Informationsschutz in der Cloud
Einen erfolgreichen Angriff auf Unternehmenssysteme und -anwendungen kann keine IT-Sicherheitstechnologie ausschließen. Eine Verschlüsselung von sensiblen Daten verhindert jedoch im schlimmsten Fall, dass gestohlene oder unberechtigt veröffentlichte Informationen verwertet werden können. Vor allem bei der Auslagerung von Anwendungen in die Cloud ist eine Absicherung unerlässlich.
Die Auslagerung von Geschäftsprozessen und Informationen in die Cloud ist mittlerweile ein gängiger Weg, um Ressourcen einzusparen und die Produktivität zu gewährleisten. Doch dieser Weg ist für IT- und Fachverantwortliche für den Bereich Datenschutz in der Cloud ein Tanz auf dem Seil ohne Netz. Unternehmen, die neben ihren Daten und Anwendungen auch ihre IT-Sicherheit komplett in die Hände des Cloud-Betreibers legen und sich auf Service-Level-Agreements verlassen, wiegen sich in falscher Sicherheit. Denn für Datensicherheit ist das Unternehmen letztlich allein verantwortlich.
Und die Anforderungen werden immer strenger: Ab Mai 2018 legt die Europäische Datenschutzgrundverordnung (EU-DSGVO) verbindlich die rechtlichen Rahmenbedingungen für den Datenschutz und damit die Anforderungen an Datensicherheit fest – auch in der Cloud. Bei der Auslagerung von Daten brauchen Organisationen eine finale Verteidigungslinie, die im Ernstfall eines unerlaubten Zugriffs die Verwertung der Daten verhindert.
Korrekte Verschlüsselung überall und jederzeit
Nicht jede Verschlüsselung ist dabei sicher genug. Nur wenn die Daten selbst an jedem Speicher- und Verarbeitungsort und zu jedem Zeitpunkt – also "in Use", "in Transit" und "at Rest" – verschlüsselt werden, ist die höchstmögliche Sicherheit gewährleistet. Jeder Ort und jede Anwendung, in der Daten im Klartext zugänglich gemacht werden, stellt eine potentielle Sicherheitslücke dar. Gerade bei Daten, die in der Cloud gespeichert und verarbeitet werden, kommt es daher auf eine durchgängige Verschlüsselung an.
Standardisierte, praxiserprobte Verschlüsselungsverfahren wie AES 256 und RSA 2048 bieten optimale Sicherheit, wenn sie korrekt implementiert werden. Lösungen, die die Standardverschlüsselung verändern, um Informationen in den verschlüsselten Daten zu suchen oder sortieren zu können, lassen sich leicht aushebeln, wenn keine besonderen Vorkehrungen getroffen werden.
Keine Einschränkungen der Produktivität
Datensicherheit muss nicht auf Kosten der Prozesse und Abläufe im Unternehmen gehen. Gateway-basierte Verfahren unterstützen berechtigte Anwender bei ihrer Arbeit mit den Daten – ohne wichtige Funktionen, wie z. B. das Suchen in den Daten, zu beeinträchtigen.
Bei Datenverschlüsselungen gewährleisten Funktionalitätsemulationen, die nur den berechtigten Anwendern über eine Applikation wie ein Gateway bereitstehen, die Arbeit mit Datenbeständen, als ob es keine Verschlüsselung gäbe.
Auch Tokenisierungsverfahren ermöglichen es berechtigten Anwendern, mit Daten zu arbeiten, die nur sie im Klartext sehen. Für alle anderen werden nur Ersatzwerte dargestellt. Zur Tokenisierung der Informationen generiert ein Gateway für jeden Datensatz typkonforme Werte. So wird gewährleistet, dass Anwendungs-Workflows weiter funktionieren und nur der Ersatzwert in der Cloud gespeichert wird. Für die Datensicherheit ist aber eine sichere Tokenisierung wichtig. Bei älteren Verfahren sind typkonforme Ersatzwerte oft in einer Mapping-Tabelle verzeichnet, welche ein beliebtes Ziel für Hacking-Angriffe ist. Wichtig ist es daher, die Originaldaten vor Eintragung in die Token-Tabelle zu verschlüsseln und damit Verschlüsselung und Tokenisierung zu kombinieren.
Datensicherheit schnell verwirklichen
Verschlüsselungslösungen müssen für Sicherheit sorgen, ohne die bestehende IT-Infrastruktur zu verändern und damit die Funktionalität von Anwendungen zu beeinträchtigen. Höhere Flexibilität ist ein wichtiger Entscheidungsgrund, um Daten in die Cloud zu migrieren. Eine schnelle Implementierung spart Geld. Das spielt insbesondere bei der Absicherung von Rechenzentren eine Rolle. Eine Gateway-Struktur, die vor die eigentliche IT-Infrastruktur geschaltet wird und die Verschlüsselung samt Funktionsemulation außerhalb einer zu schützenden Anwendung durchführt, macht es möglich, dass bestehende IT-Infrastrukturen nicht beeinträchtigt werden und Verschlüsselungen schnell implementiert werden können.
Klare Verantwortlichkeiten – insbesondere beim Gang in die Cloud
Datensicherheit erfordert gerade in der Cloud eine konsequente Regelung und Vergabe der Zugriffrechte auf Schlüssel und Daten. Bei sicheren Lösungen bleibt die Generierung und Verwaltung der kryptografischen Schlüssel ohne Wenn und Aber im eigenen Unternehmen. Sowohl der Anbieter der Verschlüsselungslösung als auch der Anwendung oder die Betreiber und Administratoren von Cloud-Rechenzentren haben keinen Zugriff auf die Schlüssel. Der Administrator im Rechenzentrum kann alle notwendigen administrativen Aufgaben wie Kopieren, Verschieben oder das Veranlassen von Backups, Spiegelung oder Migration anhand verschlüsselter Daten durchführen. Anfragen Dritter zur Herausgabe der Schlüssel oder zur Entschlüsselung an Externe sind bei einer solchen Aufgabenverteilung zwecklos.
Aber auch unternehmensintern sollte der Kreis der Schlüsselverwalter so klein wie möglich sein. Am besten verwalten wenige ausgewählte Sicherheitsadministratoren die kryptografischen Schlüssel. Sie können diese zuteilen und entziehen, ohne je auf Daten im Klartext zugreifen zu können. Für den Datenzugriff hängt der berechtigte Benutzer von der Verwaltung seiner Rechte durch den IT-Administrator, beispielsweise über ein Meta Directory, ab. Die Rechtevergabe erfolgt in der Applikation, die die Daten verschlüsselt, etwa in Salesforce oder Outlook 365.
Compliance
Eine Verschlüsselungslösung hilft Unternehmen bei der Erfüllung der immer weiter zunehmenden Anforderungen des Datenschutzes. Dieses Thema wird angesichts der bevorstehenden Verschärfungen bestehender Datenschutzgesetze und neuer Vorschriften, wie die NIS-Richtlinie oder die EU-DSGVO, zunehmend akut.
Bei der Auslagerung von Daten ist die Durchsetzung der Gewaltenteilung wichtig.
Richtige Verschlüsselungsimplementierung dokumentiert die Pseudonymisierung oder Verschlüsselung persönlicher Daten (laut Artikel 32 der EU-DSGVO), hilft bei der Erfüllung der Forderung nach Auswahl geeigneter Schutztechnologien (Artikel 25 EU-DSGVO), nach administrativer Verwaltung des Zugangs durch Nutzerrechte (Artikel 32 EU-DSGVO), nach Minimierung der Datenverarbeitung (Artikel 5 EU-DSGVO), wenn etwa nur für Dritte wertlose verschlüsselte Daten das Unternehmen verlassen, oder auch nach Zentralisierung des Datenschutzes (Vorwort 36 EU-DSGVO). Diese grundsätzliche Compliance, die eine sichere Datenverschlüsselung bietet, wird in der Cloud besonders wichtig, weil hier die IT-Infrastruktur nicht oder nicht in demselben Maße kontrolliert und abgesichert werden kann wie bei einer On-Premise-Architektur.
Kompetenzen regeln
Gerade bei der Auslagerung von Daten in die Cloud bleibt die Durchsetzung der Gewaltenteilung wichtig. Modelle einer Datentreuhänderschaft, die sowohl den Anbieter einer Anwendung als auch eines cloud-basierten Rechenzentrums zu einer Gewaltenteilung verpflichten, bieten erste Ansätze für eine transparente Kompetenzverteilung im Dienste der Datensicherheit. Auch hier kommt es auf die strikte Funktionstrennung an: Der Anbieter der Lösung gewährleistet die Funktion der Applikation, der Cloud-Anbieter bietet den Speicherplatz und die Einhaltung der Service-Level-Agreements. Um die maximale Sicherheit zu gewährleisten, muss aber der Zugriff auf Schlüssel, die Möglichkeit zu deren Generierung und damit auf das Lesen von Klartext allein beim Kunden bleiben. Diese Schlüsselkompetenz sollte man in keiner Gewaltenteilung hergeben.
Nur eine Gateway-Lösung, die hinreichende kryptografische Verfahren mit entsprechender Rechtevergabe und Infrastruktur koppelt und damit Unternehmen die Hoheit über ihre Daten und Schlüssel belässt, bietet wirkliche Datensicherheit. Sie schafft damit die eingangs erwähnte finale Verteidigungslinie auch für den Fall des unberechtigten Zugriffs, der nie ausgeschlossen werden kann.
