Cloud-Mix benötigt besondere Security-Strategie Wie Multi-Cloud-Sicherheit aussehen muss

Ob die Multi-Cloud bereits stark verbreitet ist oder erst noch im Kommen, hier unterscheiden sich aktuelle Umfragen. Klar ist jedoch: Der Multi-Cloud-Ansatz verlangt nach einer besonderen Sicherheitsstrategie. Wir haben mit zahlreichen Experten darüber gesprochen und ihre Einschätzungen zusammengestellt.

Anbieter zum Thema

Insider Research

Arvato Systems

Rapid7 Germany

Keeper Security EMEA Ltd.

Die Marktforscher sind sich uneins: Mal wird berichtet, dass die meisten Unternehmen bereits einen Multi-Cloud-Ansatz verfolgen, dann kommt eine andere Studie zu dem Schluss, dass die Multi-Cloud im wesentlichen noch Zukunftsmusik ist. Virtustream zum Beispiel veröffentlichte die Ergebnisse der neuen Forrester-Studie „Multicloud Strategies Drive Mission-Critical Benefits". Danach setzen 97 Prozent der Befragten auf eine Multicloud-Strategie für unternehmenskritische Anwendungen. Darüber hinaus nutzen fast zwei Drittel der Studienteilnehmer mehrere Anbieter für unternehmenskritische Workloads.

Die zentrale Erkenntnis der Multi-Cloud-Studie 2019 von Interxion lautet dagegen: Bislang haben zwar nur elf Prozent der deutschen Unternehmen eine Multi-Cloud implementiert, doch 36,8 Prozent planen dies in den nächsten 18 Monaten und 32,8 Prozent langfristig. Tatsächlich beschäftigen sich derzeit fast alle deutschen Unternehmen mit der Multi-Cloud. Nur 7,6 Prozent haben das Thema bislang ignoriert oder nutzen nur einen oder gar keinen Cloud-Provider. Ganz gleich aber, wie weit die Verbreitung nun aktuell ist, die Multi-Cloud kann Vorteile haben, wenn es um sensible und unternehmenskritische Prozesse in der Datenverarbeitung geht. Als Anwender ist man nicht so abhängig von einem Anbieter, entsprechend wirken sich Schwachstellen, die es bei einem Provider gibt, oder gar Cloud-Ausfälle nicht gleich auf alle genutzten Cloud-Dienste aus.

Komplexes Cloud-Management, uneinheitliche Schnittstellen und DSGVO

Eine der wesentlichen Herausforderungen bei dem Multi-Cloud-Ansatz ist die Komplexität der Cloud-Verwaltung. Die verschiedenen Cloud-Provider und deren unterschiedliche Cloud-Dienste müssen unter einen Hut gebracht werden. „Bei der Entwicklung einer Multi-Cloud gibt es einige Herausforderungen“, erklärt Uwe Scheuber, Director Business Development Cloud & Hybrid IT bei Fujitsu Central Europe. „Durch den Einsatz mehrerer Cloud Environments steigt die Komplexität des Managements und der Verwaltung ganz erheblich. Die Integration und die Orchestrierung zählen unter anderem zu den größten Herausforderungen für Unternehmen, die hybride IT-Umgebungen aufbauen, verbinden und optimieren wollen.“

Zu der Multi-Cloud-Sicherheit trägt deshalb das Cloud-Management-Tool, das Unternehmen einsetzen, wesentlich bei, oder es sollte es tun. „Aus der Sicht eines Sicherheitsanbieters soll eine Cloud-Management-Lösung eine nahtlose Integration in das Sicherheits-Management des Kunden gewährleisten“, meint Thorsten Henning, Senior Manager System Engineering bei Palo Alto Networks. „Sicherheitsregeln sollen automatisch und dynamisch mit den Änderungen in der Cloud einhergehen, um Dynamik und Flexibilität zu ermöglichen, ohne die Sicherheit zu beeinträchtigen. Das Sicherheitsmanagement sollte zudem in der Lage sein, die Änderungen und Aktivitäten in der Cloud permanent zu überwachen, um Fehler oder Angriffe in Echtzeit zu erkennen und abzustellen bzw. zu verhindern. Der allgemeine Trend hin zu mehr Vernetzung und Automatisierung in der IT-Sicherheit wird im Kontext von Multi-Cloud besonders deutlich.“

Nicht nur die Cloud-Dienste sind verschieden, auch die Schnittstellen, um sie zu nutzen. Schnittstellen-Problemen führen schnell zu Problemen bei der Nutzung und Steuerung und bedeuten ein Sicherheitsrisiko. Thorsten Henning von Palo Alto Networks verweist auf dieses Problem: „Die verschiedenen Cloud-Anbieter stellen für den Betrieb ihrer Cloud-Lösung eigene APIs und Tools zur Verfügung, die nicht standardisiert sind. Das erschwert oft eine Interoperabilität der verschiedenen Cloud-Lösungen. Es besteht die Notwendigkeit der Definition des Mindest-Sicherheitsstandards für die Cloud-Lösung und einer einheitlichen Sicherheitslösung, die in der Lage ist, diese Standards auch in einer Multi-Cloud-Umgebung umzusetzen. Dabei ist darauf zu achten, dass die Sicherheitslösung dem Security-Team nicht nur die volle Sichtbarkeit auf den aktuellen Sicherheitsstatus liefert. Eine gute Lösung muss ebenso Ereignisse automatisiert entdecken und Daten vorhalten, die dann eine schnelle und zuverlässige Analyse von verdächtigen oder offensichtlich schädlichen Vorgängen ermöglichen.“

Neben der Harmonisierung der Schnittstellen und der möglichst einheitlichen Verwaltung spielen auch Compliance-Vorgaben wie die Datenschutz-Grundverordnung (DSGVO) eine entscheidende Rolle bei der Nutzung einer Multi-Cloud. So muss jeweils das Datenschutzniveau des ausgewählten Cloud-Dienstes dem Risiko angemessen sein, das die Verarbeitung bestimmter, personenbezogener Daten mit sich bringt. „Unternehmen verlagern mehr Applikationen mit ihren Daten in die Cloud. Die IT muss die potenziellen Kandidaten genau untersuchen und bewerten“, betont Matthias Pfützner, Senior Solution Architect, Account & Cloud - DACH bei Red Hat. „Nicht personenbezogene Daten wie Ersatzteillisten, Produktbeschreibungen oder eine technische Dokumentation sind weitgehend unproblematisch. Dagegen unterliegen personenbezogene Daten der DSGVO.“

Cloud-Nutzer sind in der Pflicht, nicht nur die Provider

„Bis 2020 werden 80 Prozent der Cloud-Lecks auf Fehlkonfigurationen der Nutzer, falsch verwaltete Anmeldeinformationen oder Insider-Diebstahl zurückzuführen sein - nicht auf Schwachstellen von Cloud-Providern“, auf diese Aussage von Gartner Research verweist Chris Hill, Regional Vice President Public Cloud EMEA, Barracuda Networks. „Eine besondere Verantwortung wird Unternehmen zuteil, wenn es um die Nutzung von Cloudanwendungen geht. Zwar sieht die DSGVO eine geteilte Verantwortung zwischen Cloud-Nutzern und Cloud-Providern vor, doch zur Verantwortung gezogen werden schlussendlich die Unternehmen, die die Cloud nutzen“, so Chris Hill. „Der Kunde ist zu 100 Prozent für die Sicherheit in der Cloud verantwortlich - Daten, Anwendungen, Identitätsmanagement, Betriebssystem, Netzwerk- und Firewall-Konfiguration, Netzwerkverkehr, serverseitige Verschlüsselung und clientseitige Daten. In einer Multi-Cloud-Umgebung wird dies noch komplexer, und es wird schnell praktisch unmöglich, die vorhandene Infrastruktur klar zu visualisieren, detailliert aufzuschlüsseln, Informationen auf Ressourcenebene zu sammeln und die Beziehungen und Zusammenhänge zwischen diesen Ressourcen zu verstehen.“

Für die Auswahl, welche Cloud-Provider jeweils Teil der Multi-Cloud werden sollen, gibt Chris Hill von Barracuda Networks diesen Hinweis: „Zwar sieht die DSGVO eine Zertifizierung von Cloud-Providern vor. Über verschiedene Gütesiegel soll das Level an Datenschutz und -sicherheit eines Anbieters zuverlässig abgebildet werden. Allerdings sind bisher noch keine einheitlichen Standards etabliert und die Zertifizierung ist freiwillig. Dennoch werden Gütesiegel langfristig für Cloud-Provider faktisch zu einem Wettbewerbskriterium werden.“

Die Cloud ist keine Insel

Es zeigt sich: Ob die Multi-Cloud erst noch kommt oder schon im Einsatz ist, auf die Cloud-Sicherheit kommen viele Aufgaben zu, die noch anspruchsvoller sein können als bei dem einfachen Cloud Computing. Da man davon ausgehen kann, dass spätestens in einigen Jahren der Multi-Cloud-Ansatz zu einem Standard werden wird, sollte man sich schon fest an den Gedanken gewöhnen, dass es im Cloud Computing zu einer Multi-Cloud-Sicherheit kommen muss. Insellösungen für einzelne Clouds werden nicht reichen.

(ID:46315945)