Wie SaaS-Lösungen nachhaltig und datenschutzfreundlich entwickelt werden

Nachhaltigkeit wird zunehmend zur Priorität und die Bemühung, wirtschaftliches Wachstum bei gleichzeitiger Verringerung der Umweltbelastung zu erreichen, muss Software miteinschliessen. Die Nutzung von Cloud-nativer Technologie und moderner Softwarearchitektur kann die Effizienz für global skalierte Software-as-a-Service-Lösungen auf die nächste Stufe heben. Allerdings stellt die weltweite Einhaltung der länderspezifischen Datenschutzgesetze und -vorschriften eine grosse Herausforderung dar und muss von Anfang berücksichtigt werden. Durch die Einführung wirksamer Compliance-Programme können Unternehmen nicht nur das Einhalten der Gesetze gewährleisten, sondern sie stellen dadurch auch den Menschen in den Mittelpunkt und tragen so zur sozialen Nachhaltigkeit bei. Helbling hat in der Vergangenheit Projekte in verschiedenen Branchen durchgeführt, in denen alle drei Säulen der Nachhaltigkeit berücksichtigt wurden.

Nachhaltigkeit in der Cloud wird zur Priorität.

Die Cloud bietet die Möglichkeit, dass Kunden Ressourcen aus einem gemeinsamen Pool beziehen. Hierdurch können nicht nur Kosten, sondern auch der Energieverbrauch und CO2-Fussabdruck einer Software-Anwendung reduziert werden. Die Effizienz wird dabei in mehreren Schritten verbessert.

Zunächst sind Hyperscaler bemüht, die Energieeffizienz ihrer Rechenzentren kontinuierlich zu verbessern [1]. Um den Fortschritt auf dem Weg zu Netto-Null transparent zu machen, wurden in der Vergangenheit entsprechende Kennzahlen etabliert. Microsoft als Beispiel für einen Hyperscaler hat beispielsweise die PUE- und WUE-Metriken (Power/Water Usage Effectiveness) eingeführt, um den für den Betrieb ihrer Rechenzentren notwendigen Energie- und Wasserverbrauch zu messen [2].

Im nächsten Schritt werden die effizient betriebenen, physischen Hardware-Ressourcen wie Rechenleistung, Netzwerk und Speicher durch Virtualisierung für mehrere Anwendungen nutzbar gemacht.

Im letzten Schritt geht es um das Bereitstellen von Anwendungen für Kunden. Im Rahmen der traditionellen Bereitstellung erhielt jeder Kunde eine dedizierte Instanz, wie es bei Desktop-Anwendungen üblich war. In der Cloud ist das schlicht nicht mehr wirtschaftlich. Dieser letzte Schritt ist neu für Unternehmen, die zuvor keine Softwarelösungen in der Cloud betrieben haben.

Software aus der Cloud muss zuverlässig und ökonomisch sein

In einem kürzlich durchgeführten Projekt hat Helbling entscheidend bei der SaaS-Adoption eines global führenden Herstellers von Hörgeräten mitgewirkt. Die vom Hersteller betriebene Software-Lösung wird weltweit von Hörgeräteakustiker verwendet, welche für ihre Kunden ein passendes Gerät heraussuchen und dieses mit Unterstützung der Software in mehreren Schritten individuell auf den Kunden anpassen. In der Vergangenheit wurde dafür eine Desktopapplikation verwendet. Diese ist nun durch eine SaaS-Lösung ersetzt worden, welche in der Cloud betrieben wird und bequem via Webbrowser verwendet werden kann.

Während einige Hörgeräteakustiker bei grossen Ketten tätig sind, gibt es viele Gesundheitsfachkräfte, die für kleine Organisationen arbeiten und nur gelegentlich die Software-Lösung nutzen, aber dennoch dieselbe Servicequalität erwarten. Dies ist ein perfektes Beispiel dafür, wann Mandantenfähigkeit erforderlich ist, um wirtschaftlich zu skalieren.

Mandantenfähigkeit bringt neue Herausforderungen gerade für den Datenschutz

Um eine SaaS-Lösung nachhaltig zu betreiben, sollen Kunden nicht nur die dafür eingesetzte Hardware gemeinsam nutzen, sondern auch die Software, welche auf der virtualisierten Hardware läuft. Kann eine einzelne Softwareinstanz von mehreren unterschiedlichen Nutzergruppen verwendet werden, spricht man von Mandantenfähigkeit.

Dabei betreibt und wartet der Anbieter der SaaS-Lösung die Software und teilweise auch die Infrastruktur. Für die Wirtschaftlichkeit ist es entscheidend, den Wartungsaufwand zu reduzieren. Ebenso wichtig ist es, eine passende Software-Architektur zu etablieren, damit die erwartete Qualität gewährleistet bleibt.

Der Anspruch an die Architektur ist es, dass Mandanten sich Ressourcen teilen, dabei aber nichts voneinander mitkriegen und ihre Daten jederzeit sicher und isoliert bleiben. Die erste Herausforderung liegt im sogenannten „noisy neighbor effect“: Ein Effekt, der sich darin zeigt, dass die verfügbaren Leistungen bei einem Mandanten abfallen, weil Aktivitäten eines anderen Mandanten ungebremst zu viel der gemeinsam genutzten Ressourcen beanspruchen. Die zweite Herausforderung liegt darin, jederzeit den Datenschutz sicherzustellen. Letzteres ist insbesondere für Organisationen im Gesundheitswesen wichtig, da sie aufgrund der grossen Menge an Patientendaten, die sie verarbeiten, zunehmend ins Visier von Cyberkriminellen geraten.

Datenresidenz und Datensouveränität als wichtige Aspekte

Nach Bekanntwerden mehrerer Datenschutzverletzungen in der Vergangenheit wuchs die Besorgnis, dass personenbezogene Daten ohne die Zustimmung der Nutzer verkauft oder an Dritte weitergegeben werden. Die weltweite Besorgnis hat zu einer Reihe neuer Gesetze, Verordnungen, Normen und Richtlinien geführt, mit Hilfe derer die Daten und die Privatsphäre der Nutzer besser geschützt werden sollen (siehe Fact-Box). Nach Angaben der UNCTAD [4] haben 137 von 194 Ländern entsprechende Gesetze erlassen. Aufgrund der Vielzahl geltender lokaler Datenvorschriften, stellt die weltweite Konformität eine grosse Herausforderung dar.

Mit der zunehmenden Anzahl von Daten, die durch Unternehmen verarbeitet werden, wächst auch die Gefahrenlandschaft und mit ihr die Vorschriften, die eingehalten werden müssen. International operierende Unternehmen müssen sicherstellen, dass der Datenschutz beim grenzüberschreitenden Datenaustausch nicht verletzt wird. Die Vorschriften hängen nicht nur davon ab, wo die Daten gesammelt, sondern auch davon, wo sie physisch gespeichert werden.

Hierzu ist es wichtig, die folgenden zwei Begriffe zu verstehen: Datenresidenz (Data Residency) bezieht sich auf den physischen oder geografischen Standort, an dem die Daten gespeichert sind, während Datensouveränität (Data Sovereignty) nicht nur den Ort umfasst, an dem die Daten gespeichert werden, sondern auch die lokalen Gesetze und Vorschriften, die für das Speichern und Verarbeiten der Daten an ihrem physischen oder geografischen Ort gelten (siehe Fact-Box).

Wie Helbling die Herausforderungen meistert

Ein Datenleck tritt auf, wenn ein nicht autorisierter Akteur Zugang zu vertraulichen Informationen erhält. Der Einsatz von Verschlüsselung ist ein hervorragendes Werkzeug, um gespeicherte personenbezogene Daten abzusichern und auf ihrem Transportweg zu schützen. Allerdings löst Verschlüsselung nicht alle Herausforderungen in einer mandantenfähigen SaaS-Architektur. Es sei hier nochmals erwähnt, dass eine einzelne Softwareinstanz von mehreren unterschiedlichen Nutzergruppen verwendet wird. Würde der Softwareinstanz in der Folge der volle Zugriff auf alle Daten der unterschiedlichen Nutzergruppen gewährt, verletzt dies nicht nur das Least-Privilege-Prinzip (PoLP) sondern widerspricht auch der propagierten Zero-Trust-Denkweise [3]. Wird der Datenzugriff auf Anwendungsebene gewährt, hätte ein einfacher Fehler im Quellcode womöglich weitreichende Folgen bis hin zu Datenlecks. Im Beispiel der SaaS-Lösung für Hörgeräteakustiker wurde stattdessen der Datenschutz über die Infrastrukturebene sichergestellt: Der eingeführte Gatekeeper befreit die Anwendungsdienste davon, wissen zu müssen, wo sensitive Daten in Übereinstimmung mit Datenschutzbestimmungen gespeichert und wie diese übertragen werden dürfen. Werden Daten von der Softwareinstanz benötigt, lokalisiert der Gatekeeper die Daten in der zugrunde liegenden Datenbanktopologie und stellt sicher, dass mit einem Zugriff keine Datenschutzgesetzte verletzt werden.

Wie in Abbildung 2 dargestellt, beginnt eine Anfrage für Patientendaten damit, dass sich eine Fachkraft im Gesundheitswesen in die Anwendung einloggt (1). Bei der Authentifizierung wird die Identität des Benutzers geprüft (2) und im Erfolgsfall Zugriff gewährt (3). Das ausgestellte Anmelde-Token liefert den Sicherheitskontext (Mandant) für den angemeldeten Benutzer. Ein gültiges, kryptografisch signiertes Token wird benötigt, um den ersten Schutzwall (Multitenancy Boundary) passieren zu können (4). Mit dem Anmelde-Token allein kann jedoch kein Datenzugriff erfolgen. Stattdessen muss die Anwendung das Anmelde-Token eintauschen (5) gegen ein kurzlebiges Datenzugriff-Token (6), welches lediglich den Zugriff auf Daten des im Sicherheitskontext definierten Mandanten erlaubt. Erst damit kann der zweite Schutzwall (Data Privacy Boundary) durchschritten werden. Der Datenzugriff (7) erfolgt damit nach dem Least-Privilege-Prinzip oder wird vom Gatekeeper ganz verweigert, falls die Übertragung von Daten aufgrund von Vorschriften nicht erlaubt ist.

Zusammenfassung: Nachhaltige SaaS-Lösungen unter Berücksichtigung des Datenschutzes sind realisierbar, wenn Datenschutzaspekte von Anfang an berücksichtigt werden

Bei der Entwicklung von globalen Software-as-a-Service-Lösungen, die sowohl Nachhaltigkeit als auch den Schutz personenbezogener Gesundheitsdaten vereinen, ist eine datenschutzfreundliche Architektur entscheidend. Helbling ist ein erfahrener Partner, der in der Vergangenheit erfolgreich globale SaaS-Lösungen entwickelt hat. Mit der frühzeitigen Berücksichtigung regulatorischer Anforderungen in der Entwicklung und im Design kann eine Lösung wirtschaftlich und nachhaltig skalieren.

Autoren: Frederic de Simoni, Laura Santos Carreras

Hauptbild: AdobeStock