Auf Wolke sicher Verschlüsselung in Cloud-Computing-Umgebungen

Daten zu verschlüsseln, ist grundsätzlich eine gute Idee, auch in Cloud-Umgebungen. Wirklich sicher ist das aber nur, wenn auch der Code selbst vor Diebstahl und Verlust geschützt ist.

Anbieter zum Thema

Arvato Systems

SEPPmail - Deutschland GmbH

Rubrik Germany GmbH

Utimaco Safeware AG

Wie lassen sich geschäftskritische und personenbezogene Daten in Cloud-Anwendungen absichern? Diese Frage beschäftigt immer mehr IT-Verantwortliche. Denn laut einer Studie des Cloud-Security-Spezialisten Skyhigh Networks setzten europäische Unternehmen im zweiten Quartal 2015 bereits durchschnittlich 997 Cloud-Services ein. Im Schnitt kommt eine Cloud-Anwendung pro Tag hinzu.

Da klingt es nicht gerade beruhigend, dass laut der Studie von Skyhigh Networks vom Juli 2015 Cloud-Dienste in Europa nur mangelhaft abgesichert sind. Von 12.000 untersuchten Cloud-Services kommt nur bei 15,4 Prozent eine Multi-Faktor-Authentifizierung zum Einsatz. Ganze 9,4 Prozent der Services verschlüsseln die gespeicherten Daten. Eine IT-Grundschutz-Zertifizierung des Bundesamts für Sicherheit in der Informationstechnik (BSI) gemäß ISO 27001 können lediglich 2,8 Prozent aufweisen.

Unter dem Strich bedeutet dies, dass rund 65 Prozent der Cloud-Services nicht den Datenschutzbestimmungen der Europäischen Union entsprechen. Nachdem diese Untersuchung vor dem Safe-Harbor-Urteil erfolgte, dürfte die Zahl inzwischen noch deutlich höher sein.

Selbst in Branchen, in denen besonders hohe Sicherheitsanforderungen gelten, ist die Situation unbefriedigend. So entsprechen nur sieben Prozent der Cloud-Dienste, die Banken, Versicherungen und Finanzdienstleister einsetzen, den geltenden Sicherheitsvorgaben.

Generalschlüssel im Hardware Security Module

Es gehört in vielen Unternehmen bereits zur Sicherheitsstrategie, sensible Informationen vor dem Transfer in die Wolke zu verschlüsseln. Das ist grundsätzlich ein guter Ansatz. Allerdings wird dabei eines häufig übersehen: das Absichern der kryptographischen Schlüssel.

Zwar bieten Cloud-Anbieter Sicherheitsservices wie Built-In Encryption oder Key Splitting (siehe Kasten). Diese erfordern jedoch großes Vertrauen in den Provider. Denn der Anwender kann kaum überprüfen, ob das Schlüsselmanagement die erforderlichen Sicherheitsvorgaben erfüllt oder die Administratoren des Providers tatsächlich keinen Zugang zu den Schlüsseln haben. In der Praxis sind diese also nur dann wirklich sicher, wenn sie extern erstellt, gespeichert und verwaltet werden – und damit sicher vor unbefugten Zugriffen sind.

Genau das gewährleisten Hardware-Sicherheitsmodule. Sie bieten einen Weg, um die Kontrolle über die Schlüssel und deren Verwaltung zu behalten. Cloud-Nutzer können die dedizierte Hardware im eigenen Rechenzentrum implementieren. So lassen sich Cloud-Dienste von Anbietern nutzen, Standort und Betrieb des Schlüsseltresors bleiben jedoch im Unternehmen.

Die Schlüssel werden also innerhalb des geschützten Umfelds generiert, verwaltet und bereitgestellt. Zwei Service-Beispiele, die diese Variante unterstützen, sind Direct Connect von AWS und ExpressRoute von Microsoft Azure.

Der Feind in meinem Büro

Eine Verschlüsselung auf diesem Weg hat einen weiteren Schutzeffekt: Sie beugt auch Datendiebstahl durch illoyale Mitarbeiter von Cloud-Service-Providern vor. Außerdem schützt eine Verschlüsselung vor Fehlern von IT-Mitarbeitern des Providers. Denn nach Angaben des IT-Sicherheitsunternehmens Symantec gingen 2014 rund acht Prozent aller Datendiebstähle auf das Konto von Insidern. Dazu zählten auch Mitarbeiter von Cloud-Service-Anbietern.

Doch selbst loyale Administratoren machen es Angreifern teilweise zu einfach. So fanden die Fachleute von Symantec eine Reihe von Fehlern und Sicherheitslücken in Application Programming Interfaces (APIs) von Cloud-Anwendungen. Ein weiteres Risiko stellen Zugangsdaten dar, die Cloud-Administratoren oder Nutzern abhandenkommen.

Symantec zufolge werden auf dem Schwarzmarkt solche Informationen für etwa acht Dollar gehandelt. Cyber-Kriminelle täuschen beispielsweise durch Phishing-Mails User und Administratoren, damit diese vertrauliche Account-Informationen herausgeben.

Der Schaden von Insider-Attacken ist überraschend hoch: So hat das Beratungshaus Ponemon Institute im Rahmen einer Befragung von mittelständischen und großen Unternehmen ermittelt, dass Insider-Attacken umgerechnet auf Jahresbasis im Durchschnitt einen Schaden von rund 144.500 Dollar verursachen. Dies ist unter allen Angriffsformen der mit Abstand höchste Wert.

Zum Vergleich: Web-basierte Attacken kommen auf gut 96.000 Dollar und Viren, Würmer und Trojaner verursachen Schäden in Höhe von 1.900 Dollar. Die hohe Schadenssumme bei Insider-Angriffen ist unter anderem darauf zurückzuführen, dass solche Attacken lange unentdeckt bleiben: im Schnitt mehr als 54 Tage.

Fazit

Malte Pollmann

Um sensible Informationen auf Cloud-Plattformen zu schützen, ist eine Verschlüsselung unabdingbar. Zugleich gilt es, die Schlüssel gegen unberechtigte Zugriffe abzusichern. Durch Implementieren eines HSM in einer Private-Cloud-Umgebung im hauseigenen Rechenzentrum behält der Cloud-Anwender die Kontrolle über seine Schlüssel.

* Malte Pollmann ist CEO von Utimaco.

(ID:44176288)