Das Symptom
Ein Ordner ist verschwunden. Auf dem Rechner, auf dem Telefon, auf dem Tablet und im Webzugang des Anbieters – überall gleichzeitig. Manchmal hat jemand am Handy aufgeräumt, manchmal hat eine App im Hintergrund etwas gelöscht, manchmal hat ein Verschlüsselungstrojaner die Dateien auf dem Rechner überschrieben und der Synchronisierungsdienst hat die kaputten Fassungen gehorsam nach oben getragen. Die verbreitete Reaktion lautet: Aber ich habe doch alles in der Cloud.
Die „Layer 8“-Wahrheit
Das stimmt. Nur ist eine Cloud in diesem Fall kein Tresor, sondern ein Spiegel. Ein Synchronisierungsdienst hat genau eine Aufgabe: dafür zu sorgen, dass alle Geräte denselben Stand sehen. Apple beschreibt das Prinzip in einem einzigen Satz, den man sich gut merken kann – weil die Informationen in der Cloud liegen, sieht man eine Änderung, die man an einer Stelle macht, überall. Der Satz verspricht nichts über Sicherheit. Er beschreibt eine Übertragung, und Übertragungen sind richtungsblind. Löschen ist eine Änderung wie jede andere.
Apple sagt die Konsequenz für Fotos so deutlich, wie man es sich wünscht: Wird ein Foto oder Video auf iCloud.com gelöscht, ist es zugleich auf allen Geräten gelöscht, auf denen iCloud-Fotos eingeschaltet ist. Und für geteilte Alben und Mediatheken gilt dasselbe für alle Mitglieder. Genau hier zerbricht die Vorstellung, das Hochladen sei schon das Sichern gewesen: Was hochgeladen wurde, ist nicht eine zweite, unabhängige Fassung, sondern dieselbe Datei aus einer anderen Blickrichtung.
Bleibt der Papierkorb, auf den sich die meisten stillschweigend verlassen. Er existiert, er hilft, und er hat eine Uhr. Apple nennt für gelöschte Fotos 30 Tage bis zur endgültigen Löschung. Das ist ein anständiger Puffer für den Fall, dass man den Fehler sofort bemerkt – und praktisch wertlos für den Ordner mit den Steuerunterlagen, den man einmal im Jahr öffnet. Eine Sicherung unterscheidet sich vom Papierkorb genau in diesem Punkt: Sie fragt nicht, wie schnell jemand etwas gemerkt hat.
Der zweite blinde Fleck ist das Überschreiben, und dagegen hilft kein Papierkorb, sondern nur eine Versionshistorie. Das BSI beschreibt diesen Fall präzise: Bietet ein Anbieter keine Versionierung, wird die ältere Datei ohne zusätzliche Rückfrage überschrieben und steht für eine Rücksicherung nicht mehr zur Verfügung. Genau das passiert bei einem Verschlüsselungstrojaner im großen Stil – er überschreibt, er löscht nicht, und der Synchronisierungsdienst hält alle Geräte brav auf dem neuen, unbrauchbaren Stand.
Und schließlich hängt alles an einem einzigen Faden, an den kaum jemand denkt: dem Konto. Das BSI führt ausdrücklich den Angriff auf, dessen Absicht die Sperrung der Benutzerkonten ist, weil damit der Zugriff auf das Backup verhindert wird. Ein gesperrtes, gekündigtes, übernommenes oder schlicht vergessenes Konto macht in einem Moment alle Kopien unerreichbar, die darin liegen. Wer seine gesamten Daten in einem Konto hält, hat sie nicht dreifach gesichert, sondern einfach – nur eben an einem Ort, der sich nach dreifach anfühlt.
Nichts davon spricht gegen Cloud-Speicher. Er ist bequem, er ist erreichbar, und für den häufigsten aller Schäden – kaputtes oder verlorenes Gerät – hilft er tatsächlich. Er ersetzt nur nicht das eine, was eine Sicherung ausmacht: eine Kopie, die von dem, was dem Original zustößt, nichts mitbekommt.