Datenschutz, Integrität, Verfügbarkeit: die Grundwerte der Cloud-Sicherheit

Das Thema Cloud-Sicherheit beschäftigt sowohl die Anbieter als auch ihre Kunden. Dabei zieht es sich durch alle Phasen einer Cloud-Strategie: vom Beginn der Planung über die Wahl der Provider bis hin zur Beendigung der Nutzung eines Dienstes.

In jedem Fall ist zu klären, welche Informationen und Prozesse abzuschirmen sind und welche externen – und selbstverständlich auch internen – Bedrohungen lauern. Prinzipiell gilt es, die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu schützen, die auch als die „Grundwerte der Informationssicherheit“ bezeichnet werden.

Diese Grundwerte müssen auf drei Spielfeldern im Auge behalten werden: beim Betrieb auf Seiten der Cloud-Dienste (1), auf Seiten der Benutzer (2) und vor dem Betrieb (also bei der Einführung) sowie bei der Kündigung einer Cloud-Dienstleistung (3).

1. Bedrohungen für die Cloud-Sicherheit

Die Cloud-Sicherheit wird von mehreren Seiten bedroht. Deswegen müssen die Infrastruktur und die Services eines Anbieters gegen äußere und innere Bedrohungen geschützt sein. Höchste Priorität hat der Schutz vor Datenverlusten bzw. der Abfluss von Informationen. Darüber hinaus muss die dauerhafte Verfügbarkeit der Internet- sowie aller Netzverbindungen gewährleistet sein, damit die Kunden jederzeit auf Daten und Anwendungen zugreifen können. Schließlich gilt es, alle Arten von Angriffen abzuwehren, zum Beispiel DoS-Attacken oder das Einschleusen von Ransomware, die auch schon populäre Web-Server wie Amazon, Yahoo und eBay lahmgelegt haben und für einen längeren Zeitraum Anfragen verhinderten.

Der Schutz vor den Gefahren von außen beginnt innen, zum Beispiel durch eine verlässliche, fehlerfreie Cloud-Administration, die mit der hohen Komplexität ihrer Dienste vertraut ist und damit Dienstausfälle und Datenverluste verhindert. Auch die IT eines Unternehmens, das Cloud-Dienste nutzt, sollte sich darüber im Klaren sein, dass kleine interne Fehler oder Pannen große Auswirkungen auf Cloud-basierte Prozesse haben können, sowohl bei der Daten- als auch der Betriebssicherheit.

2. Bedrohungen für den Cloud-Dienst

Mit Cloud-Sicherheit setzt sich die Non-Profit-Organisation Cloud Security Alliance (CSA) durchgehend auseinander. Denn diese gibt jährlich eine aktualisierte Liste der wichtigsten Bedrohungen heraus. Nach CSA-Recherchen stehen Identitätsdiebstahl und der Missbrauch von User-Accounts an erster Stelle, gefolgt von der mangelnden Sicherheit von Endgeräten, mit denen auf die Cloud-Dienste zugegriffen wird.

Dies unterstreicht den Nutzen von kurzen, verständlichen Anleitungen für die Verbraucher, die dabei helfen, den Cloud-Dienst sicher zu nutzen. Dazu gehören Newsletter mit aktuellen Informationen darüber, wie man Phishing-Mails erkennt, welche PINs und Passwörter der Cloud-Dienst niemals abfragen würde oder wie man durch die Verschlüsselung des heimischen WLANs das Abfangen von Daten verhindern kann.

Ein hohes Niveau der Cloud-Sicherheit basiert auf dem optimalen Zusammenspiel von Verhaltensregeln, Prozessen und technischen Vorgaben.

3. Bedrohungen bei der Einführung und Nutzung der Cloud

Neben den Bedrohungen beim Anbieten und beim Nutzen von Cloud-Diensten lauern auch auf dem Weg in die Cloud Gefahren für Unternehmen und Anwender. Das größte Manko ist das Fehlen einer durchdachten Cloud-Strategie, sodass die Ziele, die mittels Cloud-Computing  erreicht werden sollen, weder klar definiert noch überprüfbar sind. Oder es werden kritische Momente beim Einführungsprozess aufgrund einer mangelhaften Planung übersehen, was später zum Scheitern des Projekts führt.

Wenn die Strategie stimmt, aber der zu buchende Cloud-Service ungenau definiert ist, kann es nach dem Live-Gang zu Differenzen über die Servicequalität des Providers kommen. Die Folge können zeitraubende Auseinandersetzungen zwischen den Parteien sowie teure Nachbesserungen sein.

Da ein Cloud-Anbieter selbst häufig Dienste von Partnern bezieht (z. B. Administration oder Backup von Daten), können zum Beispiel personenbezogene Daten an nicht erlaubte Stellen gelangen oder Sicherheitszertifikate geraten in Gefahr, weil ein Auditor die Dienste des Subunternehmens nicht verfolgen kann.

Weil sich der Weg in die Cloud oft als steinig und zeitaufwändig erweist, wird von der IT oder der Rechtsabteilung eines Unternehmens gerne auch übersehen, dass stets auch ein Weg aus der Cloud heraus mitgedacht werden muss. Geschieht das nicht, besteht die Gefahr einer Abhängigkeit von einem Cloud-Anbieter, die sich in Kombination mit einem Vendor-Lock-in zu einem finanziellen Fass ohne Boden entwickeln kann.

Zum Thema Cloud-Sicherheit beantwortet das Bundesamt für Sicherheit in der Informationstechnik (BSI) diese Frage mit einem Beispiel aus dem Automobilbereich. Wird ein Mittelklassewagen von Experten als sicher eingestuft, fragen Kunden zu Recht: Warum sind in der Oberklasse mehr Assistenzsysteme eingebaut? Der Vorstand eines DAX-Unternehmens fragt vielleicht: Sind die Scheiben schusssicher? Eine Familie vermisst Dachgepäckträger und Fahrradhalterungen, um Freizeitgeräte sicher zu transportieren.

Beim Autokauf werden Kategorien (Kleinwagen, Mittelklasse, Geländewagen) und Marken ein bestimmtes Sicherheitsniveau unterstellt. Parallel dazu gibt es gesetzliche Vorschriften (Airbags, Saisonreifen usw.), die eine untere Grenze definieren. Und schließlich spielt die finanzielle Schmerzgrenze eine wichtige Rolle, denn Sicherheit will finanziert sein.

Dies bedeutet: So wie es nicht das eine sichere Auto für alle Situationen gibt, so gibt es auch nicht die eine sichere Cloud für alle Fälle. Wie beim Auto müssen auch bei der Cloud individuelle Fragen gestellt und beantwortet werden. Erst danach lässt sich ein Sicherheitskonzept auf die Beine stellen. Wird dieses umgesetzt, müssen sich nur noch Betreiber und Nutzer an die Sicherheitsvorgaben halten. Das eigentliche Ziel beim Thema Cloud Security ist daher nicht „die sichere Cloud“, sondern „sicheres Cloud Computing“.