Immer wieder finden Forscher Sicherheitslücken bei Cloud-Dienstleistern. Doch der Nachrichtenwert solcher Meldungen liegt nicht so sehr in der Tatsache an sich – sondern vielmehr in dem dahinter stehenden Denken, das noch immer bei der Therapie steckenbleibt und sich nicht der Vorbeugung widmet. Denn „Löcher“ in der Cloud wird es immer geben. Was wirklich hilft, ist die Stärkung der Immunabwehr durch Selbstverteidigung.
Auch häufige Berichte über Sicherheitslücken sind kein Indiz dafür, dass dieser oder jener Cloud-Dienstleister nachlässig wäre. In der Regel sind gerade diese Dienstleister auf technischer Ebene sehr wachsam, was die Sicherheit der Daten ihrer Kunden angeht. So hat ein Cloud-Dienstleister erst vor kurzem einen Verschlüsselungsservice gestartet, der Kundendaten auf Wunsch nur noch verschlüsselt auf seinen Servern ablegt.
Gefahr erkannt, Gefahr gebannt?
Sollten also Cyberkriminelle über die jüngst bekannt gewordenen und bereits wieder geschlossenen Sicherheitslücken Zugang zu Kundendaten erhalten haben, wären diese wertlos. Gefahr erkannt, Gefahr gebannt, möchte man meinen. Die Wahrheit ist jedoch – wie meistens – etwas komplizierter. Verschlüsselung selbst ist zwar eine sehr gute Idee, doch erst dann wirklich effektiv, wenn die Schlüssel und das Schlüsselmanagement nicht auch beim Cloud-Dienstleister liegen. Dies ist in besagtem Fall jedoch der Fall. Wer sich also Zugang zu den für die Datenübertragung vorgesehenen Kanälen verschafft oder aufgrund von Sicherheitslücken Sitzungen kapert, kann auch die Daten unverschlüsselt herunterladen.
Stärkung der Immunabwehr ist die beste Therapie
Lücken in der Cloud wird es immer geben. Ein neues Denken ist daher gefragt, das sich weniger auf die Behandlung der Probleme konzentriert, wenn sie bereits aufgetreten sind. Vielmehr muss die Immunabwehr der Ressourcen und Daten in der Cloud gestärkt werden, am besten durch Mechanismen zur Selbstverteidigung. Im Falle der Datenablage und -aufbewahrung heißt dies konkret:
1. Die Schlüssel müssen auf anderen Systemen verwaltet werden als die damit verschlüsselten Daten – das Kapern eines dieser Systeme nützt potenziellen Angreifern nichts.
2. Die Verwaltung und Erzeugung der Schlüssel dürfen nicht in den Händen des Cloud-Dienstleisters liegen, sondern müssen sich unter der Kontrolle des Nutzers befinden – selbst wenn ein Angreifer Zugriff auf alle Systeme des Dienstleisters hätte, liefe der Angriff ins Leere.
3. Nicht nur die Daten müssen geschützt werden. Vielmehr müssen auch die Ressourcen des Cloud-Dienstleisters, über die der Zugriff auf die Daten erfolgt, überwacht werden. Nur wenn die Identität dieser Ressourcen (Gehören sie überhaupt meinem Cloud-Dienstleister?) und deren Integrität (Sind sie richtig konfiguriert oder wurden sie manipuliert?) zweifelsfrei feststeht, dürfen Schlüssel bereitgestellt werden – kann das System auch nur bei Verdacht „Nein“ sagen, funktionieren viele Täuschungsmanöver der Ganoven nicht.
100-prozentige Sicherheit gibt es in der Cloud nicht. Doch die Nutzer – gerade auf Unternehmensseite – können die Ressourcen, die sie in der Cloud auslagern, mit Abwehrkräften ausstatten und dadurch das Risiko auf ein Minimum reduzieren. Der Fingerzeig auf die Cloud-Dienstleister reicht nicht, Handeln ist gefragt.
Über Udo Schneider
Als „Solution Architect EMEA“ beim IT-Sicherheitsanbieter Trend Micro ist Udo Schneider mit den Gefahren vertraut, die im Internet lauern, und weiß, wie man sich vor ihnen schützen kann. Bei der Entwicklung geeigneter Gegenmaßnahmen konzentriert er sich auf die Themen Cloud-Computing, Virtualisierung, Verschlüsselung und Netzwerksicherheit.
Schneider greift dabei auf eine langjährige Erfahrung zurück, die er als Berater, Trainer und Professional-Services-Analyst bei führenden Anbietern des IT-Sicherheitsmarktes erworben hat.
Auch häufige Berichte über Sicherheitslücken sind kein Indiz dafür, dass dieser oder jener Cloud-Dienstleister nachlässig wäre. In der Regel sind gerade diese Dienstleister auf technischer Ebene sehr wachsam, was die Sicherheit der Daten ihrer Kunden angeht. So hat ein Cloud-Dienstleister erst vor kurzem einen Verschlüsselungsservice gestartet, der Kundendaten auf Wunsch nur noch verschlüsselt auf seinen Servern ablegt.
Gefahr erkannt, Gefahr gebannt?
Sollten also Cyberkriminelle über die jüngst bekannt gewordenen und bereits wieder geschlossenen Sicherheitslücken Zugang zu Kundendaten erhalten haben, wären diese wertlos. Gefahr erkannt, Gefahr gebannt, möchte man meinen. Die Wahrheit ist jedoch – wie meistens – etwas komplizierter. Verschlüsselung selbst ist zwar eine sehr gute Idee, doch erst dann wirklich effektiv, wenn die Schlüssel und das Schlüsselmanagement nicht auch beim Cloud-Dienstleister liegen. Dies ist in besagtem Fall jedoch der Fall. Wer sich also Zugang zu den für die Datenübertragung vorgesehenen Kanälen verschafft oder aufgrund von Sicherheitslücken Sitzungen kapert, kann auch die Daten unverschlüsselt herunterladen.
Stärkung der Immunabwehr ist die beste Therapie
Lücken in der Cloud wird es immer geben. Ein neues Denken ist daher gefragt, das sich weniger auf die Behandlung der Probleme konzentriert, wenn sie bereits aufgetreten sind. Vielmehr muss die Immunabwehr der Ressourcen und Daten in der Cloud gestärkt werden, am besten durch Mechanismen zur Selbstverteidigung. Im Falle der Datenablage und -aufbewahrung heißt dies konkret:
1. Die Schlüssel müssen auf anderen Systemen verwaltet werden als die damit verschlüsselten Daten – das Kapern eines dieser Systeme nützt potenziellen Angreifern nichts.
2. Die Verwaltung und Erzeugung der Schlüssel dürfen nicht in den Händen des Cloud-Dienstleisters liegen, sondern müssen sich unter der Kontrolle des Nutzers befinden – selbst wenn ein Angreifer Zugriff auf alle Systeme des Dienstleisters hätte, liefe der Angriff ins Leere.
3. Nicht nur die Daten müssen geschützt werden. Vielmehr müssen auch die Ressourcen des Cloud-Dienstleisters, über die der Zugriff auf die Daten erfolgt, überwacht werden. Nur wenn die Identität dieser Ressourcen (Gehören sie überhaupt meinem Cloud-Dienstleister?) und deren Integrität (Sind sie richtig konfiguriert oder wurden sie manipuliert?) zweifelsfrei feststeht, dürfen Schlüssel bereitgestellt werden – kann das System auch nur bei Verdacht „Nein“ sagen, funktionieren viele Täuschungsmanöver der Ganoven nicht.
100-prozentige Sicherheit gibt es in der Cloud nicht. Doch die Nutzer – gerade auf Unternehmensseite – können die Ressourcen, die sie in der Cloud auslagern, mit Abwehrkräften ausstatten und dadurch das Risiko auf ein Minimum reduzieren. Der Fingerzeig auf die Cloud-Dienstleister reicht nicht, Handeln ist gefragt.
Über Udo Schneider
Als „Solution Architect EMEA“ beim IT-Sicherheitsanbieter Trend Micro ist Udo Schneider mit den Gefahren vertraut, die im Internet lauern, und weiß, wie man sich vor ihnen schützen kann. Bei der Entwicklung geeigneter Gegenmaßnahmen konzentriert er sich auf die Themen Cloud-Computing, Virtualisierung, Verschlüsselung und Netzwerksicherheit.
Schneider greift dabei auf eine langjährige Erfahrung zurück, die er als Berater, Trainer und Professional-Services-Analyst bei führenden Anbietern des IT-Sicherheitsmarktes erworben hat.
