Suchen

Auf Wolke sicher Verschlüsselung in Cloud-Computing-Umgebungen

| Autor / Redakteur: Malte Pollmann* / Stephan Augsten

Daten zu verschlüsseln, ist grundsätzlich eine gute Idee, auch in Cloud-Umgebungen. Wirklich sicher ist das aber nur, wenn auch der Code selbst vor Diebstahl und Verlust geschützt ist.

Firmen zum Thema

Damit Verschlüsselung wirklich sicher ist, müssen auch die Encryption Keys an einem geschützten Ort aufbewahrt werden.
Damit Verschlüsselung wirklich sicher ist, müssen auch die Encryption Keys an einem geschützten Ort aufbewahrt werden.
(Bild: Archiv)

Wie lassen sich geschäftskritische und personenbezogene Daten in Cloud-Anwendungen absichern? Diese Frage beschäftigt immer mehr IT-Verantwortliche. Denn laut einer Studie des Cloud-Security-Spezialisten Skyhigh Networks setzten europäische Unternehmen im zweiten Quartal 2015 bereits durchschnittlich 997 Cloud-Services ein. Im Schnitt kommt eine Cloud-Anwendung pro Tag hinzu.

Da klingt es nicht gerade beruhigend, dass laut der Studie von Skyhigh Networks vom Juli 2015 Cloud-Dienste in Europa nur mangelhaft abgesichert sind. Von 12.000 untersuchten Cloud-Services kommt nur bei 15,4 Prozent eine Multi-Faktor-Authentifizierung zum Einsatz. Ganze 9,4 Prozent der Services verschlüsseln die gespeicherten Daten. Eine IT-Grundschutz-Zertifizierung des Bundesamts für Sicherheit in der Informationstechnik (BSI) gemäß ISO 27001 können lediglich 2,8 Prozent aufweisen.

Unter dem Strich bedeutet dies, dass rund 65 Prozent der Cloud-Services nicht den Datenschutzbestimmungen der Europäischen Union entsprechen. Nachdem diese Untersuchung vor dem Safe-Harbor-Urteil erfolgte, dürfte die Zahl inzwischen noch deutlich höher sein.

Selbst in Branchen, in denen besonders hohe Sicherheitsanforderungen gelten, ist die Situation unbefriedigend. So entsprechen nur sieben Prozent der Cloud-Dienste, die Banken, Versicherungen und Finanzdienstleister einsetzen, den geltenden Sicherheitsvorgaben.

Generalschlüssel im Hardware Security Module

Es gehört in vielen Unternehmen bereits zur Sicherheitsstrategie, sensible Informationen vor dem Transfer in die Wolke zu verschlüsseln. Das ist grundsätzlich ein guter Ansatz. Allerdings wird dabei eines häufig übersehen: das Absichern der kryptographischen Schlüssel.

Zwar bieten Cloud-Anbieter Sicherheitsservices wie Built-In Encryption oder Key Splitting (siehe Kasten). Diese erfordern jedoch großes Vertrauen in den Provider. Denn der Anwender kann kaum überprüfen, ob das Schlüsselmanagement die erforderlichen Sicherheitsvorgaben erfüllt oder die Administratoren des Providers tatsächlich keinen Zugang zu den Schlüsseln haben. In der Praxis sind diese also nur dann wirklich sicher, wenn sie extern erstellt, gespeichert und verwaltet werden – und damit sicher vor unbefugten Zugriffen sind.

Ergänzendes zum Thema
Encryption Services

Built-in Encryption: Die Cloud-Anwendung generiert und speichert die Schlüssel. Cloud-Datenbanken wie beispielsweise Azure SQL von Microsoft speichern die Schlüssel in einem Key Vault. Administratoren von Azure haben Microsoft zufolge keinen Zugriff auf diese Keys.

Key Splitting: Der Verschlüsselungscode umfasst zwei Teile. Der Master-Key ist für alle Datenobjekte gleich und verbleibt beim Anwender. Administratoren des Providers haben keinen Zugang dazu. Der zweite Teil ist im Key-Management-Dienst des Providers gespeichert. Beim Datenzugriff kommen beide Schlüssel-Teile zum Einsatz.

Genau das gewährleisten Hardware-Sicherheitsmodule. Sie bieten einen Weg, um die Kontrolle über die Schlüssel und deren Verwaltung zu behalten. Cloud-Nutzer können die dedizierte Hardware im eigenen Rechenzentrum implementieren. So lassen sich Cloud-Dienste von Anbietern nutzen, Standort und Betrieb des Schlüsseltresors bleiben jedoch im Unternehmen.

Die Schlüssel werden also innerhalb des geschützten Umfelds generiert, verwaltet und bereitgestellt. Zwei Service-Beispiele, die diese Variante unterstützen, sind Direct Connect von AWS und ExpressRoute von Microsoft Azure.

Der Feind in meinem Büro

Eine Verschlüsselung auf diesem Weg hat einen weiteren Schutzeffekt: Sie beugt auch Datendiebstahl durch illoyale Mitarbeiter von Cloud-Service-Providern vor. Außerdem schützt eine Verschlüsselung vor Fehlern von IT-Mitarbeitern des Providers. Denn nach Angaben des IT-Sicherheitsunternehmens Symantec gingen 2014 rund acht Prozent aller Datendiebstähle auf das Konto von Insidern. Dazu zählten auch Mitarbeiter von Cloud-Service-Anbietern.

Doch selbst loyale Administratoren machen es Angreifern teilweise zu einfach. So fanden die Fachleute von Symantec eine Reihe von Fehlern und Sicherheitslücken in Application Programming Interfaces (APIs) von Cloud-Anwendungen. Ein weiteres Risiko stellen Zugangsdaten dar, die Cloud-Administratoren oder Nutzern abhandenkommen.

Symantec zufolge werden auf dem Schwarzmarkt solche Informationen für etwa acht Dollar gehandelt. Cyber-Kriminelle täuschen beispielsweise durch Phishing-Mails User und Administratoren, damit diese vertrauliche Account-Informationen herausgeben.

Der Schaden von Insider-Attacken ist überraschend hoch: So hat das Beratungshaus Ponemon Institute im Rahmen einer Befragung von mittelständischen und großen Unternehmen ermittelt, dass Insider-Attacken umgerechnet auf Jahresbasis im Durchschnitt einen Schaden von rund 144.500 Dollar verursachen. Dies ist unter allen Angriffsformen der mit Abstand höchste Wert.

Zum Vergleich: Web-basierte Attacken kommen auf gut 96.000 Dollar und Viren, Würmer und Trojaner verursachen Schäden in Höhe von 1.900 Dollar. Die hohe Schadenssumme bei Insider-Angriffen ist unter anderem darauf zurückzuführen, dass solche Attacken lange unentdeckt bleiben: im Schnitt mehr als 54 Tage.

Fazit

Malte Pollmann
Malte Pollmann
(Bild: Utimaco)

Um sensible Informationen auf Cloud-Plattformen zu schützen, ist eine Verschlüsselung unabdingbar. Zugleich gilt es, die Schlüssel gegen unberechtigte Zugriffe abzusichern. Durch Implementieren eines HSM in einer Private-Cloud-Umgebung im hauseigenen Rechenzentrum behält der Cloud-Anwender die Kontrolle über seine Schlüssel.

* Malte Pollmann ist CEO von Utimaco.

Ergänzendes zum Thema
Über Hardware-Sicherheitsmodule

Hardware-Sicherheitsmodule sind mit zahlreichen Schutzmaßnahmen ausgestattet. Dazu zählt das Erkennen von Manipulationsversuchen durch die Versiegelung der Recheneinheit. Sie verhindert das Auslesen von Daten und Signalen. Hinzu kommt eine automatische Löschfunktion im Falle eines Angriffs sowie ein spezielles, gehärtetes Betriebssystem. Zusätzliche Sicherheitsverfahren erlauben ausschließlich den Zugriff autorisierter Administratoren.

(ID:44226457)