Cloud:
Definition und Funktionsweise,
Servicemodelle & Security

Cloud Security ist ein Fachbereich der Cyber-Sicherheit. Instrumente der Cloud Security dienen zur Absicherung der in der Cloud gespeicherten Daten und Anwendungen.

Cloud Security umfasst den Schutz von:

• Physikalischen Netzwerken: Router, Stromversorgung, Verkabelung etc.
• Datenspeicherung: Festplatten
• Datenservern: Hardware und Software für Kernnetzwerk-Computing
• Computer-Virtualisierungs-Frameworks: Software für virtuelle Maschinen, Host-Rechner und Gast-Rechner
• Betriebssysteme (OS): Software, die alle Computerfunktionen unterstützt
• Middleware: Verwaltung des API (Application Programming Interface)
• Laufzeitumgebungen: Ausführung und Aufrechterhaltung eines laufenden Programms
• Daten: Alle gespeicherten, geänderten und abgerufenen Informationen
• Anwendungen: Traditionelle Softwaredienste (E-Mail, Steuersoftware etc.)
• Enduser-Hardware: Computer, mobile Geräte

Cloud Security umfasst drei Themenbereiche: Sicherheit bei der Nutzung, Sicherheit der Cloud-Infrastruktur und Compliance (=Einhaltung von Gesetzen, Richtlinien und freiwilligen Kodizes).

Um die Sicherheit bei Public Cloud Projekten zu gewährleisten, müssen die User verstehen, welchen Teil sie selbst beizutragen haben. Man spricht von einem Shared Responsibility Model – einem Modell der gemeinsamen Verantwortung.

Es gibt drei Kategorien von Verantwortlichkeiten:

1. Verantwortlichkeiten, die immer die des Anbieters sind: Dies bezieht sich auf die Sicherung der physischen Infrastruktur selbst und dem Zugang dazu.
2. Verantwortlichkeiten, die immer die des Kunden sind: Dies schließt die Verwaltung der User und ihrer Zugangsberechtigungen ein. Außerdem betrifft es den Schutz von Cloud-Accounts sowie die Verschlüsselung von cloud-basierten Datenbeständen.
3. Verantwortlichkeiten, die je nach Servicemodell variieren: Je nach Servicemodell – Infrastructure-as-a-Service, Platform-as-a-Service oder Software-as-a-Service – variiert der Grad der Verantwortung. Hier ist zwischen der Sicherheit der bereitgestellten Cloud an sich und der Sicherheit in der Cloud, also Sicherheitsmechanismen, die der User selbst konfigurieren muss, zu unterscheiden.

Cloud Security-Praktiken bieten folgende Vorteile:

• Schutz vor Angriffen: Ein Hauptzweck von Cloud-Security-Maßnahmen ist die Verteidigung gegen Hacker-Angriffe.
• Datensicherheit: Durch eine ausgeklügelte Sicherheitsstrategie sind sensibelste Daten dank Verschlüsselung geschützt.
• Schutz vor Datenverlust: Im Falle eines Datenverlusts kann eine Datenwiederherstellung aktiviert werden.
• Erhöhte Zuverlässigkeit: Durch Cloud Security wird menschliches Fehlverhalten oder Fahrlässigkeit vermieden, welche zu einem Datenleck geführt hätten. Auch die Auswirkungen von Daten- oder System-Kompromittierung werden reduziert.
• Verbesserte Verfügbarkeit: Zahlreiche Cloud-Sicherheitsservices bieten 24h-Support und Überwachung an.

Es gibt eine Reihe von Tools und Praktiken, deren Hauptaufgabe es ist, die in der Cloud befindlichen Daten zu schützen. Dies funktioniert mittels:

• Mikrosegmentierung: Diese Sicherheitstechnik unterteilt das Rechenzentrum bis hinab zur Workload-Ebene in verschiedene Sicherheitssegmente. So können flexible Sicherheitsrichtlinien festgelegt werden, die den Schaden eines möglichen Angriffs reduzieren.
• Firewalls der nächsten Generation: Diese sind effektiver als herkömmliche Firewalls. Sie verwenden anwendungsorientierte Filter, um fortgeschrittene Bedrohungen abzuwehren.
• Datenverschlüsselung: Bei diesem Verfahren werden die Daten so verschlüsselt, dass zum Entschlüsseln ein Schlüssel benötigt wird.
• Least Privilege & Zero Trust: Das Least-Privilege-Prinzip besagt, dass einem Benutzer nur die für seine Tätigkeit mindestens erforderlichen Zugriffsebene gewährt wird. Dieses Best Practice aus der Informationssicherheit geht über den Zugriff durch menschliche Benutzer hinaus. Es lässt sich auch auf nicht-menschliche Tools übertragen. Unter Zero Trust versteht man den Ansatz, dass alles und jede/r überprüft wird, die/der versucht, auf Unternehmensdaten zuzugreifen. Observability-Tools zur besseren Analyse aller Vorgänge helfen, die Sicherheit der Cloud-Infrastruktur zu optimieren.

Das National Institute of Standards and Technology (NIST) hat ein Rahmenwerk zu Cloud-Sicherheit entwickelt. Das NIST-Framework basiert auf den Grundsätzen: Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen:

Physische Sicherheit: Rechenzentren müssen eine sichere Umgebung für die Hardware bereitstellen. Entsprechende Zutrittsberechtigungen dürfen nur nach definierten Prozessen erfolgen. Mittels Zugangskarten und Videoüberwachung sind Zutritte zu überwachen.

Server- und Netzwerksicherheit: Die Server- und Netzwerksicherheit ist einer der wichtigsten Aspekte der Cloud Security. Sie ist die erste Verteidigungslinie gegen Angriffe von außen. Hier müssen Maßnahmen ergriffen werden, um eine sichere Serverkonfiguration zu gewährleisten.

Anwendungs- und Plattformsicherheit: Cloud-Anwendungen sind äußerst komplex. Bereits im Entwicklungsprozess muss ein Augenmerk auf eine hohe Applikationssicherheit gelegt werden.

Identitäts- und Zugriffsverwaltung: Jeder Zugriff auf Systemkomponenten muss abgesichert sein. Deshalb gilt, Tools und Dienste für die Zugriffsverwaltung einzusetzen. Deren Kernfunktionalität besteht darin, digitale Identitäten für alle Benutzer zu erstellen. Damit können User aktiv überwacht und im Notfall in ihren Zugriffsrechten eingeschränkt werden.  Nur explizit autorisierte Personen sollen Zugriff auf kritische Komponenten wie Datenbanken oder Firewalls bekommen.

Informationssicherheit: Das Speichern und Verarbeiten sensibler Daten in der Cloud erfordert, dass deren Integrität und Sicherheit gewährleistet ist. Hier sind Themen wie Verschlüsselung, Rollentrennung und eine DSGVO-konforme Datenschutzrichtlinie verankert.

Verhinderung von Datenverlust: Es gibt zahlreiche Tools, die die Sicherheit vor Datenverlust gewährleisten. Diese Lösungen setzen auf eine Kombination von korrektiven Warnungen, Datenverschlüsselung und Präventivmaßnahmen, um gespeicherte Daten zu schützen.

Business-Continuity und Disaster-Recovery-Planung: Es kann trotz aller Präventivmaßnahmen immer zu Datenschutzverletzungen kommen. Ein Unternehmen muss auf solche Notfälle schnell reagieren. Tools zur Notfallwiederherstellung sind Grundpfeiler der Cloud-Sicherheit. Diese unterstützen dabei, verlorene Daten wiederherzustellen und den normalen Geschäftsbetrieb aufzunehmen.

Public Cloud: Eine Public Cloud ist frei über das Internet verfügbar. Sie steht allen registrierten Nutzern zur Verfügung. Beim Thema Sicherheit ist man in der Public Cloud auf die vertrauliche Behandlung seiner Daten durch den Dienstanbieter angewiesen. Man muss auf dessen Sicherheitsmechanismen vertrauen.

Private Cloud: Diese Infrastruktur ist für den Zugriff durch eine einzelne Organisation bestimmt. Den Zugang zur Private Cloud erhält man ausschließlich über private Netzwerke. Das erhöht den Sicherheitsfaktor. Die Private Cloud kann auch auf eigenen Servern gehostet werden. Sie ist eine gute Lösung für Unternehmen, die strenge Datenschutzvorgaben erfüllen müssen.

Hybrid Cloud: Sie vereint die Vorteile von Public und Private Cloud und stellt einen guten Kompromiss aus Flexibilität und Sicherheit dar. Sensible Daten, die besonderen rechtlichen Bestimmungen unterliegen, werden im abgegrenzten Bereich der Private Cloud gespeichert. Unkritische Daten sind im öffentlich zugänglichen Teil der Hybrid Cloud abgelegt.

Multi Cloud: Der Einsatz mehrerer Cloud-Plattformen macht das Thema IT-Sicherheit äußert komplex. Das Risiko, dass alle Cloud-Services von Architekten und Administratoren nicht optimal hinsichtlich Sicherheit konfiguriert werden, steigt an. Ein qualifiziertes Cloud-Sicherheitsteam ist deshalb für die Sicherung unerlässlich.