Cloud-Sicherheit

Der häufigste Satz zur Cloud-Sicherheit lautet: „Das macht der Anbieter.” Der zweithäufigste kommt nach dem Vorfall und lautet: „Das hätte der Anbieter machen müssen.” Beide beruhen auf demselben Missverständnis – dass mit der Verlagerung in die Cloud auch die Verantwortung mitwandert.

Wo die Grenze verläuft

Alle großen Anbieter arbeiten nach demselben Modell der geteilten Verantwortung. Vereinfacht:

Die mittlere Zeile verschiebt sich je nachdem, ob Sie eine fertige Anwendung nutzen, eine Plattform bespielen oder virtuelle Maschinen betreiben. Alles darunter liegt immer beim Anbieter, alles darüber immer bei Ihnen.

Und genau darüber – bei Konfiguration, Konten und Freigaben – passieren die Vorfälle. Nicht das Rechenzentrum brennt, sondern ein Speicherbereich steht öffentlich, ein Verwaltungskonto hat kein zweites Merkmal, ein Ordner wurde „an alle mit dem Link” freigegeben.

Die fünf Punkte, die tatsächlich zählen

1. Identitäten und Berechtigungen. In der Cloud ist die Anmeldung die Außengrenze – es gibt kein Firmennetz mehr, das dahinter schützt. Mindestens: zweiter Faktor für alle, gesonderte Verwaltungskonten, Rechte nach Bedarf statt nach Vorbild, regelmäßige Durchsicht. Zur phishing-resistenten Variante siehe Passkeys.

2. Freigaben. Wer darf Inhalte nach außen teilen, und laufen diese Freigaben ab? Der am häufigsten gemeldete reale Vorfall in solchen Umgebungen ist kein Angriff, sondern ein zu weit geteilter Ordner.

3. Verschlüsselung und Schlüssel. Verschlüsselung im Ruhezustand bieten alle Anbieter. Die Frage ist, wer den Schlüssel hält. Nur dort, wo Sie ihn kontrollieren, wirkt die Verschlüsselung auch gegenüber dem Anbieter selbst – das ist der Punkt, auf den es bei behördlichen Zugriffen ankommt; siehe Datenübermittlung in die USA.

4. Protokollierung. Standardmäßig ist sie oft knapp eingestellt und die Aufbewahrung kurz. Wenn Sie nach einem Vorfall wissen wollen, was geschehen ist, muss die Protokollierung vorher ausgeweitet worden sein.

5. Sicherung. Der gefährlichste Irrtum überhaupt: Ausfallsicherheit ist keine Sicherung. Ein Anbieter, der Daten dreifach spiegelt, spiegelt auch das versehentliche Löschen und die Verschlüsselung durch Schadsoftware. Was in den Herstellerbedingungen zur Wiederherstellung steht, sollten Sie gelesen haben – und eine eigene Sicherung erwägen, siehe Cloud-Backup.

Was vor der Beauftragung zu klären ist

Wo wird verarbeitet, und wer kann zugreifen? Nicht „wo steht der Server”, sondern: Erfolgt Support aus Drittländern, welche Unterauftragnehmer sind beteiligt?

Welche Nachweise gibt es? Ein C5-Testat oder ein ISO-27001-Zertifikat mit passendem Geltungsbereich – und die darin genannten ergänzenden Kundenpflichten, die Ihre Aufgaben beschreiben.

Wie kommen Sie wieder heraus? Datenexport in einem brauchbaren Format, Fristen, Löschung nach Vertragsende. Diese Frage wird bei der Einführung nie gestellt.

Die Vertragslage. Auftragsverarbeitungsvertrag, Liste der Unterauftragnehmer, Mitteilung bei Änderungen. Die Einstufung des Anbieters nach Kritikalität leistet das Lieferantenaudit.

Für kleine Häuser gilt eine gute Nachricht

Der Wechsel in die Cloud verbessert das Sicherheitsniveau in aller Regel – ein professionell betriebenes Rechenzentrum ist besser gesichert als der Server im Abstellraum, siehe physische Sicherheit.

Der Gewinn verpufft nur, wenn die eigene Hälfte unbearbeitet bleibt. Die drei Maßnahmen mit der besten Wirkung sind unspektakulär: zweiter Faktor überall, Freigaben aufräumen, Berechtigungen bei jedem Rollenwechsel prüfen. Wie das ins Managementsystem eingebettet wird, steht unter ISMS aufbauen.

Kontakt

Sie wissen nicht, welche Ihrer Cloud-Freigaben nach außen zeigen? Das ist meist die erste unangenehme Zahl.

• Telefon: +49 6188 99 04 36
• E-Mail: office@dsb-datenschutz.de
• Kontaktformular: Anfrage senden
• Zur Informationssicherheit