"Sicherheit und Cloud" sehen immer noch viele als unvereinbar an, weil man als Dateneigner nicht die Kontrolle über die Informationen behält. Denn bei allen Beteuerungen der Cloud-Dienstleister, "sicher" mit den Daten umzugehen, wenn die Daten erst einmal vervielfältigt wurden, sind sie nicht mehr aufzuhalten.
Viele Unternehmen sind noch zögerlich bei der Entscheidung für Cloud-Services, da sie die Kontrolle über die Informationen nicht behalten. Auch Produkte für die Cloud Security helfen bisher nicht, dieser Angst zu begegnen: Föderiertes Identitätsmanagement, sichere Softwareentwicklung und Security Service Level Agreements sind zwar Grundvoraussetzung für sichere Anwendungen in der Cloud, ermöglichen aber dem Anbieter nicht, dem Kunden zuzusagen, dass die Daten sich auch von ihm nicht einsehen lassen.
Das ist nur zu gewährleisten, wenn die Daten verschlüsselt sind. Mit Rights-Management-Techniken gibt es schon längst unterschiedliche marktreife Ausprägungen. Zur Zugriffsregelung wird Rights Management seit einigen Jahren erfolgreich für den Schutz von Software- (etwa von Microsoft oder Apple) und von Consumer-Anwendungen eingesetzt: Pay TV, Video on demand, digitale Musik et cetera.
Wie funktioniert nun eine Cloud-Anwendung mit verschlüsselten Daten? Eine solche Applikation hat heute typischerweise eine Webservice-Architektur und erlaubt damit eine Segmentierung in vertrauenswürdige und weniger vertrauenswürdige Komponenten. Beispielsweise könnte man die Daten verschlüsselt halten, und nur die vertrauenswürdigen Komponenten haben Zugang zu einem Schlüssel, der die Entschlüsselung erlaubt (beispielsweise durch eine Online-Anfrage an den Schlüsselserver des Unternehmens). Damit reduziert man das Risiko deutlich und kann protokollieren, wann die eigenen Daten entschlüsselt werden. Eine Beispielumsetzung dieses Modells kann man bei der Gesundheits-Telematik-Infrastruktur betrachten.
Geschäftsprozesse hören üblicherweise aber nicht bei dem eigenen Unternehmen auf, sondern erstrecken sich entlang der Wertschöpfungskette. Entsprechend sind Daten auch zwischen Geschäftspartnern auszutauschen. Wenn der Partner nicht die gleichen Rights-Management-Formate verwendet, muss zusätzlich noch ein Wechsel der Rights-Management-Technik stattfinden. Diese Interoperabilität muss man allerdings erst noch entwickeln.
Die hohe Kunst wäre die direkte Verarbeitung von verschlüsselten Daten. Viele Forschungsinstitutionen arbeiten darauf hin, aber die Lösungen sind noch nicht marktreif. Dennoch ist in diesem Umfeld noch einiges zu erwarten.