Wie sicher ist die Wolke?
Cloud Computing wird von den Anbietern als Allheilmittel bei der Generierung neuer Umsätze angesehen. Immer mehr Unternehmen und Behörden wollen ihre Prozesse und Daten in die Cloud auslagern – sie müssen sich allerdings fragen, wie sicher diese Lösung ist.
Wie sicher ist der Wolkenrechner?
Beim Cloud Computing (Berechnung in der Wolke) wird der Ansatz verfolgt, die zum Ablauf einer Anwendung erforderlichen Ressourcen bedarfsbezogen über das Internet zur Verfügung zu stellen. Der Kunde hat verschiedene Möglichkeiten, die Leistungen abzurufen: Nach Bedarf auf Abruf, über einen Netzwerkzugang, über einen virtuellen Pool, mit dynamischer Lastanpassung oder mit Monitortools überwacht.
Der folgende Artikel konzentriert sich beispielhaft auf die Angebote von Microsoft:
Microsoft online
Microsoft online ist das Angebot, das in der oben beschriebenen Terminologie dem SaaS – also Software as a Service – entspricht. Der Kunde kann keine eigenen Anwendungen betreiben, sondern nutzt spezifische, von Microsoft vorgegebene Anwendungen aus dessen Produktpalette im office-nahen Bereich.
Windows Azure
Mit Windows Azure bietet Microsoft im Bereich des Cloud Computing eine plattformbasierte Lösung an, also PaaS – Platform as a Service. Bereitgestellt werden Prozessorleistung, Speicher und Datenbankfunktionen (mit einer 99,9-%- Verfügbarkeitszusage).
Windows Hyper-V
Mittels Hyper-V, der Virtualisierungsfunktion von Windows Server 2008, können Plattformen flexibel skaliert und verwaltet werden. Mit neuen VMs (virtuellen Windows-Maschinen) innerhalb der Server oder zusätzlichen Servern wird eine lastabhängige dynamische Plattform ermöglicht.
Cloud Computing noch keine Lösung für den alltäglichen Einsatz
Die technischen Fragestellungen von Cloud Computing sind mittlerweile weitgehend gelöst. Azure und die anderen Cloud-Lösungen von Microsoft bieten komplette und flexible Plattformen, deren Schnittstellen sich problemlos in die eigene IT-Infrastruktur integrieren lassen. Allerdings sind einige organisatorische Hürden zu nehmen und vor allem Fragen der
Sicherheit zu beantworten.
Daraus folgt, dass Cloud-Computing noch keine Lösung für den alltäglichen Einsatz ist. Doch gibt es eine Reihe von Anwendungen, die sich relativ problemlos in eine Cloud verlagern lassen. Insbesondere bei Webshops und anderen webbasierten Diensten ist es oft nur ein kleiner Schritt von einer vorhandenen, an einen externen Provider ausgelagerten Lösung zur Cloud.
Sicherheitsrisiken in der Cloud
An Schwierigkeiten, Risiken und Problemen einer Cloud sieht man sich als Nutzer den im Folgenden aufgeführten Punkten gegenüber. Inwieweit sie auf den jeweiligen Anbieter im Allgemeinen und auf Microsoft im Besonderen zutreffen, muss jeder Nutzer für sich und sein Anwendungsgebiet selbst entscheiden:
Abhängigkeit vom Anbieter
So variabel und dynamisch das Angebot eines Anbieters auch sein mag – fällt der Anbieter weg, steht die gesamte Anwendung sofort nicht mehr zur Verfügung. Der Wechsel zu einem anderen Anbieter ist schwierig.
Migration
Aufgrund der Ausnutzung der spezifischen Möglichkeiten eines Anbieters, die von anderen Anbietern nicht oder nur inkompatibel angeboten werden, ist der Wechsel äußerst umständlich.
Backups
Auch mit hohen Verfügbarkeitsgarantien und regelmäßigen Backups bleibt die Abhängigkeit vom Anbieter bestehen – dies umso mehr, da die Backups nicht beim Kunden selbst liegen.
Know-how
Natürlich ist Cloud Computing ein weiterer Schritt auf dem Weg, eigene Ressourcen – auch und besonders beim Personal – zu minimieren. Dem Kostenvorteil steht allerdings massiv der interne Know-how-Abbau entgegen. Bei auftretenden Problemen ist man zunehmend abhängig vom externen Anbieter, ohne die eigentlichen Inhalte selbst noch verstehen oder beurteilen zu können.
Datenschutz
Die Verantwortung für die Daten obliegt operativ dem Anbieter der Cloud, inhaltlich und juristisch aber weiterhin dem Kunden! Dieser kann jedoch die Verteilung der Daten in der Cloud selbst fast nicht mehr beeinflussen.
Wie Sie diese Risiken für Ihr Unternehmen einschätzen und minimieren, lesen Sie im zweiten Teil des Artikels.
Um die Risiken zu minimieren und die Vorteile von Cloud-Computing zu nutzen, empfiehlt sich eine Vorgehensweise nach den folgenden Vorschlägen.
Vertrauenswürdigkeit
Es steht außer Zweifel, dass Microsoft mit seinem Azure ein vertrauenswürdiger Partner ist. Dennoch muss geprüft werden, ob die eigenen Sicherheitsanforderungen mit einem Auslagern in eine Cloud allgemein und mit einem Einsatz von Azure im Speziellen in Einklang zu bringen sind. Folgende Dinge müssen deshalb abgeklärt und ggf. vertraglich fixiert werden:
Mindestanforderungen für den Umgang mit Daten
Die Daten, die in die Cloud ausgelagert werden, müssen klassifiziert werden, wie kostbar sie für das Unternehmen sind. Danach sind Mindestanforderungen für den Umgang mit diesen Daten festzulegen (Verschlüsselung, lokale Backups etc.). Es ist zu klären, ob Microsoft diese Anforderungen erfüllt und sich dazu in einem Service-Level-Agreement verpflichtet.
Sicherheit ist nur so gut wie ihr schwächstes Glied
Für die gesamte in die Cloud ausgelagerte Infrastruktur ist zu bestimmen, an welchen Stellen Risiken auftreten können und wo Angriffspunkte liegen. Es ist zu gewährleisten, dass die Daten beim Provider mindestens so sicher aufgehoben und verarbeitet werden wie innerhalb des Unternehmensnetzwerks.
Es muss geklärt werden, wie die eigenen Anwendungen und Daten von Anwendungen und Daten anderer Kunden abgetrennt werden. Das betrifft vor allem Details des Virtualisierungskonzepts innerhalb von Azure, auf der logischen Ebene ist die Trennung durch Virtualisierung bereits erfüllt.
Prinzip der minimalen Privilegien
Administrative Aufgaben müssen in einzelne Rollen aufgeteilt werden. Weder ein lokaler Administrator im Unternehmen noch ein Cloud-Administrator von Microsoft darf Zugriff auf Anwendungen und Daten haben, die er zur Erfüllung seiner Aufgaben nicht benötigt. Dieses Prinzip der minimalen Privilegien gilt in der IT insgesamt, bei ausgelagerten Daten und Prozessen gewinnt es aber eine ganz neue Qualität.
Definition einer Sicherheits-Policy
Abhängig vom Sicherheitsbedarf der Daten ist für die betroffenen virtuellen Maschinen eine Sicherheits-Policy zu definieren und deren Umsetzung zu kontrollieren. Je nach ihrem Sicherheitsbedarf sind die Daten zu verschlüsseln.
Aufteilung in mehrere Datenbanken
Zusätzlich kann die Aufteilung von Daten in mehrere Datenbanken sinnvoll sein (z.B. Kundennamen und Kreditkartennummern), damit ein eventueller Einbrecher sich mit zusätzlichen Hürden konfrontiert sieht.
An die Authentifizierung an einer Cloud sollten höchste Ansprüche gestellt werden. So scheidet eine Pre-Shared-Key-Lösung (bestimmtes Verschlüsselungsverfahren) zur Anmeldung eines Clients in den meisten Fällen aus.
Schutzmaßnahmen
Trotz der von Microsoft vorgenommenen Absicherung der für Azure genutzten Infrastruktur sind erfolgreiche Angriffe oder Ausfälle nicht ausgeschlossen. Diese werden durch Programmierfehler oder schwache Sicherungsmechanismen in der Applikation selbst begünstigt.
Folgende Schutzmaßnahmen sind empfehlenswert:
- Starke Authentifizierung für den Benutzer von Diensten.
- Aufbau einer gestaffelten Verteidigungslinie zum Schutz vor Malware. Das umfasst interne Plausibilitäts- und Konsistenzkontrollen, mit denen die in der Cloud laufenden Anwendungen auf ein Einschleusen von Malware permanent überwacht werden.
- Ständige Beschaffung von Informationen über aktuelle Sicherheitslücken und Angriffsszenarien, um ggf. eine Anwendung vom Netz zu nehmen und nachzubessern. Azure muss sich in den eigenen Notfallplan einfügen, vor allem was maximale Ausfallzeiten und Datensicherungen angeht.
Zur Betrachtung des Worst-Case ist eine ergänzende Risikobetrachtung sinnvoll, bei der die Auswirkungen eines Ausfalls des Internets auf die eigenen Geschäftsprozesse untersucht werden.
Data Compliance
Die Korrektheit und Ordnungsmäßigkeit der in eine Cloud ausgelagerten Datenverarbeitung muss regelmäßig kontrolliert werden. Dazu sind Mechanismen von Monitoring und Audit erforderlich. Um die als Data Compliance bezeichneten Anforderungen zu erfüllen, sind folgenden Maßnahmen nötig:
Microsoft muss Logdaten in ausreichendem Umfang zur Verfügung stellen, damit im Unternehmen eine Kontrolle stattfinden kann. Ideal ist es, wenn Azure-Logdaten direkt in eine SIEM-Lösung (Security Information and Event Management) eingespeist werden können.
Auswirkungen von Gesetzesänderungen (z.B. BDSG-Novellen) und anderen verpflichtenden Vorgaben auf die Prozesse und Daten in einer Cloud müssen beachtet werden.
Regelmäßige Kontrollen
Die Microsoft-Infrastruktur muss vom Unternehmen regelmäßig kontrolliert werden, insbesondere wenn personenbezogene Daten verarbeitet werden.
Was Sie soeben lasen, waren Auszüge aus einem Beitrag von Dr. Markus a Campo. Er gibt das Werk "Netzwerksicherheit online" heraus. Wollen Sie beim Thema Netzwerksicherheit auf dem Laufenden bleiben? Dann nutzen Sie gleich mal die Möglichkeit, 14 Tage lang völlig unverbindlich und kostenlos die Artikel in Netzwerksicherheit online zu lesen und zu testen.
