Unternehmensdaten schützen Die fünf größten Cloud-Risiken – und wie man sie minimiert

Anbieter zum Thema

Varonis Systems (Deutschland) GmbH

Fsas Technologies GmbH

netfiles GmbH

Cloudgermany.de GmbH

Zu den Gewissheiten des Cloud-Zeitalters zählt, dass Menschen essen, schlafen und Daten offenlegen. Allein in der Zeit, in der Sie diesen Artikel lesen, wird sich der Explosionsradius, also die Daten, die durch ein einziges kompromittiertes Konto gefährdet sind, signifikant erhöhen.

Längst befinden sich die meisten kritischen Daten in der Cloud oder in einer hybriden Umgebung mit mehreren komplexen SaaS-Anwendungen: von Quellcode und geistigem Eigentum über Kunden- und Personaldaten bis hin zu Chats und Meetings.

Aus Sicherheitssicht kommt erschwerend hinzu, dass jeder Anbieter eine andere Sprache spricht und jede Anwendung ihr eigenes Sicherheitsmanagement, eigene Berechtigungsmodelle, Ereignisprotokollformate und lokale Benutzer-Repositories aufweist. Und genauso schnell, wie sich die Cloud-Umgebungen in Unternehmen weiterentwickeln, entwickelt sich auch die damit verbundene Bedrohungslage. Bei der Vielzahl möglicher Angriffspunkte und Risiken, ist es wichtig, sich auf die schwerwiegendsten Bedrohungen zu konzentrieren.

1. Identitätsrisiken

Identitäten sind nicht nur im Zusammenhang mit der Cloud ein wesentlicher Sicherheitsaspekt, werden durch sie aber immer stärker zu einem entscheidenden Faktor. In der Cloud-Welt verfügen die Mitarbeitenden über zahlreiche Konten, während sie zu On-Premises-Zeiten meist mit nur einem Konto gearbeitet haben. Dieses hatte Zugang zu verschiedenen Ressourcen im Netzwerk und zu verschiedenen Bereichen, in denen es auf Daten zugreifen konnte. Mit der Verlagerung von mehr und mehr Ressourcen und Workloads in die Cloud haben wir es mit zahlreichen Anbietern zu tun, wobei jede dieser Cloud-Anwendungen einen eigenen Satz von Identitäten erzeugt. Aus der Security-Perspektive wird es also immer schwieriger, diese verschiedenen Konten nicht nur zu überwachen, sondern auch zu schützen.

Hinzu kommen noch persönliche Konten der Mitarbeitenden. So wird es kaum jemanden geben, der nicht über mindestens einen privaten Google-Account verfügt. Auf diese Weise verschwimmen die Grenzen zwischen geschäftlicher und privater Nutzung, was seitens der Anbieter durchaus beabsichtigt ist, um die Nutzung der Plattform zu steigern. Aber auch aus Sicht der Mitarbeitenden hat dies Vorteile, indem sie beispielsweise auch von ihren eigenen Rechnern auf Dateien zugreifen können.

Sicherheitsverantwortliche müssen eine Bestandsaufnahme der einzelnen Cloud-Anwendungen innerhalb des Ökosystems vornehmen. In der Regel erzeugt jede Cloud-Anwendung eine eigene Identität. Die Security-Teams müssen also verstehen, welche Arten von Cloud-Anwendungen es gibt, wie viele Benutzer eine Anwendung verwenden und dann beginnen, die verschiedenen Eigenschaften dieser Konten zu verstehen. Gibt es User, die intern im Unternehmen sind, oder wird auch externen Nutzern der Zugriff auf diese Anwendungen erlaubt? Gleichzeitig wird der Offboarding-Prozess immer bedeutsamer. Es reicht nicht mehr, nur die Firmenkonten zu deaktivieren. Sicherheitsverantwortliche müssen vielmehr auch identifizieren können, wo persönliche Konten noch Zugriff auf Unternehmensdaten haben, und diese dann sperren.

2. Konfigurationsrisiken

Ein großes Risiko geht auch von den gewählten Konfigurationen einer Cloud-Anwendung aus. Was ist ein- und was ist ausgeschaltet? Dabei kommt es nicht nur darauf an, wie die App selbst konfiguriert ist, sondern auch die verschiedenen Mandanten innerhalb dieser Cloud-App. Sicherheitsverantwortliche müssen zudem in der Lage sein, nicht nur zu erkennen, wer darauf zugreifen, sondern auch, wie darauf zugegriffen werden kann, sei es über eine API oder etwa ein entsprechendes Portal.

Allerdings sind es häufig nicht die Security-Teams, die die Sicherheitskontrollen einer App konfigurieren, sondern die Administratoren der Anwendung. Diese sind von Natur aus eher an Nutzerfreundlichkeit und Produktivität interessiert und vernachlässigen so (meist unbewusst) Sicherheitsaspekte. Dies gilt insbesondere, wenn die Kommunikation zwischen ihnen und den Sicherheitsverantwortlichen nicht optimal abgestimmt ist.

Mit der zunehmenden Cloud-Nutzung hat sich in jüngster Zeit der Bereich des Posture Managements entwickelt, der sich sehr stark auf die Konfigurationen konzentrier: Wie verstoßen diese gegen Compliance-Vorgaben und legen potenziell Daten frei? Posture Management ist umso sinnvoller, als jede Applikation ihren eigenen Satz an Parametern, Berechtigungen und Einstellungsmöglichkeiten aufweist. Sicherheitsverantwortliche sind kaum in der Lage, jede einzelne Anwendung von Salesforce über Google bis zu Microsoft 365 so im Detail zu kennen, um angesichts der zahlreichen Updates immer auf dem neuesten Stand zu sein. Die Aggregation der Einstellungen durch ein modernes Posture Management zeigt riskante Einstellungen und Abweichungen von Best Practices und verbessert so die Sicherheitslage enorm.

3. Drittanbieterrisiken

Ein häufig übersehenes Risiko stellen Drittanbieter-Apps dar. Sie erlauben es Applikationen, mit anderen Applikationen zu interagieren und damit Prozesse zu vereinfachen. Hierfür werden ihnen von den Nutzern häufig umfangreiche Rechte eingeräumt. Unternehmen unterschätzen dabei nicht nur die Anzahl der genutzten Drittanbieter-Apps, sondern auch die potenziellen Gefahren, die von ihnen ausgehen. So können diese beispielsweise Schwachstellen enthalten, im Laufe der Zeit nicht mehr weiterentwickelt und in der Folge sicherheitskritisch werden oder sogar gefälscht sein und für Supply-Chain-Angriffe verwendet werden.

Grundsätzlich räumen User den Drittanbieter-Apps teilweise sehr weitgehende Rechte ein, wodurch sie oftmals den gleichen Zugriff wie der Nutzer haben, der sie installiert. Gleichzeitig laufen sie häufig unter dem Radar: Mitarbeitende müssen sich häufig jeden Tag neu authentifizieren, Drittanbieter-Apps in aller Regel nicht: Sie behalten den Zugriff, bis sie gelöscht werden. Auf diese Weise wird der Blast Radius verdoppelt. Deshalb sollten diese Anwendungen wie Geräte oder Konten betrachtet werden.

Sicherheitsverantwortliche müssen kontinuierlich erkennen können, welche Anwendungen miteinander verbunden sind und welchen Zugriff sie haben sowie das Risiko dieser Anwendungen bewerten. Gegebenenfalls sollten dann Berechtigungen reduziert bzw. Apps entfernt werden.

4. Cloud-Schwachstellen

Die Grenze zwischen Fehlkonfigurationen und Cloud-Schwachstellen ist häufig ein wenig fließend. Der Hauptunterschied besteht darin, dass es sich bei Fehlkonfigurationen um Einstellungen oder Funktionen handelt, die vorgesehen sind, jedoch unsachgemäß oder nicht nach bewährten Verfahren verwendet werden. Im Gegensatz dazu handelt es sich bei Schwachstellen um Sicherheitslücken wie Bugs, Zero-Days oder Fehler im Code. Das Ergebnis kann jedoch das Gleiche sein, wie wir bei den zahlreichen Lieferketten-Angriffen der letzten Jahre gesehen haben.

Gleichwohl ist dieses Risiko schwer zu kontrollieren. Unternehmen müssen sich auf die Anbieter und ihre Fähigkeit, Fehler zu beheben und zeitnah Patches bereitzustellen, verlassen können. Sicherheitsteams bleibt im Grunde nur, die Anwendungen zu überwachen und über einen entsprechenden Audit-Trail zu verfügen, um die Risiken zu verstehen und zu begrenzen. Setzt man einen datenzentrierten Sicherheitsansatz auch in der Cloud um und überwacht effektiv ungewöhnliches Nutzerverhalten, lassen sich jedoch die Auswirkungen auch einer ausgenutzten Schwachstelle minimieren.

5. Datenzugriffsrisiken

Cloud-Collaboration-Tools sind vor allem auf eine einfache Zusammenarbeit und Dateifreigabe ausgerichtet. Microsoft 365, Google und Co. sind so konzipiert, dass die User dazu ermuntert werden, Daten zu teilen: mit einzelnen Mitarbeitenden, unternehmensweit, oder sogar per Link mit jedem, der über einen Internetzugang verfügt. Die Kontrolle liegt nunmehr bei den einzelnen Mitarbeitenden und nicht mehr bei den IT- und Security-Teams. Dabei gehen sie leider oft den Weg des geringsten Widerstands und erteilen im Zweifel zu weitgefasste Rechte.

Oftmals deaktivieren Unternehmen die öffentliche Freigabe und wähnen sich damit auf der sicheren Seite. Doch der Schein trügt: Eine unternehmensweite Freigabe ermöglicht den Zugriff von hunderten bis tausenden Mitarbeitenden, die diesen gar nicht benötigen – wodurch der Explosionsradius erhöht wird. Gleichzeitig sollten man sich nicht nur darauf konzentrieren, wie viele Dokumente geteilt werden, sondern auch darauf, um welche Art von Informationen es sich dabei handelt. Whitepaper und Produktdokumentationen stellen keine Gefahr dar, wenn sie (extern) geteilt werden.

Bei vertraulichen Dokumenten, geistigem Eigentum und sensitiven Daten sieht es natürlich ganz anders aus. Hier müssen Sicherheitsverantwortliche nachvollziehen können, wer diese mit wem geteilt hat und wie diese genutzt werden. Zeigen sich hier auffälliges Verhalten oder Richtlinienverstöße, müssen sie in der Lage sein, den Zugriff zu unterbinden, und gegebenenfalls weitere Schutzmaßnahmen einleiten.

Die genannten Risiken sind beileibe nicht die einzigen, aber die derzeit größten. Es wird immer wieder neue Angriffsvektoren und Risikobereiche geben. Aber ganz gleich, wie der potenzielle Angriffsvektor aussieht: Das Ziel der Cyberkriminellen ist stets dasselbe – die Daten. Deshalb sollten diese auch im Zentrum der Sicherheitsstrategie stehen. Wenn man App-übergreifend weiß, welche Daten wo gespeichert sind, wer Zugriff auf sie hat und wie sie geteilt werden, ist man in der Lage, entsprechende Abwehrmaßnahmen zu ergreifen und so auch die größten Cloud-Risiken zu adressieren.

(ID:49839890)