Ziele der Cloud Security Was Cloud-Resilienz und Cloud-Sicherheit unterscheidet

Anbieter zum Thema

Insider Research

netfiles GmbH

Hyland Software Germany GmbH

Cloudgermany.de GmbH

Nicht alleine die Sicherheit soll bei Cloud Computing im Fokus stehen, sondern die Resilienz, also die Belastbarkeit und Widerstandsfähigkeit bei Cloud-Vorfällen. Doch was gehört alles zur Cloud-Resilienz, was nicht bereits Teil der Cloud-Sicherheit wäre? Wie muss ein Konzept für Cloud-Sicherheit ausgeweitet werden, um die Resilienz der Cloud abzudecken? Wir geben einen Überblick.

Als größte Handlungsfelder im Bereich Cloud Security identifizieren die Unternehmen sowohl die Verschlüsselung und den Schutz der Daten sowie den Schutz von digitalen Identitäten und die Zugriffskontrolle, erklärt zum Beispiel die KPMG-Studie „Von Cyber Security zu Cyber Resilience“. Wichtig sei es, den Übergang von IT-Sicherheit zu Cyber-Sicherheit zu schaffen und schließlich eine effektive Cyber-Resilienz zu erreichen.

Bei dieser Cyber-Resilienz spielt die Cloud eine zentrale Rolle. So gehört es zum Beispiel zur Cloud-Strategie des BSI (Bundesamt für Sicherheit in der Informationstechnik), die Resilienz der Digitalisierung durch sichere Cloud-Nutzung voranbringen.

Cloud-Sicherheit 2025

Der Blick in die Glaskugel der Cloud Security

Die Lünendonk-Studie „Spannungsfeld Cloud Transformation & GRC – Durch den Einklang von Business, IT und Governance zur Cloud-Resilienz“ berichtet beispielsweise, dass Finanzdienstleister, die die Cloud strategisch nutzen wollen, vor der Herausforderung stehen, eine widerstandsfähige Cloud-Landschaft (Cloud-Resilienz) zu entwickeln, um einen unterbrechungsfreien Geschäftsbetrieb zu garantieren sowie den Schutz sensibler Daten zu gewährleisten. So befürchten 46 Prozent der Befragten, infolge eines Cyber-Angriffs ihre Business Continuity nicht aufrechterhalten zu können.

Compliance erfordert Resilienz bei der Cloud

Nicht erst DORA (Digital Operational Resilience Act) und NIS2 fordern Maßnahmen zur Bewältigung von Sicherheitsvorfällen, die Aufrechterhaltung des Betriebs, das Backup-Management, die Wiederherstellung nach einem Notfall und ein Krisenmanagement, bereits die DSGVO (Datenschutz-Grundverordnung) enthält eine entsprechende Forderung nach Resilienz. So gehört es zur Sicherheit der Verarbeitung, dass es die Fähigkeit im Unternehmen gibt, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen.

Sicherheit in der Cloud und für die Cloud sollte also immer den Fokus darauf haben, Belastbarkeit und Widerstandsfähigkeit bei Cyber-Attacken und anderen Cloud-Vorfällen bieten zu können. Was unterscheidet aber Cloud-Sicherheit und Cloud-Resilienz dann?

Thales Cloud-Security-Bericht

Die Cloud braucht mehr IT-Sicherheit

Cloud-Resilienz ist vielfältig

Analystenhäuser wie Gartner haben Prinzipien genannt, die zur Verbesserung der Cloud-Resilienz beitragen. „Die Cloud ist nicht auf magische Weise widerstandsfähig, und Softwarefehler, nicht physische Fehler, verursachen fast alle Cloud-Ausfälle“, sagte Chris Saunderson, Senior Director Analyst bei Gartner. „In der Cloud betreffen Ausfälle fast nie den gesamten Cloud-Anbieter, und es kommt auch selten zu Totalausfällen. Stattdessen sind Teilausfälle, Serviceverschlechterungen, einzelne Serviceprobleme oder lokale Probleme typisch.“

E-Book zum Thema

Das eBook „Multi Hybrid Cloud“ thematisiert die ganzheitliche Multi-Hybrid-Cloud-Sicherheitsstrategie, die sowohl Cloud-Services als auch interne IT-Infrastrukturen umfasst und den Schutz der Identitäten priorisiert.

eBook herunterladen

Entsprechend forderte der Gartner-Analyst: Das Infrastruktur- und Operation-Team (I&O-Team) muss die Merkmale und häufigsten Ursachen von Cloud-Ausfällen kennen. Dazu gehört, dass die meisten Ausfälle partiell sind, dass sie eher zeitweise auftreten oder dass Leistungseinbußen auftreten, die weniger sofort erkennbar sind, und dass es zwischen den Diensten, die Cloud-Anbieter anbieten, Unterschiede in der Belastbarkeit gibt.

„Resilienz ist kein binärer Zustand“, führte Saunderson aus. „Niemand kann absolute Resilienz beanspruchen – weder Sie noch ein Cloud-Anbieter. Clouds sollten genauso oder sogar noch widerstandsfähiger sein als Infrastrukturen vor Ort, aber nur, wenn das I&O-Team sie auf widerstandsfähige Weise nutzt.“

Resilienz ist mehr als reine Security

Wenn man die Empfehlungen von Gartner zur Verbesserung der Cloud-Resilienz betrachtet, stellt man fest, dass es dort um mehr geht als um reine Security. Ein Konzept für Cloud-Resilienz sollte deshalb auch das klassische Konzept der Cloud-Sicherheit enthalten, aber zusätzliche Maßnahmen fordern.

Bereits in vielen Konzepten der Cloud-Sicherheit enthalten sind:

• Risikobasierter Ansatz: Wählen Sie einen risikobasierten Ansatz, der über Katastrophen hinausgeht. Legen Sie mehr Wert auf die häufigeren Fehler, bei denen Organisationen eine bessere Kontrolle über die Minderung haben.

• Abhängigkeitszuordnung: Erstellen Sie Abhängigkeitsdiagramme, die alle Middleware-Komponenten, Datenbanken, Cloud-Dienste und Integrationspunkte zuordnen, damit sie für eine hohe Ausfallsicherheit konzipiert und konfiguriert und sowohl in die Zuverlässigkeits- als auch in die Notfallwiederherstellungsplanung einbezogen werden können.

• Kontinuierliche Verfügbarkeit: Der Ansatz der kontinuierlichen Verfügbarkeit konzentriert sich darauf, Anwendungen, Dienste und Daten jederzeit und auf allen Service-Levels verfügbar zu halten, ohne dass es im Falle eines Fehlerereignisses zu Ausfallzeiten und mit begrenzten Auswirkungen kommt.

• Automatisierung: Die Implementierung einer vollständig (oder nahezu vollständig) automatisierten Notfallwiederherstellung (DR) – entweder mit unternehmenseigenen Tools oder mit cloudnativen DR-Tools von Drittanbietern – bietet die erforderliche Grundlage für die Einhaltung ehrgeiziger Wiederherstellungszeitziele (RTOs) und ermöglicht regelmäßige Tests der DR.

Was Resilienz (scheinbar) zusätzlich erfordert

Neu hinzukommen würden insbesondere diese Forderungen, die zum Beispiel Gartner für mehr Cloud-Resilienz aufstellt:

• Ausrichtung am Business: Passen Sie die Belastbarkeitsanforderungen an die Geschäftsanforderungen an. Ohne diese Ausrichtung der Anforderungen werden die Teams die Belastbarkeitserwartungen nicht erfüllen oder zu viel Geld ausgeben.

• Resilient-By-Design: Die Anwendung selbst sollte von Grund auf resilient sein. Die Resilienz der Infrastruktur allein reicht nicht aus, um die von den Endbenutzern erwarteten ausfallfreien Dienste bereitzustellen.

• Belastbarkeitsstandards: Übernehmen Sie Belastbarkeitsstandards über Architektur und DR hinaus. Belastbare Systeme erfordern, dass sich die Teams auf Qualität, Automatisierung und kontinuierliche Verbesserung konzentrieren und während des gesamten Lebenszyklus einer Anwendung Qualität einbringen.

• Fokus auf Geschäftsfunktionen: Statt sich nur auf das „Failover“ vergleichbarer Lösungen zu konzentrieren, sollten Sie Alternativen erkunden, wie etwa leichtgewichtige IT-Alternativen oder leichtgewichtige Anwendungssubstitutionen, die nur die absolut erforderlichen geschäftskritischen Mindestfunktionen bieten.

Betrachtet man aber diese zusätzlichen Maßnahmen für Cloud-Resilienz, machen diese auch aus reiner Security-Sicht Sinn. Auch die Cloud-Sicherheit braucht oder hat bereits die Business-Sicht, sollte bereits im Design Berücksichtigung finden, sollte zu den Team-Standards gehören und nach leichter zu schützenden Alternativen suchen. Offensichtlich wird sich moderne Cloud-Sicherheit zu Cloud-Resilienz entwickeln, eine Unterscheidung ist nicht mehr sinnvoll und sogar riskant. Eine sichere Cloud muss resilient sein und eine resiliente Cloud sicher.

(ID:50300639)