„Konfigurationsfehler sind keine Seltenheit“

ITM: Herr Zobel, welche Rolle spielt Cloud Security im deutschen Mittelstand?
Kai Zobel: Der deutsche Mittelstand muss der Cloud Security die gleiche Bedeutung zukommen lassen wie die der physischen Sicherheit. Kein Geschäftsführer würde sein Unternehmen für einen Tag schließen und die Eingangstür offenstehen lassen. Doch im Grunde tun Unternehmen genau das online. Mittelständische Unternehmen müssen die Sicherheit in der Cloud sehr ernst nehmen und gemeinsam mit vertrauenswürdigen Partnern eine umfassende Strategie entwickeln, wie Daten sicher verschoben und verwaltet werden können – unabhängig davon ob sie in der Cloud oder vor Ort gespeichert sind.

ITM: Warum warnen Sie vor einer zu schnellen Migration in die Cloud?
Zobel: Das Wichtigste für Mittelständler ist zu verstehen, wie sich die Auslagerung ihrer Daten in die Cloud auf ihre Sicherheitslage auswirkt. So sind beispielsweise Konfigurationsfehler in der Cloud keine Seltenheit. Vor allem dann nicht, wenn Anwendungsaktualisierungen, neue Benutzer oder Änderungen an Arbeitsabläufen vorgenommen werden. Diese Fehler können dazu führen, dass Daten versehentlich öffentlich zugänglich gemacht werden, was im besten Fall peinlich und im schlimmsten Fall gefährlich ist. Erst wenn Unternehmen sicherstellen, dass die Migration in die Cloud die Datensicherheit und die Einhaltung regulatorischer Vorschriften nicht beeinträchtigt, können sie die Effizienz- und Kostenvorteile der Cloud nutzen.

ITM: Welche sicherheitstechnischen Fallstricke ergeben sich hier gerade für kleine und mittlere Unternehmen?
Zobel: Gerade in kleinen und mittleren Unternehmen fehlt oftmals die Expertise beim Thema „Cybersecurity“, wodurch der Wechsel in die Cloud mit vielen unbekannten Risiken verbunden ist. Aufgrund gesetzlicher Vorgaben müssen Unternehmen außerdem wissen, wo sich ihre Daten befinden, wer darauf zugreifen kann und wie sie verwaltet und verarbeitet werden. Ganz ehrlich: Nach meiner Erfahrung haben die meisten KMU diesen Überblick nicht. Zudem kann die Verlagerung in die Cloud Probleme wie ungesicherte APIs oder die Anfälligkeit für DDoS-Angriffe noch verschärfen. Daher ist es wichtig, mit Partnern zusammenzuarbeiten, die die Risiken verstehen und dabei helfen können, eine umfassende Cloud-Sicherheitsstrategie zu entwickeln, die auf die individuellen Bedürfnisse des jeweiligen Unternehmens zugeschnitten ist.

ITM: Mit welchen einfachen und kostengünstigen Maßnahmen lässt sich die Sicherheit von in der Cloud gespeicherten Daten garantieren?
Zobel: Zunächst einmal müssen Unternehmen sicherstellen, dass sie einen vollständigen Überblick über ihre Cloud-Umgebungen haben, einschließlich flexibler Komponenten wie Containern, Cluster-basierte Anlagen und serverlose Funktionen. Die Verfolgung all dessen erfordert eine automatisierte Methode zur Erstellung eines Inventars aller aktuellen und historischen Cloud-Assets, um ein unkontrolliertes Wachstum zu verhindern und Ihre Angriffsfläche zu minimieren. Darüber hinaus muss sichergestellt werden, dass Schwachstellen so schnell wie möglich gepatcht werden, damit Hacker diese nicht ausnutzen. Und schließlich sollte man in gute Lösungen für die Datensicherung und -wiederherstellung investieren, damit im Falle eines Falles der Schaden so gering wie möglich gehalten werden kann.

ITM: Worauf sollten Mittelständler bei der Auswahl eines Cloud-Security-Anbieters achten?
Zobel: Bei der Evaluierung des richtigen Cloud-Security-Anbieters ist es wichtig, sich darüber bewusst zu werden, welche Ziele das eigene Unternehmen verfolgt. Dafür sollten sich Mittelständler folgende neun Fragen stellen:
1. Wie viele verschiedene Webangriffe erkennt und entschärft der Anbieter?
2. Gibt es ein Angebot an Einzellösungen, die eine Bedrohung stoppen oder eine Plattform, die mehrere Bedrohungen abwehrt?
3. Schützt eine Web Application Firewall (WAF) vor allen Angriffen auf eine Website?
4. Wie hoch ist das DDoS-SLA?
5. Liegt der Fokus auf der Anwendungssicherheit oder der Bereitstellung von Anwendungsinhalten?
6. Veröffentlicht der Anbieter regelmäßig Bedrohungsanalysen?
7. Funktioniert das Sicherheitsprodukt sofort „out of the box“ und blockiert es Bedrohungen?
8. Was ist mit der Validierung durch Dritte – gibt es Berichte oder Fallstudien von Branchenanalysten zu den Produkten?
9. Gibt es eine kostenlose Testversion?
Ein wichtiges Kriterium, um einen Rundumschutz zu gewährleisten, ist sicherlich, dass der Anbieter sowohl Daten als auch Anwendungen und APIs schützt. Wenn er darüber hinaus seine Lösungen on-premise, in der Cloud, hybrid oder als Managed Service anbietet, erhalten Unternehmen maximale Flexibilität hinsichtlich ihrer IT-Infrastruktur, und können den Wechsel in die Cloud in genau dem Tempo angehen, das zu ihnen passt.

Bildquelle: Imperva