Cloud-Verschlüsselung Fünf Kriterien für Datensicherheit in der Cloud

Die Auslagerung von Geschäftsprozessen und Informationen in die Cloud ist ein verlockender Weg, um Ressourcen einzusparen und die Produktivität bequem zu sichern – oder die Verantwortlichkeit dafür in andere Hände zu legen. Doch der Königsweg für den IT-Administrator ist für CDOs oder CISOs, die den Datenschutz in der Cloud verantworten, ein Tanz auf dem Seil ohne Netz. Verschlüsselung spannt dieses Netz.

Anbieter zum Thema

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Cohesity GmbH

Weil ab Mai 2018 die Europäische Datenschutzgrundverordnung (EU-DSGVO) verbindlich die rechtlichen Rahmenbedingungen für den Datenschutz und damit die Anforderungen an Datensicherheit auch in der Cloud festlegt, wird Verschlüsslung als effektivste Verteidigungslinie zum Schutz der Informationen gerade in der Cloud immer wichtiger.

Herkömmliche IT-Sicherheitslösungen bieten zwar auch Schutzmaßnahmen für Daten und Prozesse in der Cloud. Doch wenn diese Mauern erst einmal überwunden sind und Angreifer auf Daten zugreifen können, schützt nur eine Verschlüsselung und verhindert die Nutzung der Informationen. Aber Verschlüsselung ist nicht gleich Verschlüsselung. Wirkliche Sicherheit hängt von vier zentralen Kriterien ab.

Bildergalerie

Kriterium 1: Verschlüsselung überall, jederzeit und korrekt

Nur eine Datenverschlüsselung verschlüsselt, im Gegensatz zur Transportverschlüsselung, Daten an jedem Speicherort und zu jedem Zeitpunkt. Erst ein solches Verfahren bietet höchstmögliche Sicherheit der Informationen. Denn jeder Ort oder jede Anwendung, an dem Daten im Klartext zugänglich gemacht werden, wird zur Sicherheitslücke. Gerade bei in der Cloud gespeicherten Daten kommt es auf die lückenlose Verschlüsselung an.

Sicher sind Informationen nur dann, wenn sie mathematisch korrekt und vollständig verschlüsselt werden. Verfahren zur Teilverschlüsselung, die oft benutzt werden, um Informationen in den verschlüsselten Daten zu suchen oder sortieren zu können, lassen sich leicht aushebeln. Dieser schwerwiegende Sicherheitsmangel lässt sich aber vermeiden, ohne auf diese Funktionalitäten zu verzichten.

Kriterium 2: Keine Einschränkungen bei Produktivität

Die Unterstützung von Anwendungen muss nicht auf Kosten der Datensicherheit gehen. Gateway-basierte Verfahren unterstützen berechtigte Anwender bei ihrer Arbeit mit den Daten – ohne Verlust von Funktionalitäten. Bei Datenverschlüsselungen gewährleisten Funktionalitätsemulationen, die nur den berechtigten Anwendern über eine Applikation wie ein Gateway bereitstehen, die Arbeit mit Datenbeständen, als ob es keine Verschlüsselung gäbe.

Auch Tokenisierungsverfahren ermöglichen es berechtigten Anwendern mit Daten zu arbeiten, die nur sie im Klartext sehen. Anderen aber werden nur Ersatzwerte dargestellt. Zur Tokenisierung der Informationen generiert ein Gateway für jeden Datensatz typkonforme Werte. So wird gewährleistet, dass Anwendungs-Workflows weiter funktionieren und nur der Ersatzwert in der Cloud gespeichert wird. Für die Datensicherheit ist aber eine sichere Tokenization wichtig. Bei älteren Verfahren sind typkonforme Ersatzwerte oft in einer Mapping-Tabelle verzeichnet, welche daher ein beliebtes Ziel für Hacking-Angriffe ist. Wichtig ist es daher, die Originaldaten vor Eintragung in die Token-Tabelle zu verschlüsseln und starke Verschlüsselungen und Tokenization zu kombinieren.

Kriterium 3: Datensicherheit schnell verwirklichen

Verschlüsselungslösungen müssen schnell für Sicherheit sorgen, ohne die bestehende IT-Infrastruktur zu verändern und damit die Funktionalität von Anwendungen zu beeinträchtigen. Eine schnelle Implementierung spart Geld. Letztlich lässt sich oft auch nur so die Anschaffung einer solchen Lösung im Unternehmen durchsetzen.

Eine Gateway-Struktur, die vor die eigentliche IT-Infrastruktur geschaltet wird, die Verschlüsselung samt Funktionsemulation außerhalb einer zu schützenden Anwendung durchführt und dem unberechtigten Anwender immer nur verschlüsselte tokenisierte Daten präsentiert, bietet nicht nur Sicherheit. Sie macht es auch möglich, dass bestehende Infrastrukturen nicht geändert werden müssen und Verschlüsselungen schnell implementiert werden können. Und wenn Anwender bestimmen können, welche Daten nur verschlüsselt werden müssen – also etwa personenbezogene Daten, aber nicht Patientendaten – und das Gateway seine Rechenleistung zur Verarbeitung von Suchanfragen einbringt, kommt es auch zu keinen nennenswerten Performance-Verlusten.

Kriterium 4: Klare Verantwortlichkeiten – insbesondere beim Gang in die Cloud

Datensicherheit erfordert eine konsequente Regelung und Gewaltenteilung der Zugriffrechte auf Schlüssel und Daten. Bei sicheren Lösungen bleibt die Generierung und Verwaltung individueller Schlüssel ohne Wenn und Aber im eigenen Unternehmen. Hersteller der Verschlüsselungslösung oder der Applikation oder auch Betreiber von Cloud-Rechenzentren bleiben außen vor. Anfragen Dritter zur Herausgabe der Schlüssel oder zur Entschlüsselung an Externe sind also zwecklos.

Aber auch unternehmensintern sollte sich der Kreis der Schlüsselverwalter so klein wie möglich halten lassen. Am besten verwaltet nur ein ausgewählter Sicherheitsadministrator die Schlüssel. Dieser kann Schlüssel lediglich zuteilen und entziehen, ohne je auf Daten im Klartext zugreifen zu können. Der Zugriff auf die verschlüsselten Daten ermöglicht ihm aber deren administrative Bearbeitung – wie Kopieren, Verschieben oder das Veranlassen von Backups, Spiegelung oder Migration. Für den Datenzugriff hängt der berechtigte Benutzer von der Verwaltung seiner Rechte durch den IT-Administrator, beispielsweise über ein Meta Directory, ab. Die Rechtevergabe erfolgt in der Applikation, die die Daten verschlüsselt, also etwa in Salesforce oder Outlook 365.

Kriterium 5: Compliance

Eine Verschlüsselungslösung hilft auch Unternehmen bei der Erfüllung der immer weiter zunehmenden Anforderungen des Datenschutzes. Dieses Problem drängt angesichts der bevorstehenden Verschärfungen bestehender Datenschutzgesetze und neuer Vorschriften, wie die NIS-Richtlinie oder die EU-DSGVO/GDPR, immer mehr. Verschlüsselung löst offensichtlich alle Probleme, denn sie macht Daten in jedem Fall unbenutzbar weil unlesbar, auch wenn der Angriff auf die Daten Erfolg haben sollte.

Richtige Verschlüsselungsimplementierung dokumentiert die Anstrengungen zur Pseudonymisierung oder Verschlüsselung persönlicher Daten (laut Artikel 32 der EU General Data Protection Regulation 2016/679 - GDPR), hilft bei Erfüllung der Forderung nach Auswahl geeigneter Schutztechnologien (Artikel 25 GDPR), nach administrativer Verwaltung des Zugangs durch Nutzerrechte (Artikel 32 GDPR), nach Minimisierung der Datenverarbeitung (Artikel 5 GDPR), wenn etwa nur für dritte wertlose verschlüsselte Werte das Unternehmen verlassen, oder auch nach Zentralisierung des Datenschutzes (Recital 36 GDPR).

Über den Autor: Elmar Eperiesi-Beck ist CEO bei Eperi.

(ID:44764948)