Definition: Cloud-Sicherheit

Was ist Cloud Security?

| Autor / Redakteur: Stefan Luber / Florian Karlstetter

Cloud Security - Maßnahmen zur Absicherung von Cloud-Services.
Cloud Security - Maßnahmen zur Absicherung von Cloud-Services. (Bild: gemeinfrei (geralt / pixabay) / CC0)

Die Cloud Security umfasst eine Vielzahl von Einzelmaßnahmen, die bei der Nutzung von Cloud-Services vor Risiken wie Datenverlust, Serviceausfall oder unbefugtem Zugriff schützen. Auch die Einhaltung von gesetzlichen Datenschutzvorgaben ist ein Thema der Cloud Security.

Cloud Security zur Risikominimierung in der Cloud: Unter Cloud Security fallen verschiedene Maßnahmen zur Absicherung von Cloud-Services und Cloud-Umgebungen. Durch eine konsequente Anwendung der Cloud Security lässt sich das Risiko von Ausfällen, Datenverlust, Hackerangriffen oder unbefugtem Zugriff auf Daten minimieren. Da die Cloud Security hohen Stellenwert für Anwender und Betreiber von Cloud-Services besitzt, stellt sie einen zentralen Aspekt des Cloud Computings dar.

Die Maßnahmen der Cloud Security bestehen aus einem Set von Regeln, Prozessen und technischen Vorgaben, die sicherstellen, dass gesetzliche Vorgaben eingehalten werden, die Infrastruktur der Cloud und deren Anwendungen geschützt sind und Daten sicher verarbeitet und gespeichert werden. Erforderlich sind die Maßnahmen, da es sich bei einer Cloud um eine geteilte Ressource handelt, die in der Regel von mehreren Anwendern gleichzeitig genutzt wird. Es sind Aspekte wie die Verschlüsselung von Daten, Zugriffskontrolle, Zugriffsrechte und Identitätsmanagement zu berücksichtigen. Für die Cloud Security sind sowohl die Betreiber der Services als auch die Anwender verantwortlich. Zwischen Cloud Computing-Anbieter und den Nutzern können vertragliche Regelungen zur Cloud Security getroffen werden. Zudem lassen sich Prozesse definieren, die im Fall von sicherheitskritischen Vorfällen genaue Vorgehensweisen definieren.

Die Sicherheitsrisiken der Cloud-Services

Das Cloud Computing ermöglicht es Unternehmen, Organisationen oder Einzelpersonen Daten, Anwendungen oder IT-Infrastrukturen auszulagern und macht den Betrieb eigener Server und IT-Umgebungen überflüssig. Gleichzeitig entstehen durch die gemeinsam genutzten Cloud-Umgebungen und durch die über das öffentliche Internet zugänglichen Services zusätzliche Sicherheitsrisiken. Diese gilt es, für einen sicheren Betrieb der Services durch geeignete Maßnahmen zu reduzieren. Mögliche Risiken sind der Verlust der Vertraulichkeit, Integrität und Verfügbarkeit der Daten und Störungen in der Cloud-Umgebung. Die Cloud Security berücksichtigt daher folgende Aspekte:

- die physische Sicherheit des Rechenzentrums
- die Sicherheit der Server
- die Sicherheit der Netzwerkstrukturen und -zugänge
- die Sicherheit der Plattform und der Anwendungen
- die Sicherheit der Daten
- das sichere Management von Schlüsseln und Zugangskennungen

Da sich in einer Public Cloud oder in einer Hybrid Cloud die Daten außerhalb des Einflussbereichs des Dateneigentümers befinden, nimmt der Schutz der Daten durch Cloud Security eine wichtige Rolle ein. Oft ist der Datenschutz nicht mit den üblichen Mitteln zu realisieren, wie sie in eigenen, selbst betriebenen Infrastrukturen zum Einsatz kommen. Aufgrund von gesetzlichen Bestimmungen kann es zum Beispiel erforderlich sein, dass Daten sicher gelöscht werden. In einer Cloud-Umgebung besteht unter Umständen das Risiko, dass Daten unzureichend oder unvollständig gelöscht sind. Da sich die Speicherorte der Daten für den Dateneigentümer nicht lokalisieren lassen, ist die Löschung der Daten für ihn nicht vollständig nachvollziehbar. Auch nach einer Kündigung eines Cloud-Services ist der Kunde darauf angewiesen, dass er auf eine zuverlässige Löschung aller Daten vertrauen kann.

Die Nutzung der Cloud-Services durch verschiedene Mandanten bringt das Risiko mit sich, dass eine mangelnde Trennung von Kundeninstanzen Unbefugten das Einsehen oder Manipulieren der Daten Dritter ermöglicht. Ursache hierfür ist, dass in der Cloud meist keine physikalische, sondern eine virtuelle Trennung der Instanzen erfolgt.

Viele Organisationen sind strengen gesetzlichen Regularien und Compliance-Vorgaben unterworfen. Da Cloud-Services grundsätzlich an beliebigen Orten bereitgestellt werden können und Anwender nur beschränkten Einfluss auf den tatsächlichen Ablageort ihrer Daten haben, ergibt sich das Risiko, dass die einzuhaltenden Vorgaben verletzt werden. Es ist zum Teil intransparent, in welchen Ländern und auf welchen Servern Daten gespeichert sind und wie die Datenflüsse erfolgen.

Beauftragt der Cloud-Anbieter zusätzliche Subunternehmer für die Erbringung bestimmter Leistungen, kann eine besonders komplexe und verworrene Situation entstehen. Aus diesen Gründen besteht eine erhöhte Gefahr der Verletzung von Datenschutzvorschriften. Eine Insolvenz des Providers oder einer seiner Subunternehmer kann weitere unkalkulierbare Risiken für den Anwender und seine Daten mit sich bringen.

Maßnahmen der Cloud Security

Die Cloud Security beinhaltet sowohl technische als auch prozessuale Maßnahmen sowie vertragliche Regelungen. Die technischen Maßnahmen umfassen die Sicherung und Verschlüsselung der Kommunikationsverbindungen, die geschützte und verschlüsselte Speicherung der Daten, die Sicherung der Cloud-Komponenten, die Authentifizierung von Usern und Administratoren und das Monitoring für das frühzeitige Erkennen von sicherheitsrelevanten Vorfällen oder Störungen.

Der Provider hat gegenüber seinen Kunden nachzuweisen, dass er die datenschutzrechtlichen Vorgaben erfüllt und über entsprechende Notfall- und Recovery-Prozesse verfügt. Zusätzlich müssen dokumentierte Prozesse vorhanden sein, die das Benutzer-, Rechte- und Changemanagement steuern. Vertraglich getroffene Regelungen können beispielsweise Service Level Agreements (SLAs) sein, die den Kunden bestimmte Verfügbarkeiten zusichern und im Fall von Störungen Reaktionszeiten, Wiederherstellungszeiten und Alarmierungsketten oder Eskalationsstufen definieren. Zusätzlich lassen sich Vereinbarungen über regelmäßig durchzuführende gemeinsame Übungen zu sicherheitsrelevanten Ereignissen treffen.

Kategorisierung von Kontrollmaßnahmen der Cloud Security

Die Maßnahmen der Cloud Security lassen sich in verschieden Kategorien einteilen. Diese Kategorien sind:

  • abschreckende Maßnahmen
  • vorbeugende Maßnahmen
  • detektierende Maßnahmen
  • korrigierende Maßnahmen

Abschreckende Maßnahmen haben zum Ziel, die Zahl der Angriffe auf ein Cloud-System zu verringern, indem potenzielle Angreifer beispielsweise gewarnt werden, dass beim Überschreiten einer bestimmten Grenze mit ernsthaften Konsequenzen zu rechnen ist. Die vorbeugenden Maßnahmen versuchen die Cloud-Umgebung durch das Schließen von Schwachstellen und das Härten der Systeme zu sichern. Dazu zählen starke Authentifizierungsmechanismen, die unbefugten Zugriff auf Daten und Services verhindern.

Detektierende Maßnahmen erkennen sicherheitsrelevante Ereignisse und reagieren auf diese durch Alarmierung und Aktivierung von Abwehrmaßnahmen. Ein Beispiel für detektierende Systeme im Cloud-Umfeld sind Intrusion Detection Systeme (IPS). Die korrigierenden Maßnahmen schließlich reduzieren die Folgen eines Vorfalls, indem sie mögliche Schäden minimieren. Sie kommen während oder nach einem Vorfall zum Einsatz. Das Herstellen eines Systems aus einem zuvor erstellten Backup ist ein Beispiel für eine korrigierende Maßnahme.

Die Rolle der Cloud Security Alliance (CSA)

Bei der Cloud Security Alliance (CSA) handelt es sich um eine Non-Profit-Organisation, die sich zum Ziel gesetzt hat, für ein sicheres Cloud Computing zu sorgen. Hierfür stellt die CSA Best-Practice-Lösungen sowie Informations- und Lehrmaterial zur Verfügung. Weltweit hat die CSA mehr als 80.000 Mitglieder. Sie wurde 2008 gegründet und lieferte zuerst einen umfassenden Security Guide für das Cloud Computing im Wiki-Stil.

Mittlerweile hat die Cloud Security Alliance mehr als 25 verschiedene Arbeitsgruppen, die sich mit unterschiedlichen Themen im Zusammenhang der Cloud Security beschäftigen. Zu den wichtigsten Betätigungsfeldern der CSA zählen die Cloud Standards, Zertifizierungen, Ausbildung und Schulung, Hilfestellungen und Tools sowie Innovationen im Cloud-Umfeld.

Special „Rechtssicheres Cloud Computing“

Special Rechtssicheres Cloud ComputingSicherheit hat viele Facetten, dies gilt auch und insbesondere beim Cloud Computing. Vielen Unternehmen fehlt es an Vertrauen, wenn es darum geht, Daten, Anwendungen und Teile der eigenen IT-Infrastruktur an einen externen Provider auszulagern. Im Special finden Sie nützliche Informationen rund um die Themen Rechtssicherheit, dazu Lösungsansätze, Standards und Initiativen aus der Industrie.  

Zum Special „Rechtssicheres Cloud Computing“

Kommentare werden geladen....

Kommentar zu diesem Artikel abgeben

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

Java-Update für AWS SDK empfohlen

Support für Java 6 endet im November

Java-Update für AWS SDK empfohlen

Das AWS SDK for Java 1.11.x wird ab Mitte November ohne Java-6-Support veröffentlicht. Sollten AWS-Kunden nach dem Stichdatum ihre Version des Software Development Kit aktualisieren, erhalten sie zur Laufzeit einen „Java version mismatch“-Fehler. lesen

Dank Cloud: IT-Dienstleister wachsen weiter zweistellig

Lünendonk-Studie 2019

Dank Cloud: IT-Dienstleister wachsen weiter zweistellig

Die Nachfrage nach IT-Beratungs- und -Umsetzungsleistungen flacht nicht ab. Trotz weltweiter Unsicherheitsfaktoren wie dem Handelsstreit zwischen den USA und China oder dem (un)wahrscheinlichen Brexit investieren Unternehmen weiterhin stark in die Digitalisierung – und haben damit 2018 für ein Rekordjahr bei den IT-Dienstleistungsanbietern gesorgt. 2019 wird voraussichtlich nur marginal schlechter. lesen

Verletzliche Cloud

Wertediskussion zur Digitalisierung im Gesundheitssektor Teil 2

Verletzliche Cloud

Krankenhausbetriebe mit kritischen Infrastrukturen schieben zum Großteil noch immer die Entscheidung vor sich her, ob sie ihre Anwendungen einer Cloud-Umgebung anvertrauen oder aber mit einem internen Netz arbeiten sollen. lesen

Was IT-Experten verdienen

Gehaltsübersicht 2020

Was IT-Experten verdienen

Die Gehaltsübersicht des Personaldienstleisters Robert Half prognostiziert weiterhin rosige Aussichten für IT-Experten. Der Fachkräftemangel und die Wechselbereitschaft der IT-Experten lassen Gehälter steigen. lesen

Hippokrates war kein Nerd

Wertediskussion zur Digitalisierung im Gesundheitssektor

Hippokrates war kein Nerd

Die Digitalisierung im Gesundheitswesen ist unumkehrbar. Diese Entwicklung wirft aber auch neue Fragestellungen bezüglich der IT-Sicherheit auf. Wer aber glaubt, das sei lediglich eine Frage der technischen Umsetzung, liegt falsch. Die Digitalisierung beziehungsweise die Sicherheit der Patientendaten betrifft auch ethische Fragestellungen. Pierre Gronau, Geschäftsführer der Gronau IT Cloud Computing GmbH, beschäftigt sich mit diesem Fragenkomplex. lesen

„Eine agile IT-Infrastruktur ist Grundlage für innovative Geschäftsmodelle“

Interview mit Jens Puhle, Sales Director Germany bei Rackspace

„Eine agile IT-Infrastruktur ist Grundlage für innovative Geschäftsmodelle“

Deutsche Unternehmen liegen im weltweiten Vergleich, unabhängig von Branche und Größe, mit Blick auf die Cloud-Nutzung immer noch deutlich zurück – so die Erfahrung von Rackspace. Nahezu jedes Unternehmen verfügt noch über sein eigenes Datacenter. lesen

Die eigene Cloud im externen Datacenter

Sicherheitsanforderungen bei Colocation

Die eigene Cloud im externen Datacenter

Anstatt ein eigenes Rechenzentrum zu betreiben, nutzen immer mehr Unternehmen die Dienste von Colocation-Anbietern. Doch wenn die eigene Cloud und Hardware in den Räumlichkeiten Dritter betrieben wird, hat dies Folgen für die Anforderungen an die Cloud-Sicherheit. lesen

Empfehlungen für die Public Cloud

Mehr Security wagen

Empfehlungen für die Public Cloud

Consol Consulting & Solutions gibt Unternehmen vier Empfehlungen mit auf den Weg in die Public Cloud. Denn „in der Public Cloud gilt das Prinzip der Shared Responsibility. Je nach Cloud-Modell tragen Kunden für einige Layer des Cloud-Stacks selbst die Verantwortung für die Sicherheit“, so Lukas Höfer, Senior IT-Consultant bei Consol. lesen

Red Hat bringt OpenStack Platform 15

IaaS-Lösung auf Basis von OpenStack Stone Release

Red Hat bringt OpenStack Platform 15

Red Hat gibt seine Infrastructure-as-a-Service-, kurz IaaS-Lösung OpenStack Platform 15 frei. Sie basiert auf dem „Stein“-Release der OpenStack Community und enthält Verbesserungen für Performance und Cloud-Sicherheit. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 44821853 / Definitionen)