Die Nutzer sind in der Pflicht

ITD: Herr Resetko, über das Azure-Leck bei Microsoft und einige andere Fragen rund um das Thema „Cloud Security“ wurde zuletzt intensiv diskutiert. Geben Sie den Cloud-Skeptikern recht? Wie schätzen Sie die aktuelle Situation zu Herbstbeginn ein?
Aleksei Resetko: Klar, solche Sicherheitslücken bei bekannten Providern erzeugen viel Aufmerksamkeit. Sie meinen wahrscheinlich den Vorfall mit dem gestohlenen Schlüssel? Leider gilt: Es gibt kein Unternehmen ohne Sicherheitslücken, darunter auch Cloud-Anbieter. Gleichzeitig investieren dieselben Anbieter enorm viel Geld und Zeit in die Sicherheit. Zum Beispiel ist die Geschwindigkeit, mit der die Cloud-Anbieter die Patches ausrollen, oft höher im Vergleich zu klassischen On-Premises-Systemen. Das ist nun ein scheinbarer Widerspruch, denn grundsätzlich sehen wir, dass die Anzahl von entdeckten Schwachstellen kontinuierlich steigt, über alle Hersteller und Technologien hinweg. Es gibt keinen Beleg dafür, dass die Cloud unsicherer ist im Vergleich zu On-Premises. Dennoch ist die Sicherheit in der Cloud – besonders die technischen Aspekte – anders und das erfordert ein Umdenken.

ITD: Das zeigt, dass die Bedeutung von Cloud-Sicherheit enorm groß ist. Wie sehen Sie hier die Entwicklung?
Resetko: Cloud-Technologien sind weit verbreitet, kaum ein Unternehmen kommt ohne sie aus. Deshalb steigt die Bedeutung der Security. Hier hat sich in den vergangenen Jahren viel getan und die großen Cloud-Anbieter haben massiv in die eigenen Sicherheitsmechanismen investiert. Sie bieten durch ihre Größe und den Aufwand ein Sicherheitsniveau, das nur wenige Unternehmen eigenständig erreichen. Oft kommt in dieser Perspektive allerdings zu kurz, dass sich auch die Cloud-Nutzer um ihre Sicherheit kümmern müssen. Einige Provider sowie eine recht große Zahl von Drittanbietern bieten Lösungen an, die die Sicherheit der Cloud-Nutzung erhöhen. Die Kombination der Sicherheit beim Anbieter plus einer Sicherheitsarchitektur aus Technologien und Lösungen von Drittherstellern bilden eine funktionierende und nachhaltige Cloud-Sicherheit. Letztlich hängt es gleichermaßen vom Cloud-Anbieter und vom Nutzer ab, wie sicher die Daten tatsächlich sind. Für die Cloud gilt das Prinzip der geteilten Verantwortung („Shared Responsibility“).

ITD: Wie wird das Thema von kleineren Unternehmen gesehen? Gibt es dort immer noch Bedenken?
Resetko: Die Skepsis verringert sich, da viele Mittelständler erkannt haben: Sie sind in der Cloud sicherer. Dies gilt unserer Erfahrung nach vor allem für solche Unternehmen, die keine eigenen Sicherheitsteams haben. Sie sind häufig das Ziel von unterschiedlichsten Cyberangriffen, besitzen unter Umständen unsichere Systemkonfigurationen und vor allem fehlt ihnen die Fähigkeit, Angriffe aktiv zu erkennen.

ITD: Gibt es Unterschiede in der Sicherheit zwischen großen und kleinen Cloud-Anbietern?
Resetko: Der Großteil der Cloud-Services im Bereich „Unternehmens­infrastruktur“ (IaaS) wird von den drei großen Anbietern Amazon, Microsoft und Google angeboten. Diese Hyperscaler besitzen eine große Vielfalt an Sicherheitswerkzeugen. Sie haben robuste Standards, die sie regelmäßig extern überprüfen lassen. Die Unternehmen müssen sich damit vertraut machen und sollten die sicherheitsrelevanten Funktionen auch tatsächlich nutzen. Dazu gibt es weitere, kleinere Cloud-Provider, die auf ein Produkt oder eine Lösung spezialisiert sind. Sie setzen im Hintergrund oft Dienste der großen Anbieter ein, so dass sie ebenfalls einen hohen Standard gewährleisten. Im Einzelfall sollten Unternehmen die Cybersecurity im Rahmen einer Risikoanalyse bewerten und dabei die Zertifizierungen des Anbieters berücksichtigen. Kleinere Anbieter mit einer eigenen Rechenzentrumsinfrastruktur sind jedoch in einem Punkt stärker gefährdet: Der Ausfall eines Rechenzentrums hat erhebliche Auswirkungen, wie es in der Vergangenheit bereits mehrmals passiert ist. Bei großen Anbietern wird ein einzelner Ausfall aufgrund ihrer umfangreichen, verteilten und redundanten Infrastruktur kaum spürbare Auswirkungen haben.

ITD: Unternehmen können sich nicht nur auf ihren Provider verlassen. Welche sind die häufigsten Schwachstellen? Was übersehen Unternehmen?
Resetko: Es hängt stark vom genutzten Deployment-Modell ab – ob Infrastructure (IaaS), Platform (PaaS), oder Software as a Service (SaaS). Jedes Modell bringt unterschiedliche Verantwortlichkeiten mit sich. Ein Vergleich wäre der Kauf eines Autos: Der Hersteller sorgt für Sicherheitsfunktionen wie Sicherheitsgurte und Airbags. Doch wenn der Nutzer diese nicht korrekt verwendet, kann es bei einem Unfall dennoch zu Verletzungen kommen. Ähnlich verhält es sich mit der Cloud: Die Anbieter stellen Technologien zur Verfügung, die einen sicheren Betrieb von IT-Diensten in der Cloud ermöglichen. Aber die Verantwortung für die richtige Konfiguration und für den Betrieb liegt beim Anwender.

ITD: Auf welche weiteren Schwierigkeiten stoßen Unternehmen?
Resetko: Die Nutzerverwaltung ist eine zentrale Frage. In der Cloud ist es besonders entscheidend, da die Nutzer auf verschiedene Systeme und Dienste zugreifen. Unternehmen müssen dafür sorgen, dass Identi­täten und Berechtigungen korrekt vergeben und überwacht werden. Deshalb ist Identity & Access Management ein wichtiges Gebiet der Informationssicherheit in der Cloud. Ein weiteres entscheidendes Thema sind Schnittstellen (APIs). In der Cloud-Kommunikation interagieren viele Dienste darüber. Es ist nicht nur wichtig, diese Schnittstellen sicher zu gestalten. Die Unternehmen müssen dafür sorgen, dass sie die richtigen Zugriffsberechtigungen haben. Zudem sind Server- und Container-Sicherheit eine weitere Stolperfalle. Mit der Cloud-Ära sind vor allem Container populär geworden. Dabei handelt es sich um Bereiche, in denen spezifische Anwendungen abgeschirmt ausgeführt werden. Angriffe sind hier ein Risiko und können bei Erfolg erheb­liche Auswirkungen haben.

ITD: Wie sieht es aus, wenn Unternehmen mehrere Cloud-Anbieter und unterschiedliche Software-Lösungen einsetzen?
Resetko: Fast alle Unternehmen nutzen Multi-Cloud-Umgebungen, die recht komplex sind. Die Technologien der verschiedenen Cloud-Anbieter unterscheiden sich oft. Daher ist eine übergreifende Sicherheitsstrategie und -architektur empfehlenswert. Unternehmen müssen dabei zunächst analysieren, welche Geschäftsprozesse und Daten mit welchem Sicherheitsbedarf in der Cloud verarbeitet werden sollen. Darauf aufbauend können sie dann eine umfassende Sicherheitsarchitektur erstellen. Allgemein gilt: Unternehmen benötigen einen klaren Plan und sollten gezielt die richtigen Werkzeuge nutzen. Einfach ein Tool kaufen und denken, dass alles sicher ist – das funktioniert nicht. Sicherheit erfordert ein koordiniertes Vorgehen mit Technologie, Richtlinien und Prozessen als Zutaten.

ITD: Wie sieht es mit Verschlüsselung aus?
Resetko: End-to-End-Sicherheitslösungen mit einer Verschlüsselung der ruhenden und der übertragenen Daten sollten alle technischen Komponenten, vom Endgerät bis zur Cloud, abdecken. Oft steht eine reine Transportverschlüsselung im Fokus. Das reicht aber nicht aus. Die in der Cloud gespeicherten Daten sollten unbedingt verschlüsselt werden und Unternehmen sollten dafür ihre eigenen Schlüssel verwenden. Empfehlenswert ist Software von Drittherstellern, die sich auf Verschlüsselungslösungen spezialisieren. Der Vorteil dabei: Der Cloud-Provider hat keinen Zugriff auf die Nutzerdaten. Allerdings ist es technisch kompliziert und führt besonders bei SaaS zu Funktionseinschränkungen. So kann etwa eine Suche in einzelnen Datensätzen nicht ohne weiteres umgesetzt werden.

ITD: Solche Infrastrukturlandschaften tendieren dazu, recht unübersichtlich zu werden. Was kann man in puncto Sicherheitsaspekte hier verbessern?
Resetko: Es ist empfehlenswert, Infrastructure as Code zu implementieren, um manuelle Fehler zu vermeiden. Das führt dazu, dass die Cloud-Umgebung noch vor dem Ausrollen auf die möglichen Sicherheitsschwachstellen überprüft wird und von Anfang an sicher ist. Die Kombination von DevSecOps mit Infrastructure as Code und Cloud-Sicherheits-Management-Tools bietet eine solide technische Basis.

ITD: Wie passt die Private Cloud in dieses Bild? Erreichen Unternehmen eine weniger komplexe Lösung, wenn sie sich für eine private anstatt einer öffentlichen Cloud entscheiden?
Resetko: Bei einer Private Cloud haben die Nutzer volle Verantwortung für die Infrastruktur. Dadurch ergibt sich eine grundlegende Voraussetzung: Die Unternehmen müssen über das nötige Fachwissen und die Ressourcen verfügen, um eine Private Cloud zu betreiben. Oft ist die Notwendigkeit für die Private Cloud z.B. eine gesetzliche Anforderung, die keine Auslagerung zulässt. Die Frage ist aber: Ist die Private Cloud auch weniger komplex? Wahrscheinlich nicht. Die Technologie ist und bleibt technisch anspruchsvoll. Große Unternehmen in regulierten Branchen werden sich vielleicht für Private Clouds entscheiden. Aber mittelständische Unternehmen haben sicher Probleme, sie effektiv zu betreiben. Eine Kosten-Nutzen-Analyse sowie das regulatorische Umfeld erleichtern eine Entscheidung für oder gegen die Private Cloud.

ITD: Aber hat die Private Cloud nicht auch klare Vorteile?
Resetko: Mit funktionierendem Rechenzentrumsbetrieb und entsprechend geschulter Mannschaft ist das eine akzeptable Lösung für bestimmte regulatorische Anforderungen oder eine Alternative, wenn Latenzzeiten kritisch sind. Aber wie gesagt: Der Ressourceneinsatz rechtfertigt das nicht immer. Ein Beispiel dafür ist Künstliche Intelligenz (KI). Ein Unternehmen müsste enorm viele Ressourcen auf Vorrat halten, auch wenn die entsprechende Lösung nicht permanent in Betrieb ist. Über eine Public Cloud lässt sich die Rechenleistung viel besser verteilen. Nach unserer Schätzung schafft es die überwiegende Mehrheit der Unternehmen nicht, eine eigene KI-Lösung in der Qualität der Public-Cloud-Anbieter aufzubauen.

ITD: Bleiben wir kurz bei der Künst­lichen Intelligenz: Wir sehen hier einen Trend, KI auch im Bereich der Sicherheit, insbesondere bei der Angriffserkennung, einzusetzen. Wie ist da der aktuelle Stand?
Resetko: Wir haben im Bereich „Security“ in den letzten Jahren eher Fortschritte im Machine Learning (ML) gesehen. ML ist eine Vorstufe zur KI und hat zunächst einmal nichts mit den populären Sprachmodellen zu tun. In den letzten Jahren haben Anbieter für Machine Learning verbesserte Algorithmen entwickelt, um Muster zu erkennen, und Anwendungen geschaffen, die sich ständig selbst verbessern. Künstliche Intelligenz dagegen bietet eine tiefere Analysefähigkeit. Sie kann verschiedene Daten- und Informationstypen kombinieren und darauf basierend Entscheidungen treffen. Aktuell stehen wir bei der Implementierung echter KI-Funktionen, insbesondere im Bereich der Angriffserkennung, noch ganz am Anfang. Dennoch geben sieben von zehn Executives in unserer neuesten Cyberstudie „Digital Trust Insights 2024“ an, dass sie innerhalb der nächsten zwölf Monate GenAI-Tools für die Cyberabwehr einsetzen wollen. Und ich glaube, in naher Zukunft wird KI insbesondere den First-Level-Support im Security-Bereich teilweise ersetzen. Die Sprachmodelle sind bereits so ausgefeilt, dass sie auch kompliziertere Anfragen in Alltagssprache interpretieren können. Tendenziell kann KI zudem für automatisierte Gegenmaßnamen bei Angriffen eingesetzt werden.

ITD: Das spart sicherlich Kosten?
Resetko: Ja, in der Theorie können Unternehmen dann in einem 24/7 Security Operations Center (SOC) erhebliche Kosten einsparen und die Spezialisten anderweitig einsetzen – etwa in der Forensik oder für den Aufbau einer sicheren IT-Architektur. Aber KI kann nicht nur bei der Angriffserkennung helfen, sondern auch bei der Software-Entwicklung und Infrastruktur. Die Herausforderung besteht darin, die zunehmende Komplexität zu bewältigen. KI kann hier unterstützend wirken.

Dies ist ein Artikel aus unserer Print-Ausgabe 10/2023. Bestellen Sie ein kostenfreies Probe-Abo.

ITD: Sie spielen hier auf No-Code- und Low-Code-Ansätze an. Wird ihre Bedeutung steigen?
Resetko: Die Einsatzmöglichkeiten von KI sind vielseitig, auch beim Schreiben von Code auf der Basis von alltagssprachlichen Anweisungen. Aber ich glaube nicht, dass KI in der Lage sein wird, Security-Experten komplett zu ersetzen. Die Komplexität einer Sicherheitsarchitektur bezieht sich nicht nur auf Technologie, sondern auch auf Geschäftsprozesse, Cloud-Anbieter und Partnerschaften. Das erfordert auf jeden Fall menschliche Expertise.

Aleksei Resetko
Alter: 48 Jahre
Familienstand: verheiratet
Derzeitige Position: Head of EMEA Cloud Security Practice bei PwC
Interessen: Mountainbiken, Bergsteigen, E-Sports

Bildquelle: Betti Klee GmbH