Vermarktung der IT-Security im Zeitalter der Cloud Mit Sicherheit lässt sich Geld machen

Software-Anbieter drängen vermehrt in die Cloud. Dort werden Firmen künftig das Gros ihrer IT-Budgets in neue Geschäftsanwendungen investieren. Wer als Anbieter das Rennen in der Cloud machen will, muss vor allem mit seinem Sicherheitskonzept überzeugen. Hält der Sicherheitsanspruch von ERP-Herstellern der Realität stand?

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fujitsu Technology Solutions GmbH

SEPPmail - Deutschland GmbH

Kaum ein Tag vergeht, an dem wir nicht von neuen Hackerangriffen erfahren. Sie gehören zu unserem Alltag und finden immer öfter auch den Weg in die Schlagzeilen der Mainstream-Medien. Wurden die Themen Internetkriminalität und Cyber-Spionage früher hauptsächlich von Nischenseiten aufgegriffen, wecken sie in der Post-Snowden-und Post-Target-Hack-Ära auch das Interesse der Durchschnittsverbraucher und damit das der Massenmedien.

Dort nehmen wir besonders die Nachrichten wahr, die einen Superlativ zu bieten haben. Wie etwa die Nachricht von Anfang August, als russische Hackerringe über eine Milliarde Datensätze mit Benutzernamen und Passwörtern erbeuteten (über die zum Zeitpunkt der Meldung nichts Näheres bekannt war). Aber der Spiegel wusste geschickt zu vermelden: „Es wäre der größte jemals bekannt gewordene Internet-Datenklau."

Oder über den Einbruch bei der Europäischen Zentralbank Ende Juli, der von den Medien sensationell fast schon als Angriff auf unser Finanzsystem umgedeutet wurde. Zur Erinnerung: ein Hacker erbeutete aus der Webseiten-Datenbank der EZB rund 20.000 – größtenteils verschlüsselte – E-Mail-Adressen von Konferenzteilnehmern und Journalisten.

Die Vermarktung der Informationssicherheit ist in vollem Gange

Für die Massenmedien sind Nachrichten über Hack- und Spähangriffe inzwischen ein lukratives Geschäft geworden. Sie lassen sich - richtig aufgebauscht und möglichst in einen aktuellen politischen Kontext eingebettet - massenwirksam vermarkten. Sie generieren nicht nur Traffic auf den Seiten, sondern auch gute Werbeplätze für Sponsoren und Anzeigenbörsen.

Die Vermarktung der Informationssicherheit ist dort bereits in vollem Gange. Wir Internet-Nutzer aber registrieren nur die Sensation und weniger die Ermahnung an unser Sicherheitsbewusstsein, vorsichtiger mit unseren Daten und unserer virtuellen Identität umzugehen. In dem Punkt hat uns eine gewisse Sicherheitsmüdigkeit beschlichen.

Informationssicherheit wird uns immer mehr zur Last, im privaten wie auch im beruflichen Kontext. Sie wird komplexer, sie überfordert uns. Wir setzen uns noch nicht einmal selbst zur Wehr, sondern delegieren die Verantwortung für unseren Datenschutz über Hashtags und soziale Medien an die Unternehmen und den Staat weiter.

Nur übersehen wir dabei eine Tatsache: Weder die Unternehmen noch der Staat sind dazu verpflichtet oder gewillt, die Verantwortung zum Schutz unserer Daten und unserer Privatsphäre in dem Maße zu übernehmen, wie wir es fordern. Unternehmen wollen und bekommen immer mehr Daten von uns, fahren aber in Bezug auf Investitionen in die Informationssicherheit die Strategie „So viel wie nötig, so wenig wie möglich“.

Dass dieser Ansatz keinen ausreichenden Schutz unserer Daten bietet, zeigte zuletzt der Hackerangriff auf eBay-Konten im Mai dieses Jahres. Die Angreifer konnten 145 Millionen Kundendatensätze erbeuten. Diese setzten sich aus Name, E-Mail-Adresse, Postadresse, Telefonnummer, Geburtsdatum und dem verschlüsselten Passwort zusammen.

Was hätte eBay besser machen können?

Wie bekannt wurde, erfolgte der eigentliche Angriff auf eBay bereits im Februar und März, also zwei Monate, bevor eBay überhaupt etwas davon mitbekam. Dann brauchte das Unternehmen weitere zwei Wochen, bis es den Vorfall veröffentlichte. Und auch die darauf einsetzenden Kommunikations- und Sicherheitsmaßnahmen zeigten, dass eBay mit der Situation völlig überfordert war.

Zunächst erfuhr die Öffentlichkeit per Pressemitteilung vom Vorfall. Die Kunden wurden erst viel später angeschrieben und „gebeten", ihre Passwörter zu ändern. Sicherheitsexperten kritisierten, dass die Passwörter nicht automatisch zurückgesetzt wurden. eBay hielt dagegen, dass die Rechner unter der aufkommenden Last zusammengebrochen wären. Und tatsächlich kam es auch stellenweise dazu.

eBay, das einen der größten Online-Marktplätze verkörpert und das sonst gigantische Handelstransaktionen in Sekundenbruchteilen abzuwickeln vermag, kommt mit massenweisen Passwortänderungen über einen kürzeren Zeitraum nicht zurecht? Und warum wurden nicht von vornherein alle Daten, sondern nur die Passwörter verschlüsselt gespeichert?

Die Antwort auf diese Fragen gibt die „So viel wie nötig, so wenig wie möglich“-Strategie, die das Unternehmen bislang verfolgt hat. Nun wird seit Ende Juli in den USA eine Sammelklage auf Schadensersatz gegen eBay angestrengt. Der Ausgang dieses Prozesses wird zeigen, ob zusätzliche Maßnahmen und Investitionen in die Sicherheitsinfrastruktur nicht besser früher erfolgt wären.

Wer kommt als nächstes?

Das scheint die Frage zu sein, die IT-Anbieter derzeit im Hinterkopf haben, wenn sie ihre Produkte und Dienstleistungen vermarkten. Die zunehmende Berichterstattung in den Medien über spektakuläre Cyber-Angriffe und ihre Folgen spielt ihnen in die Hände. Sie spüren auch den Druck der Unternehmen. Die Informationssicherheit spielt eine wichtige Rolle bei Entscheidungen, nicht zuletzt weil immer mehr kritische Daten immer häufiger in die Cloud wandern und von immer mehr Endgeräten aus zugegriffen wird.

Auf der anderen Seite sind Unternehmen den Versprechen und Verheißungen der IT-Anbieter in Bezug auf die Informationssicherheit oft hilflos ausgeliefert. Der seitens der Unternehmen jahrelang vernachlässigte Aufbau von Talent und Ressourcen in diesem Bereich macht sie nun zum Opfer ihrer eigenen Minimalprinzip-Strategie.

Ausgaben für IT-Sicherheit steigen

Allen voran die Anbieter von IT-Sicherheitsprodukten und -leistungen machen sich diesen Umstand zunutze und zielen mit voller Marketing-Power auf die inzwischen aufgestockten Sicherheitsbudgets der Unternehmen mit kritischen Infrastrukturen. Der Business Case steht ohnehin längst fest.

Jetzt geht es nur noch darum, einen möglichst größten Anteil vom Kuchen zu ergattern. Die Security-Budgets der Unternehmen stiegen allein im letzten Jahr global um 51 Prozent gegenüber 2012 und betrugen im Durchschnitt 4,3 Millionen US-Dollar pro Unternehmen, fand der PwC Global State of Information Security Report 2014 heraus.

Interessant ist aber vor allem eine ganz andere Zahl, die vor allen die Anbieter von Unternehmensanwendungen interessieren dürfte: Denn das Security-Budget stellt im Durchschnitt nur einen Anteil von 3,8 Prozent am gesamten IT-Budget. In welche neuen Technologien wird also der Großteil der geplanten IT-Ausgaben investiert werden?

Die Zukunft ist in der Cloud

Die Investitionsfrage scheinen zumindest die führenden Hersteller von Unternehmenssoftware für sich beantwortet zu haben: Die Zukunft spielt in der Cloud. Bei SAP etwa sind die Umsätze mit Wartungsleistungen und On-premise-Software rückläufig. Die stärkste Zunahme vermeldet der Cloud-Bereich. Bill McDermott, seit Kurzem alleiniger Vorstandschef der SAP, will daher den Konzern mit aller Macht zu einem weltweit führenden Cloud-Anbieter für Unternehmenssoftware umbauen.

Die Zukäufe von Cloud-Firmen in den letzten Jahren waren nur der Anfang. Jetzt geht es darum, die Aktivitäten zu integrieren und Lösungen zu liefern. Denn in vielen Bereichen spielen die seit Jahren als reine Cloud-Anbieter agierenden Firmen, wie beispielsweise Salesforce bei CRM-Lösungen, die erste Geige. Daher muss sich McDermott von Anlegern und Marktanalysten auch stets die Frage gefallen lassen, wie SAP den Vorsprung, den sich die etablierten Nischenanbieter in diesem Segment aufgebaut haben, einholen will.

McDermott hat sich zur Beantwortung dieser Frage einige Argumente einfallen lassen und in letzter Zeit auch Taten folgen lassen, um die großen Anstrengungen zu untermauern: Den neuerlichen Umbau an der Konzernspitze, um nur ein Beispiel zu nennen. Es gibt bei SAP keinen dezidierten Cloud-Chef mehr. Für den Cloud-Erfolg stehen jetzt alle Führungskräfte in der Verantwortung.

Cloud-Sicherheit ist Trumpf

Aber wer hätte das vor Kurzem noch gedacht: Auf die Frage, warum sich der Nachzügler SAP rosige Aussichten auf das Cloud-Geschäft ausmalt, zückt McDermott die Security-Karte aus dem Ärmel. In einem Interview mit Reuters vom Juli dieses Jahres teilte er seine Beobachtung mit, dass Unternehmen immer kritischere Fragen nach der Security und Verschlüsselung in der Cloud stellten, die gerade die kleineren Anbieter in Bedrängnis bringen würden.

Er gehe davon aus, dass sie über kurz oder lang Schwierigkeiten am Markt bekämen. Und tatsächlich, wer die Marketing-Kampagnen der SAP in den letzten Monaten aufmerksam beobachtet hat, wird so viele C-Level-taugliche Security-Botschaften vernommen haben, wie nie zuvor. Was einst höchstens als Randthema auf Entwickler-Konferenzen diskutiert wurde, wird jetzt mit aller PR- und Marketing-Power vermarktet.

Speziell für Zielgruppe der CIOs sind in diesem Jahr mehrere Guides entwickelt worden, die sich voll und ganz dem Thema Sicherheit widmen. Aufwändig gestaltete virtuelle Rundgänge durch SAP Datenzentren sowie spektakuläre Vorträge hochrangiger SAP-Manager ("Security is in our DNA") werben unentwegt um das Vertrauen der Kunden in die SAP-Cloud.

SAP soll als der Cloud-Anbieter positioniert werden, der nicht nur das umfangreichste und am besten integrierte Produktportfolio hat, sondern auch das sicherste. Denn Sicherheit, das ist immer noch der große Hemmschuh, wenn es um Investitionen in die Cloud geht. Es ist abzusehen, dass auch der Wettbewerb in puncto Cloud-Sicherheit nachlegen wird. Daher ist es besonders wichtig, fortschrittliche Security-Konzepte anbieten zu können. Aber woher sollen die kommen?

Für die etablierten Anbieter von Geschäftsanwendungen stellt die Cloud noch Neuland dar. Ihre Systeme und Anwendungen liefen und laufen bislang hauptsächlich hinter der Firewall, und selbst da sind sie nur deshalb einigermaßen geschützt, weil sie eine Art Exoten-Bonus genießen. Der Aufwand für den Durchschnitts-Hacker ist relativ hoch, sich nach Erklimmen der Firewall noch in proprietäre Programmier- und Anwendungssysteme einzuhacken, um an die kritischen Daten zu gelangen. Der Aufwand wird aber umso geringer, je mehr Anwendungen und Daten in die Cloud wandern.

Keine Security in der DNA

ERP-Anbieter wie SAP und Oracle verweisen zurecht darauf, dass ihre größten Unternehmenskunden aus allen Branchen ihre Anwendungen seit Jahren sicher betreiben. Nur geht diese Sicherheit zum großen Teil auf unabhängige und spezialisierte Security-Firmen zurück, die sich ein Geschäftsmodell in einer Nische aufgebaut haben, die von den Anbietern bislang stiefmütterlich „ausgespart" wurde.

Von einer „Security in der DNA“ kann wahrlich nicht die Rede sein. Der Blick in die Sicherheitshistorie der SAP zum Beispiel zeigt: Ein Großteil der Schwachstellen wird seit Jahren von Dritten aufgedeckt. „Ohne die Arbeit von unabhängigen Security-Forschern wären allein im letzten Jahr mehr als die Hälfte aller Sicherheitslücken unentdeckt geblieben“, sagt Andreas Wiegenstein von der Heidelberger Firma Virtual Forge.

Sein Arbeitgeber hat sich seit über zehn Jahren ganz auf die Absicherung von SAP-Anwendungen und Systemlandschaften spezialisiert. Finanziert wird die Arbeit der Sicherheitsforscher durch den Verkauf von Security-Lösungen und -Dienstleistungen, in denen die unabhängigen Security-Anbieter all ihr Security-Know-How stecken, das sie im Rahmen ihrer Forschung und Praxis über die Jahre erarbeitet haben.

Vor diesem Hintergrund muss der Sicherheitsanspruch der in die Cloud drängenden Anbieter von Unternehmenssoftware neu überprüft werden. Security in der Cloud kann nicht nur als Lippenbekenntnis im Marketing bestehen bleiben, sondern muss sich erst noch durch eine exzellente Sicherheitspraxis seitens der Anbieter erproben und bewahrheiten. Die Zukunft wird erst noch zeigen, wie gut die Anbieter mit dieser Verantwortung umzugehen wissen. Ein einziger erfolgreicher Hack in der Cloud kann schließlich die Existenz ganzer Unternehmen bedrohen.

* Jannis Blume ist als Berater für Virtual Forge tätig.

(ID:42926998)