Cloud-Sicherheit

Nach einem Datenabfluss zeigt die Prüfung, dass ein Speicherbereich offen im Netz stand. Der Anbieter hatte alles richtig gemacht. Cloud-Sicherheit scheitert selten am Rechenzentrum und meistens an der Einstellung.
Netzwerkkabel führen in eine Netzwerkdose. Diese Dose sieht wie eine Wolke aus. Also wie eine Cloud.
© serpeblu

Was Cloud-Sicherheit umfasst

Cloud-Sicherheit ist die Gesamtheit der Maßnahmen, die Daten und Anwendungen in einer fremd betriebenen Umgebung schützen. Dazu zählen Zugriffssteuerung, Verschlüsselung, Absicherung der Netzverbindungen, Protokollierung sowie Sicherungen und deren Wiederherstellung. Der Unterschied zum eigenen Rechenzentrum liegt nicht in den Zielen, sondern darin, dass ein Teil der Umsetzung bei einem Dritten liegt.

Damit steht am Anfang eine Zuordnung. Die geteilte Verantwortung in der Cloud ist kein Nebensatz, sondern der Kern. Der Anbieter sichert Gebäude, Hardware, Virtualisierung und die von ihm betriebenen Dienste. Beim Kunden bleiben Konten, Berechtigungen, Konfiguration, eigene Anwendungen und die Frage, wer welche Daten überhaupt hochlädt. Die Grundbegriffe dazu sind unter IT-Sicherheit beschrieben und gelten in einer fremden Umgebung unverändert weiter.

Wo die Grenze im Einzelfall verläuft

Die Aufteilung verschiebt sich mit dem Betriebsmodell. Wird nur Rechenleistung gemietet, liegt fast alles oberhalb der Maschine beim Kunden. Bei einer fertigen Anwendung übernimmt der Anbieter deutlich mehr, doch Benutzerkonten und Freigaben bleiben in jedem Fall Kundensache. Ein falsch gesetztes Recht ist kein Anbieterproblem. Vor jedem Vertrag lohnt deshalb eine schriftliche Aufstellung, welche Seite welche Maßnahme übernimmt, statt sich auf eine Marketingzusage zur Cloud-Sicherheit zu verlassen.

Maßnahmen auf der Kundenseite

Vier Bereiche tragen den größten Teil. Zugänge mit Mehr-Faktor-Anmeldung und eng gefassten Rechten, denn übernommene Konten sind der häufigste Einstiegsweg. Die Cloud Verschlüsselung ruhender und übertragener Daten, wobei entscheidend ist, wer die Schlüssel verwaltet. Protokollierung, damit sich nachträglich belegen lässt, wer wann worauf zugegriffen hat. Und geprüfte Sicherungen, die außerhalb derselben Umgebung liegen. Eine Sicherung im selben Konto ist keine Sicherung, weil ein übernommenes Konto beides erreicht.

Cloud-Speicher Sicherheit und Nachweise

Beim Speicher entscheidet die Standardeinstellung. Ein Bereich, der versehentlich öffentlich lesbar bleibt, wird von automatisierten Suchläufen innerhalb kurzer Zeit gefunden, ohne dass es dafür einen gezielten Angriff braucht. Zur Cloud-Speicher Sicherheit gehört deshalb eine regelmäßige Prüfung der Freigaben und nicht nur deren einmalige Einrichtung. Für Behörden und regulierte Betriebe kommt die Nachweisfrage hinzu, also welcher Standort, welche Zertifizierung und welche Vertragsklauseln vorliegen. Einen geprüften Rahmen dafür liefern die Bausteine des IT-Grundschutzes, die für Cloud-Nutzung eigene Anforderungen benennen. Ohne dokumentierte Zuordnung ist kein Nachweis führbar. Die Aufstellung dazu entsteht einmal und wird bei jeder Änderung am Betriebsmodell fortgeschrieben. Bei zertifizierten Betrieben tritt zusätzlich die ISO 27001 bei Cloud und SaaS hinzu, die dieselbe Aufteilung prüfbar machen will.

Aktuelle Themen

Alle Über unsEntwicklungEventsMarketingSonstigesNews & TrendsArbeitswelt & Digitalisierung
Zwei Personen um die dreißig stehen sich vor korallenrotem Grund gegenüber. Links hält eine Frau eine einzelne durchscheinende Belegkarte mit eingravierter Gitterstruktur, rechts sinkt einem Mann ein ganzer Fächer solcher Karten in die offene Hand, die unterste davon gelbgrün. Sinnbild dafür, dass die E-Rechnungspflicht für Vereine zuerst die Eingangsseite trifft und nicht den eigenen Rechnungsausgang.
E-Rechnungspflicht für Vereine: Welcher Stichtag wirklich gilt
Zum 1. Januar 2027 endet eine Übergangsfrist, und in vielen Vereinsrundschreiben steht deshalb, die E-Rechnungspflicht für Vereine beginne jetzt. Für dein eigenes Rechnungsschreiben stimmt das fast sicher nicht. Geld kosten kann die E-Rechnung im Verein trotzdem, und drei Fragen entscheiden darüber.
Weiterlesen... Lesezeit: 6 Min.
Eine junge Frau mit Brille sitzt auf einem Bürostuhl und blickt zu einem gelbgrünen Briefumschlag, der über ihr in einem Kreis aus durchscheinenden digitalen Umschlägen schwebt. Sinnbild für die interaktive E-Mail, in der die Handlung direkt in der Nachricht stattfindet.
Interaktive E-Mail: Die Technik, die Newsletter neu definiert
Die interaktive E-Mail verändert, wie kleine und mittelständische Unternehmen Kunden über das Postfach erreichen. Statt nur Informationen zu senden, werden direkt in der Nachricht konkrete Handlungen möglich, von der Mini-Umfrage bis zur Produktwahl. Unterstützt durch interaktives E-Mail Marketing und Technologien wie AMP Email verkürzt sich der Weg von Interesse zu Aktion deutlich, was gerade im Alltag von KMU spürbare Effekte erzeugen kann.
Weiterlesen... Lesezeit: 6 Min.
Drei offene Türen nebeneinander, hinter jeder derselbe Raum mit demselben Schreibtisch, derselben Lampe und derselben Pflanze. Eine der Türen ist gelbgrün. Ein Sinnbild für viele identische Instanzen derselben Anwendung.
Kubernetes vs. Docker: Was die beiden wirklich unterscheidet
Kubernetes vs. Docker wird oft als Entscheidung zwischen zwei Alternativen dargestellt. Tatsächlich lösen die beiden unterschiedliche Aufgaben und werden in vielen Umgebungen gemeinsam eingesetzt. Dieser Beitrag ordnet ein, was Docker leistet, wo Kubernetes ansetzt und ab wann sich der Aufwand einer vollwertigen Orchestrierung überhaupt rechnet.
Weiterlesen... Lesezeit: 4 Min.