Security as a Service

Wie Snowden den Cloud-Sicherheitsmarkt beeinflusst

21.11.2013
Von 
Dr. Michael Wagner ist als Managementberater und Publizist tätig. Schwerpunkt seiner Tätigkeit ist die Unterstützung von Organisationen durch moderne Informationstechnologien wie sozialen Medien. Seit 2008 berät er als Senior Manager des Beratungshauses zeb/ Unternehmen der Finanzdienstleistungsbranche in Fragestellungen der Strategie, Governance, Architektur und Operations. Zuvor war er in verschiedenen Beratungen unter anderem auch für Unternehmen der Automobilindustrie und für Handelsunternehmen tätig. Seit 1992 hat Michael Wagner als Publizist zahlreiche Artikel veröffentlicht und Fachvorträge gehalten. Er hat sein Studium der Informatik und Wirtschaftswissenschaften an der TU München abgeschlossen und dort in Informatik promoviert.

Wandel des Anbieterspektrums

Das sieht auch Forrester-Analyst Andrew Rose so. SECaaS-Anbieter müssten sich als Ergänzung zu internen Teams verstehen, um sich in Zukunft unverzichtbar zu machen. SECaaS könne den Anwendern insbesondere in Verbindung mit Cloud Computing viel Routinearbeit abnehmen, wenn es etwa um die Analyse von Logs oder den Release von Patches gehe. Durch das Testen aller im Unternehmen vorhandenen PC-Konfigurationen auf virtuellen Maschinen lasse sich nach den Erfahrungen von Rose die Zeit für einen Patch-Release von Monaten auf Tage oder gar Stunden reduzieren. Zeit, die im Kampf gegen virtuelle Einbrecher aller Art Gold wert ist.

SECaaS könne - so Rose - zudem dem schwächsten Glied in der Sicherheitskette helfen - dem Nutzer. Gerade in den vergangenen zwei bis drei Jahren nimmt die Zahl der Angriffe auf einzelne Personen, meist aus dem Top-Management - rapide zu. Diese so genannten "Slow Attacks" oder auch "Advanced Persitent Threats" können sich über Wochen und Monate hinziehen. Administratoren entdecken diese Art der Angriffe meist nur zufällig, spezielle SECaaS-Dienste könnten sie nach Meinung des Analysten automatisiert unterstützen.

Was den SECaaS-Anbietermarkt angeht, nimmt Rose einen Trend zum verstärkten Engagement von TK-Carriern und Hardware-Herstellern wahr. Große Carrier wie British Telekom oder Verizon wollten "saubere Datenströme" aus einer Hand anbieten. Auf der anderen Seite des Spektrums bringen große Hardwarehäuser wie HP oder IBM zunehmend eigene Security-Services an den Start. Für rein auf SECaaS spezialisierte Anbieter wird der Markt also kleiner.

In der Entwicklung

Kristof Kloeckner glaubt, dass Standards für die SECaaS-Einbindung in Software zunehmend wichtiger werden.
Kristof Kloeckner glaubt, dass Standards für die SECaaS-Einbindung in Software zunehmend wichtiger werden.
Foto: IBM

Kristof Kloeckner, Software-Manager bei IBM, ist dann auch der Meinung, dass SECaaS sowohl für Hersteller als auch Kunden unverzichtbar wird. IBM berücksichtige die gestiegenen Sicherheitsanforderungen deshalb bereits während der Entwicklung der Software, sowohl für die Server- als auch für die Client-Seite. Security-Prüfungen seien bereits ein fester Bestandteil der auf dem DevOps-Konzept basierenden Entwicklungsmechanismen für Continous Delivery bis in die Cloud. "Die Kombination von DevOps und Cloud ermöglicht es, das Fenster der Verwundbarkeit zu minimieren" so Kloeckner. Die Bedeutung von Standard-Schnittstellen in der Software für die Einbindung von SECaaS-Diensten werde daher wachsen.

IBM habe seine Entwicklungswerkzeug und Cloud-Angebote gehärtet und könne mit dem Zukauf des Spezialanbieters "Fiberlink Communications" auch eine umfassenden Service für das Mobile Device Management anbieten. Ein laut Kloeckner notwendiger Schritt, um die Diskrepanz in den Sicherheitsmechanismen zwischen den "Systems of Engagement", die den direkten Kontakt zum Kunden herstellen - oft mobil über soziale Netze - und den "Systems of Record", die die langjährigen Daten halten, mit SECaaS zu überbrücken.

Milliardenmarkt

Matthias Zacher räumt Security-Services sehr gute Zukunftsaussichten ein.
Matthias Zacher räumt Security-Services sehr gute Zukunftsaussichten ein.
Foto: Uwe Noelke MENSCHENfotografie

Dass Unternehmen zunehmend Probleme haben, den Überblick über den Sicherheitsstatus ihrer Systeme zu gewinnen, berichtet IDC-Berater Matthias Zacher. Laut einer Studie zur IT-Security in Deutschland benötigen 70 Prozent der Unternehmen mehr als einen Tag, um ihren genauen Sicherheitsstatus zu ermitteln, und selbst dann ist seine Vollständigkeit nicht immer gegeben.

Aufgrund dieser Erkenntnis bescheinigen die IDC-Marktforscher Security as a Services ein hohes Wachstumspotenzial - von 13,7 Prozent bis 2017 ist die Rede. Als wichtiges Wachstumsfeld streicht Zacher hier den Bereich des Mobile Device Management (MDM) heraus. Darüber hinaus erkennt er einen Trend hin zu "Rundum-Sorglos"-Paketen im Security-Umfeld - also Sicherheitssuiten eines einzigen Anbieters, der alle relevanten Unternehmensbereich übergreifend mit Lösungen versorgt. Weil diese Pakete häufig aber nicht organisch, sondern durch Zukäufe seitens der großen Anbieter entstehen, ist Zacher skeptisch, ob die Zusammenführung der verschiedenen Lösung in jedem Fall erfolgreich sein kann oder ob nicht die Gefahr neuer Angriffsflächen besteht.

IDC erwartet für Security-Services bis 2017 ein starkes Wachstum.
IDC erwartet für Security-Services bis 2017 ein starkes Wachstum.
Foto: IDC

Fazit

Edward Snowden hat die Aufmerksamkeit für das Thema Internet-Sicherheit und die Nachfrage nach entsprechenden Lösungen wachsen lassen. Diese Nachfrage ist so hoch, dass selbst Startups wie SecurCloud bereits in der Funding-Phase profitieren. Der "Noch-Nicht-Anbieter" konnte seine Investment-Summe noch am ersten Zeichnungstag auf 500.000 Euro verdoppeln und voll realisieren. Das Projekt zählt damit zum den erfolgreichsten Investments des Jahres auf Online-Plattformen. SECaaS-Dienste liegen also voll im Trend. (sh)

SECaaS-Checkliste

Liegt der juristische Sitz in Deutschland oder Europa?
Stehen auch die Server und alle Spiegel in Europa oder Deutschland?
Wenn Daten gespeichert werden, garantiert der Anbieter einen Standort in Europa?
Wird schon auf den Client verschlüsselt (insbesondere bei mobilen Geräten) und entspricht die Verschlüsselung den Empfehlungen des BSI?
Sind die Primärschlüssel nur dem Kunden zugänglich und schützt ein nachvollziehbares Prozedere die Kunden vor Schaden?
Wenn Daten gespeichert werden, werden diese regelmäßig gesichert? Und wer hat Zugriff zu den Backups?
Ist die Herausgabe und Löschung aller Daten gewährleistet, wenn es zu einer Kündigung kommt bzw. gibt es eine Nachfolgeregelung?