Cloud Security
/ Blog / Von

Cloud Security: Alle Fakten zur Sicherheit in der Cloud

Cloud Security hat bei Cloud Providern oberste Priorität. Die Cloud-Lösungen in Deutschland gehören zu den sichersten überhaupt, nicht zuletzt da sie gesetzlich verpflichtet sind, strenge Normen einzuhalten. Dennoch sind einige Unternehmen und Kunden zunächst aufgrund von Sicherheitsbedenken gehemmt, Cloud-Lösungen zu nutzen. Nicht zuletzt, da der Zugriff auf Daten nicht mehr regional begrenzt ist. Dies kann eine potentielle Gefahr durch menschliches Versagen oder bewusst schädigendes Verhalten erhöhen, denn die größte Gefahr für die Cloud Security ist der Mensch.

Dennoch: Cloud Computing bietet viele Vorteile. Das Bereitstellen von Daten über eine größere Distanz zum Server hinweg und die Möglichkeit der Auslagerung von IT-Infrastruktur sind nur zwei Beispiele von vielen. Gleichzeitig gibt es bei Cloud Computing, ähnlich wie bei jedem anderen Data-Management, auch Risiken. Diese zu kennen und ihnen in Form eines guten Cloud Security-Konzepts so zu begegnen, dass die Daten in der Cloud und der Betrieb der IT-Infrastruktur sicher sind, ist eine essentiell wichtige Aufgabe für Unternehmen, Hosting-Provider und Kunden.

Drei mögliche Risiken von Cloud-Computing sind:

  • Der Verlust von Daten
  • Datenleaks, die dazu beitragen, dass sensible Informationen Mitbewerbern zugespielt werden.
  • Die Gefahr von unbefugtem Zugriff auf die Daten
  • Zusammenbruch des Systems bspw. durch schadhafte Angriffe, Software-Fehler oder Hardwareausfall

Die beiden zuerst genannten Punkte fallen größtenteils in den Verantwortungsbereich des Cloud-Providers. Er muss sicherstellen, dass seine Infrastruktur verlässlich ist und es nicht zu einem Datenverlust kommt (Punkt 1). Dieses Problem betrifft natürlich nicht den Bereich Cloud Computing, denn natürlich kann es auch bei physischen Servern zum Verlust von Daten kommen.

Unternehmen können sich mit einem ausführlichen Backgroundcheck der Mitarbeiter und regelmäßigen Schulungen derselben hinsichtlich Datensicherheit effektiv gegen Datenleaks schützen. Da aus technischen Gründen auch die Mitarbeiter des Cloud Providers Zugriff auf die Infrastruktur (allerdings nicht auf die Daten) haben, sind auch hier ein strenges Monitoring und regelmäßige Stichproben unerlässlich.

Auch die Aufgabe, unbefugten Zugriff zu verhindern, teilen sich Cloud-Hosting Provider und Kunde. Sichere Passwörter, eine ausreichende Security auf den eigenen Rechnern und individuelle Accounts für den Datenzugriff sind Maßnahmen, die dazu beitragen, den Zugriff durch Unbefugte und durch schadhafte, oft anonyme Angriffe unwahrscheinlicher zu machen.

Was Cloud-Hosting-Provider konkret für die Sicherheit tun

„Kenne deinen Feind“ gilt auch für das Thema Cloud Security, denn sie fußt auf dem Wissen um die möglichen Risiken und orientiert sich daran, diese zu minimieren. Hierfür kommen verschiedene Sicherheitskontrollen zum Einsatz, die wir grob in vier Kategorien einteilen können.

Die Einhaltung vorgeschriebener Normen und Maßnahmen ist hierbei unerlässlich. Im Folgenden:

  1. Präventive Maßnahmen sind solche, die sicherstellen, dass Daten gar nicht erst in falsche Hände geraten. Dazu gehören zum Beispiel strenge Trennungen der Infrastrukturen bei direkten Konkurrenten, aber auch ein sicheres Authentifizierungsverfahren. Wie genau dieses aussehen kann, könnt ihr in der Regel mit eurem Hosting-Provider vertraglich festlegen. Außerdem sollte ein IDS (Intrusion detecting system) oder IPS (Intrusion preventing system) aktiv sein.
  1. Überwachende Kontrollen registrieren Unregelmäßigkeiten im System und reagieren entsprechend automatisiert darauf. Der Provider wird über die Unregelmäßigkeiten informiert und kann bei Bedarf entsprechende Maßnahmen ergreifen. Enges Monitoring von System und Netzwerk sind Teil der überwachenden Kontrollmaßnahmen.
  1. Korrektive Kontrollen greifen, indem sie geschehene Fehler korrigieren. Sind beispielsweise Daten durch ein Update verloren gegangen, so gehört das Backup zur korrektiven Kontrolle und ihr könnt es bei Bedarf ganz oder teilweise wieder einspielen.
  1. Die post mortem Analyse greift, wenn es trotz aller Sicherheitsmaßnahmen zu einem Vorfall gekommen ist. Hierbei analysiert der Cloud Provider zusammen mit allen anderen Beteiligten, was schief gelaufen ist und wo der Fehler lag. Ist die potentielle Schwachstelle dann aufgedeckt, gilt es, sie für die Zukunft zu schließen und so aus dem entstandenen Fehler zu lernen. Störfälle sind also zwar keinesfalls wünschenswert, können bei guter post mortem Analyse die generelle Sicherheit für die Zukunft verbessern.

Die hier genannten Sicherheitsmaßnahmen sind in der Regel Standard für jeden Cloud-Provider. Umfang und Schwerpunkte der Cloud Security Maßnahmen hängen von der Menge und Art der Daten ab und von dem einzuschätzenden Sicherheitsrisiko. Je sensibler die Daten, desto größer der Schutz.

Technische und prozessuale Maßnahmen der Cloud Security

Viele Sicherheitsmaßnahmen im Cloud Computing sind auch gesetzlich verankert und damit für jeden Cloud Provider innerhalb dieser Gesetzesgrenzen bindend. (Siehe Cloud Computing Anforderungskatalog der BSI). Dementsprechend solltet ihr aber auch schon bei der Wahl eures Providers Wert darauf legen, dass er an die gleichen, geltenden Gesetze gebunden ist und keine Subunternehmen außerhalb der Gesetzesgrenzen beschäftigt. Ansonsten drohen Sanktionen und Nachteile, die auch die Sicherheit eurer Daten beeinflussen.

Zu den festgelegten Verordnungen gehören der BSI Grundschutz und BSI C5. Der BSI Grundschutz, auch bekannt als ISO 27018 ist maßgebend für den Schutz personenbezogener Daten im Cloud Computing und eng an den europäischen Datenschutz angelehnt. Anders als dieser ist er jedoch nicht bindend, jedoch eine sinnvolle Ergänzung. Kunden eines Cloud Providers sollten auf diesen Standard in jedem Fall wert legen.

Der IT-Grundschutz ISO 27018 stellt vor allem Grundanforderungen an Datensicherheit, Prozesse und Abläufe innerhalb eines Unternehmens. Während er als Standard für einen Cloud Provider herangezogen werden kann, ist er nicht explizit für Cloud Computing angelegt.

Anders verhält sich das mit C5, (Cloud Computing Compliance Controls Catalogue), einem Testat für Cloud-Dienste. ISO 27018 ist ein Zertifikat, C5 ein Testat. Die Unterschiede bestehen in verschiedenen Herangehensweisen bei der Security Prüfung. Für die ISO Zertifizierung wird die Cloud Security an einem Zeitpunkt X überprüft. Der C5 als Prüfstandard prüft die Sicherheit über einen Zeitraum hinweg. Das kann etwa ein Monat oder ein Jahr sein.

Beide Prozesse adressieren in etwa das gleiche Sicherheitsniveau, lassen sich jedoch aufgrund des sehr unterschiedlichen Anforderungskatalogs nur schlecht miteinander vergleichen.

Für die möglichst hohe Sicherheit der Cloud sind technische und prozessuale Maßnahmen miteinander verzahnt. Einige, etwa die Authentifizierung und das Monitoring von Störungsfällen, haben wir bereits erwähnt. Weitere sind zum Beispiel Notfall- und Recovery-Prozesse. Also genaue Pläne, was in einem Störfall passieren soll und wie vorzugehen ist. Im Idealfall sind diese Prozesse mit eurem Cloud-Provider als Service Level Agreements (SLAs) geregelt. Darunter fallen zum Beispiel auch Störungs- und Wiederherstellungszeiten, die vor allem dann auch vertraglich schon kurz gehalten werden sollten, wenn euer Betrieb durch einen Ausfall oder eine Störung in der Cloud nachhaltig eingeschränkt ist.

Eine wichtige Maßnahme des Cloud Providers ist in diesem Fall auch das Site-Reliability-Engineering. Verkürzt ausgedrückt umfasst dieses zwei Hauptaufgaben: Das Sicherstellen des laufenden Betriebs auf der einen und eine gezielte Reflektion bei auftretenden Störungen auf der anderen Seite. Die klassischen W-Fragen helfen bei der Analyse. Was ist wann, warum und durch wen passiert und wie können diese Störfälle zukünftig verhindert werden?

Ähnlich wie bei einem Probealarm im Gebäude kann es außerdem sinnvoll sein, gegebenenfalls Störfälle bewusst durchzuspielen, um die Handlungskette und Alarmierungskette zu überprüfen und im Bedarfsfall nachzubessern.

Security and Privacy: Die sichere Verarbeitung von Benutzerdaten

Sicherheit und Privatsphäre erlangen zunehmend einen höheren Stellenwert in der Datenverarbeitung und damit natürlich auch bei dem Einsatz von Cloud-Infrastrukturen. Ganz oben auf der Liste steht, den Zugriff auf Daten durch Unbefugte zu schützen und die Identität bzw. Ziele des Datenbesitzers und damit dessen Privacy zu schützen. Hierfür kommen verschiedene Sicherheitsmaßnahmen zum Tragen.

Identity Management in der Cloud: Wer darf was?


Identity Management bedeutet vereinfacht ausgedrückt: die Daten befugter Personen werden gesammelt, um deren Identität zuverlässig zu überprüfen und Berechtigungen entsprechend zu regulieren.

Ein Teil des Identity Managements ist die Authentifizierung. Authentifizierungsprozesse können über eine einfache Authentifizierung, etwa der simplen Eingabe eines Passworts erfolgen. Aus Security-Sicht wäre dies jedoch grob fahrlässig. Besser sind Multi-Factor-Authentifizierungen oder zumindest Zwei-Faktoren-Authentifizierungen.

Zwei-Faktoren-Authentifizierungen finden bei vielen Online-Services in der Cloud ihren Einsatz. Hier loggt sich der Nutzer mit seiner E-Mail und seinem Passwort ein und bekommt anschließend über einen anderen Weg noch einmal einen Einmalcode zugesandt. Zwei-Faktoren-Authentifizierungen sind zum Beispiel sinnvoll, wenn ein Zugang, etwa das E-Mail Postfach, gekapert wurde. Ohne eine weitere Authentifizierung hätte der Identitätsdieb in der Regel durch eine “Passwort vergessen” Aktion Zugriff auf viele weitere Konten. Zwei-Faktoren-Authentifizierung soll das verhindern.

Noch einen Schritt weiter in puncto Sicherheit geht die Multi-Factor-Authentifizierung. Sie bezieht noch mehr Faktoren ein, um einen berechtigten Zugriff auf Daten sicherzustellen. In vielen Fällen kann sie sogar im Hintergrund erfolgen, etwa durch eine Überprüfung der IP oder des Standorts. Zu einer Multi-Faktor-Authentifizierung gehört auch die vorsorgliche Sperrung des Benutzerkontos, wenn die Authentifizierung gescheitert ist – etwa bei mehrmaliger Eingabe des falschen Passworts.

Zu den wohl sichersten Authentifizierungsmaßnahmen gehört die Hardware Token Lösung. Statt sich einzig und alleine auf Software-Lösungen zu verlassen, ist hier noch eine physisch-technische Authentifizierung erforderlich. Das kann etwa eine Chipkart sein, ein Tokengenerator, der einmal-Tokens generiert (als alleinstehendes Item oder in Form einer App auf dem Smartphone) oder ein Matrix-Token, der über den USB-Port eingeschoben wird.

Je nach Arbeitsumfeld kann beim Authentifizierungsprozess auch das Single Sign on (SSO) sinnvoll sein. Hierbei muss der Benutzer seine Identität nur ein einziges Mal bestätigen, etwa durch ein Passwort, bleibt dann aber an seinem Arbeitsplatz angemeldet – und das für alle Dienste, auf die er über seine ID Zugriff hat. Verlässt der Mitarbeiter die Firma, wird sein Account gelöscht. Weil er ein individuelles Passwort mit SSO hatte, kann er demnach nicht mehr auf Daten zugreifen. Bei gemeinsam genutzten Accounts und Passwörtern wäre das Blockieren des Zugriffs ungleich schwerer und es könnten Sicherheitslücken entstehen.

Ebenfalls Teil des Identity Managements ist die Verteilung von Rollen innerhalb der Cloud. Diese Rollen gehen in der Regel mit verschiedenen Rechten einher. Am einfachen Beispiel eines Dokuments in der Cloud: ihr könnt einer Person für ein Dokument Leserechte zugestehen, aber auch das Recht zu editieren. Gleichzeitig könnt ihr erlauben, dass ein Nutzer ein Dokument mit anderen Nutzern teilen darf und so seinerseits Zugriffsrechte vergeben kann.

Für die Datensicherheit ist es empfehlenswert, den Personenkreis mit administrativen Rechten (Daten teilen, löschen, verändern) klein zu halten und wann immer es möglich ist, nur Leserechte einzuräumen. Außerdem kann eine De-Provisionierung von Nutzern sinnvoll sein. Das bedeutet etwa, dass ein Mitarbeiter zwar Zugriff auf das Backup hat, nicht aber auf aktive Daten und umgekehrt. Menschlichem Versagen oder schadhaftem Verhalten wird so entgegengewirkt.

Physical Security in der Cloud: Klare Zugangskontrollen

Die Cloud ist für die Kunden und Agenturen, die den Service eines Cloud-Providers in Anspruch nehmen, eine virtuelle Infrastruktur. Doch natürlich hat auch die Cloud physische Elemente, die wiederum physischer Sicherheitsmaßnahmen bedürfen. Denn: Jeder, der physischen Zugang zur Cloud hat, hat Zugang zu Ihren Daten. Wie hoch die Sicherheitsmaßnahmen sind, hängt maßgeblich von der Sensibilität der gelagerten Daten ab. Sicherheitsmaßnahmen wie abgeschlossene Räume und Entrance-Security sollten für jeden Cloud-Provider selbstverständlich sein. Bei sehr hohen physischen Sicherheitsstandards kommen auch biometrische Prüfungen der Mitarbeiter zum Einsatz, wie etwa Fingerabdruckscanner.

Grundsätzlich gilt: Um die physische Sicherheit zu garantieren, sollte das Rechenzentrum ISO 27001 zertifiziert sein. Dies stellt sicher, dass der BSI-Grundschutz in dem Rechenzentrum eingehalten und dies von einem unabhängigen ISO 27001-Grundschutz-Auditor bestätigt wurde.

Personnel Security: Sicherheit durch Bodyguards für Ihre Daten

Sicherheitspersonal für Infrastrukturen ist bei sensiblen Daten ein Must-Have. In der Verantwortung der Cloud Provider liegt es, Personal noch vor Einstellung umfangreich zu überprüfen. Hierzu gibt es validierte Standards, z.B. den ISAE 3000.
Dazu kann zum Beispiel die Frage gehören, ob jemand vielleicht vorher für die Konkurrenz eines Kunden gearbeitet hat. Des Weiteren erfordert die Personalsicherheit auch als Ziel, möglichst wenig Personal mit spezifischen Daten vertraut zu machen und, wie weiter oben schon einmal erwähnt, Zugriffsrechte auf verschiedene Personen aufzusplitten. Eine Möglichkeit:

  • Person A hat Zugriff auf Data at rest (unveränderliche, derzeit nicht genutzte Daten, etwa ein Backup)
  • Person B hat Zugriff auf data in motion / data in use. (veränderliche, derzeit genutzte Daten)
  • Für eine Zusammenführung verschiedener Daten (Data in transit), etwa um Teile eines Backups oder ein ganzes Backup wieder zur aktiven Nutzung verfügbar zu machen, braucht es die Zustimmung beider Personen. Die Sicherheit wird so doppelt überprüft und ein Einspielen schadhafter Daten wird erschwert.

Wege zur Privacy in der Cloud

Um Daten in der Cloud sicherer zu machen und damit die Privacy der Datenbesitzer zu schützen, gibt es verschiedene Ansatzpunkte der Data Security. Eine davon ist etwa Encryption, also eine Verschlüsselung der Daten. Encryption erlaubt eine Datenverarbeitung auch bei aktiven Daten, ohne diese zu Entschlüsseln. Dabei gibt es verschiedene Formen von Encryption (Verschlüsselung) mit unterschiedlichen Vorteilen.

  • Homomorphe Verschlüsselung: Berechnungen können auf verschiedenen Servern verteilt werden, die sich untereinander nicht vertrauen. Eine Datenbearbeitung ist möglich, ohne dass der Cloud Provider oder jemand anderes entschlüsselte Daten zu Gesicht bekommt. Die Daten bleiben verschlüsselt und auch das Ergebnis wird verschlüsselt versendet. Für real-life applications ist diese kostenintensive Methode jedoch häufig nicht praktikabel.
  • Partielle homomorphe Verschlüsselung: Diese erlaubt eine Keywordsuche, andere Suchmöglichkeiten sind jedoch nicht vorgesehen. Aufgrund dieser Tatsache ist sie nur für moderate Datenmengen geeignet, steht aber in puncto Sicherheit der vollen homomorphen Verschlüsselung in nichts nach.

Compliance in der Cloud

Mit dem Beauftragen eines Cloud-Providers gibt ein Unternehmen die alleinige Verantwortung über seine Daten ab und es müssen firmenübergreifende Regeln zum Data-Management gefunden werden. Damit alles gesetzeskonform abläuft, müssen die Ansprüche des Providers und des Kunden Hand in Hand gehen. Festgelegte Regularien unterscheiden sich je nach Branche und Datensensibilität und beide Seiten sollten diese kennen. Ist nach genauer Überprüfung sichergestellt, dass auch mit Zusammenarbeit des Cloud Providers alle Regelungen zum Datenschutz eingehalten werden, ist auch eine Compliance in der Cloud problemlos umsetzbar.