Definition: Cloud-Sicherheit

Was ist Cloud Security?

| Autor / Redakteur: Stefan Luber / Florian Karlstetter

Cloud Security - Maßnahmen zur Absicherung von Cloud-Services.
Cloud Security - Maßnahmen zur Absicherung von Cloud-Services. (Bild: gemeinfrei (geralt / pixabay) / CC0)

Die Cloud Security umfasst eine Vielzahl von Einzelmaßnahmen, die bei der Nutzung von Cloud-Services vor Risiken wie Datenverlust, Serviceausfall oder unbefugtem Zugriff schützen. Auch die Einhaltung von gesetzlichen Datenschutzvorgaben ist ein Thema der Cloud Security.

Cloud Security zur Risikominimierung in der Cloud: Unter Cloud Security fallen verschiedene Maßnahmen zur Absicherung von Cloud-Services und Cloud-Umgebungen. Durch eine konsequente Anwendung der Cloud Security lässt sich das Risiko von Ausfällen, Datenverlust, Hackerangriffen oder unbefugtem Zugriff auf Daten minimieren. Da die Cloud Security hohen Stellenwert für Anwender und Betreiber von Cloud-Services besitzt, stellt sie einen zentralen Aspekt des Cloud Computings dar.

Die Maßnahmen der Cloud Security bestehen aus einem Set von Regeln, Prozessen und technischen Vorgaben, die sicherstellen, dass gesetzliche Vorgaben eingehalten werden, die Infrastruktur der Cloud und deren Anwendungen geschützt sind und Daten sicher verarbeitet und gespeichert werden. Erforderlich sind die Maßnahmen, da es sich bei einer Cloud um eine geteilte Ressource handelt, die in der Regel von mehreren Anwendern gleichzeitig genutzt wird. Es sind Aspekte wie die Verschlüsselung von Daten, Zugriffskontrolle, Zugriffsrechte und Identitätsmanagement zu berücksichtigen. Für die Cloud Security sind sowohl die Betreiber der Services als auch die Anwender verantwortlich. Zwischen Cloud Computing-Anbieter und den Nutzern können vertragliche Regelungen zur Cloud Security getroffen werden. Zudem lassen sich Prozesse definieren, die im Fall von sicherheitskritischen Vorfällen genaue Vorgehensweisen definieren.

Die Sicherheitsrisiken der Cloud-Services

Das Cloud Computing ermöglicht es Unternehmen, Organisationen oder Einzelpersonen Daten, Anwendungen oder IT-Infrastrukturen auszulagern und macht den Betrieb eigener Server und IT-Umgebungen überflüssig. Gleichzeitig entstehen durch die gemeinsam genutzten Cloud-Umgebungen und durch die über das öffentliche Internet zugänglichen Services zusätzliche Sicherheitsrisiken. Diese gilt es, für einen sicheren Betrieb der Services durch geeignete Maßnahmen zu reduzieren. Mögliche Risiken sind der Verlust der Vertraulichkeit, Integrität und Verfügbarkeit der Daten und Störungen in der Cloud-Umgebung. Die Cloud Security berücksichtigt daher folgende Aspekte:

- die physische Sicherheit des Rechenzentrums
- die Sicherheit der Server
- die Sicherheit der Netzwerkstrukturen und -zugänge
- die Sicherheit der Plattform und der Anwendungen
- die Sicherheit der Daten
- das sichere Management von Schlüsseln und Zugangskennungen

Da sich in einer Public Cloud oder in einer Hybrid Cloud die Daten außerhalb des Einflussbereichs des Dateneigentümers befinden, nimmt der Schutz der Daten durch Cloud Security eine wichtige Rolle ein. Oft ist der Datenschutz nicht mit den üblichen Mitteln zu realisieren, wie sie in eigenen, selbst betriebenen Infrastrukturen zum Einsatz kommen. Aufgrund von gesetzlichen Bestimmungen kann es zum Beispiel erforderlich sein, dass Daten sicher gelöscht werden. In einer Cloud-Umgebung besteht unter Umständen das Risiko, dass Daten unzureichend oder unvollständig gelöscht sind. Da sich die Speicherorte der Daten für den Dateneigentümer nicht lokalisieren lassen, ist die Löschung der Daten für ihn nicht vollständig nachvollziehbar. Auch nach einer Kündigung eines Cloud-Services ist der Kunde darauf angewiesen, dass er auf eine zuverlässige Löschung aller Daten vertrauen kann.

Die Nutzung der Cloud-Services durch verschiedene Mandanten bringt das Risiko mit sich, dass eine mangelnde Trennung von Kundeninstanzen Unbefugten das Einsehen oder Manipulieren der Daten Dritter ermöglicht. Ursache hierfür ist, dass in der Cloud meist keine physikalische, sondern eine virtuelle Trennung der Instanzen erfolgt.

Viele Organisationen sind strengen gesetzlichen Regularien und Compliance-Vorgaben unterworfen. Da Cloud-Services grundsätzlich an beliebigen Orten bereitgestellt werden können und Anwender nur beschränkten Einfluss auf den tatsächlichen Ablageort ihrer Daten haben, ergibt sich das Risiko, dass die einzuhaltenden Vorgaben verletzt werden. Es ist zum Teil intransparent, in welchen Ländern und auf welchen Servern Daten gespeichert sind und wie die Datenflüsse erfolgen.

Beauftragt der Cloud-Anbieter zusätzliche Subunternehmer für die Erbringung bestimmter Leistungen, kann eine besonders komplexe und verworrene Situation entstehen. Aus diesen Gründen besteht eine erhöhte Gefahr der Verletzung von Datenschutzvorschriften. Eine Insolvenz des Providers oder einer seiner Subunternehmer kann weitere unkalkulierbare Risiken für den Anwender und seine Daten mit sich bringen.

Maßnahmen der Cloud Security

Die Cloud Security beinhaltet sowohl technische als auch prozessuale Maßnahmen sowie vertragliche Regelungen. Die technischen Maßnahmen umfassen die Sicherung und Verschlüsselung der Kommunikationsverbindungen, die geschützte und verschlüsselte Speicherung der Daten, die Sicherung der Cloud-Komponenten, die Authentifizierung von Usern und Administratoren und das Monitoring für das frühzeitige Erkennen von sicherheitsrelevanten Vorfällen oder Störungen.

Der Provider hat gegenüber seinen Kunden nachzuweisen, dass er die datenschutzrechtlichen Vorgaben erfüllt und über entsprechende Notfall- und Recovery-Prozesse verfügt. Zusätzlich müssen dokumentierte Prozesse vorhanden sein, die das Benutzer-, Rechte- und Changemanagement steuern. Vertraglich getroffene Regelungen können beispielsweise Service Level Agreements (SLAs) sein, die den Kunden bestimmte Verfügbarkeiten zusichern und im Fall von Störungen Reaktionszeiten, Wiederherstellungszeiten und Alarmierungsketten oder Eskalationsstufen definieren. Zusätzlich lassen sich Vereinbarungen über regelmäßig durchzuführende gemeinsame Übungen zu sicherheitsrelevanten Ereignissen treffen.

Kategorisierung von Kontrollmaßnahmen der Cloud Security

Die Maßnahmen der Cloud Security lassen sich in verschieden Kategorien einteilen. Diese Kategorien sind:

  • abschreckende Maßnahmen
  • vorbeugende Maßnahmen
  • detektierende Maßnahmen
  • korrigierende Maßnahmen

Abschreckende Maßnahmen haben zum Ziel, die Zahl der Angriffe auf ein Cloud-System zu verringern, indem potenzielle Angreifer beispielsweise gewarnt werden, dass beim Überschreiten einer bestimmten Grenze mit ernsthaften Konsequenzen zu rechnen ist. Die vorbeugenden Maßnahmen versuchen die Cloud-Umgebung durch das Schließen von Schwachstellen und das Härten der Systeme zu sichern. Dazu zählen starke Authentifizierungsmechanismen, die unbefugten Zugriff auf Daten und Services verhindern.

Detektierende Maßnahmen erkennen sicherheitsrelevante Ereignisse und reagieren auf diese durch Alarmierung und Aktivierung von Abwehrmaßnahmen. Ein Beispiel für detektierende Systeme im Cloud-Umfeld sind Intrusion Detection Systeme (IPS). Die korrigierenden Maßnahmen schließlich reduzieren die Folgen eines Vorfalls, indem sie mögliche Schäden minimieren. Sie kommen während oder nach einem Vorfall zum Einsatz. Das Herstellen eines Systems aus einem zuvor erstellten Backup ist ein Beispiel für eine korrigierende Maßnahme.

Die Rolle der Cloud Security Alliance (CSA)

Bei der Cloud Security Alliance (CSA) handelt es sich um eine Non-Profit-Organisation, die sich zum Ziel gesetzt hat, für ein sicheres Cloud Computing zu sorgen. Hierfür stellt die CSA Best-Practice-Lösungen sowie Informations- und Lehrmaterial zur Verfügung. Weltweit hat die CSA mehr als 80.000 Mitglieder. Sie wurde 2008 gegründet und lieferte zuerst einen umfassenden Security Guide für das Cloud Computing im Wiki-Stil.

Mittlerweile hat die Cloud Security Alliance mehr als 25 verschiedene Arbeitsgruppen, die sich mit unterschiedlichen Themen im Zusammenhang der Cloud Security beschäftigen. Zu den wichtigsten Betätigungsfeldern der CSA zählen die Cloud Standards, Zertifizierungen, Ausbildung und Schulung, Hilfestellungen und Tools sowie Innovationen im Cloud-Umfeld.

Special „Rechtssicheres Cloud Computing“

Special Rechtssicheres Cloud ComputingSicherheit hat viele Facetten, dies gilt auch und insbesondere beim Cloud Computing. Vielen Unternehmen fehlt es an Vertrauen, wenn es darum geht, Daten, Anwendungen und Teile der eigenen IT-Infrastruktur an einen externen Provider auszulagern. Im Special finden Sie nützliche Informationen rund um die Themen Rechtssicherheit, dazu Lösungsansätze, Standards und Initiativen aus der Industrie.  

Zum Special „Rechtssicheres Cloud Computing“

Kommentare werden geladen....

Kommentar zu diesem Artikel abgeben

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

7 Dinge, die Unternehmen über die Cloud-Reise wissen müssen

Cloud Computing – gekommen, um zu bleiben

7 Dinge, die Unternehmen über die Cloud-Reise wissen müssen

Die Mehrheit der Unternehmen weltweit hat mittlerweile die Vorteile und Potenziale des Cloud Computings erkannt und die Technologie implementiert. Insbesondere für Organisationen, die die digitale Transformation durchlaufen, ist der Einsatz der Cloud unerlässlich und unterstützt sie dabei, sich zukunftssicher aufzustellen. lesen

Security as a Service wächst am stärksten

Softshell Vendor Report 2019

Security as a Service wächst am stärksten

Der Value Added Distributor Softshell veröffentlicht den „Vendor Report 2019“. Der Report, der schon zum fünften Mal in jährlicher Folge erscheint, gibt einen Überblick über den globalen Markt der Cybersecurity-Anbieter. lesen

Eingliederung und Ausgliederungen bei der Telekom

Transformation von T-Systems

Eingliederung und Ausgliederungen bei der Telekom

Die Deutsche Telekom wird dem Aufsichtsrat vorschlagen, sich bei Telekommunikations-Services (kurz TK-Services) mit Unternehmen neu aufzustellen. Stimmt das Aufsichtsgremium in seiner nächsten Sitzung Anfang September zu, dann wird sich der Zuschnitt zwischen T-Systems und der Telekom Deutschland ändern.Ein zusätzlicher Personalabbau sei dabei aber nicht geplant. lesen

Hybride IT und Multi-Cloud-Umgebungen verwalten

Navigationssystem für das digitale Unternehmen

Hybride IT und Multi-Cloud-Umgebungen verwalten

Die IT-Welt in Unternehmen wird immer komplexer. Neben traditionellen IT-Systemen kommen Private Clouds sowie Public-Cloud-Dienste unterschiedlicher Anbieter zum Einsatz. Daher ist eine Lösung unverzichtbar, mit der sich alle diese Ressourcen „orchestrieren“ lassen. lesen

Hohes Risiko für sensible Daten in der Cloud

McAfee Cloud Adoption & Risk Report

Hohes Risiko für sensible Daten in der Cloud

Nur 40 Prozent aller IT-Verantwortlichen haben die volle Kontrolle, wenn Mitarbeiter von ihren privaten Geräten auf Cloud-Daten zugreifen. Das sind Ergebnisse der Business Growth Edition des aktuellen „Cloud Adoption & Risk Reports“, den die Sicherheitsspezialisten von McAfee erst kürzlich veröffentlichten und für den 1.000 IT-Verantwortliche in elf Ländern befragt wurden. lesen

Visionär in den Bereichen Cybercrime und Digitalisierung

Enterprise Workspace Summit 2019 – Keynote-Speaker der Woche

Visionär in den Bereichen Cybercrime und Digitalisierung

Prof. Dr. Marco Gercke ist zugelassener Rechtsanwalt mit eigener Kanzlei, Direktor des Cybercrime Research Institute, Honorarprofessor, Autor, Berater und visionärer Vordenker in den Bereichen Cybercrime und Digitalisierung. Auf dem Enterprise Workspace Summit gibt Gercke erneut kommentierten Einblick in das Thema Sicherheit im Digital Workspace. lesen

Die Cloud auf dem Weg zur Selbstständigkeit

Neues eBook „Autonome Clouds“

Die Cloud auf dem Weg zur Selbstständigkeit

Autonome Clouds machen den Betrieb und die Sicherheit im Cloud Computing leicht, so scheint es. Einmal eingerichtet, macht der Cloud-Dienst seine Aufgaben eigenständig. Doch ganz so einfach ist es nicht: Neben den richtigen Cloud-Lösungen braucht man ein intelligentes Regelwerk, damit Clouds autonom agieren können. lesen

Tableau – eine Zukunft unter dem Dach von Salesforce

Nachbericht Tableau Conference Europe 2019

Tableau – eine Zukunft unter dem Dach von Salesforce

Auf der europäischen Kundenkonferenz in Berlin kündigte Tableau, ein Spezialist für Datenvisualisierung, kürzlich eine Reihe von Neuheiten an. Zudem äußerte sich der CEO Adam Selipsky zu den möglichen Auswirkungen der geplanten Übernahme seines Unternehmens durch den Cloud-Giganten Salesforce. lesen

„Everything-as-a-Service” bringt Kunden mehr Entscheidungsfreiheit

HPE launcht neue GreenLake-Services für den Mittelstand

„Everything-as-a-Service” bringt Kunden mehr Entscheidungsfreiheit

Bis 2022 will Hewlett Packard Enterprise (HPE) sein gesamtes Portfolio as-a-Service, im Abonnement oder Pay-per-Use-Modell als Alternative zum Infrastruktur- bzw. Lizenzkauf anbieten. Außerdem gibt es bei GreenLake neue Lösungen für den Mittelstand und den Netzwerkbetrieb. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44821853 / Definitionen)