Cloud-Verschlüsselung unter die Lupe nehmen

Die Sicherheit der Schlüssel ist Trumpf

| Autor / Redakteur: Oliver Schonschek / Stephan Augsten

Auch in der Cloud sind Unternehmen zu einem guten Teil selbst für die Sicherheit ihrer Daten verantwortlich.
Auch in der Cloud sind Unternehmen zu einem guten Teil selbst für die Sicherheit ihrer Daten verantwortlich. (Bild: freshidea - Fotolia.com)

Die Daten in einer Cloud müssen auch gegen unerlaubte Zugriffe durch den Cloud-Provider geschützt sein. Das hat Konsequenzen für das Schlüsselmanagement in der Cloud. Die Unternehmen als Auftraggeber müssen sich die eigene Verantwortung bewusst machen.

Viele Cloud-Nutzer haben die Vorstellung, der jeweilige Cloud-Provider müsse für die Datensicherheit sorgen und tue dies auch. Dementsprechend wird die Verschlüsselung der Cloud-Daten gar nicht oder aber nicht umfassend genug hinterfragt.

Selbst aufgeklärte Cloud-Anwenderunternehmen geben sich damit zufrieden, dass die Übertragung der Daten in die Cloud mittels SSL-Verschlüsselung geschützt wird und dass die Daten in der Cloud dann vom Provider verschlüsselt gespeichert werden. Eine Verschlüsselung der Datenübertragung und der Datenspeicherung reicht allerdings nicht, wenn diese nur in den Händen des Cloud-Providers liegt.

Die Verschlüsselung der Daten gehört zur Verantwortung für den Datenschutz, und diese obliegt dem Anwenderunternehmen als Auftraggeber. Deshalb muss der Blick auf die Cloud-Verschlüsselung geweitet und richtig fokussiert werden.

Insider-Attacken sind überall möglich

Während sich Unternehmen davor fürchten, dass die eigenen Mitarbeiterinnen und Mitarbeiter Daten stehlen und missbrauchen könnten, scheint diese Sorge nicht zu bestehen, wenn es um die Beschäftigten des jeweiligen Cloud-Anbieters geht. Tatsächlich besteht aber kein Grund anzunehmen, dass Cloud-Provider gegen jede Insiderattacke gefeit seien.

Selbst wenn man bei der Auswahl des Cloud-Anbieters darauf achtet, dass dort die Vorgaben des Bundesdatenschutzgesetzes eingehalten und die dortigen Beschäftigten auf das Datengeheimnis verpflichtet werden, bleibt das Risiko durch die sogenannten Innentäter bestehen. Gegen Innentäter beim Cloud-Anbieter kann jedoch die Verschlüsselung durch den Provider nicht zuverlässig helfen. Cloud-Administratoren des Anbieters könnten die Verschlüsselung unter Umständen umgehen.

Für providerunabhängige Verschlüsselung sorgen

Aus diesem Grund reicht es nicht aus, für die zuvor beschriebene Ende-zu-Ende-Verschlüsselung zu sorgen, also die Daten vor, während und nach der Übertragung in die Cloud zu verschlüsseln. Zusätzlich soll das Anwenderunternehmen selbst die Hoheit über die Verschlüsselung haben, um die Daten auch gegen mögliche Innenangriffe auf die Vertraulichkeit beim Cloud-Anbieter schützen zu können.

Technisch bedeutet dies, dass die Verschlüsselung unabhängig vom Cloud-Anbieter erfolgt. Somit soll das Schlüsselmanagement nicht etwa ein Dienst des Cloud-Anbieters sein, auch sollen Anwender ihre digitalen Schlüssel und Passwörter nicht innerhalb der Cloud des Providers aufbewahren.

Ebenso sollte kein Verschlüsselungsdienst genutzt werden, der durch den Cloud-Anbieter selbst betrieben wird, es sei denn, die getrennte und sichere Aufbewahrung der Schlüssel ist gewährleistet. Dies ist aber am besten umzusetzen, wenn man direkt einen vom Cloud-Provider getrennten, unabhängigen Dienst nutzt. Hier bieten sich zahlreiche Lösungen auf dem deutschen Markt an, wie noch näher betrachtet wird.

Nicht jede Verschlüsselung ist geeignet und sicher

Vergessen werden darf aber auch nicht, dass eine Cloud-Verschlüsselung wie jede andere Verschlüsselung auch nicht automatisch einen Schutz der Vertraulichkeit der Daten darstellt. So zählt das BSI (Bundesamt für Sicherheit in der Informationstechnik) in der Anleitung „Sichere Nutzung der Cloud“ unter den Bedrohungen bei der Nutzung von Cloud-Diensten auf, dass Daten über das Netz abgefangen und (bei schlechter oder nicht vorhandener Verschlüsselung) ausgespäht werden könnten.

Nicht ohne Grund fordert zum Beispiel das Bundesdatenschutzgesetz eine Verschlüsselung nach dem Stand der Technik, was natürlich auch für Lösungen zur Verschlüsselung von Cloud-Daten zu beachten ist. Was als Stand der Technik angesehen werden kann, ist für ein Anwenderunternehmen nicht ohne weiteres klar. Hier helfen Hinweise geeigneter Institutionen – beispielsweise die Technische Richtlinie TR-02102-1 des BSI (Kryptographische Verfahren: Empfehlungen und Schlüssellängen).

Mehr zum Thema finden Interessierte in unserem jüngsten eBook zur Cloud-Verschlüsselung. Registrierte Leser der Insider-Portale können das Dokument kostenlos im PDF-Format herunterladen.

Mehr Vertraulichkeit in der Wolke

Neues eBook „Verschlüsselung für die Cloud“

Mehr Vertraulichkeit in der Wolke

10.12.14 - Cloud Computing in Deutschland könnte noch erfolgreicher sein, wenn die Sorgen um den Datenschutz nicht bestehen würden. Es ist deshalb im Interesse der Cloud-Nutzer und Cloud-Provider, den Schutz der Vertraulichkeit zu optimieren. Das neue eBook zeigt, wie Cloud-Verschlüsselung einfach möglich wird. lesen

* Oliver Schonschek ist IT-Fachjournalist und IT-Analyst in Bad Ems.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 43129408 / Cloud und Virtualisierung)