Cloud-Native-Security: Sicher ist nicht genug

Cloud-Native Technologien der Hyperscaler bieten Skalierbarkeit, Resilienz, Flexibilität und Effizienz - doch sie bringen auch neue Sicherheitsrisiken und Skepsis mit sich. Dieser Artikel beleuchtet, am Beispiel von AWS wie Nativen Security Services in Cloud Architekturen eingewebt werden können, um Compliance-Vorgaben zu erfüllen, Cyberbedrohungen zu minimieren und gleichzeitig die Vorteile von Serverless Diensten voll auszunutzen.

Warum überhaupt Hyperscaler und Cloud-Native?

Für Unternehmen im KRITIS-Umfeld, wie etwa Energieversorger oder Unternehmen der Finanz-, Versicherungs oder der Gesundheitsbranche, zählen Ausfallsicherheit, Skalierbarkeit und Reaktionsfähigkeit zu den zentralen Anforderungen an ihre IT-Systeme. Cloud-native und serverlose Architekturen erfüllen diese Anforderungen auf ideale Weise. Durch den Verzicht auf klassische Serverbereitstellung und die Nutzung hochverfügbarer Managed Services – wie AWS Lambda, DynamoDB oder EventBridge – können Systeme automatisch skaliert, Lastspitzen abgefangen und Updates ohne Downtime durchgeführt werden.

Das reduziert nicht nur operative Risiken, sondern minimiert auch den Wartungsaufwand und die Angriffsfläche, da keine Betriebssysteme oder Middleware mehr gepatcht werden müssen. Zudem lassen sich durch Infrastructure-as-Code (IaC) Sicherheits- und Compliance-Anforderungen automatisiert und konsistent umsetzen. Für KRITIS-Betreiber bedeutet das: höhere Resilienz, schnellere Reaktionszeiten bei Störungen und ein Sicherheitsniveau, das sich kontinuierlich prüfen und verbessern lässt – bei gleichzeitig reduzierter operativer Komplexität.

Security-as-a-Service

AWS bietet eine Vielzahl nativer Sicherheitsservices, mit denen Unternehmen Sicherheitsanforderungen von Anfang an adressieren können (siehe Abbildung 1). Diese Dienste lassen sich tief und vor allem aufwandsarm in serverlose Architekturen und Microservices integrieren – ohne den Entwicklungstakt oder die Skalierbarkeit zu gefährden. In der Regel benötigt es lediglich etwas zusätzliche Konfiguration in Form von IaC, um die Security Services zu integrieren.

Den Kern bildet das AWS Identity & Access Management (IAM), welches eine feingranulare Kontrolle über den Zugriff auf Ressourcen steuert. IAM ist in allen nativen Services integriert und kontrolliert nicht nur die Interaktion zwischen Nutzern und dem System, sondern jegliche API oder RPC Aufrufe zwischen den einzelnen Services. Durch den konsequenten Einsatz von Least Privilege-Prinzipien, rollenbasiertem Zugriff (RBAC) und automatisierten Richtlinien lässt sich sicherstellen, dass nur autorisierte Nutzer und Systeme Zugriff auf sensible Ressourcen erhalten.

Um sicherzustellen, dass die Cloud Engineers versehentlich keine neuen Sicherheitslücken schaffen, kann über AWS Config eine lückenlose Historisierung, Bewertung und Unterbindung von invaliden Ressourcenänderungen durchgeführt werden. Die Informationen werden zentral im Security Hub aggregiert und gegen zentrale Frameworks wie CIS, NIST oder ISO 27001 bewertet.

Im Gegensatz zu On-Prem Umgebungen, erfolgt jede Interaktion mit der AWS Cloud über API Calls, unabhängig, ob IaC oder die Webconsole genutzt wird. Der CloudTrail erfasst jede Interaktion mit der Cloud Umgebung und erlaubt sowohl forensische Analysen, Audits als auch selbst definierte Alarme bei kritischen Veränderungen. Darauf aufbauend kann der GuardDuty Service genutzt werden, um eine intelligente Bedrohungserkennung basierend auf Machine Learning zu etablieren.

Im Hinblick auf Application Security bieten Serverless-Anwendungen mit z.B. AWS Lambda vollständig integrierte Sicherheit auf mehreren Ebenen: Der Einsatz von Amazon API Gateway in Kombination mit Web Application Firewall (WAF) erlaubt eine effektive Abschottung und Traffic-Filterung. Auch an dieser Stelle kann eine IAM-basierte Authentifizierung oder der Einsatz von Amazon Cognito ermöglichen eine sichere Zugangskontrolle auf Benutzerebene zu schaffen.

Für die Abwehr von Man-in-the-Middle oder Datenlecks müssen Daten in Bewegung, in Benutzung und bei der Ablage verschlüsselt werden. Hierzu stellt der AWS Key Management Service (KMS) eine zentral verwaltete Schlüsselverwaltung bereit. Durch die Integration in nahezu alle AWS-Dienste kann Verschlüsselung „by default“ sichergestellt und regulatorischen Vorgaben Genüge getan werden.

Compliance in der Cloud

Die Bewältigung von Compliance-Anforderungen für KRITIS-Unternehmen in der AWS-Cloud erfordert eine präzise Umsetzung von Sicherheits-, Datenschutz- und Überwachungsmaßnahmen, die den strengen gesetzlichen Vorgaben entsprechen. Unternehmen müssen sicherstellen, dass ihre Cloud-Umgebungen den relevanten Vorschriften wie dem IT-Sicherheitsgesetz und der DSGVO gerecht werden, indem z.B. passende Regionen oder souveräne Services der AWS European Souvereign Cloud (ESC) genutzt werden.

AWS bietet eine Vielzahl von Lösungen, die hohe Sicherheitsstandards erfüllen, etwa durch Verschlüsselungstechnologien und umfangreiche Tools zur Überwachung und Protokollierung. Um langfristig eine konstante Compliance sicherzustellen, müssen Unternehmen regelmäßige Audits und Monitoring-Prozesse durchführen und auf bewährte Sicherheitsarchitekturen wie das AWS Well-Architected Framework zurückgreifen. Letztlich ist es entscheidend, dass sowohl technische als auch organisatorische Maßnahmen eng miteinander verzahnt werden, um den hohen Anforderungen an Sicherheit und Verfügbarkeit gerecht zu werden.

Für Unternehmen der kritischen Infrastruktur ist Cloud-Sicherheit kein optionales Feature – sie ist Geschäftsgrundlage. Der Schlüssel liegt in einem „Security by Design“-Ansatz, der sich nicht auf externe Firewalls oder manuelle Audits verlässt, sondern Sicherheit in jeden Aspekt der Cloud-Architektur integriert. Unternehmen, die diesen Weg konsequent gehen, sind nicht nur besser vor Angriffen geschützt – sie sind auch resilienter, auditierbarer und zukunftsfähiger.

Bild: Gerd Altmann / Pixabay