Cloud-Diversifikation Kein „All-In“ in der Cloud-Strategie

Anbieter zum Thema

Conet Group

sysob IT-Distribution GmbH & Co. KG

FTAPI Software GmbH

Dass Cloud-Technologie integraler Bestandteil einer IT-Strategie ist, wird nicht mehr bestritten. Im Gegenteil: Die Cloud ist in der Privatwirtschaft und im öffentlichen Sektor Realität. Allerdings sollten Abhängigkeiten von Anbietern vermieden werden.

Ähnlich wie beim Poker, haben sich viele Unternehmen und Behörden zu einem Zeitpunkt entschieden, auf welche Cloud-Provider-Karte sie in Zukunft setzen werden. Die Grundlage dieser Entscheidung bildeten nachvollziehbare Dimensionen wie Service Vielfalt, Preisgestaltung, Security oder Nachhaltigkeit. Die Fokussierung ermöglicht Beschleunigung und Vereinfachung der IT-Landschaft – schafft aber auch eine zunehmende Abhängigkeit zu den Anbietern.

Laut des Flexera 2023 State of the Cloud Reports gaben etwa 31 Prozent der befragten Unternehmen an, dass sie nur einen einzigen Cloud-Anbieter nutzen. Diese Strategie kann zu einem Problem führen, wenn ein Cloud Provider gezwungen wird seine Integrität zu verletzen und somit für schützenswerte Daten unbrauchbar wird. Leider zeigt die kürzlich initiierte Auflösung des Privacy and Civil Liberties Oversight Board (PCLOB), das der Schutz der persönlichen Daten bei den Hyperscalern bald nicht mehr überwacht werden könnte.

Die Souveränitäts-Dimension

In den meisten Fällen beginnt der Prozess zur Erstellung einer Cloud-Strategie mit der Analyse der aktuellen IT-Landschaft und einer konkreten Zielsetzung, um entsprechende Anforderungen und Prioritäten des Unternehmens oder der Behörde zu verstehen. In den meisten Fällen existieren zwei Gründe für die Nutzung der Cloud: Kostenreduktion und Entwicklungsbeschleunigung. Je nach Gewichtung folgt die Auswahl der geeigneten Cloud-Modelle, -Dienste und Migrationspfade für einzelne Systeme. Anschließend folgt die Cloud Architektur in der die verschiedenen Dimensionen (eng. Pillars) des jeweiligen Well-Architected Frameworks (WAF) berücksichtigt werden. Neben Kosten, Nachhaltigkeit, Verfügbarkeit, Robustheit und Effizienz werden auch Sicherheitsaspekte betrachtet.

Die Sicherheits-Dimension befasst sich mit den Themen Identity and Access Managegement (IAM), Threat Detection, Infrastruktur-Schutz, Datenschutz und Incident Response. Auf Grundlage des WAF, können somit sichere Architekturen zum Schutz vor potenziellen Angreifern geschaffen werden. Die Cloud Provider bieten vielfältige vorgefertigte Dienste, um übliche Anwendungsszenarien auf einfache Weise abzusichern. Zum Beispiel bietet AWS die Möglichkeit mit dem Key Management Service (KMS) kryptografische Schlüssel zu verwalten und diese mit nur wenigen Klicks zur Datenbank-Verschlüsselung einzusetzen. AWS kümmert sich automatisch um die Erstellung, Key-Rotation, sowie Ver- und Entschlüsselung, sodass Administratoren keinen weiteren Aufwand haben.

Vertrauen nach der US-Wahl stark gesunken

Tech-Unternehmen fordern mehr Unabhängigkeit von den USA

Sind Daten auch vor dem Provider sicher?

Doch die Abgabe von Verantwortung geht auch immer mit dem Verlust von Kontrolle einher. Spätestens nach der Schrittweisen Auflösung des PCLOB, müssen sich Nutzer von Cloud Providern die Frage stellen: „Sind meine Daten auch vor dem Provider sicher?“ Eine Antwort auf diese Frage lässt sich an dem vorherigen Beispiel ableiten: Die Verwendung des Key Management Systems von AWS bietet diverse Vorteile und wird entsprechend empfehlen, um flächendeckende Verschlüsselung von Daten at-rest zu vereinfachen.

Unabhängig davon, ob die kryptografischen Schlüssel von AWS (AWS managed keys) oder dem Nutzer (Customer managed keys) erzeugt wurden, verbleibt die Speicherung und Verwaltung des Schlüssels beim Cloud Provider. Dieser Umstand schafft die technische Voraussetzung, dass gespeicherte Daten durch den Provider entschlüsselt werden könnten. Somit lautet die Antwort auf die Eingangsfrage: „Nein“.

Aus diesem Grund muss jede Cloud-Strategie um die Souveränitäts-Dimension ergänzt werden. Im Hinblick auf Cloud Provider haben zwei Aspekte eine besondere Relevanz: Datenhoheit und Offenheit. In der Betrachtung der Datenhoheit werden bestehende regulatorische Anforderungen (wie DSGVO) genutzt, um schützenswerte Daten zu klassifizieren. Anschließend müssen besondere Techniken etabliert werden, um diese Daten auch vor Zugriffen des Betreibers zu schützen. Der zweite Aspekt der Offenheit ist entscheidend für den Fall, dass einem Cloud Provider nicht mehr vertraut werden kann und ein schneller Wechsel notwendig ist. Für dieses Szenario muss eine technische Unabhängigkeit geschaffen werden, sodass eine Verschiebung von Workloads aufwandsarm möglich ist.

Datenhoheit: Vertrauen ist gut, Kontrolle ist besser

Die einzige Möglichkeit für Cloud Nutzer, die volle Kontrolle über die Daten in ihrer Verantwortung zu behalten, besteht in der Verschlüsslung sensibler Daten, sodass sie auch für den Betreiber unzugänglich gemacht werden. Das „Hold Your Own Key“ (HYOK) Konzept bietet hierfür die einzige verlässliche Vorgehensweise, indem Daten nur außerhalb der Public Cloud verschlüsselt und entschlüsselt werden können. Der kryptografische Schlüssel verlässt nie den eigenen Kontrollbereich. Allerdings können die verschlüsselten Daten dementsprechend nicht mehr in der Public Cloud verarbeitet werden, sodass diese Variante nur für langfristige Speicherung praktikabel ist. In der Praxis wird HYOK so implementiert, dass selektiv auf Spaltenebene entschieden wird, welche sensible Datenfelder verschlüsselt werden.

Eine Kompromisslösung bietet das „Bring Your Own Key“-Konzept, dass von AWS, GCP und Azure nativ unterstützt wird. Nutzer verknüpfen hierzu ein selbstkontrolliertes Schlüsselmanagement (HSM) mit dem Verschlüsselungsservice des Providers, sodass die kryptografischen Operationen, Schlüsselerstellung und Erneuerung in der eigenen Hand verbleibt. Die Ver- und Entschlüsselungsschnittstellen der Daten übernimmt der Cloud Provider, sodass alle Datenbanken, Logs, Dateispeicher und Umgebungsvariablen automatisch verschlüsselt werden können. Dieses Konzept bietet eine Ausgewogenheit zwischen Effizienz und Kontrolle, indem die vorhandenen Verschlüsselungsintegrationen des Providers verwendet werden, ohne dass die Schlüsselerstellung aus der eigenen Kontrolle gegeben werden muss.

Bei der Umsetzung muss für jeden Cloud Provider im Detail geprüft werden, wie das „BYOK“-Konzept umgesetzt wird, denn die Definition wird unterschiedlich interpretiert. So bietet AWS beispielsweise den AWS-KMS-BYOK-Service, welcher den Import eines selbsterstellen Schlüssels erfordert. Dieses Vorgehen widerspricht jedoch dem Konzept, indem die kryptografischen Operationen weiterhin in der Cloud stattfinden. Lediglich die Kombination des AWS-KMS und einer externen Schlüsselverwaltung inklusive HSM bietet den notwendigen Schutz.

Datenschutz in der Cloud

So sichern Unternehmen ihre SaaS-Anwendungen ab

Offenheit: Änderungsaffine Architekturen

„Nicht ist so konstant wie die Veränderung“ (Heraklit, 500v.Chr.). Technische Innovationen, neue Unternehmensziele und nicht zuletzt politische Veränderungen können Einfluss auf eine IT-Strategie nehmen. Im Hinblick auf die Cloud sorgen immer wieder Änderungen am Preismodell, Serviceangebot und nicht zuletzt Sicherheitsbedenken dazu, dass Unternehmen und Behörden einen kurzfristigen Wechsel ihres Cloud Providers vornehmen wollen. Doch durch den großflächigen Einsatz der komfortablen, vorgefertigten und effizienten nativen Services ist dieser Wechsel in der Regel mit enormen Aufwänden und Kosten verbunden.

Die Lösung liegt in einem dem bewährten Fassaden Entwurfsmuster der „Gang of Four“, indem eine Abstraktionsschicht geschaffen wird, die von dem konkreten Cloud Provider unabhängig ist. Diese Abstraktionsschicht muss nicht neu erfunden werden, sondern kann durch bereits vorhandene Technologien geschaffen werden. Ein etablierter Ansatz für agnostisches Betreiben generischer Applikationen ist der Einsatz von Kubernetes als Container Orchestrator. Entsprechende Dienste wie AWS EKS oder Azure KS stehen sowohl in Public als auch Private Clouds zur Verfügung und erlauben einen aufwandsarmen Übergang im Fall einer Umverteilung.

Das gleiche Vorgehen lässt sich auf Datenbanken übertragen, indem quellenoffene Technologien genutzt werden, die von den Cloud Providern als Managed Service angeboten werden. Zum Beispiel wird die Open-Source-NoSQL-Datenbank Apache Cassandra von AWS unter dem Namen AWS Keyspaces angeboten. Auf diese Weise können die Vorteile eines Managed Services genutzt werden, ohne die Flexibilität zu verlieren auch einen anderen Cloud Provider oder ein On-Premises System zu nutzen.

Jedoch kann nicht jeder Dienst problemlos abstrahiert werden, wie zum Beispiel Identity & Access Management, Logging und Monitoring. Die Public-Cloud-Provider bieten lediglich proprietäre Dienste, welche zwar optimal integrierbar sind, aber nicht ohne weiteres abstrahiert werden können. In diesen Fällen müssen etablierte und übergreifend nutzbare Systeme eingesetzt werden, wie zum Beispiel KeyCloak, Prometheus und Grafana.

Fazit

Zusammenfassend lässt sich sagen, dass der Schlüssel zu einer änderungsaffinen IT in der Verwendung von quellenoffenen und übergreifend nutzbaren Technologien liegt. Auf diese Weise können im Idealfall aufwandsreduzierende Managed Services verwendet werden, ohne eine konkrete Abhängigkeit zu einem Cloud Provider zu erzeugen. Dieses Vorgehen erfordert eine großflächige Planung der einzusetzenden Technologien und vor allem: Eine konsequente Umsetzung, sodass die nächste notwendige Veränderung mit Leichtigkeit genommen werden kann.

(ID:50366263)