Transformation in die Cloud - welche Cloud darf es sein?
Blickwinkel House of Clouds

Cloud-Sicherheit kommt von Innen

16.12.2016

Cloud-Sicherheit: aktuelle Trends und Schutz-Mechanismen für Unternehmen.
​​​​​​​Die Cloud im Unternehmenseinsatz muss maximal sicher sein und hohen Datenschutz sowie ausgeklügelte Datensicherheit aufweisen, das ist selbstverständlich. Aber auch Sicherheit, die aus der Cloud kommt, ist ein immer zentraleres Thema – und sie wird zukünftig in ihrer Bedeutung weiter zulegen. So weist allein die Studie „Security Bilanz Deutschland“, bei der das Analystenhaus techconsult zum dritten Mal in Folge 500 Unternehmen branchenübergreifend befragte, einen deutlichen Trend in Richtung Cloud-Sicherheit nach. Bereits mittelständische Unternehmen und Verwaltungen setzen demnach häufig Cloud-Lösungen aus den Bereichen E-Mail- und Websicherheit, Datensicherheit, Application Security oder Network Security ein, so die Marktforscher. E-Mail und Web Protection als Cloud-Lösung nutzen der Studie zufolge bereits mehr als die Hälfte der befragten Unternehmen aus Industrie, Dienstleistungen, Banken und Versicherungen sowie öffentliche Verwaltungen ein.

Burgmauer und Wassergraben reichen nicht mehr

Diese Ergebnisse sind ein klares Signal. Entscheider betrachten die Cloud mittlerweile vorurteilsfrei und wissen um ihre Stärken. Und diese liegen vor allem in ihrer Flexibilität, die angesichts der Digitalisierung und den damit verknüpften neuen Arbeitswelten auch zwingend erforderlich ist. Ein Beispiel: Noch vor einigen Jahren spielte sich das IT-Leben beinahe ausschließlich innerhalb des Firmenareals ab. Hinter „Burgmauer“ und „Wassergraben“, abgeschirmt und somit in der Regel sehr, sehr sicher. Heute jedoch müssen die Mitarbeiter zwangsläufig diese Komfortzone verlassen. Sie arbeiten dezentral via Smartphone oder Laptop, präsentieren live beim Kunden vor Ort mit Echtzeit-Zugriff auf etwa die Warenwirtschaft oder sind im Home-Office kreativ. Doch der Wassergraben in Form der klassischen Firewall und tradierte Netzwerk-Sicherheit als Burgmauer sind hier nicht mehr adäquat. So benötigen Unternehmen darüber hinaus auch Software, die kontrolliert Zugänge zu Daten von außen ermöglicht und gleichzeitig die Daten vor fremden Zugriffen schützt, etwa durch Verschlüsselung oder andere Vorkehrungen. Diese muss auch gegen moderne Hacking-Attacken wie DDoS-Angriffe schützen. Und exakt hier kommen cloudbasierte Firewalls zum Einsatz, die auch außerhalb des Firmennetzwerkes greifen und so mobile Daten schützen können.

Ransomware: Bedrohung aus dem Netz

Ein anderes Beispiel sind die sich rasant ausbreitenden Schädlinge vom Typ Ransomware, also diejenige Schadsoftware, mit der Cyber-Kriminelle den Rechner des Betroffenen sozusagen abschließen. Ransomware-Schädlinge verschlüsseln dafür die Daten auf dem infizierten Computer und verlangt dann für deren Entschlüsselung ein „Lösegeld“, zumeist anonym in etwa Bitcoins. Ein eklatantes Problem, denn der Anteil von Ransomware an allen globalen Angriffen mit Schadcode hat sich allein im September auf 13 Prozent erhöht . Das berichtet der aktuelle „Global Threat Index“ des Sicherheitsanbieters Check Point Software. Demzufolge waren sechs Prozent dieser Attacken alleine auf die Ransomware Locky zurückzuführen, die damit zugleich die Erpressersoftware mit der derzeit höchsten Verbreitung ist. Damit kommt Ransomware in diesem Index auch erstmalig unter die Top 3, was die „Hitliste“ an Bedrohungen angeht. Angeführt wird diese von einem Wurm („Conficker“), an zweiter Stelle steht der Virus „Sality“.
Fakt ist auch, dass die Auswirkungen dieser Bedrohungslage mittlerweile alles andere als harmlos ist: 558.000 Euro kostet ein Fall von Datenverlust hierzulande im Durchschnitt. Und 37 Prozent der untersuchten deutschen Unternehmen verloren während der vergangenen 12 Monate wenigstens einmal Geschäftsdaten. Das geht aus der neuen Auflage der Studie „Global Data Protection Index“ hervor, die das Marktforschungsunternehmen Vanson Bourne im Auftrag von EMC erstellt hat.
Fachleute berichten nun, dass im Kampf gegen eben solche Ransomware vor allem Sicherheitslösungen aus der Cloud vonnöten sind. Das technische Prinzip dahinter: Cloud-basierte Sicherheitsdienste prüfen beim Aufruf einer IP-Adresse, ob diese schon aufgefallen oder verdächtig ist. Ist dies der Fall, lässt sich die Webseite nicht aufrufen und wird blockiert. Die Funktionsweise als Cloud-Dienst sorgt dafür, dass ein solcher Ransomware-Schutz immer sehr aktuell ist und sich darüber hinaus auch leicht von mobilen Mitarbeitern nutzen lässt.
Neben dieser technologischen Argumentation ist Cloud-basierte Sicherheit aber auch aus ökonomischen Erwägungen sinnvoll. Derlei Dienste lassen sich komfortabel als Managed Service beziehen. Ein Dienstleister sorgt sich dabei selbsttätig um Aktualisierungen, verwaltet die Dienste zentral und kann im Notfall einmal infizierte Geräte schnell sperren. Im Umkehrschluss lassen sich sowohl Endgeräte als auch Server auf diese Art und Weise schneller „betanken“ und mit Schutz-Systemen ausstatten. Ergebnis: Das Unternehmen kann sich auf seine Kernkompetenzen konzentrieren, die Security liegt in der Wolke, wo sie bei einem seriösen, qualifizierten Cloud-Anbieter gut aufgehoben ist.

Sicherheit braucht Strategie

Selbstverständlich müssen Unternehmen Sicherheit in ihre gesamte Cloud-Strategie einbeziehen, nicht als Solitär betrachten. Hier besteht allerdings vielfach Nachholbedarf, attestieren die Consultants der IDC. Fakt ist: Die Cloud bestimmt den IT-Alltag in deutschen Unternehmen. 63 Prozent der befragten Unternehmen vertrauen laut IDCs „CloudView Survey“ auf Cloud-Lösungen in Form von Public oder Private Cloud für Unternehmensprozesse. Dies entspricht einem Zuwachs von 70 Prozent im Vergleich zum Vorjahr. Aber: Potenziale zur Verbesserung der Unternehmensergebnisse durch den Einsatz von Cloud-Anwendungen bleiben dabei aufgrund fehlender, nachhaltiger Strategieansätze in Unternehmen jedoch häufig ungenutzt. Und das sei, gerade angesichts des noch zu erwartenden Booms durch IoT und Industrie 4.0, eine Gefahr, so die Experten. Das heißt, Cloud allgemein und Cloud-Sicherheit im Speziellen müssen mit einer fundierten Strategie einhergehen, erst dann und nur so wird es eine runde Sache.
Warum es aus datenschutzrechtlicher Sicht weiterhin unsicher sein kann, ausländische Provider zu nutzen, selbst dann, wenn diese ihre Server in Deutschland betreiben; und warum Unternehmen auch Bußgelder drohen können, wenn sie ihre Cloud-Services nicht aus Deutschland beziehen, lesen Sie in der Best Practice 03/2016 in einem aufschlussreichen Interview mit Dr. Hans Markus Wulf, IT-Rechtsexperte der renommierten Sozietät SKW Schwarz mit mehr als 25 IT- und Datenschutzanwälten.