Datensicherheit Die Aussichten in der Cloud – heiter bis wolkig

Anbieter zum Thema

FIS Informationssysteme und Consulting GmbH

d.velop AG

xSuite Group GmbH

Cloud Computing hat sich als eine der bedeutendsten technologischen Entwicklungen der letzten Jahre etabliert. Der Begriff beschreibt die Bereitstellung von IT-Ressourcen wie Rechenleistung, Speicherplatz und Software über das Internet, anstatt diese lokal auf eigenen Servern zu betreiben. Mit der Verlagerung von Daten und Anwendungen in die Cloud gewinnt die Datensicherheit immer mehr an Bedeutung.

Die Cloud-Ressourcen werden oft als Dienstleistungen von großen Anbietern wie Amazon Web Services (AWS), Microsoft Azure oder Google Cloud Platform (GCP) zur Verfügung gestellt und können je nach Bedarf skaliert werden. Aber auch kleinere Anbieter spielen im Markt der Cloud-Dienste eine wichtige Rolle, indem sie sich auf Nischenmärkte spezialisieren und maßgeschneiderte Lösungen für spezielle Anforderungen liefern. 

Cloud Computing ermöglicht es Unternehmen und Einzelpersonen, flexibel und kosteneffizient auf IT-Ressourcen zuzugreifen, ohne in teure Hardware oder Infrastruktur investieren zu müssen. Dienstleistungen werden in der Regel nach Nutzung abgerechnet, was besonders für kleine und mittlere Unternehmen attraktiv ist, die ihre IT-Kosten besser kontrollieren möchten.

Mit der zunehmenden Verlagerung von Daten und Anwendungen in die Cloud gewinnt das Thema Datensicherheit immer mehr an Bedeutung. Die Speicherung sensibler Informationen auf externen Servern birgt sowohl Chancen als auch Risiken. Während Cloud-Anbieter erhebliche Ressourcen in die Sicherheit ihrer Systeme investieren, bleibt die Sicherheit der in der Cloud gespeicherten Daten eine gemeinsame Verantwortung von Anbieter und Nutzer.

Die Relevanz der Datensicherheit in der Cloud ist nicht auf die technologische Ebene beschränkt. Auch rechtliche Aspekte wie die Einhaltung der Datenschutz-Grundverordnung (DSGVO) und andere internationale Datenschutzgesetze spielen eine zentrale Rolle. Unternehmen müssen sicherstellen, dass sie sowohl ihre Sicherheitsanforderungen erfüllen als auch regulatorisch konform handeln.

Chancen der Cloud-Nutzung

Auch wenn der Fokus des Artikels auf dem Aspekt der Datensicherheit liegt, sollen die grundsätzlichen Vorteile von Cloud-Diensten nicht unerwähnt bleiben. Sind sie es doch, die maßgeblich zum Siegeszug der Technologie beigetragen haben: 

• Skalierbarkeit und Flexibilität: Die wahrscheinlich wichtigste Stärke von Clouddiensten. Unternehmen können flexibel und innerhalb kürzester Zeit auf veränderte Anforderungen und Marktbedingungen reagieren.

• Kosteneffizienz: Anstatt in eigene Server und Rechenzentren investieren zu müssen, zahlen Unternehmen nur für die tatsächlich genutzten Ressourcen.

• Zugriff von überall: Cloud-Dienste ermöglichen es Nutzern, von überall auf ihre Daten und Anwendungen zuzugreifen, solange eine Internetverbindung besteht.

• Zusammenarbeit und Effizienzsteigerung: Cloud-Plattformen fördern die Zusammenarbeit zwischen Teams und Abteilungen, indem sie den einfachen Austausch und die gemeinsame Bearbeitung von Dokumenten und Projekten ermöglichen.

Neben diesen generellen Stärken sprechen aber auch mit Blick auf die Datensicherheit vor verschiedensten Risiken einige zentrale Vorteile für die Nutzung von Cloud-Lösungen.

Datensicherheit: Verschlüsselungstechnologien

Cloud-Anbieter investieren erheblich in die Entwicklung und Implementierung modernster Verschlüsselungstechnologien. Daten werden sowohl während der Übertragung als auch im Ruhezustand verschlüsselt, um sicherzustellen, dass sie vor unbefugtem Zugriff geschützt sind. Ein solch hohes Maß an Sicherheit könnten viele Unternehmen, gerade aus dem kleineren und mittleren Segment, mit eigenen Mitteln nicht realisieren. 

Datensicherheit: Multi-Faktor-Authentifizierung

Die Multi-Faktor-Authentifizierung (MFA) ist ein weiterer Sicherheitsmechanismus, den viele Cloud-Anbieter standardmäßig anbieten. Durch die Kombination von mindestens zwei verschiedenen Authentifizierungsfaktoren (z.B. Passwort und Mobiltelefon) wird die Sicherheit erheblich erhöht und das Risiko von unberechtigtem Zugriff minimiert.

Sicherheits-Updates und Patches

Cloud-Anbieter gewährleisten, dass ihre Systeme stets auf dem neuesten Stand sind, indem sie regelmäßig Sicherheits-Updates und Patches einspielen. Diese kontinuierliche Wartung schützt vor bekannten Sicherheitslücken und stellt sicher, dass die Systeme gegen neue Bedrohungen gewappnet sind. Unternehmen profitieren von dieser proaktiven Sicherheitsstrategie, ohne selbst den Aufwand betreiben zu müssen. 

Rund-um-die-Uhr Überwachung und schnelle Reaktionszeiten

Viele Cloud-Anbieter bieten eine 24/7-Überwachung ihrer Systeme an, um potenzielle Sicherheitsvorfälle in Echtzeit zu erkennen und zu beheben. Diese ständige Überwachung, kombiniert mit schnellen Reaktionszeiten, minimiert die Auswirkungen von Sicherheitsvorfällen und stellt sicher, dass Bedrohungen schnell eingedämmt werden.

Compliance und Zertifizierungen der Cloud-Anbieter

Cloud-Anbieter unterwerfen sich oft strengen Compliance-Anforderungen und lassen sich nach internationalen Sicherheitsstandards zertifizieren wie ISO 27001, SOC 2. Diese Zertifizierungen bieten Unternehmen die Sicherheit, dass ihre Daten in einer gesetzeskonformen und sicheren Umgebung gespeichert werden. Compliance-Anforderungen beinhalten oft auch regelmäßige Audits und Überprüfungen, die zusätzliche Sicherheit bieten. 

Datensicherheit: Lösung für regelmäßige, standardisierte Backups

Für viele, gerade kleine Unternehmen stellt das Implementieren von regelmäßigen Backups eine hohe Hürde dar. Wenn dann die für sporadische Sicherungen verwendete externe Festplatte plötzlich nicht mehr erkannt wird, ist guter Rat teuer. Cloud-Backups lösen nicht per se alle Probleme, wie der folgende Abschnitt zeigen wird, bieten aber eine unkomplizierte Teillösung, die in jedem Falle besser ist, als gar keine Sicherung zu haben. 

Risiken der Cloud und Herausforderungen für die Datensicherheit

Auch wenn es, wie gezeigt, unbestreitbar Vorteile für die Sicherheit mit sich bringt, wenn Daten in der Cloud gespeichert werden, gibt es dabei auch Aspekte, die den Verantwortlichen in Unternehmen graue Haare wachsen lassen. Vieles was früher, als die Daten noch im Unternehmen selbst auf dem Server lagen, klar und eindeutig war, erscheint nun so wolkig-diffus wie die Gebilde am Himmel.

Zugriff über unsichere Netze

Ein wesentliches Risiko bei der Nutzung von Cloud-Diensten besteht darin, dass auf Daten und Anwendungen häufig über unsichere Netzwerke zugegriffen wird. Der Gedanke, dass Mitarbeitende über öffentliche WLAN-Hotspots und andere ungesicherte Netzwerke auf sensible Daten zugreifen, bereitet Sicherheitsexperten in Unternehmen schlaflose Nächte. Nicht zu Unrecht, können ungesicherte Netzwerke doch leicht von Cyberkriminellen überwacht werden.Ohne ausreichende Sicherheitsmaßnahmen wie Verschlüsselung und Zwei-Faktor-Authentifizierung steigt die Wahrscheinlichkeit deutlich, dass Daten während der Übertragung kompromittiert werden. 

Zugriff über nicht gesicherte Smartphones

Auch die zunehmende Nutzung von Smartphones für den Zugriff auf Cloud-Dienste bringt Sicherheitsrisiken mit sich. Schadprogramme und unsichere Apps können dazu führen, dass Daten gestohlen oder manipuliert werden. Zudem besteht die Möglichkeit, dass vertrauliche Daten in die falschen Hände geraten, wenn Smartphones verloren gehen oder gestohlen werden.Unternehmen müssen daher sicherstellen, dass zumindest mobile Geräte, mit denen auch auf sensible Daten zugegriffen wird, durch geeignete Sicherheitsmaßnahmen wie Mobile Device Management (MDM) geschützt sind. 

Cyber-Angriffe auf die Datensicherheit

Cyberkriminelle nutzen zunehmend die Vorteile aus, die Cloud-Umgebungen auch für ihre Zwecke haben. So lassen sich Angriffe in einer Cloud einfach skalieren und gut verschleiern. Beispielsweise können sie schädliche Dienste in der Cloud einrichten oder bestehende Schwachstellen in Cloud-Diensten ausnutzen. Diese Angriffe sind oft schwer zu erkennen und abzuwehren, da sie sich über dynamische und verteilte Systeme erstrecken. 

Unsichere Programmierschnittstellen

Cloud-Dienste bieten zahlreiche API-Schnittstellen, die für die Integration und Automatisierung von Anwendungen genutzt werden. Diese Schnittstellen sind ein beliebtes Ziel für Angriffe, insbesondere wenn sie schlecht gesichert sind. Unsichere APIs können dazu führen, dass Angreifer Zugriff auf sensible Daten erhalten oder sogar die Kontrolle über Cloud-Ressourcen übernehmen.

Datensicherheit: Risiken durch Pooling

In einer Cloud-Umgebung werden oft mehrere Kunden auf denselben physischen Ressourcen gehostet. Diese Multi-Tenancy-Architektur kann dazu führen, dass Daten versehentlich durch andere Kunden eingesehen oder manipuliert werden. Fehlkonfigurationen oder Sicherheitslücken in der Isolation der Daten können erhebliche Sicherheitsprobleme verursachen. 

Schwache Infrastruktur und technischer DatenverlustAuch ohne Angriffe von außen und böse Absichten können Hardwarefehler, Softwareprobleme oder menschliches Versagen dazu führen, dass Daten verloren gehen oder nicht mehr zugänglich sind.Um dagegen gewappnet zu sein, sollte im Unternehmen eine den individuellen unternehmerischen Anforderungen entsprechende Backup-Strategie implementiert sein. Auch die Cloud-Anbieter verfügen in der Regel über robuste Backup- und Wiederherstellungsmechanismen verfügen, um Datenverluste zu minimieren.

Datenschutz und rechtliche Aspekte

Zu den Herausforderungen der Nutzung von Cloud-Infrastruktur, die Experten grübeln lassen, gehören zunehmend auch Datenschutzfragen, insbesondere hinsichtlich des Speicherorts der Daten. Unternehmen müssen sicherstellen, dass ihre Daten in Übereinstimmung mit den geltenden Datenschutzgesetzen gespeichert und verarbeitet werden. Dies ist besonders relevant für Unternehmen, die personenbezogene Daten verarbeiten und daher strengen gesetzlichen Vorgaben wie der EU-Datenschutz-Grundverordnung (DSGVO) unterliegen. 

EU-Datenschutz-Grundverordnung: Die DSGVO stellt hohe Anforderungen an den Schutz personenbezogener Daten und definiert strenge Regeln für die Verarbeitung und Speicherung dieser Daten. Unternehmen müssen sicherstellen, dass sie die Vorgaben der DSGVO einhalten, wenn sie Cloud-Dienste nutzen. Dazu gehört auch, sich zu vergewissern, dass der gewählte Cloud-Anbieter geeignete technische und organisatorische Maßnahmen zum Schutz der Daten implementiert hat.

Patriot Act und Zugriff durch Behörden: In einigen Ländern haben Behörden weitreichende Befugnisse zum Zugriff auf Daten, die bei Cloud-Anbietern gespeichert sind. Seit Verabschiedung des Patriot Act im Jahr 2001 gehören auch die USA dazu. Der Patriot Act erlaubt es US-Behörden unter anderem, auf Daten zuzugreifen, die bei US-basierten Cloud-Anbietern gespeichert sind, auch wenn diese Daten von Unternehmen außerhalb der USA stammen.

Maßnahmen zur Erhöhung der Datensicherheit

Unternehmen, die Cloud-Services nutzen, sehen sich also mit ganz unterschiedlichen Risiken konfrontiert, die von unsicheren Zugriffen der eigenen Mitarbeiter bis zu Compliance-Anforderungen reichen. Es liegt auf der Hand, dass die Erhöhung der Datensicherheit in der Cloud einen ganzheitlichen Ansatz erfordert, der sowohl technische als auch organisatorische Maßnahmen umfasst. 

Verschlüsselung der Daten

Transportverschlüsselung (HTTPS): Eines der grundlegendsten, aber gleichzeitig auch wirkungsvollsten Mittel ist die Verschlüsselung der Daten während der Übertragung. Hypertext Transfer Protocol Secure (HTTPS) stellt sicher, dass die Daten, die zwischen dem Nutzer und dem Cloud-Dienst übertragen werden, durch SSL/TLS-Protokolle verschlüsselt sind. Dies schützt vor Man-in-the-Middle-Angriffen, bei denen Angreifer versuchen, die Daten während der Übertragung abzufangen und zu manipulieren. 

Selbstverschlüsselung und Schlüsselverwaltung: Zusätzlich zur Transportverschlüsselung sollten Daten auch im Ruhezustand verschlüsselt werden. Hierbei können Unternehmen auf selbstverschlüsselnde Laufwerke (SEDs) und softwarebasierte Verschlüsselungslösungen zurückgreifen. Ein wichtiger Aspekt ist die sichere Verwaltung der Verschlüsselungsschlüssel. Unternehmen sollten sicherstellen, dass die Schlüssel getrennt von den verschlüsselten Daten gespeichert werden und nur autorisierte Personen Zugriff darauf haben. Viele Cloud-Anbieter bieten auch Key-Management-Dienste (KMS) an, um diesen Prozess zu vereinfachen.

Authentifizierung und Zugangskontrollen

Verwendung starker Passwörter: Ein weiterer einfacher, aber effektiver Schritt zur Verbesserung der Datensicherheit ist die Verwendung starker, komplexer Passwörter. Es gilt, verbindliche Richtlinien zu implementieren, die die Nutzung langer Passwörter mit einer Kombination aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen vorschreiben. Weitere Bestandteile einer solchen Richtlinie können eine Pflicht zu regelmäßigen Passwortänderungen und das Verbot der Wiederverwendung alter Passwörter sein. 

Zwei-Faktor-Authentifizierung: Die Implementierung der Zwei-Faktor-Authentifizierung (2FA) bietet eine zusätzliche Sicherheitsebene. Neben dem Passwort wird ein zweiter Faktor verlangt, beispielsweise ein einmaliger Code, der an das Mobiltelefon des Nutzers gesendet wird, oder eine Authentifizierungs-App. Diese zusätzliche Hürde macht es Angreifern erheblich schwerer, unautorisierten Zugriff auf Konten zu erlangen.

Datensicherheit: Schutz der Endgeräte

Sicherheitsmaßnahmen für PCs und Smartphones: Die Möglichkeit, von unterschiedlichsten Endgeräten aus auf Daten zuzugreifen, ist einerseits ein großes Plus für Unternehmen und Mitarbeiter, andererseits aber auch das größte Einfallstor für unerwünschte Eindringlinge. Um die Vorteile ungetrübt genießen zu können, sollte der Schutz der dafür genutzten Geräte oberste Priorität genießen.Dazu gehört beispielsweise sicherzustellen, dass alle Endgeräte mit aktuellen Antivirenprogrammen und Firewalls ausgestattet sind. Regelmäßige Sicherheitsupdates und Patches für Betriebssysteme und Anwendungen sind ebenfalls unerlässlich, um bekannte Schwachstellen zu schließen. 

Schutz vor Schadsoftware: Eine oft unterschätze Maßnahme, die mit verhältnismäßig geringem Aufwand große Wirkung haben kann, ist die gezielte Schulung von Mitarbeitern. Wenn Phishing-Angriffe und auch komplexere Social-Engineering-Techniken in allen Abteilungen zuverlässig erkannt werden, ist bereits viel erreicht. Darüber hinaus sollten Sicherheitslösungen implementiert werden, die Malware erkennen und blockieren, bevor sie Schaden anrichten kann. Das kann sowohl herkömmliche Antivirenprogramme als auch fortschrittlichere Lösungen wie Endpoint Detection and Response (EDR) umfassen.

Regelmäßige Sicherheitsüberprüfungen

Regelmäßige Risikoanalysen helfen dabei, potenzielle Sicherheitslücken zu identifizieren und zu bewerten. Diese Analysen sollten alle Aspekte der IT-Infrastruktur (nicht nur mit Bezug zu den Cloud-Diensten) umfassen, einschließlich Netzwerksicherheit, Zugangskontrollen und Datenverschlüsselung.Basierend auf den Ergebnissen sollten Maßnahmen zur Risikominderung entwickelt und umgesetzt werden. Dazu gehört auch, auf alle Eventualitäten vorbereitet zu sein, um nicht im Notfall wertvolle Zeit damit verschwenden zu müssen, ein mit Incident Response vertrautes Cybersecurity-Unternehmen oder einen Spezialisten für Datenrettungen, der die erforderlichen Kapazitäten auch für gewerbliche Anforderungen bereithält, zu suchen. 

Überprüfung der Sicherheitsmaßnahmen der Cloud-Anbieter: Unternehmen sollten nicht nur ihre eigenen Sicherheitsmaßnahmen regelmäßig überprüfen, sondern auch die Sicherheitsprotokolle ihrer Cloud-Anbieter. Dazu gehört neben der Überprüfung von Zertifizierungen und Compliance-Berichten auch die Durchführung von Audits. Viele Cloud-Anbieter bieten Transparenzberichte und Sicherheitsdokumentationen an, die Einblicke in ihre Sicherheitspraktiken und -maßnahmen geben.

Effiziente Datensicherheit in der Cloud

Flexible Skalierung, Zugriff auf alle relevanten Daten von überall und Kosten, die weit unterhalb einer selbst betriebenen Serverarchitektur liegen: An der Nutzung von Cloud-Diensten führt aus wirtschaftlichen und praktischen Erwägungen zumindest für kleinere Unternehmen kaum noch ein Weg vorbei.Wer dabei die Risiken im Blick behält und mit einem robusten Paket an technischen wie organisatorischen Maßnahmen gegensteuert, hat bereits viel gewonnen. Datensicherheit in der Cloud kommt nicht von allein – aber sie ist möglich.