Cloud-Sicherheit: Geteilte Verantwortung


Sicherheitsvorfälle mahnen zur Vorsicht im Umgang mit Cloud Computing-Umgebungen
Jedes Unternehmen, das den digitalen Wandel seriös mitgehen möchte und eine Cloud-Umgebung einführt, muss sich das Konzept der geteilten Verantwortung ins Bewusstsein prägen


Von Dirk Arendt, IT-Sicherheitsexperte und Leiter Public Sector & Government Relations bei Check Point Software Technologies GmbH

Wer übernimmt beim Cloud Computing die Verantwortung für die IT-Sicherheit? Vielen Unternehmen scheint weiterhin nicht umfangreich genug bewusst zu sein, dass es zwei verantwortliche Parteien gibt – und zwei Bereiche, die hier unabhängig voneinander geschützt werden: Zum einen ist da die Cloud selbst, für deren Schutz der Anbieter die Verantwortung übernimmt. Zum anderen sind da die gespeicherten Daten und aufgesetzten Anwendungen eines Unternehmens, das die Cloud nutzt. Deren Schutz – und hier liegt oft das Missverständnis – hat das Unternehmen zu verantworten, nicht der Anbieter. Shared Responsibility, also geteilte Verantwortung, beschreibt häufig das Verhältnis der beiden Beteiligten, doch scheitern noch viele Cloud-Projekte an dieser Idee.

Jedes Unternehmen, das den digitalen Wandel seriös mitgehen möchte und eine Cloud-Umgebung einführt, muss sich das Konzept der geteilten Verantwortung ins Bewusstsein prägen. Geschieht das nicht, oder zu wenig, kann das enorm schädliche Auswirkungen auf die Firma und ihre Kunden haben: Der IT-Zwischenfall beim US-Finanzdienstleister Capital One sorgte Ende Juli für weltweite Schlagzeilen. Fachportale, Tageszeitungen und Nachrichtenmagazine berichteten über den erfolgreichen Angriff einer Hackerin, die sensible Daten von 100 Millionen Kunden in den USA und 6 Millionen Kunden in Kanada erbeutete und im Internet offenlegte.

Capital One lagerte die Datensätze in der Amazon Web Services Cloud. Von dort wurden sie gestohlen und die Täterin arbeitete früher für den Cloud-Anbieter. Es ließe sich also leicht eine Verbindung herstellen und ein Schuldiger ausmachen, doch die Fakten bewiesen das Gegenteil: Die Schutzmaßnahmen der AWS-Cloud waren völlig intakt. Stattdessen nutzte die Hackerin eine Fehlkonfiguration der Firewall aus, die Capital One zum Schutz der Daten in der Cloud betrieb.

In Asien erschüttert nun ein ähnlicher Fall die Branche: Die Fluggesellschaft Malindo Air meldete am 19. September, dass sie einen Zwischenfall untersucht, der ihre und die Passagiere der Linie Thai Lion Air betrifft. Es wurden die Telefonnummern, Adressen und empfindlichen Details der Personalausweise von 30 Millionen Fluggästen gestohlen und in einem Online-Forum veröffentlicht, wie die South China Morning Post berichtet. Die Datensätze wurden zu diesem Zweck in einen frei zugänglichen AWS-Bucket geladen und zum Teil sogar im Dark Web feilgeboten. Letzteres ist besonders perfide, denn die Daten waren zuvor von den Servern gestohlen worden, die Malindo Air über AWS betrieb. Der Angriff erfolgte dabei über einen ungenannten Drittanbieter, nicht über die AWS-Cloud selbst.

Diese Vorfälle mahnen zur Vorsicht im Umgang mit Cloud Computing-Umgebungen. Sie sind die Zukunft des digitalen Marktes, aber die dort geparkten Daten und Anwendungen müssen gut geschützt werden. Daten in Cloud-Diensten sind nur so sicher, wie die Konfiguration der sie umgebenden Sicherheitsmaßnahmen. Unternehmen können Hunderte, Tausende oder sogar Millionen von AWS-S3-Buckets einfach aktivieren – oder ähnliche Cloud-Datenspeicher konkurrierender Plattformen. Doch angesichts der so entstehenden Komplexität ist es für Unternehmen unerlässlich, Fehlkonfigurationen ihrer IT-Infrastruktur ständig zu überprüfen und zu korrigieren – besonders, da Cloud Computing-Services gelegentlich ihre Einstellungen ändern und eine Anpassung notwendig machen. Das ist von Hand durchgeführt allerdings ein sehr zeitraubender Prozess. Automatisierte Cyber-Sicherheitslösungen sind hier die bessere Wahl, zumal sie dazu beitragen, die üblichen menschlichen Leichtsinnsfehler bei der Konfiguration der Sicherheitsmechanismen zu vermeiden.
(Check Point Software Technologies: ra)

eingetragen: 14.10.19
Newsletterlauf: 13.11.19

Check Point Software Technologies: Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser PMK-Verlags-Newsletter
Ihr PMK-Verlags-Newsletter hier >>>>>>



Meldungen: Kommentare und Meinungen

  • Cloud-Kunden den Anbieterwechsel erleichtern

    Die im Januar 2024 in Kraft getretene EU-Datenverordnung, die den Wettbewerb fördern soll, indem sie Cloud-Kunden den Anbieterwechsel erleichtert, wirbelt den Markt für Cloud-Dienste kräftig durcheinander - zum Vorteil von Unternehmen, meint Jamil Ahmed, Director und Distinguished Engineer bei Solace.

  • Kriterien im Umgang mit KI-Systemen

    eco - Verband der Internetwirtschaft e.V. forderte anlässlich der Abstimmung über den AI Act im Ausschuss der ständigen Vertreter der EU-Mitgliedsstaaten eine praxistaugliche Umsetzung und EU-weit einheitliche Kriterien im Umgang mit KI-Systemen.

  • Trends der Netzwerktechnologie 2024

    Künstliche Intelligenz und Cloud Computing ergänzen sich symbiotisch. Obwohl ML und KI keine neuen Technologien und Konzepte sind, hat die Verfügbarkeit großer Rechen- und Speicherkapazitäten über die Cloud die jüngsten Entwicklungen von KI beschleunigt.

  • Datenmengen häufen sich

    Immer mehr Unternehmen in Deutschland setzen auf Cloud Computing - Tendenz steigend. Dabei nennt sich die Verlagerung von Rechenressourcen wie etwa Daten, Anwendungen oder IT-Prozesse in die Cloud-Migration.

  • Datenflut in der Multi-Cloud-Welt

    Künstliche Intelligenz (KI) markiert aktuell einen wichtigen Wendepunkt für die Technologiebranche. Die in den 1950er Jahren von John McCarthy geprägt Technik hat sich jahrzehntelang hauptsächlich im Hintergrund weiterentwickelt, bis die Veröffentlichung des generativen KI-Tools ChatGPT den Durchbruch brachte.

  • Bitkom zum KI-Aktionsplan

    Bitkom begrüßt den KI-Aktionsplan des BMBF. Schon heute ist Deutschland in der Forschung rund um KI sehr gut aufgestellt und es ist richtig, sie weiter auszubauen. Wie diese Initiative des Forschungsministeriums in die Gesamtstrategie der Bundesregierung zur Künstlichen Intelligenz eingebettet werden soll, bleibt hingegen offen.

  • Digitale-Dienste-Gesetz deutlich homogener

    Das Gesetz über digitale Dienste (Digital Service Act, DSA) wurde im November 2022 im EU-Parlament verabschiedet und soll zusammen mit dem Gesetz über digitale Märkte (Digital Markets Act, DMA) in den kommenden Jahren die Standards für einen sichereren und offeneren digitalen Raum für Nutzer sowie gleiche Wettbewerbsbedingungen für Unternehmen innerhalb der EU setzen.

  • Berater lassen Texte oft von ChatGPT schreiben

    Seit das Unternehmen OpenAI Ende 2022 sein Programm ChatGPT für die allgemeine kostenlose Nutzung freigeschaltet hat, ist um das Thema künstliche Intelligenz (KI) ein Hype entstanden. Auch die Beraterszene hat den Nutzen solcher Chat-Programme wie ChatGPT für sich erkannt - zu Recht, denn mit ihnen lassen sich sehr schnell und einfach zumindest erste Entwürfe solcher Werbetexte wie Blogbeiträge, Werbeschreiben oder Post für die Social Media generieren, die man dann weiterbearbeiten kann.

  • Unabhängiger Datenschutz für freie Anbieterwahl

    Es gibt viele Gründe für Unternehmen, den Cloud-Anbieter zu wechseln, ganz gleich ob von oder zu großen oder kleineren Anbietern. Einer der häufigeren Gründe ist neben der unterschiedlichen Servicepalette sicherlich die Preisgestaltung der Cloud-Anbieter. Beispielsweise hat Microsoft für seine Cloud-Dienstleistungen seit April 2023 im Euroraum signifikante Preissteigerungen eingeführt, die Unternehmen dazu veranlassen könnten, über einen Anbieterwechsel nachzudenken

  • Keine Erfüllung der Muss-Kriterien

    In einem Positionspapier skizzieren die obersten deutschen Datenschützer, wie sie sich Souveräne Clouds vorstellen. Ihre Forderungen sind begrüßenswert, gehen aber nicht weit genug, bedauert Holger Dyroff, Co-Founder und COO von ownCloud.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen