Definition: Cloud-Sicherheit

Was ist Cloud Security?

| Autor / Redakteur: tutanch / Florian Karlstetter

Cloud Security - Maßnahmen zur Absicherung von Cloud-Services.
Cloud Security - Maßnahmen zur Absicherung von Cloud-Services. (Bild: gemeinfrei (geralt / pixabay) / CC0)

Die Cloud Security umfasst eine Vielzahl von Einzelmaßnahmen, die bei der Nutzung von Cloud-Services vor Risiken wie Datenverlust, Serviceausfall oder unbefugtem Zugriff schützen. Auch die Einhaltung von gesetzlichen Datenschutzvorgaben ist ein Thema der Cloud Security.

Cloud Security zur Risikominimierung in der Cloud: Unter Cloud Security fallen verschiedene Maßnahmen zur Absicherung von Cloud-Services und Cloud-Umgebungen. Durch eine konsequente Anwendung der Cloud Security lässt sich das Risiko von Ausfällen, Datenverlust, Hackerangriffen oder unbefugtem Zugriff auf Daten minimieren. Da die Cloud Security hohen Stellenwert für Anwender und Betreiber von Cloud-Services besitzt, stellt sie einen zentralen Aspekt des Cloud Computings dar.

Die Maßnahmen der Cloud Security bestehen aus einem Set von Regeln, Prozessen und technischen Vorgaben, die sicherstellen, dass gesetzliche Vorgaben eingehalten werden, die Infrastruktur der Cloud und deren Anwendungen geschützt sind und Daten sicher verarbeitet und gespeichert werden. Erforderlich sind die Maßnahmen, da es sich bei einer Cloud um eine geteilte Ressource handelt, die in der Regel von mehreren Anwendern gleichzeitig genutzt wird. Es sind Aspekte wie die Verschlüsselung von Daten, Zugriffskontrolle, Zugriffsrechte und Identitätsmanagement zu berücksichtigen. Für die Cloud Security sind sowohl die Betreiber der Services als auch die Anwender verantwortlich. Zwischen Cloud Computing-Anbieter und den Nutzern können vertragliche Regelungen zur Cloud Security getroffen werden. Zudem lassen sich Prozesse definieren, die im Fall von sicherheitskritischen Vorfällen genaue Vorgehensweisen definieren.

Die Sicherheitsrisiken der Cloud-Services

Das Cloud Computing ermöglicht es Unternehmen, Organisationen oder Einzelpersonen Daten, Anwendungen oder IT-Infrastrukturen auszulagern und macht den Betrieb eigener Server und IT-Umgebungen überflüssig. Gleichzeitig entstehen durch die gemeinsam genutzten Cloud-Umgebungen und durch die über das öffentliche Internet zugänglichen Services zusätzliche Sicherheitsrisiken. Diese gilt es, für einen sicheren Betrieb der Services durch geeignete Maßnahmen zu reduzieren. Mögliche Risiken sind der Verlust der Vertraulichkeit, Integrität und Verfügbarkeit der Daten und Störungen in der Cloud-Umgebung. Die Cloud Security berücksichtigt daher folgende Aspekte:

- die physische Sicherheit des Rechenzentrums
- die Sicherheit der Server
- die Sicherheit der Netzwerkstrukturen und -zugänge
- die Sicherheit der Plattform und der Anwendungen
- die Sicherheit der Daten
- das sichere Management von Schlüsseln und Zugangskennungen

Da sich in einer Public Cloud oder in einer Hybrid Cloud die Daten außerhalb des Einflussbereichs des Dateneigentümers befinden, nimmt der Schutz der Daten durch Cloud Security eine wichtige Rolle ein. Oft ist der Datenschutz nicht mit den üblichen Mitteln zu realisieren, wie sie in eigenen, selbst betriebenen Infrastrukturen zum Einsatz kommen. Aufgrund von gesetzlichen Bestimmungen kann es zum Beispiel erforderlich sein, dass Daten sicher gelöscht werden. In einer Cloud-Umgebung besteht unter Umständen das Risiko, dass Daten unzureichend oder unvollständig gelöscht sind. Da sich die Speicherorte der Daten für den Dateneigentümer nicht lokalisieren lassen, ist die Löschung der Daten für ihn nicht vollständig nachvollziehbar. Auch nach einer Kündigung eines Cloud-Services ist der Kunde darauf angewiesen, dass er auf eine zuverlässige Löschung aller Daten vertrauen kann.

Die Nutzung der Cloud-Services durch verschiedene Mandanten bringt das Risiko mit sich, dass eine mangelnde Trennung von Kundeninstanzen Unbefugten das Einsehen oder Manipulieren der Daten Dritter ermöglicht. Ursache hierfür ist, dass in der Cloud meist keine physikalische, sondern eine virtuelle Trennung der Instanzen erfolgt.

Viele Organisationen sind strengen gesetzlichen Regularien und Compliance-Vorgaben unterworfen. Da Cloud-Services grundsätzlich an beliebigen Orten bereitgestellt werden können und Anwender nur beschränkten Einfluss auf den tatsächlichen Ablageort ihrer Daten haben, ergibt sich das Risiko, dass die einzuhaltenden Vorgaben verletzt werden. Es ist zum Teil intransparent, in welchen Ländern und auf welchen Servern Daten gespeichert sind und wie die Datenflüsse erfolgen.

Beauftragt der Cloud-Anbieter zusätzliche Subunternehmer für die Erbringung bestimmter Leistungen, kann eine besonders komplexe und verworrene Situation entstehen. Aus diesen Gründen besteht eine erhöhte Gefahr der Verletzung von Datenschutzvorschriften. Eine Insolvenz des Providers oder einer seiner Subunternehmer kann weitere unkalkulierbare Risiken für den Anwender und seine Daten mit sich bringen.

Maßnahmen der Cloud Security

Die Cloud Security beinhaltet sowohl technische als auch prozessuale Maßnahmen sowie vertragliche Regelungen. Die technischen Maßnahmen umfassen die Sicherung und Verschlüsselung der Kommunikationsverbindungen, die geschützte und verschlüsselte Speicherung der Daten, die Sicherung der Cloud-Komponenten, die Authentifizierung von Usern und Administratoren und das Monitoring für das frühzeitige Erkennen von sicherheitsrelevanten Vorfällen oder Störungen.

Der Provider hat gegenüber seinen Kunden nachzuweisen, dass er die datenschutzrechtlichen Vorgaben erfüllt und über entsprechende Notfall- und Recovery-Prozesse verfügt. Zusätzlich müssen dokumentierte Prozesse vorhanden sein, die das Benutzer-, Rechte- und Changemanagement steuern. Vertraglich getroffene Regelungen können beispielsweise Service Level Agreements (SLAs) sein, die den Kunden bestimmte Verfügbarkeiten zusichern und im Fall von Störungen Reaktionszeiten, Wiederherstellungszeiten und Alarmierungsketten oder Eskalationsstufen definieren. Zusätzlich lassen sich Vereinbarungen über regelmäßig durchzuführende gemeinsame Übungen zu sicherheitsrelevanten Ereignissen treffen.

Kategorisierung von Kontrollmaßnahmen der Cloud Security

Die Maßnahmen der Cloud Security lassen sich in verschieden Kategorien einteilen. Diese Kategorien sind:

  • abschreckende Maßnahmen
  • vorbeugende Maßnahmen
  • detektierende Maßnahmen
  • korrigierende Maßnahmen

Abschreckende Maßnahmen haben zum Ziel, die Zahl der Angriffe auf ein Cloud-System zu verringern, indem potenzielle Angreifer beispielsweise gewarnt werden, dass beim Überschreiten einer bestimmten Grenze mit ernsthaften Konsequenzen zu rechnen ist. Die vorbeugenden Maßnahmen versuchen die Cloud-Umgebung durch das Schließen von Schwachstellen und das Härten der Systeme zu sichern. Dazu zählen starke Authentifizierungsmechanismen, die unbefugten Zugriff auf Daten und Services verhindern.

Detektierende Maßnahmen erkennen sicherheitsrelevante Ereignisse und reagieren auf diese durch Alarmierung und Aktivierung von Abwehrmaßnahmen. Ein Beispiel für detektierende Systeme im Cloud-Umfeld sind Intrusion Detection Systeme (IPS). Die korrigierenden Maßnahmen schließlich reduzieren die Folgen eines Vorfalls, indem sie mögliche Schäden minimieren. Sie kommen während oder nach einem Vorfall zum Einsatz. Das Herstellen eines Systems aus einem zuvor erstellten Backup ist ein Beispiel für eine korrigierende Maßnahme.

Die Rolle der Cloud Security Alliance (CSA)

Bei der Cloud Security Alliance (CSA) handelt es sich um eine Non-Profit-Organisation, die sich zum Ziel gesetzt hat, für ein sicheres Cloud Computing zu sorgen. Hierfür stellt die CSA Best-Practice-Lösungen sowie Informations- und Lehrmaterial zur Verfügung. Weltweit hat die CSA mehr als 80.000 Mitglieder. Sie wurde 2008 gegründet und lieferte zuerst einen umfassenden Security Guide für das Cloud Computing im Wiki-Stil.

Mittlerweile hat die Cloud Security Alliance mehr als 25 verschiedene Arbeitsgruppen, die sich mit unterschiedlichen Themen im Zusammenhang der Cloud Security beschäftigen. Zu den wichtigsten Betätigungsfeldern der CSA zählen die Cloud Standards, Zertifizierungen, Ausbildung und Schulung, Hilfestellungen und Tools sowie Innovationen im Cloud-Umfeld.

Kommentare werden geladen....

Kommentar zu diesem Artikel abgeben

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

Das gekaperte Office 365-Konto

Account-Sicherheit

Das gekaperte Office 365-Konto

Office 365 ist nicht nur bei Unternehmen beliebt, sondern zunehmend auch bei Cyberkriminellen. Immer häufiger werden Office 365-Konten durch gezielte Phishing-Attacken gekapert. Die Angreifer nutzen dann die gestohlene Identität um weitere Angriffe innerhalb des Unternehmens auszuführen. lesen

SAP gibt Anwendern mehr Zeit für den Umstieg in die Cloud

ERP-Lösung für Personalwesen noch länger on-premise verfügbar

SAP gibt Anwendern mehr Zeit für den Umstieg in die Cloud

2025 sollte mit der stationären ERP-Lösung für das Personalwesen (SAP Human Capital Management – HCM) eigentlich Schluss sein. Danach wollte SAP nur noch die Cloud- bzw. SaaS-Lösung SuccessFactors anbieten. lesen

Microservices – Ein Einstieg in die Praxis

Was sich bei der Microservice-Einführung bewährt hat

Microservices – Ein Einstieg in die Praxis

Viele Unternehmen wollen monolithische Anwendungen umgestalten und Microservice-Architekturen für mehr Agilität und Skalierbarkeit aufbauen. Doch wie gelingt der Einstieg ins Thema Microservices? Nach welchen Prinzipien sollte man arbeiten? Was sind die Erfolgsfaktoren und wo liegen die Fallen? Ein Leitfaden liefert erste Anhaltspunkte. lesen

Drei Prognosen zur Enterprise Cloud Transformation

Juniper Networks 2018 Predictions

Drei Prognosen zur Enterprise Cloud Transformation

Juniper Networks hat sich darüber Gedanken gemacht, mit welchen Entwicklungen und Trends im neuen Jahr zu rechnen sind. In Sachen Automatisierung spielt DevOps eine immer tragendere Rolle, außerdem im Fokus: Microservices und die Wandlung Richtung Multi-Cloud-Szenarien. lesen

Cloud-Sourcing gewinnt an Bedeutung

Studie von Lünendonk & Hossenfelder

Cloud-Sourcing gewinnt an Bedeutung

Die Digitale Transformation verändert sowohl den privaten, als auch den geschäftlichen Alltag. Durch die dadurch bedingten Veränderungen, wandelt sich die Nachfrage im Markt. Diese Veränderungen haben außerdem Auswirkungen auf den Sourcing-Markt. Vor allem Cloud-Sourcing gewinnt hier an Bedeutung. lesen

Huawei ergänzt die E-Shelter-Testumgebungen um In-Memory-System

HANA aud Kunlun bereichert das Innovation Lab

Huawei ergänzt die E-Shelter-Testumgebungen um In-Memory-System

Co-Location-Anbieter und Cloud-Hoster müssen sich zunehmend anstrengen, sich vom Wettbewerb zu unterschieden. E-Shelter bietet in Frankfurt ein „Innvation Lab“. Dieses dient der Durchführung von Proof-of-Concepts sowie Validierung von Use-Cases. Rund 50 Partner stellen auf 110 Quadratmetern ihre Techniken zur Verfügung. Jüngstes Mitglied: Huawei. lesen

Sicherheit und Datenschutz in Multi-Cloud-Umgebungen

Hybrid Cloud Security

Sicherheit und Datenschutz in Multi-Cloud-Umgebungen

Unternehmen setzen immer stärker auf hybride IT-Landschaften mit einer Kombination aus eigenen Rechenzentren und der Private Cloud für bestimmte vertrauenswürdige Daten sowie der Public Cloud, die Echtzeitkommunikation erlaubt. Das ermöglicht zwar flexibles Arbeiten, sorgt aber auch für neue Sicherheitsrisiken. lesen

Das Netzwerk vor Cloud-Eindringlingen schützen

Automatisierte Angriffserkennung

Das Netzwerk vor Cloud-Eindringlingen schützen

IT-Sicherheitsverantwortliche stehen zunehmend vor einer großen Herausforderung, wenn es darum geht, die IT-Infrastruktur zu schützen, obwohl deren Oberfläche durch Cloud-Migration immens vergrößert wird. Künstliche Intelligenz kann helfen in Echtzeit Eindringlinge zu erkennen, bevor diese im Nebel der Cloud Schäden anrichten. lesen

Alibaba Cloud erhält als erstes asiatisches Unternehmen C5-Testat

BSI bescheinigt Erfüllung höherwertiger Anforderungen

Alibaba Cloud erhält als erstes asiatisches Unternehmen C5-Testat

Alibaba Cloud erfüllt den strengen Anforderungskatalog zur Beurteilung der Informationssicherheit von Cloud-Diensten, den Cloud Computing Compliance Controls Catalogue (C5) des Bundesamts für Sicherheit in der Informationstechnik (BSI), vollständig. Damit ist das asiatische Unternehmen der weltweit erste Cloud-Anbieter, der das Testat mit höherwertigen Anforderungen erhalten hat. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44821853 / Definitionen)