Cloud Computing Security aus Provider-Sicht
Albtraum oder Traumpaar
Trotz vieler Vorteile: Noch bremsen Bedenken beim Datenschutz und bei der Informationssicherheit den Einsatz von Virtualisierungstechnik in Unternehmen. Im klassischen Outsourcing erfahrene ICT-Provider (Information and Communications Technology) können die Risiken der Cloud jedoch auf ein Minimum begrenzen.
Die Cloud kommt. In spätestens zehn Jahren werden laut dem Branchenverband Bitkom fast alle
Unternehmen diese Technik zumindest ergänzend zu ihrer eigenen IT-Infrastruktur einsetzen. Geht es
nach der International Data Corporation, wird in Deutschland schon in zehn Monaten rund die Hälfte
aller neuen Server virtualisiert und die Cloud damit zum Mainstream in der IT. Große Unternehmen
mit mehr als 5.000 Mitarbeitern nutzen sie laut IDC schon heute häufig.
Eine Befragung der Information Technology Intelligence Corporation (ITIC) steht diesen
Aussagen allerdings gegenüber. Danach wollen nur 15 Prozent von 300 internationalen Konzernen mit
bis zu 100.000 Angestellten in absehbarer Zeit die Wolke nutzen. Hier wiegt unter anderem die
Frage, wer die Daten in der Cloud kontrolliert, schwerer als Einsparungen und Flexibilitätsgewinne.
So widersprüchlich die Prognosen, so unterschiedlich ist auch das Verständnis von der Cloud.
Darin liegt ein wesentlicher Grund für die starke Unsicherheit potenzieller Nutzer. Zunächst gilt
es, zwischen "privat" und "öffentlich" zu differenzieren.
Wolke ist nicht gleich Wolke
In letzter Zeit füllten erfolgreiche Hacker-Angriffe auf Internet-Dienste die Schlagzeilen.
Dabei handelt es sich um Angebote in der "Public Cloud", die über das frei zugängliche öffentliche
Internet laufen. Datenschutz und Sicherheit lassen sich dort nur sehr eingeschränkt realisieren.
Was für Privatnutzer in Grenzen erträglich sein mag, können sich Unternehmen nicht leisten. Mit der
heißen Nadel gestrickte Sicherheit endet für sie schnell im Desaster. Dabei gilt das Credo der
bedarfsgerechten Security: Je höher sie sein muss, desto mehr geht die Reise in Richtung der
privaten, für einen Nutzer dedizierten Cloud.
Bei dieser fließen Informationen nicht mehr über das öffentliche Internet, sondern über das
sicher getunnelte Netz eines ICT-Providers. Zwischen dessen Rechenzentrum und dem Nutzer besteht
eine eigene Netzanbindung. Da eine spezialisierte, zentrale Stelle alle Vorgänge – Implementierung,
Konfiguration, Release, Update- und Patch-Management, Backup etc. – kontrolliert und steuert, lässt
sich die bisherige Sicherheitspolitik auch in der Wolke nahtlos umsetzen.
Mitarbeiter im Security Operation Center (SOC) überwachen in Echtzeit sämtliche Systeme und
Netzwerkkomponenten auf Basis von Security-Information- und Event-Management-Systemen (SIEM). Sie
verarbeiten rund um die Uhr auffällige Abweichungen und verdächtige Vorgänge, die verschiedene
Security-Komponenten melden und führen alle Sicherheitsdaten aus dem IT-Betrieb zusammen. Dabei
fallen selbst Langzeitattacken rechtzeitig auf, mit denen Angreifer versuchen, an vertrauliche
Unternehmensinformationen zu gelangen. Durch die detaillierten Informationen über die aktuelle
Gefahrenlage kann das SOC im Bedarfsfall schnell Gegenmaßnahmen einleiten.
Unternehmen, die die Vorteile des Cloud Computings für sich entdecken, nutzen deshalb diese
Form der Wolke. Sie können mit ihrem Provider das Sicherheitsniveau und die Verfügbarkeit der
Informationen wie bei anderen Outsourcing-Modellen vertraglich vereinbaren (siehe Checkliste auf
Seite 40). Gleichzeitig behalten sie die vollständige Hoheit über ihre Daten und wissen jederzeit,
wo diese gespeichert sind.
Privat und öffentlich sinnvoll kombinieren
Eine Sonderform zwischen Private und Public Cloud stellt die Hybrid Cloud dar, bei der ein
Unternehmen zusätzlich zur vorhandenen ICT Ressourcen nach Bedarf über das öffentliche Netz
hinzubucht. Diese Variante der Wolke hat einen ganz speziellen Reiz: Sie erleichtert den sicheren
Datenaustausch zwischen privaten Unternehmenswolken.
EMail-Kommunikation unterliegt oftmals einem hohen Termindruck. Weil meist die
Berechtigungsnachweise der Empfänger einer anderen Firma nicht vorliegen, werden sensible Inhalte
meist unverschlüsselt durchs Web 2.0 versendet. Wollen Mitarbeiter zweier Firmen vertraulich per
EMail miteinander kommunizieren, muss der Empfänger dem Absender beim Erstkontakt erst einmal eine
signierte Nachricht mit seinem X.509v3-Zertifikat zuschicken, dass die Ver- und Entschlüsselung der
Mitteilung ermöglicht.
Trust-Entscheidungen, ob die Zertifikate in Ordnung sind, müssen meist vom Anwender getroffen
werden, wenn nicht bereits eine geschlossene Trust-Kette vorliegt. Gibt es aber nun Services in der
Public Cloud, die beispielsweise vertrauenswürdige X.509v3-Zertifikate eines Trust–Centers
enthalten, dann werden diese öffentlich verfügbaren Services zum Enabler einer vertraulichen
Kommunikation zwischen Private Clouds.
Da Zertifikate auch EMail-Adressen beinhalten, ist es natürlich wichtig, dass die beteiligten
Private Clouds mit einem leistungsfähigen Anti-Spam-Service ausgerüstet sind, aber dies ist auch in
der klassischen ICT bereits ein Muss. Zertifikate allein haben sonst für potenzielle Angreifer
keinen Wert. Und die Schlüssel, um die Mitteilung oder das Dokument im Anhang zu ent- und
verschlüsseln, befinden sich auf beiden Seiten in der eigenen, privaten Wolke. Dritte können auf
sie nicht zugreifen. Dies macht die Kommunikation von Private Cloud zu Private Cloud unter
Einbeziehung der Public Cloud sicherer als das Austauschen unverschlüsselter Nachrichten von A nach
B, wie heute leider noch vielfach praktiziert.
Die vertrauliche Kommunikation mit Zertifikaten ist dabei nicht an S/MIME EMail gebunden,
weitere Services wie zum Beispiel Secure-File-Transfer sind damit elegant abzusichern. Gerade in
Bereichen etwa der Automobilbranche, wo Hersteller weltweit mit vielen Zulieferern
geschäftskritische Daten austauschen, ist eine vertrauenswürdige Kommunikation erfolgskritisch.
Liegen beispielsweise SAP-Gehaltsinformationen in einer zentralen Datenbank (DB) vor und der
Administrator soll diese Daten während des Systembetriebs nicht einsehen können, müssen sie
verschlüsselt sein. Soll er bestimmte Einträge nicht sehen dürfen, lässt sich das über eine
feldbasierende DB-Verschlüsselung einrichten.
Verschlüsselung ist das A und O der Cloud
Wichtig ist bei den Verschlüsselungskonzepten, dass die verschlüsselten Datenbankinhalte
nicht zu einer Änderung der Datenbankstruktur führen. Dies würde sich gerade bei
Online-Transaktionen störend auswirken. Deshalb muss die Lösungsarchitektur passend ausgewählt
sein, damit keine spürbaren Leistungseinbußen entstehen. Hardwaresicherheitsmodule (HSM) für
Kryptofunktionen sorgen dafür, dass das Schlüsselmaterial ausreichend geschützt ist. Neben den
Online-Transaktionen mit Datenbanken stellen Kryptofunktionen bei der asynchronen Verarbeitung in
Datenbanksystemen ein weiteres wichtiges Szenario dar, das zukünftig an Bedeutung gewinnen wird.
Eine Informationsschutzrichtlinie muss den Schutzbedarf der Daten des Kunden beschreiben und
ist der Anstoß für die einzusetzende Verschlüsselungstechnologie, ganz im Sinne einer
bedarfsgerechten und datenschutzkonformen Lösung. Ein intelligentes Ressourcen-Management auf
Provider-Seite ist zudem erforderlich, denn bestimmte Daten dürfen die Landesgrenzen aus
datenschutzrechtlichen Gründen erst gar nicht verlassen. In einer Private Cloud lässt sich dies
vertraglich mit Security-SLAs verbindlich festlegen.
Den Schlüssel hat nur der Kunde
Bei allen Sicherheitsmaßnahmen wie Zugangsberechtigungen, Authentisierungen, Identitäten,
Verschlüsselung, Governance, Compliance etc. behält immer der Kunde den Schlüssel zu seinen
Informationen und die Hoheit über seine Daten, unabhängig davon, wo sie sich in der Cloud befinden.
Doch er muss seine Zugriffsberechtigungen überall zuverlässig nachweisen können. Systeme für das so
genannte Identity- und Access-Management (IAM) spielen dabei eine große Rolle.
Sie schalten den Zugang erst nach erfolgreicher Identifikation mittels User-ID, Kennwort,
Smartcard, Biometrielösungen, SIM-Karte vom Handy oder einer Kombination aus mehreren
Authentisierungsverfahren frei. Dies verhindert das Mitlesen oder Umlenken von
Kommunikationsbeziehungen ebenso wie das Einspielen von Schadsoftware ins Netz. IAM-Systeme
verwalten die verschiedenen Identitäten innerhalb und außerhalb der Cloud. Dort wo nur eine
Altersverifikation verlangt ist (Ü18), wird sichergestellt, dass keine weiteren Informationen zur
wirklichen Identität an das Core-System transferiert werden.
Fazit
Der IT-Himmel ist durchgängig bewölkt, die Private Cloud-Technik ist für die industrielle
Nutzung einsatzbereit. Bei entsprechendem Security-Management auf Provider-Seite braucht sich ein
Anwender auch keine Gedanken um den Schutz seiner Daten zu machen und kann sich auf sein
Kerngeschäft konzentrieren. Arbeiten in virtualisierten Umgebungen ist genauso sicher – oder
unsicher – wie alle anderen Formen des ICT-Outsourcings.
Zehn-Punkte-Security-Checkliste
Das sollte ein ICT-Provider können:
Wer in der Cloud sicher sein will, achtet darauf, dass der Dienstleister eine Reihe von
Kriterien erfüllt. Dazu gehören die folgenden Punkte:
Der Provider besitzt langjährige Erfahrung im klassischen Outsourcing und
mit dem dynamischen Bezug von ICTRessourcen übers Netz, verfügt über eigene Netze und nach
internationalen Sicherheitsnormen zertifizierte Rechenzentren.
1. Er kann vom Rechenzentrum übers Netz bis zum Desktop des Anwenders klare Service-
und Security-Vereinbarungen einhalten.
2. Er kann international anerkannte Zertifikate vorweisen, zum Beispiel DIN ISO 27001 für
Sicherheit in der Informationsverarbeitung; sein Service-Management basiert auf ITIL
(IT Infrastructure Library).
3. Er deckt die für die Branche des Kunden jeweils gültigen Compliance-Vorschriften
international ab, auch in der Cloud.
4. Er kann jederzeit verbindlich darüber Auskunft geben, wo die Daten des Kunden gespeichert
sind.
5. Er verschlüsselt bei Bedarf auch Informationen in Datenbanken und auf Fileservern, das heißt,
selbst das Betriebspersonal kann trotz Admin-Rechten schutzbedürftige Daten nicht im Klartext
einsehen. Backups liegen je nach Schutzbedarf auch verschlüsselt vor.
6. Er sorgt dafür, dass nur autorisierte Nutzer sich in Systemressourcen einloggen können ("
Prinzip der minimalen Rechte").
7. Er hat geeignete Notfallkonzepte entwickelt und kann bei Hochverfügbarkeitsbedarf eine "Twin
Core"-Strategie anbieten.
8. Der Provider verfügt über ein Security Operation Center (SOC) und nutzt hochmoderne
Analyseverfahren, um interne und externe Angriffe möglichst früh zu erkennen. Er reduziert die
Information Overload auf die wirklich wichtigen Gefahren, um entsprechende Gegenmaßnahmen
einzuleiten.
9. Der Provider nutzt marktführende Lösungen, und die Architektur basiert auf einem
größtmöglichen Standardisierungsgrad.
Dipl.-Ing. René Reutter ist Abteilungsleiter und als zertifizierter Sicherheitsexperte bei
T-Systems verantwortlich für die Konzeption, den Betrieb und die Weiterentwicklung der Security
Services & Solutions.
Lesen Sie mehr zum Thema
