Kalkulierbares Risiko - Schatten-IT in Unternehmen

Sobald der Begriff Cloud fällt, denken IT-Profis fast sofort an die damit verbundenen Sicherheitsrisiken. Diese sind gleichzeitig der Hauptgrund dafür, dass viele Unternehmen immer noch den Schritt in diese virtuelle Welt scheuen. Doch was tun, wenn einzelne Abteilungen in Eigenverantwortung und ohne das Wissen der IT Cloud-Dienste in Anspruch nehmen - quasi als Schatten-IT?

Dabei ist es häufig sehr einfach, diese Dienste und Ressourcen zu nutzen, meistens sogar - wenigstens zu Beginn - kostenlos oder zumindest sehr preisgünstig. Dennoch hat es durchaus seine Gründe, dass dies normalerweise über die IT läuft, denn nur so können auch wirklich die Integrität der Daten und die Einhaltung der Compliance-Richtlinien garantiert werden. Zusätzlich berücksichtigt die IT, im Gegensatz zu vielen "normalen" Anwendern, solche Punkte wie Verschlüsselung und Zugriffsrechte bei Cloud-Diensten.

So muss zunächst einmal geklärt werden, ob Ihre Daten bereits verschlüsselt sind und ob sie überhaupt verschlüsselt werden sollten oder müssen. Denn nicht alle Daten müssen verschlüsselt werden. Dies ist insbesondere angesichts der mit der Verschlüsselung von Daten verbundenen Verarbeitungs- und Übertragungslast wichtig. So ist es zum Beispiel nicht notwendig, Musikdateien, Archivfotos oder andere allgemein verfügbare Dateien zu verschlüsseln.

Andere Daten hingegen müssen definitiv verschlüsselt werden. Bestimmte Compliance-Anforderungen, zum Beispiel HIPAA oder PCI, verlangen ausdrücklich eine Kontrolle des Datenzugriffs. Dabei lässt sich der unautorisierte Zugriff auf Daten, die sich unter der physischen Obhut eines Dienstanbieters befinden, nur verhindern, indem sie verschlüsselt werden.

Verschlüsselung ja - aber wo?

Sobald klar ist, dass Daten verschlüsselt werden sollen, müssen Sie entscheiden, wo die Verschlüsselung erfolgt. Denn viele Cloud-Dienste bieten bereits von Haus aus eine Verschlüsselung an, diese erfolgt jedoch nur innerhalb der Cloud. Außerhalb sind die Daten immer noch frei zugänglich.

Dabei bestimmt der Ort der Datenverschlüsselung, wer Zugriff auf die Daten hat und wer nicht. Wenn also Ihr Anbieter die Verschlüsselung übernimmt, hat er auch die Möglichkeit, auf die Daten zuzugreifen. Bereits bei oberflächlicher Betrachtung ist dies wichtig, weil somit unbekannte Personen potenziellen Zugriff auf die Daten haben. Dies birgt jedoch die Gefahr, dass Daten aus der Speicherumgebung des Cloud-Anbieters gestohlen werden können.

Sie sollten also den Schutz Ihrer Daten nie auf die leichte Schulter nehmen und immer damit rechnen, dass es zu Eindring-/Kompromittierungsversuchen kommen kann. Daher sollten die Daten noch bei Ihnen vor Ort verschlüsselt werden, bevor sie in die Cloud verschoben werden.

Verschlüsselung ja - aber womit?

Üblicherweise werden die Daten, die in die Cloud übertragen werden, mit einem symmetrischen Algorithmus verschlüsselt. Dabei gibt es zwei hauptsächlich verwendete Varianten. Die gebräuchlichere dieser beiden ist AES; sie kann mit einer von drei Schlüssellängen implementiert werden: 128 Bit, 192 Bit oder 256 Bit - je länger, desto besser. Die andere symmetrische Verschlüsselungstechnologie ist Blowfish. Blowfish ist ein nicht patentierter Algorithmus, der von Bruce Schneier entwickelt wurde, und hat eine Schlüssellänge von 32 bis 448 Bit. Auch hier gilt: "Mehr ist besser" - beachten Sie, dass ein 448-Bit-Blowfish-Schlüssel beinahe doppelt so lang ist wie ein 256-Bit-AES-Schlüssel.

Falls doch eine asymmetrische Verschlüsselung zum Einsatz kommt, um die symmetrischen Schlüssel zu verschlüsseln, sollten Sie sich fragen, warum dies überhaupt notwendig ist. Wahrscheinlich liegt es daran, dass der symmetrische Schlüssel vom Anbieter gespeichert wird, der ihn braucht, um Ihre Daten zu entschlüsseln - was bedeutet, dass die Daten nicht an Ihrem Ende der Internetverbindung verschlüsselt und entschlüsselt werden, sondern auf der Seite des Anbieters, und das wiederum stellt, wie bereits erwähnt, ein Sicherheitsrisiko das.

Die Schlüssel unter der Fußmatte sind auch virtuell keine gute Idee

Symmetrische Schlüssel müssen immer gut im Auge behalten werden. Daher sollten Sie stets mehrere Kopien des symmetrischen Schlüssels an verschiedenen Orten speichern, um den Zugriff bei Bedarf zu ermöglichen, aber auch aus Gründen der Notfallwiederherstellung und Geschäftskontinuität. Die Kontrolle des Zugriffs auf den Schlüssel ist ebenfalls wichtig. Eine kleine Auswahl besonders vertrauenswürdiger Personen sollte Zugang zum Schlüssel und zu dessen Verwendung haben.

Hier lohnt sich der Einsatz asymmetrischer Schlüssel, um die Sicherheit zu garantieren. Dabei sollte jeder einzelne der vertrauenswürdigen Verwahrer des symmetrischen Schlüssels ein persönliches asymmetrisches Schlüsselpaar erstellen. Die öffentlichen Schlüssel sollten anschließend unter den Verwahrern geteilt werden. Wenn nun einer der Verwahrer den symmetrischen Schlüssel ändern muss, kann der Schlüssel mithilfe der asymmetrischen Verschlüsselung an die anderen Verwahrer weitergegeben werden. Der Verwahrer, der den Schlüssel ändert, erstellt dabei eine verschlüsselte Kopie des symmetrischen Schlüssels, wobei er die jeweiligen öffentlichen Schlüssel der Verwahrer verwendet.

Anschließend leitet er den verschlüsselten symmetrischen Schlüssel an die übrigen Verwahrer weiter. Jeder kann diesen symmetrischen Schlüssel dann mit seinem eigenen privaten Schlüssel speichern und darauf zugreifen. Wenn ein Verwahrer ersetzt wird oder nicht mehr als vertrauenswürdig gilt, wird einfach ein neuer symmetrischer Schlüssel erstellt und an die anderen Verwahrer weitergeben; der frühere symmetrische Schlüssel kann dann nicht mehr verwendet werden.

AGB - ich verstehe nur Bahnhof …

Auch wenn Sie Ihre Daten in der Cloud selbst verschlüsselt haben, sollten Sie immer die Allgemeinen Geschäftsbedingungen Ihres Anbieters genau kennen. Denn falls er innerhalb des Vertrags ausdrücklich erklärt, dass er "allen Auskunftsanordnungen, Durchsuchungsbefehlen und Geheimdienstanfragen" bezüglich Ihrer Daten nachkommen wird, ist es besonders wichtig, dass Ihre Daten verschlüsselt sind, und zwar auf eine Weise, die es dem Dienstanbieter nicht ermöglicht, die Daten nach eigenem Gutdünken zu entschlüsseln. Denn sollte es eine Auskunftsanordnung oder einen Durchsuchungsbefehl für Ihre Daten geben, können Sie sicherstellen, dass die Gerichtsbeschlüsse direkt Ihrem Unternehmen und nicht einem Dritten vorgelegt werden.

In diesem Zusammenhang ist es auch wichtig, ob der Dienstanbieter die Speicherungsdienste, bei denen die Daten physisch aufbewahrt werden, tatsächlich besitzt. Denn wenn er selbst Kunde eines anderen Dienstanbieters ist, sind Sie unter Umständen indirekt Risiken ausgesetzt, die sich aus den Richtlinien des tatsächlichen Dienstanbieters ergeben.

Sie sehen also: Cloud ist kein Freibrief für Fahrlässigkeit. Dies müssen Sie sich immer wieder vor Augen halten - sonst übernimmt bald die Schatten-IT Ihren Job. (hal)