Auf Wolke sicher

Verschlüsselung in Cloud-Computing-Umgebungen

| Autor / Redakteur: Malte Pollmann* / Stephan Augsten

Damit Verschlüsselung wirklich sicher ist, müssen auch die Encryption Keys an einem geschützten Ort aufbewahrt werden.
Damit Verschlüsselung wirklich sicher ist, müssen auch die Encryption Keys an einem geschützten Ort aufbewahrt werden. (Bild: Archiv)

Daten zu verschlüsseln, ist grundsätzlich eine gute Idee, auch in Cloud-Umgebungen. Wirklich sicher ist das aber nur, wenn auch der Code selbst vor Diebstahl und Verlust geschützt ist.

Wie lassen sich geschäftskritische und personenbezogene Daten in Cloud-Anwendungen absichern? Diese Frage beschäftigt immer mehr IT-Verantwortliche. Denn laut einer Studie des Cloud-Security-Spezialisten Skyhigh Networks setzten europäische Unternehmen im zweiten Quartal 2015 bereits durchschnittlich 997 Cloud-Services ein. Im Schnitt kommt eine Cloud-Anwendung pro Tag hinzu.

Da klingt es nicht gerade beruhigend, dass laut der Studie von Skyhigh Networks vom Juli 2015 Cloud-Dienste in Europa nur mangelhaft abgesichert sind. Von 12.000 untersuchten Cloud-Services kommt nur bei 15,4 Prozent eine Multi-Faktor-Authentifizierung zum Einsatz. Ganze 9,4 Prozent der Services verschlüsseln die gespeicherten Daten. Eine IT-Grundschutz-Zertifizierung des Bundesamts für Sicherheit in der Informationstechnik (BSI) gemäß ISO 27001 können lediglich 2,8 Prozent aufweisen.

Unter dem Strich bedeutet dies, dass rund 65 Prozent der Cloud-Services nicht den Datenschutzbestimmungen der Europäischen Union entsprechen. Nachdem diese Untersuchung vor dem Safe-Harbor-Urteil erfolgte, dürfte die Zahl inzwischen noch deutlich höher sein.

Selbst in Branchen, in denen besonders hohe Sicherheitsanforderungen gelten, ist die Situation unbefriedigend. So entsprechen nur sieben Prozent der Cloud-Dienste, die Banken, Versicherungen und Finanzdienstleister einsetzen, den geltenden Sicherheitsvorgaben.

Generalschlüssel im Hardware Security Module

Es gehört in vielen Unternehmen bereits zur Sicherheitsstrategie, sensible Informationen vor dem Transfer in die Wolke zu verschlüsseln. Das ist grundsätzlich ein guter Ansatz. Allerdings wird dabei eines häufig übersehen: das Absichern der kryptographischen Schlüssel.

Zwar bieten Cloud-Anbieter Sicherheitsservices wie Built-In Encryption oder Key Splitting (siehe Kasten). Diese erfordern jedoch großes Vertrauen in den Provider. Denn der Anwender kann kaum überprüfen, ob das Schlüsselmanagement die erforderlichen Sicherheitsvorgaben erfüllt oder die Administratoren des Providers tatsächlich keinen Zugang zu den Schlüsseln haben. In der Praxis sind diese also nur dann wirklich sicher, wenn sie extern erstellt, gespeichert und verwaltet werden – und damit sicher vor unbefugten Zugriffen sind.

Ergänzendes zum Thema
 
Encryption Services

Genau das gewährleisten Hardware-Sicherheitsmodule. Sie bieten einen Weg, um die Kontrolle über die Schlüssel und deren Verwaltung zu behalten. Cloud-Nutzer können die dedizierte Hardware im eigenen Rechenzentrum implementieren. So lassen sich Cloud-Dienste von Anbietern nutzen, Standort und Betrieb des Schlüsseltresors bleiben jedoch im Unternehmen.

Die Schlüssel werden also innerhalb des geschützten Umfelds generiert, verwaltet und bereitgestellt. Zwei Service-Beispiele, die diese Variante unterstützen, sind Direct Connect von AWS und ExpressRoute von Microsoft Azure.

Der Feind in meinem Büro

Eine Verschlüsselung auf diesem Weg hat einen weiteren Schutzeffekt: Sie beugt auch Datendiebstahl durch illoyale Mitarbeiter von Cloud-Service-Providern vor. Außerdem schützt eine Verschlüsselung vor Fehlern von IT-Mitarbeitern des Providers. Denn nach Angaben des IT-Sicherheitsunternehmens Symantec gingen 2014 rund acht Prozent aller Datendiebstähle auf das Konto von Insidern. Dazu zählten auch Mitarbeiter von Cloud-Service-Anbietern.

Doch selbst loyale Administratoren machen es Angreifern teilweise zu einfach. So fanden die Fachleute von Symantec eine Reihe von Fehlern und Sicherheitslücken in Application Programming Interfaces (APIs) von Cloud-Anwendungen. Ein weiteres Risiko stellen Zugangsdaten dar, die Cloud-Administratoren oder Nutzern abhandenkommen.

Symantec zufolge werden auf dem Schwarzmarkt solche Informationen für etwa acht Dollar gehandelt. Cyber-Kriminelle täuschen beispielsweise durch Phishing-Mails User und Administratoren, damit diese vertrauliche Account-Informationen herausgeben.

Der Schaden von Insider-Attacken ist überraschend hoch: So hat das Beratungshaus Ponemon Institute im Rahmen einer Befragung von mittelständischen und großen Unternehmen ermittelt, dass Insider-Attacken umgerechnet auf Jahresbasis im Durchschnitt einen Schaden von rund 144.500 Dollar verursachen. Dies ist unter allen Angriffsformen der mit Abstand höchste Wert.

Zum Vergleich: Web-basierte Attacken kommen auf gut 96.000 Dollar und Viren, Würmer und Trojaner verursachen Schäden in Höhe von 1.900 Dollar. Die hohe Schadenssumme bei Insider-Angriffen ist unter anderem darauf zurückzuführen, dass solche Attacken lange unentdeckt bleiben: im Schnitt mehr als 54 Tage.

Fazit

Malte Pollmann
Malte Pollmann (Bild: Utimaco)

Um sensible Informationen auf Cloud-Plattformen zu schützen, ist eine Verschlüsselung unabdingbar. Zugleich gilt es, die Schlüssel gegen unberechtigte Zugriffe abzusichern. Durch Implementieren eines HSM in einer Private-Cloud-Umgebung im hauseigenen Rechenzentrum behält der Cloud-Anwender die Kontrolle über seine Schlüssel.

* Malte Pollmann ist CEO von Utimaco.

Ergänzendes zum Thema
 
Über Hardware-Sicherheitsmodule

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44176288 / Verschlüsselung)