Cloud-Verschlüsselung unter die Lupe nehmen Die Sicherheit der Schlüssel ist Trumpf

Anbieter zum Thema

netfiles GmbH

Insider Research

Cloudgermany.de GmbH

Die Daten in einer Cloud müssen auch gegen unerlaubte Zugriffe durch den Cloud-Provider geschützt sein. Das hat Konsequenzen für das Schlüsselmanagement in der Cloud. Die Unternehmen als Auftraggeber müssen sich die eigene Verantwortung bewusst machen.

Viele Cloud-Nutzer haben die Vorstellung, der jeweilige Cloud-Provider müsse für die Datensicherheit sorgen und tue dies auch. Dementsprechend wird die Verschlüsselung der Cloud-Daten gar nicht oder aber nicht umfassend genug hinterfragt.

Selbst aufgeklärte Cloud-Anwenderunternehmen geben sich damit zufrieden, dass die Übertragung der Daten in die Cloud mittels SSL-Verschlüsselung geschützt wird und dass die Daten in der Cloud dann vom Provider verschlüsselt gespeichert werden. Eine Verschlüsselung der Datenübertragung und der Datenspeicherung reicht allerdings nicht, wenn diese nur in den Händen des Cloud-Providers liegt.

Die Verschlüsselung der Daten gehört zur Verantwortung für den Datenschutz, und diese obliegt dem Anwenderunternehmen als Auftraggeber. Deshalb muss der Blick auf die Cloud-Verschlüsselung geweitet und richtig fokussiert werden.

Insider-Attacken sind überall möglich

Während sich Unternehmen davor fürchten, dass die eigenen Mitarbeiterinnen und Mitarbeiter Daten stehlen und missbrauchen könnten, scheint diese Sorge nicht zu bestehen, wenn es um die Beschäftigten des jeweiligen Cloud-Anbieters geht. Tatsächlich besteht aber kein Grund anzunehmen, dass Cloud-Provider gegen jede Insiderattacke gefeit seien.

Selbst wenn man bei der Auswahl des Cloud-Anbieters darauf achtet, dass dort die Vorgaben des Bundesdatenschutzgesetzes eingehalten und die dortigen Beschäftigten auf das Datengeheimnis verpflichtet werden, bleibt das Risiko durch die sogenannten Innentäter bestehen. Gegen Innentäter beim Cloud-Anbieter kann jedoch die Verschlüsselung durch den Provider nicht zuverlässig helfen. Cloud-Administratoren des Anbieters könnten die Verschlüsselung unter Umständen umgehen.

Für providerunabhängige Verschlüsselung sorgen

Aus diesem Grund reicht es nicht aus, für die zuvor beschriebene Ende-zu-Ende-Verschlüsselung zu sorgen, also die Daten vor, während und nach der Übertragung in die Cloud zu verschlüsseln. Zusätzlich soll das Anwenderunternehmen selbst die Hoheit über die Verschlüsselung haben, um die Daten auch gegen mögliche Innenangriffe auf die Vertraulichkeit beim Cloud-Anbieter schützen zu können.

Technisch bedeutet dies, dass die Verschlüsselung unabhängig vom Cloud-Anbieter erfolgt. Somit soll das Schlüsselmanagement nicht etwa ein Dienst des Cloud-Anbieters sein, auch sollen Anwender ihre digitalen Schlüssel und Passwörter nicht innerhalb der Cloud des Providers aufbewahren.

Ebenso sollte kein Verschlüsselungsdienst genutzt werden, der durch den Cloud-Anbieter selbst betrieben wird, es sei denn, die getrennte und sichere Aufbewahrung der Schlüssel ist gewährleistet. Dies ist aber am besten umzusetzen, wenn man direkt einen vom Cloud-Provider getrennten, unabhängigen Dienst nutzt. Hier bieten sich zahlreiche Lösungen auf dem deutschen Markt an, wie noch näher betrachtet wird.

Nicht jede Verschlüsselung ist geeignet und sicher

Vergessen werden darf aber auch nicht, dass eine Cloud-Verschlüsselung wie jede andere Verschlüsselung auch nicht automatisch einen Schutz der Vertraulichkeit der Daten darstellt. So zählt das BSI (Bundesamt für Sicherheit in der Informationstechnik) in der Anleitung „Sichere Nutzung der Cloud“ unter den Bedrohungen bei der Nutzung von Cloud-Diensten auf, dass Daten über das Netz abgefangen und (bei schlechter oder nicht vorhandener Verschlüsselung) ausgespäht werden könnten.

Nicht ohne Grund fordert zum Beispiel das Bundesdatenschutzgesetz eine Verschlüsselung nach dem Stand der Technik, was natürlich auch für Lösungen zur Verschlüsselung von Cloud-Daten zu beachten ist. Was als Stand der Technik angesehen werden kann, ist für ein Anwenderunternehmen nicht ohne weiteres klar. Hier helfen Hinweise geeigneter Institutionen – beispielsweise die Technische Richtlinie TR-02102-1 des BSI (Kryptographische Verfahren: Empfehlungen und Schlüssellängen).

Mehr zum Thema finden Interessierte in unserem jüngsten eBook zur Cloud-Verschlüsselung. Registrierte Leser der Insider-Portale können das Dokument kostenlos im PDF-Format herunterladen.