Die Zahl der Cloud-Angebote wächst - beginnend bei virtuellen Servern über Textverarbeitungsprogramme bis hin zu CRM-Suiten, die Anwender heute per Mausklick aus dem Internet beziehen können. Dabei muss zwischen Private-Cloud-Angeboten, die nur einem bestimmten Nutzerkreis wie Angehörigen der gleichen Firma offensteht, und Public-Cloud-Lösungen, die alle Interessierten verwenden können, unterschieden werden.
Foto: natashasha, shutterstock.com
Drei verschiedene Service-Modelle sind im Einsatz: Infrastructure-as-a-Service (IaaS) stellt dem Anwender Infrastruktur wie virtuelle Maschinen oder Speicherplatz zur Verfügung. Platform-as-a-Service (PaaS) offeriert eine Ausführungs- und Entwicklungsumgebung. Bei Software-as-a-Service (SaaS) schließlich bietet der Cloud-Provider eine Software-Komplettlösung an, die der Anwender beispielsweise über den Webbrowser bedient. Gängigstes Beispiel für SaaS-Angebote sind Office-Suiten.
Bedrohungen
Cloud-Services sind durch ihre Exponiertheit im Internet zahlreichen Angriffsmöglichkeiten und Gefahren ausgesetzt. Sie sind öffentlich erreichbar und zumeist betreiben Dritte ihre Infrastruktur, was beides Sicherheitsrisiken zur Folge hat. Die Cloud Security Alliance (CSA) hat die aus ihrer Sicht sieben größten Gefahren bei der Nutzung von (Public) Cloud Computing beschrieben:
-
Missbrauch und schädliche Nutzung von Cloud Computing
Begünstigt durch grundlegende Eigenschaften von Cloud-Infrastrukturen (wie die schnelle und einfache Verfügbarkeit neuer Ressourcen mit sehr guter Netzanbindung) ist die Nutzung von Cloud-Ressourcen für Angreifer sehr interessant, um beispielsweise Denial-of-Service-Attacken (DoS) zu starten oder Schadsoftware zu hosten.
-
Unsichere Schnittstellen und APIs
Cloud-Services und die von den Anbietern zur Verfügung gestellten Management-Schnittstellen sind bei Public-Cloud-Angeboten über das Internet erreichbar und lassen sich daher leicht angreifen. Darüber hinaus existieren Programmierschnittstellen, die von den Anwendern zur Steuerung und Konfiguration der Cloud-Services verwendet werden können. Schwachstellen an diesen Interfaces öffnen möglicherweise Einfallstore, um beispielsweise unrechtmäßigen Zugriff auf Kundendaten zu erhalten.
-
Böswillige Insider
Sicherheitsmaßnahmen der Software sind oft wirkungslos, wenn der Angreifer auf die Infrastruktur des Cloud-Anbieters zugreifen kann. Das ist besonders bei böswilligen Insidern der Fall - also Mitarbeitern des Cloud-Anbieters, die sich Zugriff auf Kundendaten verschaffen.
-
Risiken durch geteilte Technologien
Eine weitere Eigenschaft von Cloud Computing ist das so genannte Pooling von Ressourcen. Das bedeutet, dass die physischen Ressourcen von allen Anwendern der Cloud-Services gemeinsam verwendet werden. Dabei können sich Probleme bei der zuverlässigen Trennung der Nutzerdaten ergeben.
-
Datenverlust und -kompromittierung
Weil die Daten in der Cloud gespeichert sind und viele Anwender gleichzeitig dieselbe Infrastruktur verwenden, ergeben sich besondere Anforderungen an die Datensicherheit. Vergangene Probleme bei Cloud-Providern zeigen, dass es auch durch technische Probleme zu Datenverlusten kommen kann.
-
Diebstahl von Benutzerkonten oder Cloud-Diensten
Damit Anwender ihre Dienste schnell und einfach benutzen können, setzen viele Cloud-Anbieter auf einen simplen Anmeldeprozess. Gelingt es einem Angreifer, die Zugangsdaten eines Kundenkontos in Erfahrung zu bringen, kann er unter falschem Namen auf fremde Daten zugreifen, Ressourcen missbrauchen und Schaden anrichten.
-
Unbekannte (neue) Risiken
Um die Risiken von Cloud-Services abzuschätzen, müssen Anwender die Sicherheitsvorkehrungen der Anbieter analysieren und in die eigene Betrachtung mit einbeziehen. Findet diese Risikoanalyse nicht oder nur unzureichend statt, weil der Cloud-Provider nicht alle benötigten Informationen bereitstellt, bleibt ein nicht einschätzbares Risiko.
- Die 10 größten Security-Risiken in der Cloud
Lesen Sie, welche Security-Risiken der Einsatz einer Public oder Hybrid Cloud birgt und was Sie dagegen tun können. - Verletzung der Vertraulichkeit und Integrität der Daten:
Eine Lokalisierung der Daten ist in einer Public oder Hybrid Cloud für den Dateneigentümer nicht mehr einfach möglich. Daher ist der Schutz der Daten auf der Infrastruktur-, Plattform und Applikationsebene häufig nicht mehr mit üblichen Mitteln zu gewährleisten. - Löschung von Daten:
Daten müssen in vielen Fällen (etwa aufgrund gesetzlicher Bestimmungen) gelöscht werden. Auch hier besteht das Risiko einer nur unzureichenden oder unvollständigen Löschung auf allen Plattformen und Datenbanken der Cloud, da die Lokalisierung der Daten nur schwer möglich ist. - Ungenügende Mandantentrennung:
Bei nicht ausreichend abgesicherter Mandantentrennung besteht die Gefahr, dass Dritte unautorisiert Daten einsehen oder manipulieren können. - Verletzung der Compliance:
Da Daten in einer Public Cloud prinzipiell in allen Ländern der Welt in deren spezifischen Rechtsordnungen verarbeitet werden können, ist die Erfüllung aller gesetzlicher Anforderungen eine wesentliche Aufgabe bei der Nutzung von Public Cloud Leistungen. - Verletzung von Datenschutzgesetzen:
Es ist nicht von vornherein klar, in welchen Ländern, Rechenzentren, auf welchen Servern und mit welcher Software die Daten gespeichert und verarbeitet werden. - Insolvenz des Providers:
Die Insolvenz eines Providers bedeutet meist nicht die Insolvenz aller Rechenzentren, die der Provider verwendet hat. Rechenzentren werden zudem bei Insolvenz mit großer Wahrscheinlichkeit an andere Provider verkauft werden. - Problematik der Subunternehmer:
Ein weiteres Problem stellt die Auftragsweitergabe an Subunternehmer dar. Der Provider wird häufig Subunternehmer für gewisse Leistungen verpflichten. In einer Public Cloud bleibt auch diese Komplexität dem Benutzer häufig verborgen (und soll ja nach der Philosophie des Cloud Computing verborgen bleiben). - Beschlagnahmung von Hardware:
Eine Beschlagnahme von Hardware kann in allen Ländern erfolgen, in denen der Provider Computing-Ressourcen nutzt. Meist werden sich Daten des Auftraggebers auf beschlagnahmten Servern befinden. - Handel mit Ressourcen wird denkbar:
Denkbar ist auch, dass Provider einen Handel mit ihren Ressourcen untereinander aufbauen und damit eine "Ressourcenbörse" realisieren wie sie in obiger Abbildung angedeutet ist. Auf dieser Börse werden Ressourcen zu einem bestimmten Preis angeboten. - Erpressungsversuche:
Die Gefahr von Erpressungsversuchen steigt, da der Personenkreis mit Administrationsaufgaben für Ressourcen der Public Cloud unüberschaubar groß ist. Das eingesetzte Personal verfügt im Allgemeinen über unterschiedliches Ausbildungsniveau und Sicherheitsbewusstsein.
Anforderungen an Cloud-Infrastrukturen
Wichtige Anforderungen an eine Cloud-Infrastruktur sind eine solide Sicherheitsarchitektur und eine sichere Mandantentrennung auf allen Infrastrukturebenen (Virtualisierung, Netzwerk, Plattform, Anwendung, Daten). Des Weiteren sollten Anwender darauf achten, dass der Cloud-Provider nach einem definierten Vorgehensmodell für das Management von IT-Prozessen arbeitet - wie ITIL oder COBIT. Nur so schafft dieser es, die vielen Aufgaben des Sicherheitsmanagements strukturiert anzugehen. Dazu gehören Patch-Management, Konfigurations-Management, Änderungs-Management, System-Management und Application-Management. Als Absicherung der Cloud gegen Störungen und Notfälle muss zusätzlich ein Notfallmanagement existieren. Zertifizierungen - beispielsweise ISO 27001 - können dem Anwender signalisieren, dass der Provider solche Prozesse etabliert hat.
- Datenschutz und Datensicherheit
Saugatuck hat einen Fragenkatalog zur Security im Cloud Computing zusammen gestellt, den Interessenten Ihrem potenziellen Cloud-Provider vorlegen sollten. - Fachliche Anforderungen
Wie kann der Kunde auf seine Daten zugreifen oder diese wiederherzustellen? - Fachliche Anforderungen
Wie wird Sicherung der Daten einschließlich Disaster Recovery gewährleistet? - Fachliche Anforderungen
Wie, in welchem Format und nach welchen Umständen oder Bedingungen werden bei Vertragsende die Daten des Kunden an ihn übergeben? - Die Technik für Datenschutz und -sicherheit
Sind die Rechenzentren uneingeschränkt, rund um die Uhr, physikalisch und auch nach Mehr-Personen-Prinzip gesichert? - Die Technik für Datenschutz und -sicherheit
Ist es sichergestellt, dass das Personal des Providers weder Zugang zu den Benutzerpasswörtern und Berechtigungen des Anwenders hat noch diese einsehen kann? - Die Technik für Datenschutz und -sicherheit
Werden die Vorschriften zu Passwortrichtlinien, Zugriffsbeschränkungen, Anmeldeprotokollierungen, Datenzugriffsmodellen sowie zum Feldebenenzugriff dokumentiert? - Die Technik für Datenschutz und -sicherheit
Werden alle Passwörter verschlüsselt übertragen? - Die Technik für Datenschutz und -sicherheit
Gibt es ein sicheres Session-Key-Management und besteht eine Multi-Tenant-Datenzugriffskontrolle? - Die Technik für Datenschutz und -sicherheit
Werden Sicherheitsverstöße überwacht? Werden Eindringversuche (Intrusion Detection) und sicherheitsrelevante Vorfälle (Security-Event-Management) dokumentiert? - Transaktionen im Internet
Gibt es eine 128-bit SSL-Verschlüsselung für jede Transaktion? - Transaktionen im Internet
Liegen Verisign-Zertifikate vor? - Transaktionen im Internet
Werden Perimeter und Firewalls ständig überwacht? Sind Intrusion Detection sowie vorausschauendes Log-File-Monitoring Standardverfahren? - Sicherheitsmonitoring
Werden erfolgreiche und fehlgeschlagene Logins dokumentiert? - Sicherheitsmonitoring
Werden Eindringversuche (Intrusion Detection) und sicherheitsrelevante Vorfälle (Security-Event-Management) dokumentiert? - Interoperabilität mit On-Premise-Anwendungen
Welchen Einfluss haben Security-Architekturen und -Praktiken des Cloud-Providers auf die lokalen Installationen des Anwenders? - Interoperabilität mit On-Premise-Anwendungen
Legt der Betreiber der Multi-Tenancy- und Cloud-Plattform die verwendeten Techniken und Abläufe für das Data-Partitioning offen und dokumentiert sie? - Gesetzliche Anforderungen
Ist bei Speicherung von personenbezogenen Daten außerhalb der Grenzen des Europäischen Wirtschaftsraumes ein angemessenes Schutzniveau gewährleistet, wie es das Bundesdatenschutzgesetz vorschreibt (Paragraf 4b Absatz 2 Satz 2 BDSG)? - Gesetzliche Anforderungen
Ist es sichergestellt, dass ausschließlich solche Anwender auf Anwendung und deren Daten zugreifen können, die auch dazu berechtigt sind? - Gesetzliche Anforderungen
Können personenbezogenen Daten bei der Verarbeitung, Nutzung und nach Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden? - Gesetzliche Anforderungen
Lässt sich nachträglich prüfen und feststellen, ob und von wem personenbezogene Daten in Anwendungssystemen eingegeben, verändert oder entfernt worden sind? - Gesetzliche Anforderungen
Können zu unterschiedlichen Zwecken erhobene personenbezogene Daten getrennt verarbeitet werden?
Ein weiteres wichtiges Auswahlkriterium ist der Hauptsitz des Cloud-Providers. Viele bekannte Anbieter operieren von den USA aus und unterliegen den dortigen Gesetzen. Dazu gehört insbesondere auch der Patriot Act, der US-Behörden den umfangreichen Zugriff auf Anwenderdaten erlaubt, ohne dass die Anwender darüber informiert werden müssen.
Foto: SafeNet
Die Frage nach der Nutzung von Cloud-Technologien und der Auslagerung von Diensten muss in erster Linie aus der Perspektive der Beherrschbarkeit mit den damit verbundenen Risiken betrachtet werden. Abhängig vom Einsatzszenario ergeben sich unterschiedliche Sicherheitsanforderungen. Diese werden in zahlreichen Studien und Leitfäden, wie beispielsweise von Fraunhofer AISEC, dem Bitkom, EuroCloud, Enisa, der CSA sowie im Eckpunktepapier des deutschen Bundesamts für Sicherheit in der Informationstechnik (BSI) "Sicherheitsempfehlungen für Cloud-Computing-Anbieter" erläutert.
Sichere Nutzung von Cloud-Diensten
Folgende Maßnahmen sollte ein Anwender im Vorfeld oder zu Beginn der Nutzung von Cloud-Services beherzigen:
-
Schutzniveau der Daten definieren
Bei der Datenerzeugung oder beim -transfer in die Cloud sollte der Anwender seine Daten klassifizieren (Sicherheitslevel "niedrig" bis "sehr hoch"), ihren Schutzbedarf analysieren und damit festlegen, welche Daten bei einem Cloud-Anbieter auf welche Weise gespeichert und übertragen werden dürfen. Dies kann beispielsweise die Verwendung bestimmter kryptografischer Verfahren oder ein umfassendes Rechtekonzept für den Zugriff auf bestimmte Informationen umfassen.