Definition: Cloud-Sicherheit

Was ist Cloud Security?

| Autor / Redakteur: Stefan Luber / Florian Karlstetter

Cloud Security - Maßnahmen zur Absicherung von Cloud-Services.
Cloud Security - Maßnahmen zur Absicherung von Cloud-Services. (Bild: gemeinfrei (geralt / pixabay) / CC0)

Die Cloud Security umfasst eine Vielzahl von Einzelmaßnahmen, die bei der Nutzung von Cloud-Services vor Risiken wie Datenverlust, Serviceausfall oder unbefugtem Zugriff schützen. Auch die Einhaltung von gesetzlichen Datenschutzvorgaben ist ein Thema der Cloud Security.

Cloud Security zur Risikominimierung in der Cloud: Unter Cloud Security fallen verschiedene Maßnahmen zur Absicherung von Cloud-Services und Cloud-Umgebungen. Durch eine konsequente Anwendung der Cloud Security lässt sich das Risiko von Ausfällen, Datenverlust, Hackerangriffen oder unbefugtem Zugriff auf Daten minimieren. Da die Cloud Security hohen Stellenwert für Anwender und Betreiber von Cloud-Services besitzt, stellt sie einen zentralen Aspekt des Cloud Computings dar.

Die Maßnahmen der Cloud Security bestehen aus einem Set von Regeln, Prozessen und technischen Vorgaben, die sicherstellen, dass gesetzliche Vorgaben eingehalten werden, die Infrastruktur der Cloud und deren Anwendungen geschützt sind und Daten sicher verarbeitet und gespeichert werden. Erforderlich sind die Maßnahmen, da es sich bei einer Cloud um eine geteilte Ressource handelt, die in der Regel von mehreren Anwendern gleichzeitig genutzt wird. Es sind Aspekte wie die Verschlüsselung von Daten, Zugriffskontrolle, Zugriffsrechte und Identitätsmanagement zu berücksichtigen. Für die Cloud Security sind sowohl die Betreiber der Services als auch die Anwender verantwortlich. Zwischen Cloud Computing-Anbieter und den Nutzern können vertragliche Regelungen zur Cloud Security getroffen werden. Zudem lassen sich Prozesse definieren, die im Fall von sicherheitskritischen Vorfällen genaue Vorgehensweisen definieren.

Die Sicherheitsrisiken der Cloud-Services

Das Cloud Computing ermöglicht es Unternehmen, Organisationen oder Einzelpersonen Daten, Anwendungen oder IT-Infrastrukturen auszulagern und macht den Betrieb eigener Server und IT-Umgebungen überflüssig. Gleichzeitig entstehen durch die gemeinsam genutzten Cloud-Umgebungen und durch die über das öffentliche Internet zugänglichen Services zusätzliche Sicherheitsrisiken. Diese gilt es, für einen sicheren Betrieb der Services durch geeignete Maßnahmen zu reduzieren. Mögliche Risiken sind der Verlust der Vertraulichkeit, Integrität und Verfügbarkeit der Daten und Störungen in der Cloud-Umgebung. Die Cloud Security berücksichtigt daher folgende Aspekte:

- die physische Sicherheit des Rechenzentrums
- die Sicherheit der Server
- die Sicherheit der Netzwerkstrukturen und -zugänge
- die Sicherheit der Plattform und der Anwendungen
- die Sicherheit der Daten
- das sichere Management von Schlüsseln und Zugangskennungen

Da sich in einer Public Cloud oder in einer Hybrid Cloud die Daten außerhalb des Einflussbereichs des Dateneigentümers befinden, nimmt der Schutz der Daten durch Cloud Security eine wichtige Rolle ein. Oft ist der Datenschutz nicht mit den üblichen Mitteln zu realisieren, wie sie in eigenen, selbst betriebenen Infrastrukturen zum Einsatz kommen. Aufgrund von gesetzlichen Bestimmungen kann es zum Beispiel erforderlich sein, dass Daten sicher gelöscht werden. In einer Cloud-Umgebung besteht unter Umständen das Risiko, dass Daten unzureichend oder unvollständig gelöscht sind. Da sich die Speicherorte der Daten für den Dateneigentümer nicht lokalisieren lassen, ist die Löschung der Daten für ihn nicht vollständig nachvollziehbar. Auch nach einer Kündigung eines Cloud-Services ist der Kunde darauf angewiesen, dass er auf eine zuverlässige Löschung aller Daten vertrauen kann.

Die Nutzung der Cloud-Services durch verschiedene Mandanten bringt das Risiko mit sich, dass eine mangelnde Trennung von Kundeninstanzen Unbefugten das Einsehen oder Manipulieren der Daten Dritter ermöglicht. Ursache hierfür ist, dass in der Cloud meist keine physikalische, sondern eine virtuelle Trennung der Instanzen erfolgt.

Viele Organisationen sind strengen gesetzlichen Regularien und Compliance-Vorgaben unterworfen. Da Cloud-Services grundsätzlich an beliebigen Orten bereitgestellt werden können und Anwender nur beschränkten Einfluss auf den tatsächlichen Ablageort ihrer Daten haben, ergibt sich das Risiko, dass die einzuhaltenden Vorgaben verletzt werden. Es ist zum Teil intransparent, in welchen Ländern und auf welchen Servern Daten gespeichert sind und wie die Datenflüsse erfolgen.

Beauftragt der Cloud-Anbieter zusätzliche Subunternehmer für die Erbringung bestimmter Leistungen, kann eine besonders komplexe und verworrene Situation entstehen. Aus diesen Gründen besteht eine erhöhte Gefahr der Verletzung von Datenschutzvorschriften. Eine Insolvenz des Providers oder einer seiner Subunternehmer kann weitere unkalkulierbare Risiken für den Anwender und seine Daten mit sich bringen.

Maßnahmen der Cloud Security

Die Cloud Security beinhaltet sowohl technische als auch prozessuale Maßnahmen sowie vertragliche Regelungen. Die technischen Maßnahmen umfassen die Sicherung und Verschlüsselung der Kommunikationsverbindungen, die geschützte und verschlüsselte Speicherung der Daten, die Sicherung der Cloud-Komponenten, die Authentifizierung von Usern und Administratoren und das Monitoring für das frühzeitige Erkennen von sicherheitsrelevanten Vorfällen oder Störungen.

Der Provider hat gegenüber seinen Kunden nachzuweisen, dass er die datenschutzrechtlichen Vorgaben erfüllt und über entsprechende Notfall- und Recovery-Prozesse verfügt. Zusätzlich müssen dokumentierte Prozesse vorhanden sein, die das Benutzer-, Rechte- und Changemanagement steuern. Vertraglich getroffene Regelungen können beispielsweise Service Level Agreements (SLAs) sein, die den Kunden bestimmte Verfügbarkeiten zusichern und im Fall von Störungen Reaktionszeiten, Wiederherstellungszeiten und Alarmierungsketten oder Eskalationsstufen definieren. Zusätzlich lassen sich Vereinbarungen über regelmäßig durchzuführende gemeinsame Übungen zu sicherheitsrelevanten Ereignissen treffen.

Kategorisierung von Kontrollmaßnahmen der Cloud Security

Die Maßnahmen der Cloud Security lassen sich in verschieden Kategorien einteilen. Diese Kategorien sind:

  • abschreckende Maßnahmen
  • vorbeugende Maßnahmen
  • detektierende Maßnahmen
  • korrigierende Maßnahmen

Abschreckende Maßnahmen haben zum Ziel, die Zahl der Angriffe auf ein Cloud-System zu verringern, indem potenzielle Angreifer beispielsweise gewarnt werden, dass beim Überschreiten einer bestimmten Grenze mit ernsthaften Konsequenzen zu rechnen ist. Die vorbeugenden Maßnahmen versuchen die Cloud-Umgebung durch das Schließen von Schwachstellen und das Härten der Systeme zu sichern. Dazu zählen starke Authentifizierungsmechanismen, die unbefugten Zugriff auf Daten und Services verhindern.

Detektierende Maßnahmen erkennen sicherheitsrelevante Ereignisse und reagieren auf diese durch Alarmierung und Aktivierung von Abwehrmaßnahmen. Ein Beispiel für detektierende Systeme im Cloud-Umfeld sind Intrusion Detection Systeme (IPS). Die korrigierenden Maßnahmen schließlich reduzieren die Folgen eines Vorfalls, indem sie mögliche Schäden minimieren. Sie kommen während oder nach einem Vorfall zum Einsatz. Das Herstellen eines Systems aus einem zuvor erstellten Backup ist ein Beispiel für eine korrigierende Maßnahme.

Die Rolle der Cloud Security Alliance (CSA)

Bei der Cloud Security Alliance (CSA) handelt es sich um eine Non-Profit-Organisation, die sich zum Ziel gesetzt hat, für ein sicheres Cloud Computing zu sorgen. Hierfür stellt die CSA Best-Practice-Lösungen sowie Informations- und Lehrmaterial zur Verfügung. Weltweit hat die CSA mehr als 80.000 Mitglieder. Sie wurde 2008 gegründet und lieferte zuerst einen umfassenden Security Guide für das Cloud Computing im Wiki-Stil.

Mittlerweile hat die Cloud Security Alliance mehr als 25 verschiedene Arbeitsgruppen, die sich mit unterschiedlichen Themen im Zusammenhang der Cloud Security beschäftigen. Zu den wichtigsten Betätigungsfeldern der CSA zählen die Cloud Standards, Zertifizierungen, Ausbildung und Schulung, Hilfestellungen und Tools sowie Innovationen im Cloud-Umfeld.

Special „Rechtssicheres Cloud Computing“

Special Rechtssicheres Cloud ComputingSicherheit hat viele Facetten, dies gilt auch und insbesondere beim Cloud Computing. Vielen Unternehmen fehlt es an Vertrauen, wenn es darum geht, Daten, Anwendungen und Teile der eigenen IT-Infrastruktur an einen externen Provider auszulagern. Im Special finden Sie nützliche Informationen rund um die Themen Rechtssicherheit, dazu Lösungsansätze, Standards und Initiativen aus der Industrie.  

Zum Special „Rechtssicheres Cloud Computing“

Kommentare werden geladen....

Kommentar zu diesem Artikel abgeben

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

Neue Funktionen für Storage und Filesysteme

Ein Füllhorn von AWS-Neuheiten

Neue Funktionen für Storage und Filesysteme

Vor, während und nach der AWS re:Invent 2019 hat Amazon Web Services (AWS) zahlreiche Neuerungen bei seinen Storage-Diensten verlautbart. Die Neuerungen betreffen Security, Compliance, Effizienz und Backup. Jüngst profitieren auch die Amazon FSx für Windows und Lustre von zahlreichen Erweiterungen. lesen

Managed Security für AWS-Umgebungen

Shared Responsibility

Managed Security für AWS-Umgebungen

AllCloud, jüngst als AWS-Migrationskompetenzpartner qualifiziert, erklärt in einem Beitrag, auf welche sechs Punkte man unbedingt achten sollte, um die IT-Sicherheit von auf AWS laufenden Systemen zu gewährleisten. lesen

SD-WAN als Grundlage für die Public Cloud

Barracuda-Studie

SD-WAN als Grundlage für die Public Cloud

Aktuell betreiben Unternehmen etwa 45 Prozent ihrer IT-Infrastruktur in der Public Cloud. Das soll sich aber laut den von Barracuda Networks befragten IT-Verantwortlichen ändern: Sie erwarten, dass diese Zahl in den nächsten fünf Jahren auf 76 Prozent ansteigen wird. Allerdings geben 70 Prozent der Befragten an, dass Sicherheitsbedenken die Einführung der Public Cloud in ihrer Organisation einschränken. lesen

Homeoffice aus der Cloud

Überblick über mehr als 15 Angebote

Homeoffice aus der Cloud

In Zeiten des Coronavirus ist es besonders wichtig, die Geschäftskontinuität aufrecht zu erhalten. Bei immer mehr Mitarbeitern, die von zuhause aus ihren Job erledigen, ist eine Collaborative-Lösung unumgänglich. Heute kommt so etwas (natürlich) aus der Cloud. lesen

Rackspace zeigt Dienste für Public Cloud

Services für Serverless, KI, IoT, Kubernetes und Security

Rackspace zeigt Dienste für Public Cloud

Rackspace erweitert die Cloud-nativen Angebote für Kubernetes, Security Dienste sowie Service Blocks. Unternehmen sollen sich so auf ihr Kerngeschäft konzentrieren, zugleich aber sämtliche Vorzüge der Public Cloud erschließen. lesen

Integrierte Lösungen vom Code zum Kunden

Ein Jahr F5 und NGINX

Integrierte Lösungen vom Code zum Kunden

Durch die Übernahme von NGINX kann F5 Networks nun einheitliche Angebote vom App- und Web-Server über API Gateways, Load Balancer, Security und DNS bis zum Customer Delivery Network (CDN) unterbreiten. Die Bereitstellung von Apps in Multi Cloud-Umgebungen über den gesamten Lebenszyklus hinweg soll künftig durch den NGINX Controller 3.x einfacher werden. Er ist das jüngste Resultat des Zusammenschlusses. lesen

Sicherheit für Edge und Multicloud

Secure Access Service Edge (SASE)

Sicherheit für Edge und Multicloud

Das neue Security-Konzept SASE (Secure Access Service Edge) sichert neue Infrastrukturwelten mit mobilen Mitarbeitern, Home-Offices, Niederlassungen, Edge-Systemen und Multicloud-Nutzung. lesen

Die Vorzüge und Hürden von Cloud Computing

IT-Sicherheit in der Cloud

Die Vorzüge und Hürden von Cloud Computing

Cloud Computing verspricht gesteigerte Effizienz und Produktivität sowie Kostenreduzierung. Eine hervorragende Grundlage für Unternehmen, sich für die digitale Transformation zu rüsten, um auch in Zukunft wettbewerbsfähig zu bleiben. Doch hinter den Chancen verbergen sich auch einschlägige Risiken, die Unternehmen nicht aus den Augen verlieren dürfen. lesen

Die Evolution der Service Provider

Service Provider Summit 2020

Die Evolution der Service Provider

Managed Services sind so populär wie nie. Gerade deshalb sehen sich Service Provider einer immer komplexeren Marktdynamik gegenüber. Am 14. und 15. Mai stehen mögliche Chancen und Wachstumsstrategien im Fokus des alljährlichen Gipfeltreffens. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 44821853 / Definitionen)