Ratgeber: Sicheres Cloud Computing

Cloud-Dienste sicher nutzen

Folgende Maßnahmen sollte ein Anwender im Vorfeld oder zu Beginn der Nutzung von Cloud-Services beherzigen:

• Schutzniveau der Daten definieren: Bei der Datenerzeugung oder beim Datentransfer in die Cloud sollte der Anwender seine Daten klassifizieren (Sicherheitslevel "niedrig" bis "sehr hoch"), ihren Schutzbedarf analysieren und damit festlegen, welche Daten bei einem Cloud-Anbieter auf welche Weise gespeichert und übertragen werden dürfen. Dies kann beispielsweise die Verwendung bestimmter kryptografischer Verfahren oder ein umfassendes Rechtekonzept für den Zugriff auf bestimmte Informationen umfassen.

• Sicheres Speichern der Daten in die Cloud: Beim Speichern der Daten spielt die Verschlüsselung eine zentrale Rolle. Die Verwaltung der Schlüssel stellt für viele Anwender eine Herausforderung dar. Ihr Verlust bedeutet immer auch den Verlust verschlüsselter Daten; eine Kompromittierung der Schlüssel gefährdet der Datensicherheit.

• Sicherer Transfer der Daten in die Cloud: Neben der sicheren, isolierten Aufbewahrung der Daten spielt der sichere Transport der Daten vom Kunden in die Cloud und zwischen den Cloud-Rechenzentren eine wichtige Rolle. Daten sollten nur über verschlüsselte Kanäle übertragen werden und lassen sich beispielsweise über ein verschlüsseltes virtuelles privates Netzwerk (VPN) in die bestehende IT-Infrastruktur des Anwenders einbinden. Um Managementschnittstellen oder die Verwendung von SaaS-Angeboten via Web-Browser abzusichern, sind ausschließlich sichere HTTPS-Verbindungen anzuraten.

• Sichere Datenverarbeitung: Was die Datenverarbeitung angeht, ist es besonders wichtig, alle Zugriffe und Aktivitäten innerhalb der Speicherdienste und Cloud-Anwendungen zu protokollieren, um Angriffe zu erkennen. Des Weiteren spielen Portabilität und Interoperabilität eine wichtige Rolle, wenn es darum geht, die Gefahren eines Vendor-Lock-ins - die zwangsweise Bindung an einen Anbieter aufgrund fehlender Datenexportschnittstellen oder wegen unüblicher Exportdatenformate - zu minimieren. Um einen Lock-in-Effekt zu vermeiden, müssen gegebenenfalls Vereinbarungen mit dem Cloud-Anbieter getroffen werden, um die gespeicherten Daten in einem Standardformat zur Verfügung gestellt zu bekommen. Das kommt dem Anwender dann zugute, wenn er später den Cloud-Provider wechseln möchte. Für die Integration von Cloud-Services in die eigene Infrastruktur und bei der Nutzung mehrerer Angebote (Hybrid Cloud) ist die Interoperabilität der Infrastrukturen wichtig. Mit standardisierten und offenen Schnittstellen, Protokollen und Open-Source-Plattformen lässt sich dieser Zustand erreichen.

• Sicherer Zugang zu den Cloud-Diensten: Nicht nur die Daten selbst, sondern auch die Zugangsdaten für Cloud-Dienste und eigene Anwendungen müssen geschützt werden. Eine verschlüsselte Übertragung und ein regelmäßiger Wechsel des Log-Ins sind zu empfehlen. Hier sollten starke Authentifizierungsmechanismen wie eine Zwei-Faktor-Authentifizierung verwendet und Zugriffsrechte individuell nach dem Need-to-know-Prinzip vergeben werden. Die verteilten Rollen und Rechte sind regelmäßig zu überprüfen.

• Sichere Datenarchivierung: Das verschlüsselte Archivieren von Daten ist ratsam. Um regulatorische Vorgaben zu erfüllen und forensische Untersuchungen zu ermöglichen, sind hier Mechanismen anzuwenden, die die Suche nach und die Extraktion von Daten jederzeit möglich machen.

• Sichere Datenlöschung/-vernichtung: Das dauerhafte Löschen der Daten in der Cloud ist sehr wichtig, egal ob dies durch gesetzliche Vorgaben vorgeschrieben oder beim Wechsel des Anbieters nötig geworden ist. Da ein Anwender oft keinen Zugriff auf das vom Cloud-Provider vorgehaltene Backup hat, bietet es sich an - sofern der Service dies ermöglicht -, die Daten ausschließlich verschlüsselt zu speichern. Beim Löschvorgang wird dann der zugehörige Schlüssel vernichtet, und eine Datenentschlüsselung ist damit ausgeschlossen.