workloads for EU konfigurieren

Assured Workloads setzt auf der Ordnerebene einer Organisation an und ermöglicht dort die Anwendung bestimmter Kontrollfunktionen und ihre selektive Durchsetzung bei Cloud-Workloads mit Souveränitätsanforderungen. Der erste Schritt zur Erstellung eines Assured Workload-Ordners ist die Bestimmung des Datenspeicherorts:

Nach Auswahl der Option „EU” haben Sie zwei Optionen zur Kontrolle von Assured Workloads:

„Regionen und Support in der EU”: Mit dieser nun allgemein verfügbaren Option können Kunden die Speicherung ihrer Daten auf EU-Standorte beschränken – und den Support sowie den Zugriff durch Mitarbeiter*innen in EU-Mitgliedsstaaten.
„EU-Regionen und -Support mit Datenhoheitskontrollen”: Diese Option steht derzeit als Preview zur Verfügung. Sie baut auf die Merkmale der Option „Regionen und Support in der EU” auf und bietet zusätzliche Möglichkeiten zur Souveränitätskontrolle durch die Verschlüsselung von Kundendaten mit extern gespeicherten und verwalteten Schlüsseln. Die aus dem Cloud External Key Manager (EKM) bereitgestellten Schlüssel werden auch genutzt, um Zugriffsgenehmigungen zu signieren.

Als neues Feature bietet die sogenannte signierte Zugriffsgenehmigung eine weitere Sicherheitsebene bei Vorgängen, die durch eine Zugriffsgenehmigung autorisiert sind: eine Plattformkontrolle, welche die explizite Zustimmung des Kunden einholt, bevor ein administrativer Zugriff auf Kundendaten oder -konfigurationen gestattet wird. Sie signiert die von Kunden erteilte Zugriffsgenehmigungen mit einem externen Schlüssel aus ihrem External Key Manager (EKM) und liefert so einen Nachweis dafür, dass die Zugriffsanfrage von einer externen Partei bestätigt wurde. Die signierte Zugriffsgenehmigung steht derzeit für Kundenkonfigurationen zur Verfügung, die externe Schlüsselmanagement-Systeme nutzen. In naher Zukunft wird sie auch für andere externe Schlüsselmanagement-Systeme angeboten, die mit dem EKM integrierbar sind.

Für Assured Workloads for EU stehen Kunden auf Ordnerebene beide Optionen zur Verfügung, damit sie sowohl flexibel ausgewählte Workloads in EU-Regionen und mit EU-Support betreiben als auch zusätzlich die kryptographische Kontrolle bei Workloads ausüben können, die besondere Anforderungen an die Datensouveränität stellen. In beiden Fällen konfiguriert Assured Workloads die gewählten Kontrollfunktionen automatisch und gewährleistet deren Durchsetzung.

Digitale Souveränität – Kunden haben die Wahl

Assured Workloads for EU ist das neueste Angebot einer ganzen Reihe von Google Cloud-Produkten, mit der wir Software-definierte Community-Clouds anbieten – eine Cloud-Infrastruktur, die von bestimmten Organisationen exklusiv genutzt wird und deren Kontrollfunktionen präzise auf bestimmte rechtliche Anforderungen zugeschnitten sind. Assured Workloads-Angebote sind für Kunden in den USA, in Kanada (Preview-Status) und nun auch in der Europäischen Union verfügbar; weitere Regionen werden folgen.

Auch die Bedürfnisse von Kunden, die zusätzliche Anforderungen an die operationelle Souveränität stellen, um die Unabhängigkeit von Betrieb und Überprüfung dieser Kontrollfunktionen zu gewährleisten, haben wir berücksichtigt: Wie im Zuge unserer Initiative „Cloud. Nach europäischen Maßstäben.“ bekannt gegeben, werden die von Google Cloud betriebenen Cloud-Lösungen auch von vertrauenswürdigen Partnern wie T-Systems in Deutschland oder Minsait in Spanien angeboten. Für viele Organisationen wird die Möglichkeit, Datensouveränitätsanforderungen bei ausgewählten Workloads zu erfüllen, ein bedeutender Schritt auf ihrem Weg zur digitalen Souveränität sein.

Die nächsten Schritte

Assured Workloads für EU-Regionen und mit EU-Support ist nun für Google Compute Engine, Persistent Disk, BigQuery, Google Cloud Storage und Cloud KMS (EKM) allgemein verfügbar. Die Option „EU-Regionen und -Support mit Datenhoheitskontrollen” wird für dieselben Dienste im Preview-Status angeboten. Weitere Informationen zu beiden Angeboten finden Sie in unserer Dokumentation. Wenden Sie sich auch gerne an unser Vertriebsteam, um mehr zu erfahren.

Google Cloud bekräftigt angesichts der EDSA-Empfehlungen seine Verpflichtungen gegenüber EU-Unternehmen

Mon, 21 Feb 2022 07:00:00 +0000

Vom Einzelhandel über Fahrzeughersteller bis zu Finanzdienstleistern nutzen Organisationen in ganz Europa unsere Cloud-Dienste. Mit weitreichenden technischen Kontrollinstrumenten, vertraglichen Verpflichtungen und lückenloser Transparenz möchten wir es unseren Kunden erleichtern, ihre Risiken zu bewerten, Compliance-Anforderungen zu erfüllen und die strengen Datenschutzbestimmungen einzuhalten.

Nachdem der Europäische Gerichtshof sich in einem Urteil gegen den EU-US Datenschutzschild und für die Gültigkeit der EU Standardvertragsklauseln ausgesprochen hatte, verabschiedete der Europäische Datenschutzausschuss (EDSA) am 21. Juni 2021 seine Empfehlungen zu ergänzenden Maßnahmen. Diese Empfehlungen sind eine wichtige Orientierungshilfe für Organisationen bei der internationalen Datenübertragung und entsprechen in weiten Teilen den Verfahren, die wir bereits seit vielen Jahren anwenden.

Angesichts der neuen Empfehlungen bekräftigen wir unsere Verpflichtung zur Einhaltung der DSGVO und werden Google Cloud-Kunden auch weiterhin dabei unterstützen, bei der Nutzung unserer Dienste ihre Compliance-Ziele zu erreichen. Das betrifft insbesondere Folgendes:

Die kundenseitig kontrollierte Cloud

Unsere Kunden sind im Besitz ihrer Daten und sollen ein Höchstmaß an Kontrolle über in der Cloud gespeicherte Daten haben. Unsere Public Cloud gewährt bei der Nutzung unserer Dienste höchste Transparenz und Kontrolle über ihre Daten.

Mit den von uns angebotenen Funktionen können Kunden der Google Cloud Platform Daten in Europa speichern, dafür sorgen, dass diese die Region nicht verlassen und verhindern, dass Nutzer*innen und Administrator*innen außerhalb Europas auf ihre Daten zugreifen. Sie können ihre Schlüssel selbst verwalten und auf diesem Weg kontrollieren, wer auf ihre Daten zugreifen darf. Dabei werden die Schlüssel in Europa und außerhalb der Google Cloud-Infrastruktur gespeichert. Darüber hinaus können Kunden bei jeder Anforderung eines Schlüssels zur Datenentschlüsselung mit External Key Manager eine detaillierte Begründung und Genehmigung verlangen und Google mit den nun allgemein verfügbaren Begründungen für den Schlüsselzugriff die Entschlüsselung der Daten verweigern. Weitere Informationen hierzu finden Sie in unserem Blogbeitrag. Was diese Verpflichtung in technischer Hinsicht für unsere Kunden bedeutet, erläutert unser Artikel zu den Optionen für Datenstandort, operative Transparenz und Kontrolle. Google Cloud war der erste und bislang einzige Cloud-Anbieter, der die Möglichkeit bietet, Schlüssel für Daten in der Cloud außerhalb der Anbieterinfrastruktur zu speichern und zu verwalten und die Entschlüsselung mit spezifischen Begründungen programmatisch zu steuern, behördliche Zugriffsanfragen eingeschlossen.

Wer Google Workspace (früher G Suite) nutzt, hat die Möglichkeit, abgedeckte Daten in Europa zu speichern. Zusätzlich erweitern wir die Verschlüsselungsmöglichkeiten in Workspace mit der Option, Schlüssel und den Identitätsdienst, über den der Zugriff auf diese Schlüssel erfolgt, direkt zu kontrollieren. Clientseitig verschlüsselte Kundendaten sind so für Google nicht lesbar. Nutzer*innen können trotzdem die cloud-nativen webbasierten Google-Tools für die Zusammenarbeit verwenden, auf ihren Mobilgeräten Inhalte aufrufen und verschlüsselte Dateien extern freigeben. In den öffentlichen Betaversionen von Google Drive, Docs, Tabellen und Präsentationen ist diese Funktion bereits verfügbar; die Erweiterung auf weitere Workspace-Dienste ist in Planung. Kunden können darüber hinaus Lösungen von Drittanbietern mit Ende-zu-Ende-Verschlüsselung für Gmail nutzen. So ist es möglich, Schlüssel am Standort ihrer Wahl abzulegen und den Zugriff auf abgedeckte Inhalte zu verwalten.

Google Cloud plant die Entwicklung weiterer Funktionen zur kundenseitigen Kontrolle von Datenstandort und -zugriff.

Neue Standardvertragsklauseln

Die Europäische Kommission hat zum Schutz personenbezogener Daten in Europa neue Standardvertragsklauseln veröffentlicht, denen Google Cloud entsprechen wird, um Kundendaten zu schützen und die Anforderungen der europäischen Gesetzgebung zum Datenschutz zu erfüllen. Wie auch die bisherigen Standardvertragsklauseln erleichtern diese die rechtskonforme Übertragung von Daten.

Transparenz für risikobasierte Bewertungen

Die EDSA-Empfehlungen führen einen risikobasierten Ansatz ein, der vorsieht, dass Datenexporteure den Risikograd bewerten, den eine bestimmte Übertragung in der Praxis für die Grundrechte bedeutet.

Unser Transparenzbericht legt die Anzahl der Anfragen durch Strafverfolgungsbehörden und andere öffentliche Stellen auf Enterprise Cloud-Kundendaten offen. Die bisherigen Zahlen belegen, dass die Zahl der Anfragen für Enterprise Cloud im Verhältnis zur Enterprise Cloud-Kundenbasis äußerst gering ist. Aus unserem Bericht geht beispielsweise hervor, dass wir im letzten Berichtszeitraum keine Daten von Enterprise-Kunden der Google Cloud Platform auf Anfrage von Behörden vorgelegt haben. Es ist also unwahrscheinlich, dass Enterprise Cloud-Kundendaten von entsprechenden Anfragen betroffen sind.

Darüber hinaus unterstützen wir unsere Kunden bei der Erstellung aussagekräftiger Bewertungen, indem wir ihnen klare, ausführliche Informationen über unseren Prozess zum Umgang mit Behördenanfragen zum Zugriff auf Cloud-Kundendaten geben.

Rechenschaftspflicht

Wir prüfen fortlaufend neue Möglichkeiten, unsere Rechenschaftspflicht und die Compliance-Unterstützung für unsere Kunden zu erweitern. Vor Kurzem haben wir bekannt gegeben, dass wir uns zum Verhaltenskodex der EU-DSGVO, den sogenannten Verhaltensregeln, verpflichten. Verhaltenskodizes sind bewährte Instrumente für die Zusammenarbeit zwischen Branchenakteuren und Datenschutzbehörden zur Einhaltung von Datenschutzauflagen. Wir sind davon überzeugt, dass dieser Kodex ein solides Fundament für die Entwicklung eines Tools zur internationalen Datenübertragung für Cloud-Dienste bietet, und werden die entsprechenden Brancheninitiativen weiterhin unterstützen.

Darüber hinaus werden wir auch weiterhin international anerkannte Datenschutz- und Sicherheitsstandards wie ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018 und ISO/IEC 27701 einhalten und uns entsprechend zertifizieren lassen. Diese Zertifizierungen erfolgen durch unabhängige Stellen und belegen unser kontinuierliches Engagement für Sicherheit und Datenschutz.

Engagiertes Eintreten für Richtlinien

Wir setzen uns auch weiterhin für weltweite Grundsätze zu Zugriffsanfragen von Behörden auf Unternehmensdaten ein. Bilaterales und multilaterales Engagement von Behörden ist ein entscheidender Faktor, wenn es darum geht, Regeln für die grenzüberschreitende Offenlegung elektronischer Beweismittel aufzustellen und die Gesetzgebung so zu modernisieren, dass die internationalen Vorschriften erfüllt und potenzielle Normenkollisionen eliminiert werden. Google unterstützt bereits seit Langem entsprechende Initiativen, darunter die Suche nach einem Nachfolgemodell für den US-EU-Datenschutzschild. Ziel ist die Wiederherstellung der Rechtssicherheit für die transatlantische Übertragung personenbezogener Daten und die Entwicklung gemeinsamer globaler Grundsätze für den behördlichen Datenzugriff auf Ebene der Organisation für wirtschaftliche Zusammenarbeit und Entwicklung (OECD). Wir unterstützen diese Initiativen auch weiterhin und setzen uns zugleich für den Datenschutz und die Sicherheit unserer Kunden ein.

Millionen von Organisationen mit Nutzer*innen in Europa verlassen sich im täglichen Geschäftsbetrieb auf unsere Cloud-Dienste. Wir verpflichten uns auch weiterhin dazu, sie angesichts der EDSA-Empfehlungen mit unseren Compliance-Tools bei der Einhaltung behördlicher Anforderungen zu unterstützen.

Einführung souveräner Kontrollfunktionen für EU-Kunden

Mon, 20 Dec 2021 08:00:00 +0000

Europäische Unternehmen, sowohl im öffentlichen als auch im privaten Sektor, wünschen sich einen Cloud-Anbieter, der ihren Anforderungen an Sicherheit, Datenschutz und digitale Souveränität gerecht wird, ohne Abstriche bei Funktionalität oder Innovation machen zu müssen. Im Rahmen unserer Initiative für eine „Cloud. Nach europäischen Maßstäben.“ erarbeiten wir Lösungen, die diesen Erwartungen entsprechen – mit speziellen Funktionen in unserer Public Cloud-Plattform sowie den jüngst angekündigten souveränen Cloud-Lösungen von Google Cloud mit vertrauenswürdigen Partnern wie T-Systems in Deutschland und Thales in Frankreich.

Wir freuen uns demnach, ein ergänzendes Angebot für unsere europäischen Kunden mit speziellen Anforderungen an digitale Souveränität vorzustellen: eine Reihe unabhängiger Kontrollfunktionen, die unter Assured Workloads zur Verfügung stehen werden. Diese sorgen für eine automatisierte Bereitstellung und Einhaltung bestimmter Funktionen auf der Google Cloud Platform, wie:

eine Data Residency-Funktion für die Europäische Union (wie unten erläutert),

kryptografische Kontrolle über den Datenzugriff, einschließlich der Schlüssel zur Verschlüsselung der Daten des Kunden, die sich ausschließlich im Besitz des Kunden befinden; und

ein Google Cloud-Kundensupport für die souveränen Kontrollfunktionen, der von EU-Mitarbeiter*innen von einem Standort innerhalb der EU bereitgestellt wird (in Kürze).

Diese Kontrollmechanismen werden pro Workload konfiguriert, um sicherzustellen, dass sie den jeweiligen Datenschutzanforderungen entsprechend angewendet werden. Sehen wir uns die einzelnen Funktionen genauer an:

Data Residency-Funktion für die Europäische Union

Im Rahmen der Data Residency-Funktion für die Europäische Union können Unternehmen eine von fünf Google Cloud Regionen in der EU (Belgien, Deutschland, Polen, Finnland oder die Niederlande) wählen. Dort werden ihre Daten gespeichert und aufbewahrt. Restriktive Organisationsrichtlinien in der Google Cloud Platform (GCP) sorgen dafür, dass Kundendaten ausschließlich in der angegebenen EU-Region gespeichert werden. Diese Einschränkung wird bei der Erstellung eines Workloads automatisch eingestellt und verhindert das Risiko von Fehlkonfigurationen, sodass Daten nicht außerhalb der EU-Regionen gespeichert werden.

Wie bereits in früheren Blogposts zu diesem Thema ausgeführt, erfüllt die Festlegung der Data Residency auf eine Region innerhalb der EU die aktuellen Souveränitätsanforderungen einiger europäischer Kunden. Sie deckt jedoch nicht einen administrativen, nicht vom Kunden veranlassten Datenzugriff ab, wie zum Beispiel einen versehentlichen Datenzugriff oder einen gerichtlich angeordneten Zugriff durch Behörden. Um diese Fälle zu adressieren, benötigen Kunden Funktionen, die sie mit Hilfe kryptografischer Kontrolle zur ultimativen Zugriffsinstanz auf ihre Daten machen. Darunter fallen auch Aktionen, die im Rahmen des Kundensupports durchgeführt werden. Beides wird bei unseren Lösungen berücksichtigt.

Kryptografische Kontrolle über den Datenzugriff

Bei diesen kryptografischen Kontrollen über den Datenzugriff kommen Key Access Justifications (KAJ) in Verbindung mit unserem Cloud External Key Manager (EKM) zum Einsatz.

Mit den jetzt allgemein verfügbaren Key Access Justifications können Kunden den Zugriff der Google Administratoren auf ihre Daten kategorisch verweigern. Dies gilt auch bei Stromausfällen, Anfragen von Drittparteien oder in anderen Situationen, in denen Kunden bisher keine alleinige Kontrolle über ihre Daten hatten. In diesen Fällen werden Kunden eine eindeutige Begründung erhalten, warum ihre Daten entschlüsselt werden sollen, anhand derer sie dann fallspezifisch entscheiden können, ob eine Entschlüsselung und somit ein Zugriff auf ihre Daten gestattet werden soll.

Der Einsatz von Key Access Justifications in Verbindung mit dem Cloud-externen Key Manager ermöglicht Kunden:

eine Begründung für jede Entschlüsselungsanfrage, bei der Daten (z. B. ein Cloud-Storage-Bucket) aus dem Speicherzustand (Data-at-Rest) in den Gebrauch übergehen (Data-in-Use) sollen;

einen Mechanismus, um Entschlüsselungsanfragen ausdrücklich zu genehmigen oder abzulehnen – mit klarem Bezug auf den dazugehörigen Schlüssel und in Übereinstimmung mit den von ihnen dazu (mit Funktionalität von Drittanbietern) festgelegten automatisierten Regeln; und

eine ausdrückliche Verpflichtung von Google Cloud, die Integrität der Kontrollen und der Key Access Justifications zu schützen.

Wie Key Access Justifications funktionieren

Auf diese Weise stellen wir sicher, dass Google gespeicherte Kundendaten (Data-at-Rest) unter keinen Umständen ohne die Genehmigung des Kunden entschlüsseln kann. Diese Genehmigung kann jederzeit ohne die Angabe von Gründen verweigert werden – so etwa, wenn sie nicht den Regeln des Kunden entspricht, oder erst eine Zustimmung der Sicherheits-, Datenschutz- oder Rechtsabteilung erforderlich ist.

Der Kunde wird somit zur höchsten Instanz, was den Zugriff auf dessen Daten anbelangt, denn:

gespeicherte Daten sind immer verschlüsselt.

die zur Entschlüsselung der Daten erforderlichen Kodierungsschlüssel werden bei Einsatz des Cloud External Key Managers (EKM) außerhalb von Googles technischer Infrastruktur gespeichert und verwaltet.

um Kundendaten zu entschlüsseln, muss der über Cloud EKM extern verwaltete Kodierungsschlüssel des Kunden von ausserhalb Google abgerufen werden.

Kunden können davon ausgehen, dass jede Anfrage eine Begründung enthält und diese Anfragen fallspezifisch blockieren (wenn sie von uns unterstützte externe Key Manager von Drittanbietern einsetzen).

Die Gründe für eine Entschlüsselungsanfrage werden detailliert aufgeführt. So wissen Kunden, was mit ihren Daten passiert (zum Beispiel bei der Funktion CUSTOMER_INITIATED_SUPPORT, wenn ein Kunde ein Support Ticket eingereicht hat und ein Datenzugriff zur Fehlerbehebung erforderlich ist).

Der Cloud External Key Manager ist mit Key-Management-Produkten von Drittanbietern wie Equinix, Fortanix, Ionic, Thales und Unbound integriert. Unter diesen unterstützen Fortanix, Ionic und Thales auch bereits die Nutzung von Key Access Justifications.

Key Access Justifications sind allgemein verfügbar für BigQuery, Spanner, PubSub und die Google Kubernetes Engine, sowie als Preview für Google Compute Engine/Persistent Disk, Google Cloud Storage und Cloud SQL. Sie sichern den Übergang von Data-at-Rest zu Data-in-Use bei Google Cloud-Diensten, bei denen die sensibelsten Kundendaten hinterlegt werden.

Ein europäischer Support

Datenschutzbestimmungen können auch den Kundensupport betreffen. Einige Kunden benötigen auch dann Transparenz und Kontrolle über ihr Daten, wenn sie eine Support-Anfrage stellen oder technische Unterstützung erhalten möchten. Um dieser Anforderung gerecht zu werden, weiten wir unser bestehendes Assured Support-Angebot auf die EU aus. Kunden können dadurch Unterstützung von europäischen Mitarbeiter*innen von einem Standort innerhalb der EU erhalten. Dieses Angebot schließt auch Site Reliability Engineers und Support-Personal mit ein.

Unser Assured Support-Angebot wird unseren Kunden in der EU in Kürze im Rahmen von Assured Workloads for EU zur Verfügung stehen.

Zukünftige Anforderungen an die digitale Souveränität

Uns ist bewusst, dass für manche Kunden diese Kontrollmöglichkeiten möglicherweise nicht ausreichen, um alle ihre Anforderungen an digitale Souveränität zu erfüllen. So mag es zusätzliche Anforderungen im Hinblick auf einen unabhängigen Betrieb und eine unabhängige Verifizierung der genannten Kontrollen geben. In diesem Fall könnte jedoch in Zusammenarbeit mit zuverlässigen Drittanbietern eine zusätzliche Kontrollfunktion ausgeübt und so die operative Unabhängigkeit gewährleistet werden. Diese Funktionen und Garantien können von den Partnern sukzessive weiterentwickelt und gestärkt werden, unabhängig von der Plattform.

Verfügbare Optionen zur souveränen Kontrolle von Google Cloud-Diensten

Für viele Unternehmen ist aber schon die Möglichkeit, Souveränitätsanforderungen bei spezifischen Workloads gerecht zu werden ein entscheidender Schritt auf ihrem Weg in Richtung digitale Souveränität.

Sie interessieren sich für Assured Workloads for EU in Google Cloud? Dann füllen Sie einfach unser Kontaktformular aus.

Wir werden auch weiterhin Funktionen für mehr digitale Souveränität entwickeln, um allen unseren Kunden die Möglichkeit zu geben, die im Zuge ihrer digitalen Transformation auftretenden Souveränitätsanforderungen zu erfüllen.

Gemeinsame Innovation für die digitale Transformation Deutschlands

Tue, 30 Nov 2021 10:00:00 +0000

Die konsequente Unterstützung der nächsten Wachstumsphase europäischer Unternehmen und Organisationen ist unsere Mission bei Google Cloud. Deutschland zählt zu den größten und am besten vernetzten Volkswirtschaften. Derzeit durchläuft das Land eine digitale Transformation, die durch die Nutzung von Cloud-Diensten ermöglicht wird. Um diese Transformation mitzugestalten, haben wir im August Investitionen in Höhe von rund einer Milliarde Euro in die Cloud-Infrastruktur und grüne Energie in Deutschland bis 2030 angekündigt.

In Deutschland und ganz Europa erwarten Organisationen von Cloud-Lösungen, dass diese ihre Anforderungen in puncto Sicherheit, Datenschutz und digitaler Souveränität erfüllen, ohne Funktionalität oder Innovationsfähigkeit einzuschränken. Dazu haben wir im September die Initiative „Cloud. Nach europäischen Maßstäben.“ initiiert und sind im Rahmen dieses Programms eine langfristige, strategische Partnerschaft mit T-Systems eingegangen, um ein souveränes Cloud-Angebot für den öffentlichen und privaten Sektor in Deutschland zu schaffen.

Basierend auf unseren Investitionen und dieser Partnerschaft möchten wir heute unsere nächsten Schritte aufzeigen, um die nachhaltige digitale Transformation in Deutschland voranzutreiben. Gemeinsam mit T-Systems werden wir ein ehrgeiziges Co-Innovation-Programm starten, in dessen Rahmen wir gemeinsam Lösungen rund um die Souveräne Cloud und digitale Transformation entwickeln. Auf diese Weise möchten wir hiesige Cloud-Kunden dabei unterstützen, ihre Innovationskraft und Wettbewerbsfähigkeit zu stärken.

München – Heimat digitaler Innovation auf globalem Niveau

Dem Standort München kommt hierbei besondere Bedeutung zu – wie auch in den vergangenen fünfzehn Jahren der Unternehmensgeschichte von Google und Google Cloud in Bayern: Seit der Eröffnung im Jahr 2006 ist unser Münchner Software-Entwicklungszentrum zu einer von Googles technologischen Haupt-Standorten in Europa geworden. Über 1.500 Mitarbeiter*innen von Google sind heute im Münchner Arnulfpark, an unserem größten Standort in Deutschland, tätig. Auch unser globales Google Safety Engineering Center (GSEC) ist hier angesiedelt. Dort werden robuste Datenschutz- und Sicherheitslösungen für Milliarden von Google-Nutzer*innen entwickelt. Angesichts der Kompetenz in den Bereichen Datensicherheit und Datenschutz war die Ansiedlung der Cloud Co-Innovation-Initiative an diesem Standort nur folgerichtig.

Der Freistaat Bayern und seine Landeshauptstadt können auch im kommenden Jahrzehnt ein Zentrum der digitalen Transformation sein. Region und Stadt warten mit einem großen digitalen Ökosystem auf, das etablierte und neue Branchenführer aus etlichen Industrien, einen dynamischen Technologiesektor sowie erstklassige Hochschul- und Forschungseinrichtungen vereint.

Dieses Umfeld bietet ideale Voraussetzungen für unser Google Cloud Co-Innovation Center, welches seinen Platz in unseren Büroflächen an der Westhof-Seite des Arnulfpost-Quartiers finden wird. Das Co-Innovation Center wird in den kommenden Monaten eröffnet und künftig die Rolle eines Zentrums für digitale Innovationen im Herzen der bayerischen Hauptstadt einnehmen.

Dr. Markus Söder, Bayerischer Ministerpräsident, hierzu: „Isar-Valley meets Silicon-Valley: In Digitalisierung liegt die Zukunft. Google Cloud und T-Systems starten in Bayern eine globale Partnerschaft für Cloud Computing. Damit wächst München weiter als einer der führenden IT-Standorte weltweit. Mit der Hightech Agenda fördert Bayern Technologie, Digitalisierung und Super-Tech mit insgesamt 3,5 Mrd. Euro. Wir schaffen 13.000 neue Studienplätze und 1.000 Professuren, davon allein 100 für KI.“

Dr. Markus Söder, Bayerischer Ministerpräsident, und Judith Gerlach, Bayerische Staatsministerin für Digitales, im Gespräch mit Thomas Kurian, CEO Google Cloud (im Bildschirm unten rechts), Adel Al-Saleh, CEO T-Systems, und Dr. Maximilian Ahrens, CTO T-Systems (im Bildschirm unten links), sowie Dr. Wieland Holfelder, Vice President Engineering Google Cloud (im Bildschirm oben rechts). Bildnachweis: © Bayerische Staatskanzlei

Co-Innovation auf einem souveränen Fundament

Zusammen mit T-Systems, einem Unternehmen, das in München schon seit langem Innovationstreiber ist, werden wir das Co-Innovation Center nutzen, um:

an neuen Lösungen für unsere gemeinsamen Kunden zu arbeiten, wobei wir deren Nachhaltigkeits- und Transformationszielen besondere Aufmerksamkeit schenken,

eine Umgebung zu schaffen, die Top-Talente für die Cloud-Entwicklung in Deutschland anzieht und hervorbringt, und

das Fundament für zukünftige souveräne Lösungen im großen Maßstab zu schaffen, welche die Wettbewerbsfähigkeit und die Dynamik der digitalen Transformation deutschlandweit stärken.

Das Co-Innovation Center wird auch Programme für den Kompetenzausbau unter Cloud-Kunden und -Partnern anbieten, um die digitale Transformation insgesamt zu unterstützen.

Dr. Maximilian Ahrens, CTO bei T-Systems, unterstreicht: „Wir freuen uns, dass Co-Innovation als zentraler Baustein unserer Partnerschaft in München zum Leben erweckt wird. Vertrauen ist ein zentraler Grundwert für T-Systems, genauso wie es Innovation für Google Cloud ist. Co-Innovation entlang dieser Werte bringt uns in eine einzigartige Position, mit unseren gemeinsamen Kunden in Deutschland deren wichtigste Souveränitätsanforderungen zu adressieren.“

Dazu werden T-Systems und Google Cloud hochqualifizierte Mitarbeiter*innen im Bereich Softwareentwicklung in München einstellen.

Ausblick

Die offizielle Eröffnung unseres Co-Innovation Centers wird Mitte 2022 stattfinden. Dr. Wieland Holfelder, seit langem Vice President Engineering und Site Lead in München, wird diese Google Cloud Engineering Initiativen leiten.

Gerade in der aktuellen Zeit halten wir es für wichtig, Brücken zu bauen, statt Mauern zu errichten, und gemeinsam bessere Technologien zu entwickeln – für Deutschland, Europa und darüber hinaus. Wir freuen uns schon darauf, unsere Kunden und Partner im neuen Center zu begrüßen während wir konstant daran arbeiten, mit Google Cloud die nachhaltige digitale Transformation zu unterstützen.

Gemeinsam in die digitale Zukunft: nach europäischen Maßstäben.

Fri, 26 Nov 2021 11:20:00 +0000

Weltweit hat sich Cloud-Computing als Wachstumsmotor und eine zuverlässige, flexible und skalierbare Lösung für digitale Transformation etabliert. Unternehmen und Behörden bringen ihre Produkte und Dienstleistungen damit schnell und kosteneffizient an den Markt.

Auch europäische Organisationen im öffentlichen wie im privaten Sektor suchen nach einem Partner, der eine Cloud nach ihren spezifischen Anforderungen bietet. Datenhoheit ist hier der Schlüsselbegriff: Digitale Souveränität, mit Kontrolle bei Sicherheit und Datenschutz, ohne Funktionalität oder Innovationsfähigkeit einzuschränken.

Unsere Vision zur Souveränität bei Google Cloud haben wir bereits im vergangenen Jahr vorgestellt. Sie beruht auf drei Säulen:

Datensouveränität: die Kontrolle über Verschlüsselung und Datenzugriff.
Operationelle Souveränität: Transparenz und Kontrolle über Vorgänge des Service-Anbieters.
Software-Souveränität: die Möglichkeit, Cloud-Workloads auszuführen und zu verlagern, ohne an einen bestimmten Anbieter gebunden zu sein. Souveräne Workloads können somit autonom, im Falle einer forcierten Trennung, auch ohne Verbindung zur Cloud weiter betrieben werden.

Nach intensivem Austausch mit unseren Kunden und politischen Entscheidungsgremien stellen wir unsere neueste Initiative vor: „Cloud. Nach europäischen Maßstäben.“. Darin zeigen wir, wie wir mit unseren Cloud-Diensten europäische Unternehmen und Institutionen auch weiterhin bei Wandel und Wachstum unterstützen und dabei das geforderte hohe Maß an digitaler Souveränität bieten.

Die grundlegenden Kontroll- und Sicherheitsfunktionen von Google Cloud bieten einen starken Schutz, entsprechen den aktuellen strengen Sicherheits- und Datenschutzanforderungen und berücksichtigen viele Kundenanforderungen. Doch jedes Land in Europa hat seine eigenen Erwartungen und Vorgaben, die zu berücksichtigen und einzuhalten sind. Dabei benötigen manche unserer Kunden noch mehr Flexibilität und Kontrolle als die derzeitigen Angebote von Public und Private Clouds bieten. Deshalb entwickeln wir unsere Plattform so weiter, dass sie den Anforderungen der jeweiligen Märkte entspricht, ohne die Vorteile und das Transformationspotenzial einer Public Cloud einzuschränken.

Dabei arbeiten wir mit führenden lokalen Technologieanbietern zusammen – angefangen mit T-Systems in Deutschland. Wie am 8. September bekannt gegeben, entwickeln wir gemeinsam mit T-Systems eine Souveräne Cloud für Kunden im öffentlichen und privaten Sektor. Die erste Version des Angebots wird Mitte 2022 verfügbar sein, im Laufe der Zeit werden wir zusätzliche Funktionen hinzufügen.

In dieser Partnerschaft wird T-Systems Souveränitätskontrollen und -maßnahmen verwalten, einschließlich der Verschlüsselung und des Identitätsmanagements der Google Cloud Platform. Darüber hinaus wird T-Systems im Rahmen des gemeinsamen Angebots wesentliche Teile der deutschen Google Cloud-Infrastruktur für T-Systems Sovereign Cloud-Kunden in Deutschland kontrollieren.

Nach demselben Modell streben wir Kooperationen mit namhaften Technologieanbietern in weiteren europäischen Märkten an. Als vertrauenswürdige Partner bieten wir so Behörden und Unternehmen eine Cloud, die ihren Ansprüchen in Sachen digitale Souveränität, Nachhaltigkeit und Wirtschaftlichkeit gerecht wird. Dementsprechend haben wir am 6. Oktober außerdem unsere Partnerschaft mit Thales zur Souveränen Cloud in Frankreich bekannt gegeben.

Europäische Kunden werden sowohl die Standard-Kontrollfunktionen der Google Cloud als auch die Zusatzfunktionalität unserer Partner einsetzen können, um Datenzugriff und -nutzung souverän zu steuern. Die Infrastruktur zum Zugriff auf diese Daten wählen sie selbst, ohne dabei durch technische Einschränkungen an einen Cloud-Anbieter gebunden zu sein.

Zusätzlich profitieren unsere Kunden mit Google Cloud automatisch von den Vorteilen einer der nachhaltigsten Clouds in der Branche: Schon heute ist Google im Jahresdurchschnitt einer der weltweit größten gewerblichen Abnehmer von erneuerbaren Energien. Bis 2030 streben wir eine vollständig CO₂-freie Stromversorgung weltweit und rund um die Uhr an.

Im ständigen Austausch mit unseren Kunden und politischen Entscheidungsgremien werden wir auch weiterhin alles daransetzen, um den europäischen Richtlinien und Anforderungen für kundenseitige Kontrolle über ihre Daten gerecht zu werden und Google Cloud zur ersten Adresse für nachhaltige digitale Transformation in Europa zu machen.

Google Cloud begrüßt die neuen EU-Standardvertragsklauseln für internationale Datentransfers

Wed, 20 Oct 2021 10:00:00 +0000

Die Europäische Kommission hat kürzlich neue Standardvertragsklauseln (SCC, auch als Model Contract Clauses bekannt) veröffentlicht, um personenbezogene Daten aus Europa besser zu schützen. Nach Ablauf der geltenden Übergangsfrist werden die neuen Standardvertragsklauseln die bisher in der EU gültigen SCCs ersetzen. Google Cloud möchte die neuen SCCs in seinen Verträge abbilden, um Kundendaten zu schützen und die gesetzlichen Anforderungen europäischen Datenschutzes zu erfüllen.

Wie bei den bisherigen SCCs ermöglichen diese Klauseln den legalen Datentransfer unter bestimmten Bedingungen. Die SCCs legen gewisse vertragliche Verpflichtungen fest. Mithilfe dieser können personenbezogene Daten, die der europäischen Datenschutz-Grundverordnung (DSGVO) unterliegen, an Empfängerinnen und Empfänger außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt werden. Die DSGVO trat 2018 in Kraft und ist der wesentliche Bestandteil der europäischen Datenschutzgesetzgebung. Für den Transfer personenbezogener Daten aus dem EWR in ein Land außerhalb des EWR, dessen Datenschutzstandards nicht dem aktuellen EU-Datenschutzstandard entsprechen, müssen geeignete Sicherheitsvorkehrungen getroffen werden.

Die branchenführenden Kontrollmechanismen, vertraglichen Verpflichtungen und Instrumente zur Rechenschaftslegung von Google Cloud helfen Unternehmen innerhalb Europas schon seit Jahren, die stringenten gesetzlichen Datenschutzbestimmungen einzuhalten. Wir stellen unseren Kunden bereits seit 2012 Standardvertragsklauseln zur Verfügung. 2017 bestätigten die Europäischen Datenschutzbehörden, dass die vertraglichen Verpflichtungen von Google Cloud den gesetzlichen Anforderungen für Datentransfers aus der EU in Nicht-EU-Länder (Datenschutzrichtlinie 95/46/EG) entsprechen. Google Cloud verpflichtet sich auch weiterhin, die Daten seiner Kunden und deren Nutzerinnen und Nutzern zu schützen, und Unternehmen dabei zu unterstützen, ihren gesetzlichen Verpflichtungen gemäß EU-Richtlinie nachzukommen.

Weitere Informationen dazu, wie Google Cloud Unternehmen bei ihren Compliance-Bemühungen unterstützt, finden Sie in unserem Cloud Center für Compliance-Ressourcen.

Ein Beitrag von Google Cloud zu mehr Vertrauen und Transparenz in Europa

Fri, 02 Jul 2021 13:00:00 +0000

Die branchenführenden Kontrollfunktionen, vertraglichen Verpflichtungen und Tools zur Einhaltung der Compliance, die Google Cloud seinen Kunden in ganz Europa schon seit Jahren zur Verfügung stellt, helfen Unternehmen dabei, strenge Datenschutzvorschriften zu erfüllen. Durch unsere Unterstützung bei Compliance-Maßnahmen europäischer Firmen haben wir das Vertrauen von Organisationen aus Branchen wie dem Einzelhandel, der Fertigung und dem Finanzdienstleistungsbereich gewonnen.

Als Teil der kontinuierlichen Bemühung, dieses Vertrauen weiterhin aufrechtzuerhalten, gehört Google Cloud zu den ersten Cloud-Anbietern, die den EU Cloud Code of Conduct (CoC) gemäß der DSGVO unterstützen und übernehmen. Der Code of Conduct kann Anbietern dabei helfen zu demonstrieren , dass sie ausreichende datenschutzrechtliche Garantien zur Implementierung angemessener technischer und organisatorischer Maßnahmen als Datenverarbeiter gemäß der DSGVO bieten.

Am 20. Mai 2021 hat die belgische Datenschutzaufsichtsbehörde basierend auf einer positiven Stellungnahme des Europäischen Datenschutzausschusses (EDSA) den CoC anerkannt. Dieser Code of Conduct ist das Ergebnis jahrelanger konstruktiver Zusammenarbeit zwischen Cloud-Computing-Anbietern, der Europäischen Kommission und verschiedenen europäischen Datenschutzaufsichtsbehörden. Wir sind stolz, dass die Google Cloud Platform und Google Workspace diese Bestimmungen bereits erfüllen. Dies ist der erste europäische Verhaltenskodex gemäß der DSGVO; ein neues Tool für mehr Transparenz und Verantwortlichkeit, mit dem das Vertrauen in die Cloud gestärkt wird - eine hervorragende Nachricht für die gesamte Branche.

Neben dem CoC ist Google Cloud auch gemäß international anerkannten Datenschutzstandards wie ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018 und ISO/IEC 27701 zertifiziert. Diese Zertifizierungen durch unabhängige Stellen beweisen unser kontinuierliches Engagement für höchste Sicherheit und Datenschutz.

Mit der aktuellen Initiative zeigt Google Cloud einmal mehr, dass wir unsere Kund*innen mit unseren Diensten bei ihren Compliance-Maßnahmen unterstützen möchten. Weitere Informationen zu den Angeboten von Google Cloud im Bereich Compliance finden Sie in unserem Center für Compliance-Ressourcen.

Compliance

Verstärkung des europäischen Portfolios für Datensouveränität mit Assured Workloads for EU

Assured Workloads for EU konfigurieren

Digitale Souveränität – Kunden haben die Wahl

Die nächsten Schritte

Aktuelles auf dem Google Cloud Blog I Ausgabe 5

Google Cloud bekräftigt angesichts der EDSA-Empfehlungen seine Verpflichtungen gegenüber EU-Unternehmen

Die kundenseitig kontrollierte Cloud

Neue Standardvertragsklauseln

Transparenz für risikobasierte Bewertungen

Rechenschaftspflicht

Engagiertes Eintreten für Richtlinien

Einführung souveräner Kontrollfunktionen für EU-Kunden

Einführung souveräner Kontrollfunktionen für EU-Kunden

Data Residency-Funktion für die Europäische Union

Kryptografische Kontrolle über den Datenzugriff

Ein europäischer Support

Zukünftige Anforderungen an die digitale Souveränität

Gemeinsam in die digitale Zukunft: nach europäischen Maßstäben.

Gemeinsame Innovation für die digitale Transformation Deutschlands

München – Heimat digitaler Innovation auf globalem Niveau

Co-Innovation auf einem souveränen Fundament

Ausblick

Gemeinsam in die digitale Zukunft: nach europäischen Maßstäben.

Gemeinsam in die digitale Zukunft: nach europäischen Maßstäben.

IDC: Mit Multi-Cloud-Strategien regulatorische und geschäftliche Risiken minimieren

Google Cloud begrüßt die neuen EU-Standardvertragsklauseln für internationale Datentransfers

Die Übersicht der Next '21-Sessions ist nun online – erstellen Sie Ihre eigene Playlist

Ein Beitrag von Google Cloud zu mehr Vertrauen und Transparenz in Europa