Gastbeitrag: Es braucht in der Cloud Security mehr Dialog und weniger Technikfokus, fordert Andreas Nolte.
Foto: B_A/Pixabay
Das grundlegende Missverständnis ist die Fehlannahme, Cloud-Sicherheit sei ein IT-Thema. Doch Cloud Security ist vielmehr in der Unternehmensstrategie nachhaltig zu verankern
Zahlen lügen nicht: Im Jahr 2021 haben 39 Prozent der Firmen mit 500 bis 999 Beschäftigten, die cloudbasierte Dienste in Anspruch nehmen, wirtschaftliche Schäden durch Hacker-Angriffe erlitten. Zugleich sah sich rund die Hälfte der Unternehmen (51 Prozent), die über zehn Millionen jährlich in ihre IT-Infrastruktur investieren, mit dieser Problematik konfrontiert. Zu diesem Ergebnis kommt die IDG-Studie „Cloud Security 2021“. Die Folgen derartiger Attacken können recht unterschiedlich sein – von Imageschäden (13 Prozent) und Umsatzeinbußen (25 Prozent) über den Verlust geschäftskritischer Daten (31 Prozent) bis hin zu Beeinträchtigungen der Arbeits- und Produktionsprozesse (43 Prozent) oder gar dem kompletten Stillstand des Unternehmens (34 Prozent). Zeit also, das Thema Cloud Security auf Entscheider-Ebene zu priorisieren. Denn in der Regel scheitern derartige Initiativen in Unternehmen nicht an der technischen Umsetzung, sondern am fehlenden Dialog zwischen IT und Geschäftsführung.
Sind Hacker erst einmal in die IT-Infrastruktur eingedrungen, dauert es rund 100 Tage, bis Unternehmen dies bemerken. Drei Monate, in denen Cyber-Kriminelle großen Schaden anrichten können. Nicht immer sind es aufmerksamkeitsstarke Ransomware- oder DDoS-Attacken, die Unternehmen in ihrer Gänze lahmlegen können. Mancher Hacker geht sehr subtil vor, etwa indem er Bilder ein klein wenig manipuliert oder vermeintlich unbedeutende Informationen abgreift. Unabhängig von den Folgen eines solchen Angriffs stellt sich die Frage: Warum schützen Unternehmen ihre Systeme, Daten und Geräte in der Cloud nicht angemessen? Die Antworten gleichen sich vielerorts. Das lässt auf grundsätzliche Fehlannahmen bezüglich Cloud Security schließen.
1. Cloud Provider kümmern sich vollumfänglich um die IT-Sicherheit
Das ist mitnichten der Fall. Cloud-basierte Dienste von einem Hyperscaler zu beziehen, entbindet Unternehmen nicht von ihrer eigenen Verantwortung. Gemäß Shared-Responsibility-Ansatz obliegt es den Firmen bis zu einem gewissen Grad selbst, für den nötigen Schutz zu sorgen, etwa indem sie zumindest die Data Governance sicherstellen, Endgeräte schützen sowie Zugriffs- und Nutzungsrechte verwalten.
2. Mit Cloud-Lösungen verschwinden IT-Silos
In Zeiten von Big Data müssen Systeme miteinander verknüpft sein. Andernfalls lässt sich das Potenzial der Bestandsdaten nicht gewinnbringend erschließen. Dieses Dilemma bleibt auch dann bestehen, wenn einzelne Fachbereiche ihre Systeme in der Cloud betreiben. Nutzt zum Beispiel das Marketing eine Plattform, auf der es relevante Assets aus verschiedenen Quellsystemen konsolidiert und für die Verwendung im gewünschten Zielsystem vorhält, erhöht damit nur diese Abteilung ihre Prozesseffizienz. Andere Unternehmensbereiche profitieren nur, wenn sie ihre Systeme mit der Cloud-Plattform integrieren. Ansonsten entstehen neue Datensilos.
3. IT-Experten sind zugleich Security-Experten
Einen Cloud-Dienst hochzufahren und zu nutzen, ohne ihn vorab auf mögliche Security-Risiken zu prüfen, ist naiv und darum ein absolutes No-Go. Die Cloud-Adaption ist ein hochkomplexes Vorhaben, das einem stetigen Wandel unterliegt. Entsprechend qualifiziert müssen die Mitarbeitenden sein. Es gibt immer noch Firmen, die davon überzeugt sind, dass sich das eigene IT-Personal nicht nur mit dem Management der Bestands-IT auskennt, sondern zugleich Experte für Cloud Security ist. In der Folge bilden diese Unternehmen ihre IT-Fachkräfte nicht adäquat weiter. Doch fehlendes Know-how in Bezug auf die Absicherung einer Cloud-basierten IT-Infrastruktur öffnet Hackern Tür und Tor. Darum ist es ratsam, einen externen Dienstleister ins Boot zu holen. Er begleitet Unternehmen nicht nur auf ihrem Weg in die Cloud, er passt auch die Security-Tools der marktführenden Hyperscaler an den individuellen Bedarf an. Hierfür definiert er sinnvolle Security-Regeln, wählt geeignete Sensoren für die Detection aus und erbringt professionelle Managed Detection and Response Services (MDR) in einem Security Operations Center (SOC).
4. Alle Mitarbeitenden gehen jederzeit verantwortungsvoll mit Daten um
Der Mensch selbst ist ein Sicherheitsrisiko. Ein kleiner Moment der Unachtsamkeit genügt, und Mitarbeitende geben sensible Informationen preis (Social Engineering). Oder sie laden Daten in einen ungeprüften und ungesicherten Cloud-Speicher hoch. Oder kaufen per Firmen-Kreditkarte im Internet ein. Gelangen die Daten auf US-amerikanische Server, können das ernsthafte Compliance-Verstöße sein. Riskant sind ebenso Passwörter wie „Winter2021!“ und „123456“. Sind E-Mail-Konten in der Cloud unzureichend gesichert, können Hacker Mail-Adressen auf Basis öffentlicher Informationen erzeugen und mit gängigen Passwörtern kombinieren (Password Spraying). Auch kostenlose Cloud-Dienste zu nutzen, kann zum Problem werden. Es gibt beispielsweise PDF-Converter, bei denen der Anbieter die Inhalte des Dokuments abgreift und auswertet. Um all das zu verhindern, braucht es ein hohes Maß an Cloud Governance: Zum einen sollten Unternehmen nur sichere Tools freischalten. Zum anderen sind die Mitarbeitenden in Sachen Governance zu sensibilisieren und zu befähigen, damit sie Cloud-Dienste reflektiert nutzen.
1. Standard-Lösungen individuell anpassen (lassen)
Was ist vor diesem Hintergrund zu tun, damit die Cloud-Migration nicht zum Sicherheitsrisiko wird? Natürlich braucht es passende Technologien. Wer die Cloud-Lösungen der etablierten Hyperscaler nutzt, ist auf dem richtigen Weg. Sie bieten bereits im Standard viele Tools und Konfigurationsmöglichkeiten – von Web Application Firewalls, Vulnerability Management und Cloud Security Posture Management über Extended Detection and Response (XDR) bis hin zu Zero Trust und vielem mehr. Damit lässt sich ein gutes Maß an Cloud Security sicherstellen. Wenn Unternehmen diese State-of-the-Art-Lösungen dann an ihren spezifischen Bedarf anpassen (lassen) oder generell Cloud-Lösungen entwickeln (lassen), sollten sie dafür den Infrastructure-as-Code-Ansatz (IaC) wählen. Wer seine Infrastruktur gemäß IaC aufbaut, kann Security-relevante Features direkt im Quellcode hinterlegen. Zudem ist es möglich, abgesicherte Infrastruktur-Templates für weitere Zwecke zu duplizieren.
2. Cloud Security als Geschäftsprozess begreifen
Daneben ist es wichtig, jegliche Assets und Systeme in der Cloud lückenlos zu inventarisieren: Welche Plattformen gibt es? Wer ist verantwortlicher Business Owner? Wer administriert welche Plattform? Wo soll ein Patch erfolgen? Welche Daten gelangen auf welche Plattform? Woher kommen sie? Wohin fließen sie? Wie? Und warum? Den aktuellen Status jedweder Cloud-Anwendung zu kennen, ist eine grundlegende Voraussetzung, um Cloud-Sicherheit als Business-Prozess verstehen zu können. Als Prozess, der mit Bedacht modelliert, mit Metriken gesteuert, mit Tools überwacht und kontinuierlich optimiert sein will. Zum Prozessmanagement gehören auch regelmäßige Audits. Während dies bei On-Premises-Lösungen üblicherweise im Jahresrhythmus geschieht, ist es möglich, Cloud-basierte Anwendungen täglich oder gar stündlich im Hinblick auf etwaige Sicherheitslücken zu scannen. Nur so lassen sich Schwachstellen zeitnah identifizieren und effektiv beseitigen (Vulnerability Management).
3. Alles und jeden verifizieren
In diesem Kontext ist managementseitig zu verstehen, dass ältere Schutzmechanismen nicht mehr wirken. So ist der Perimeterschutz via Firewall der völlig falsche Ansatz, wenn Daten und Systeme in der Cloud liegen. Stattdessen sind alle Systeme und sämtliche Endgeräte gegen unerlaubte Zugriffe abzusichern – insbesondere dann, wenn sich immer mehr Mitarbeitende außerhalb des Firmen-Netzwerks aufhalten, etwa im Homeoffice. Zero Trust muss zur gelebten Maxime werden: „Vertraue niemandem außerhalb und innerhalb deiner Organisation. Und verifiziere jeden.“ Doch es handelt sich bei Zero Trust um keine Lösung, die Unternehmen out-of-the-box freischalten könnten, sondern um ein Designprinzip, das individuell umzusetzen ist. Greift zum Beispiel ein Mitarbeitender über das Firmen-Smartphone auf sein E-Mail-Postfach zu, ist das unbedenklich, weil Nutzer und Gerät bekannt sind. Benutzt er dafür ein privates Mobilgerät, ist Vorsicht geboten. Idealerweise gibt es einen zweiten Faktor, über den sich der Anwender für den Netzwerkzugriff authentifiziert.
4. Schutzziele definieren
Eben diese Multi-Faktor-Authentifizierung ist eines von vielen Schutzzielen, die Unternehmen definieren sollten: Damit Mitarbeitende SaaS-Lösungen benutzen dürfen, ist ein zweites Authentifizierungsmerkmal an allen Geräten und Endpoints zu installieren. Gemäß Assume-Breach-Paradigma ist die Frage nicht, ob Unternehmen gehackt werden, sondern wann. Mit einer zweiten Identifizierungsstufe, wie etwa einer SMS, einer App, einem Anruf oder einem weiteren Gerät, lässt sich das Risiko spürbar verringern. Ergänzend empfiehl es sich, bei BYOD-Szenarien (Bring Your Own Device) eine Null-Toleranz-Politik zu vertreten: Erfüllen die privaten Endgeräte der Mitarbeitenden die Security-Anforderungen nicht, dürfen sie keinesfalls mit dem Netzwerk verbunden sein. Ebenso ist zu überprüfen, ob das Patch Management auch im Homeoffice wirkungsvoll ist.
All diese Einzelmaßnahmen verbindet eine datenbasierte Grundannahme. Die beiden zentralen Frage sind: Was darf mit Assets, wie etwa Daten, Dateien, Geräten, Datenbanken und Services, passieren? Und wer ist berechtigt, das zu tun? Idealerweise gibt es ein zentrales Control Panel, in dem diese Informationen personenbezogen hinterlegt sind. Wer ist eine Person? Welche authentifizierten Geräte nutzt sie? In welchem Zustand befindet sich ein Gerät (beruflich, privat, gepatcht etc.)? An welchen Orten (Zentrale, Niederlassung, Kunden etc.) hält sich die Person üblicherweise auf? In welchem Status befinden sich die Konten und Profile der Person (gerade gehackt oder sicher)? Anhand dieser und vieler weiterer Informationen lassen sich erlaubte von unautorisierten Zugriffen recht zuverlässig unterscheiden. In diesem Kontext spielt XDR eine immer größere Rolle. XDR ermöglicht, Daten auf mehreren Security-Ebenen, wie etwa E-Mails, Geräte, Server, Cloud-Workloads und Netzwerke, automatisch zu erfassen und zu korrelieren. So können Unternehmen potenzielle Bedrohungen schneller identifizieren und unmittelbar reagieren.
Natürlich sind IT-Abteilungen diese und weitere Cloud-relevante Aspekte bewusst. Warum also sind Unternehmen dennoch auf dem Security-Auge blind? Es hat den Anschein, als würde kein zielführender Dialog zwischen IT und Management stattfinden. Manchmal hat die Geschäftsführung keine greifbare Vorstellung davon, wie wichtig Cloud Security für einen reibungslosen Geschäftsbetrieb ist. Und IT-Experten gelingt es hin und wieder nicht, die Vorteile adäquater Schutzmaßnahmen und ihre positiven Auswirkungen auf das operative Tagesgeschäft verständlich zu vermitteln. Dringen Cyber-Kriminelle zum Beispiel in die IT-Infrastruktur eines Industrieunternehmens ein, steht im Zweifel die Produktion still. Online-Händler könnten Probleme mit dem Check-out bekommen. Oder bei einem Einzelhändler funktioniert das Kassensystem nicht – allesamt Folgen, die Unternehmen dort treffen, wo es am schmerzlichsten ist: bei ihren gewinnbringenden Kernprozessen.
Zugunsten eines echten Dialogs sind Unternehmen gut beraten, die Technologie zunächst außen vorzulassen. Natürlich gibt es gute Gründe für oder gegen einen bestimmten Cloud Provider. Doch das ist nicht der Punkt. Software um ihrer selbst willen anzuschaffen, war noch nie eine gute Idee. Es geht darum, den Möglichkeiten, welche die Cloud eröffnet, und der Komplexität von Cloud Security mit bewussten Entscheidungen zu begegnen. Ist beispielsweise ein für den Geschäftsbetrieb relevanter Service in die Cloud zu migrieren, stellt sich die Grundsatzfrage: Soll das bisherige On-Premises-Konzept eins zu eins in der Cloud abgebildet werden – einschließlich Wartung und Updates? Oder wäre es nicht sinnvoller, das digitale Produkt als Software-as-a-Service bereitzustellen? Und wie gelingt es, die SaaS-Lösung vor Hacker-Angriffen abzusichern? Wichtig ist, dass bei Überlegungen dieser Art der Produktionsbezug jederzeit im Vordergrund steht. Hängt etwa der operative und wirtschaftliche Erfolg eines Maschinenbauunternehmens maßgeblich daran, dass die Gabelstapler fahren, gibt es üblicherweise ein fest definiertes Risikomanagement: Die Firma achtet darauf, dass immer genügend Schmierstoff vorhanden ist, sie hält alle Wartungstermine ein und stellt ausreichend Ersatzfahrzeuge bereit.
Derartige Prozesse sind auf Cloud Security zu übertragen. Damit das gelingen kann, müssen Unternehmen zunächst mit gängigen Vorurteilen aufräumen. Denn das grundlegende Missverständnis ist die Fehlannahme, Cloud-Sicherheit sei ein IT-Thema. Doch Cloud Security ist vielmehr in der Unternehmensstrategie nachhaltig zu verankern und erst im zweiten Schritt praktisch umzusetzen. Das ist eine Herausforderung, die weit über die IT-Abteilung hinausgeht. Sie betrifft jeden einzelnen Fachbereich. Für eine wirkungsvolle Cloud Security müssen alle, wirklich alle an einem Strang ziehen.
Der Autor Andreas Nolte ist Head of Cyber Security bei Arvato Systems
