Cloud-Sicherheit ist anders Die Besonderheiten der Cloud Threats

Anbieter zum Thema

Bitkom Research GmbH

KPMG AG Wirtschaftsprüfungsges.

WatchGuard Technologies GmbH

Impossible Cloud GmbH

XOPERO SOFTWARE S.A.

Viele Sicherheitskonzepte für Cloud-Dienste greifen zu kurz, weil sie die Eigenheiten der Cloud-Bedrohungen nicht berücksichtigen. Wir geben einen Überblick über die wichtigsten Cloud Threats und zeigen, wo die besonderen Herausforderungen für die Cloud-Sicherheit liegen.

97 Prozent der Unternehmen nutzen bereits heute Cloud-Lösungen oder erwägen derzeit ihren Einsatz, wie der Cloud-Monitor 2022 von KPMG und Bitkom Research ergab. Ebenfalls 97 Prozent der Unternehmen betrachten Leistungsfähigkeit und Stabilität der Cloud als Must-have. Auch die Themen Datensicherheit und Datenschutz spielen eine entscheidende Rolle bei der Wahl der Cloud-Lösung, daher gelten Vertrauen in Sicherheit und Compliance des Cloud-Providers für 95 Prozent als entscheidend.

Nun ist Sicherheit und Datenschutz generell ein zentrales Thema für die meisten Unternehmen, denn Security gilt als Fundament der erfolgreichen Digitalisierung. Trotzdem ist die Sicherheit im Fall von Cloud-Diensten von besonderer Bedeutung, denn die Cloud-Risiken und -Bedrohungen unterscheiden sich von den allgemeinen Cyberrisiken.

Die Sicht auf Cloud Threats ändert sich

So hat die Cloud Security Alliance (CSA), eine Organisation, die sich der Definition von Standards, Zertifizierungen und Best Practices für die Cloud verschrieben hat, die „Top Threats to Cloud Computing: The Pandemic 11“ für das Jahr 2022 veröffentlicht.

Der Bericht ist bereits der sechste in der Reihe „Threats to Cloud Computing“, aber er unterscheidet sich spürbar von den Vorgängern. So beschreibt der Bericht eine deutliche Veränderung in Bezug auf die Sicherheitsprobleme von Cloud-Anbietern, die als besorgniserregend angesehen werden.

Zu den Sicherheitsproblemen werden nun stärker die Konfiguration, die Authentifizierung sowie die Schwächen der Steuerungsebene gezählt, eine deutliche Abkehr von allgemeineren Bedrohungen, Risiken und Schwachstellen wie Datenverlust und Denial-of-Service, die in früheren Top-Threats-Berichten stärker vertreten waren, wie die CSA erklärt.

„Insgesamt sind diese Sicherheitsprobleme ein Aufruf zum Handeln für die Entwicklung und Verbesserung des Cloud-Sicherheitsbewusstseins, der Konfiguration und des Identitätsmanagements“, sagte Jon-Michael Brook, Co-Vorsitzender der CSA Top Threats Working Group und einer der Hauptautoren der Studie. „Da sich Cloud-Geschäftsmodelle und Sicherheitstaktiken weiterentwickeln, besteht ein noch größerer Bedarf, Sicherheitsprobleme anzugehen, die sich weiter oben im Technologie-Stack befinden und das Ergebnis von Entscheidungen des Senior Managements sind“, so Jon-Michael Brook.

Was die Cloud-Sicherheit so schwierig macht

Betrachtet man die dominierenden Cyberattacken wie die Ransomware-Angriffe, dann bedrohen diese jede Form der Datennutzung, die unzureichend vor dem Missbrauch von Identitäten und Berechtigungen und lückenhaft gegen bösartige Applikationen geschützt sind. Doch die Daten in Cloud-Diensten sind besonders gefährdet, ein Umstand, der in den Sicherheitskonzepten nicht übersehen werden sollte.

So ist es die eingeschränkte Sichtbarkeit sowie die schwierigere Kontrolle, die Bedrohungen, Risiken und Schwachstellen in der Cloud noch mehr zur Herausforderung werden lassen als in der On-Premises-IT. Gleichzeitig fordern Compliance-Vorschriften wie der Datenschutz aber die Übernahme von Verantwortung und Monitoring durch die Cloud-Nutzenden. Zudem herrscht im Cloud Computing das Prinzip der geteilten Verantwortung, wonach sich das Anwenderunternehmen „aus der Ferne“ um die Sicherheit der Daten kümmern muss, die sich in den Cloud-Rechenzentren befinden.

Cloud Computing bedeutet also die volle Verantwortung für die Daten bei gleichzeitiger Abgabe der direkten Kontrolle. Das hat Folgen für die Bedrohungslage durch Ransomware & Co. und muss sich in den Sicherheitskonzepten stärker als bisher niederschlagen.

Was bei Cloud-Attacken anders ist

Wenn man sich die größten Cyberbedrohungen und damit die gefährlichsten Cyberattacken ansieht, sollte man immer den speziellen Cloud-Blick darauf werfen. Die eingeschränkte Sicht und die schwierige Kontrolle bei Nutzung von Cloud-Diensten machen viele der Angriffsformen noch riskanter.

Zudem können Angriffe dadurch besonders interessant werden, dass sich mehrere Unternehmen in der Cloud Ressourcen und damit auch Schwachstellen teilen. Attacken auf ein anderes Unternehmen können zu „Streufeuer“ auf das eigene Unternehmen führen.

Berücksichtigt man die von der CSA genannten Top 3 Cloud Threats „Unzureichende Identitäts-, Berechtigungs-, Zugriffs- und Schlüsselverwaltung“, „Unsichere Schnittstellen und APIs“ und „Fehlkonfiguration und unzureichende Änderungskontrolle“, ergibt sich eine neue Sicht auf die Gefahren durch die dominierenden Cyberattacken, die zum Beispiel die EU-Agentur für Cybersicherheit ENISA in der jährlichen „Threat Landscape“ listet. Das zeigen die folgenden vier Beispiele.

Ransomware und die Cloud

Gelingt es einer Ransomware, Zugriff auf Daten zu bekommen, wird sie diese gegen den Willen des Opfers verschlüsseln. Das gilt für Daten auf einem Smartphone genauso wie für Daten auf einem PC, auf einem Server oder in der Cloud.

Bei der Cloud jedoch kann es einfacher sein, Zugriffsrechte für den Zweck der kriminellen Verschlüsselung zu missbrauchen. Aus gutem Grund nennt die CSA die unzureichende Identitäts-, Berechtigungs-, Zugriffs- und Schlüsselverwaltung an erster Stelle der Top Cloud Threats.

Neben den generellen Problemen, die Unternehmen mit dem Management der Zugänge und Berechtigungen haben, kommt bei Cloud-Diensten hinzu, dass die Zugänge meist über das Internet getätigt werden können, dass selbst einfache Cloud-Nutzende mitunter hohe Berechtigungen haben, und dass auch die Wartungszugänge des Providers missbraucht werden könnten, um die Ransomware zu verteilen und zu aktivieren.

Schadprogramme und die Cloud

Bei Malware gelten die Aussagen, die zu Ransomware-Attacken auf die Cloud getätigt wurden, ebenso. Zusätzlich sollte bei der Nutzung von entsprechenden Diensten daran gedacht werden, dass Malware gezielt Schwachstellen ausnutzen möchte, die sich bei einer komplexen Cloud-Umgebung an vielen Stellen befinden können. Diese sind nicht alle im Blick der Anwendenden, da die Sichtbarkeit nicht immer vorhanden ist.

Zudem kann es bei unzureichender Trennung zwischen Cloud-Anwendern (lückenhafte Mandantentrennung) dazu kommen, dass sich Schadsoftware von einem Nutzer zum anderen ausbreitet.

Bedrohung für Verfügbarkeit & Integrität und die Cloud

Daten müssen verfügbar sein und dürfen nicht manipuliert werden, so will es zum Beispiel die Datenschutz-Grundverordnung (DSGVO) für personenbezogene Daten. Im Fall von Cloud-Diensten sieht das Prinzip der geteilten Verantwortung vor, dass sich die Anwenderunternehmen selbst um Backup und Recovery ihrer Daten kümmern und damit um die Verfügbarkeit auch im Ernstfall.

Entsprechend müssen die Daten unabhängig von dem Cloud-Anbieter gesichert werden, aber nicht so, dass eine Attacke auch gleich das Cloud-Backup erreichen kann. Getrennte Lösungen (Air Gapping) für das Backup müssen gefunden und „aus der Ferne“ gesteuert werden.

Mögliche Verletzungen der Integrität der Daten kann man nur erkennen, wenn man eine Übersicht über alle Daten hat und die Zugriffe darauf überwachen kann. Im Fall der Cloud bereitet aber genau das den Anwenderunternehmen Probleme.

Angriffe auf Lieferketten und die Cloud

Die Supply-Chain-Attacken spielen bei Cloud-Nutzung eine besondere Rolle, denn die genutzte Cloud-Umgebung kann viele Module und Bausteine verschiedener Lieferanten enthalten. Eine Vielzahl von Schwachstellen in den Modulen ist ebenso denkbar wie Angriffe auf die verschiedenen Lieferanten, die auf das Anwenderunternehmen übergehen könnten.

Leider kennen die Cloud-Nutzenden diese vielen Lieferanten gar nicht und haben kaum einen Einfluss auf ihre Auswahl, obwohl die DSGVO im Fall einer Auftragsverarbeitung genaue Regelungen bei Nutzung von Vorlieferanten durch den Auftragsverarbeiter (Cloud-Anbieter) fordert.

Es zeigt sich: Cyberattacken können noch bedrohlicher werden, wenn sie sich auf die Cloud richten. Erhöht man die Sichtbarkeit und Kontrolle in der Cloud, hat man erst einmal nur das Bedrohungspotenzial auf das Niveau gesenkt, das bei einer anderen IT-Nutzung herrscht. Dann müssen genau wie bei der restlichen IT weitere Security-Maßnahmen zum Schutz, zur Erkennung und Abwehr der Attacken folgen. Cloud-Sicherheit ist also wirklich anders und bedarf zusätzlicher Maßnahmen für Transparenz und Kontrolle.

(ID:48519464)