Cloud-Sicherheit

IT-Sicherheit: Cloud vs. Firmennetz

Noch immer fürchten einige Unternehmen, dass der Betrieb einer ERP- oder CRM-Lösung in der Cloud unsicher ist. Doch die Cloud-Rechenzentren haben als wahre Spezialisten der Datenverarbeitung einige grundlegende Vorteile gegenüber firmeneigenen Infrastrukturen, ein umfassendes Sicherheitskonzept aufzustellen und zu erhalten.

(Bild: ©scanrail/iStockphoto.com)
(Bild: ©scanrail/iStockphoto.com)

Für eine umfassende Sicherheits-Strategie müssen Unternehmen mehrere Aspekte berücksichtigen – gleich ob sie Daten lokal speichern oder mit einer Cloud-Lösung arbeiten. Diese sind:

  • •  Objektsicherheit (Intrusion Protection)
  • •  Ausfallsicherheit (High Availability)
  • •  Backup-Strategie (Disaster Recovery)
  • •  Sicherheit vor verschiedenen digitalen Angriffen (Security)

Zusätzlich zu den hier genannten Aspekten gehören auch das Rechte-Management (Access Control) sowie ein Datenschutzkonzept in die Betrachtung eines vollständigen Sicherheitskonzeptes. Da es sich hierbei aber um konzeptionelle Fragen handelt, bei denen es keinen signifikanten Unterschied macht, wo Software und Daten gehostet werden, sind Rechte-Management und Datenschutz nicht Thema der nun folgenden Gegenüberstellung.

Objektsicherheit

Laut polizeilicher Kriminalstatistik wird in Deutschland durchschnittlich alle fünf Minuten ein Einbruch verübt. Der Schutz der eigenen IT-Infrastruktur schließt daher physikalischen Objektschutz mit ein – sei es vor Diebstahl, Vandalismus oder Sabotage. Denn gelangt ein Angreifer erst einmal in einen Serverraum – und somit hinter die Firewall – sind Angriffe auf die IT-Infrastruktur einer Firma wesentlich einfacher zu bewerkstelligen, etwa durch Einspielen von Schadsoftware oder dem Mitschneiden von Netzwerk-Traffic. Moderne Cloud Rechenzentren haben für ihre Serverräume ein Sicherheitskonzept in puncto Zutrittskontrolle und Einbruchschutz. Mechanischer Schutz, Videoüberwachung, Vier-Augen-Prinzip, Sicherheitspersonal rund um die Uhr, Kontrolle an neuralgischen Zugängen: All das ist in den großen Rechenzentren in der Regel umgesetzt. Hinzu kommen eine permanente Kontrolle der Raumtemperatur in Serverräumen, Überspannungsschutz der Hardwarekomponenten, Schutz vor Schäden durch Feuer, Wasser, CO2 und so weiter. Hier kann jede Firma für sich selbst beantworten, ob der Schutz des eigenen Rechenzentrum den genannten Maßnahmen ebenbürtig ist.

(Bild: ©matejmo/iStockphoto.com)
(Bild: ©matejmo/iStockphoto.com)

Ausfallsicherheit

Stromausfall, Netzausfall, Hardwarecrashs oder Feuer: Die Gefahr, dass eines dieser Ereignisse ein Unternehmen irgendwann einmal trifft, ist nicht zu unterschätzen. Sicherheit bedeutet deshalb auch, auf diese Szenarien vorbereitet zu sein. Was passiert, wenn an einem Montagmorgen nach einem Stromausfall oder einem Hardwareausfall das ERP-System eines Unternehmens wegbricht? Der Webshop ist offline, die Produktion steht still und mit jeder Stunde Downtime wird sowohl der finanzielle als auch der Image-Schaden größer. Beeinflusst solch ein Szenario den laufenden Betrieb nicht, spricht man von einem hochverfügbaren, ausfallsicheren System. In der Praxis müssen dafür alle Komponenten sowie die gesamte IT-Infrastruktur mindestens doppelt vorhanden sein. Das heißt: sämtliche Hardware gibt es zwei Mal und sie ist räumlich voneinander getrennt aufgebaut, zwei Stromleitungen zu unterschiedlichen Trassen sind verlegt und es gibt zwei Verbindungen ans Netz. Aktuelle Rechenzentren sind so geplant, dass Sie dem Grundsatz von hochverfügbarer IT-Infrastruktur Rechnung tragen. Redundanzen gehören zum Standard und zudem stehen Administratoren für den Fall einer Panne rund um die Uhr zur Verfügung. Darüber hinaus sind solche Rechenzentren in Brandabschnitte unterteilt, um selbst bei einem Feuer noch verfügbar zu bleiben. Einen Schritt weiter gehen Betreiber, wenn sie die IT-Infrastruktur an zwei komplett unterschiedlichen Standorten betreiben. Geo-Redundanz sichert Verfügbarkeit auch dann, wenn ein Cloud-Rechenzentrum einmal komplett ausfallen sollte. Für die meisten Unternehmen ist Hochverfügbarkeit folglich über die Cloud wesentlich einfacher und günstiger zu realisieren, als im eigenen Haus. Alleine das notwendige Know-How für Konzeption und Betrieb ist enorm anspruchsvoll. Spätestens die Umsetzung von Geo-Redundanz ist definitiv zu aufwändig und zu teuer.

Backup-Strategie

Wenn im Produktivsystem plötzlich Daten korrumpieren, etwa nach einem Virus, einem falsch eingespielten Update oder einem Hardware-Fehler, hilft eine gespiegelte IT-Infrastruktur nicht weiter. In diesem Szenario sollte die IT-Administration möglichst schnell ein vollständiges Backup zurückspielen. Das Backup kommt dabei wahlweise aus der Cloud oder – heute immer noch üblich – über Bandlaufwerke und Magnetbänder, die etwa in Bankschließfächern gelagert werden. Je nach entstandenem Schaden lässt sich ein Restore für Unternehmen kaum innerhalb von ein bis zwei Tagen bewerkstelligen, wie es wünschenswert wäre. Bei Schäden an wichtiger Hardware muss sogar oft erst nachbestellt werden. Viele Komponenten haben sehr lange Lieferzeiten oder benötigen teure Wartungsverträge mit Ersatzteilgarantien und entsprechenden Reaktionszeiten. Außerdem ist auch hier umfangreiches technisches Know-How notwendig. Eine Disaster Recovery in unter 48 Stunden im eigenen Rechenzentrum ist für Unternehmen eine enorme Herausforderung. In Cloud-Rechenzentren gibt es Hardware-Redundanz ohnehin, sowie auf Disaster Recovery spezialisierte Systemadministratoren. Daten werden hier aktuell und Geo-Redundant synchronisiert. So ist es im Schadensfall oft nur ein Routine-Eingriff, ein Backup von dem Zeitpunkt vor besagtem kritischen Ereignis einzuspielen. Spezialisierte Rechenzentren sichern ihren Nutzern eine Wiederherstellungszeit von rund zehn Stunden zu – mithilfe weiterer Cloud-Services noch weniger.

Schutz vor digitalen Angriffen

Anders als bei den ersten drei Szenarien, die sich eher selten ereignen, erfolgen digitale Angriffe auf Unternehmen und deren IT-Infrastruktur mehrmals pro Tag. Schutz vor dieser Gefahr bieten:

  • • Ein sicheres Netzwerk und eine Firewall
  • • Schnelles Schließen von Sicherheitslücken via Updates
  • • Maßnahmen gegen Social Engineering

Entscheidend ist bei einer Firewall die richtige Konfiguration. Dies setzt viel Erfahrung voraus, besonders wenn Mitarbeiter eines Unternehmens auch von unterwegs oder von zu Hause aus per VPN arbeiten. In Cloud-Rechenzentren sind Netzwerktechniker und System-Administratoren rund um die Uhr zur Stelle. So kann ein Cloud-Provider ungewöhnliche Datenströme oft schneller erkennen und unterbinden. Zugriffe per VPN von externen Netzwerken werden in Rechenzentren eher restriktiv gehandhabt – oder es werden User-spezifische Firewalls eingerichtet und gepflegt. Zwar können Unternehmen, die eine On-Premise Lösung bevorzugen, diesen Schutz auch mit anderen Dienstleistern erreichen. Die Erfolgsaussicht eines digitalen Angriffes auf die Firewall eines Cloud-Rechenzentrum dürfte jedoch geringer ausfallen.

Sicherheitsupdates und Social Engineering

Um Gefahren zu vermeiden, müssen Unternehmen sehr diszipliniert sein und sämtliche Updates für alle Programme regelmäßig einspielen. In Rechenzentren geschieht dies automatisch. Die Zero-Day-Gap für Cloud-Anwendungen ist somit gering. Social Engineering sind Angriffe, die einen PC-Anwender als Einfallstor identifiziert und ausnutzt. Etwa vermeintliche Handwerker, die sich Zugang beispielsweise zu Serverräumen verschaffen. Bei Unternehmen, die Ihre Mitarbeiter nicht kontinuierlich sensibilisieren, sind die Erfolgsaussichten von Social Engineering-Angriffen extrem hoch. Experimente zeigen immer wieder, dass Schadcode auf einem herumliegenden USB-Stick erschreckend oft den Weg ins Firmen-Netzwerk findet. In Cloud-Rechenzentren ist dieses Szenario möglich, aber unwahrscheinlicher: Das Wissen um die gängigen Social-Engineering-Tricks und sonstige Angriffsvektoren wird in Schulungen und Trainings vermittelt. Nimmt man alle hier genannten Sicherheitsaspekte zusammen, ist die Sicherheit in Cloud-Rechenzentren überdurchschnittlich hoch. Hier schlägt der N-Vorteil zu buche, denn Cloud-Rechenzentren schützen nicht nur die eigenen Daten, sondern die einer sehr großen Zahl an Unternehmen. So profitieren alle Anwender von einmalig hohen Anschaffungskosten für Sicherheitstechnik und sämtlichen erforderlichen Redundanzen.