Wichtige Faktoren pro und contra SaaS E-Mail-Sicherheit On-Premises oder in der Cloud?

Anbieter zum Thema

WatchGuard Technologies GmbH

Soft & Cloud GmbH

Die vielen Schlagzeilen über Hackerangriffe mit schwerwiegenden Folgen bewegen selbst kleine Unternehmen dazu, über die Sicherheit ihrer E-Mail-Kommunikation nachzudenken. Denn nach wie vor gilt diese als Haupteinfallstor für Cyberbedrohungen wie Ransomware und Phishing.

Die Herausforderung bei der Verstärkung der Sicherheitsmaßnahmen besteht jedoch nicht nur darin, zu definieren, was zu tun ist, sondern auch, wie es getan werden kann. All die Datenschutzanforderungen und die Komplexität der Tools und Mechanismen stellen Unternehmen vor die Frage, wie sie ihre E-Mail-Kommunikation am besten sichern können. In diesem Artikel werden die Kriterien vorgestellt, die für die Verwaltung von E-Mail-Sicherheitslösungen On-Premises, also im Unternehmen durch ein eigenes Team, gegenüber der Bereitstellung als Service durch einen Drittanbieter zu berücksichtigen sind.

Organisatorische Herausforderungen der Cybersicherheit

Die IT-Branche steht vor einigen Herausforderungen, die sich stark auf die Zugänglichkeit von Sicherheitstools auswirken. Sie sollten daher bei der Entscheidung für ein Management der E-Mail-Sicherheit On-Premises oder in der Cloud berücksichtigt werden.

• 1. Fachkräftemangel

• 2. Wissens- / Informationsexplosion

• 3. Komplexität

• 4. Industrialisierung des Cyber Crime

• 5. KI

• 6. Leistungs- und Kostendruck

• 7. Menschliches Versagen

• 8. Homeoffice

In diesem Zusammenhang gelten einige der Faktoren, die häufig im Internet zu finden sind, nicht mehr als starke Argumente für die Wahl des Verwaltungsstandorts. Man sollte daher diese Argumente einmal unter die Lupe nehmen und überprüfen, inwieweit sie relevant und ausschlaggebend sind.

Ausschlaggebende Argumente für die Verwaltung der E-Mail-Sicherheit vor Ort oder in der Cloud

1. Anpassungsfähigkeit und Flexibilität

• On-Premises: Anpassungsfähigkeit und Flexibilität

• Alles, was technisch denkbar und machbar ist, kann On-Premises umgesetzt werden. IT-Administratoren entscheiden sich für Technologien, die sie kennen oder bevorzugen. Diese muss jedoch nicht unbedingt die beste Lösung oder sogar technisch notwendig sein.

• Cloud / SaaS: Skalierbarkeit und Flexibilität

• Alles, was technisch sinnvoll und fachlich notwendig ist, kann als SaaS umgesetzt werden. Die Unternehmen zahlen nur für das, was sie nutzen. Meistens beziehen sich die Kosten auf die Anzahl der Mailboxen.

• Fazit: Beide Optionen bieten ein hohes Maß an technischer Anpassungsfähigkeit und Flexibilität, sodass dies keine schlagkräftige Entscheidungsgrundlage für oder gegen On-Premises oder die Cloud sein kann. Wenn jedoch die Skalierbarkeit ein wichtiger Faktor ist, ist SaaS die bessere Wahl.

2. Compliance-Anforderung (DE/EU)

• On-Premises: Abdeckung von ISO/IEC 27001 ISMS, DSGVO / GDPR, BDSG, BSI-KritisV; C5, B3S-Verordnung, BaFin: MaRisk, BAIT, KWG, uvm.

• Cloud / SaaS: Abdeckung von ISO/IEC 27001 ISMS, DSGVO / GDPR, BDSG, BSI-KritisV; C5, B3S-Verordnung, BaFin: MaRisk, BAIT, KWG, + ISO/IEC 27017 Cloud-Sicherheit, + ISO/IEC 27018 Cloud-Dienstleister, + TCDP (BMWi), uvm.

• Fazit: Auch die Abdeckung der Compliance-Anforderungen kann kein erschlagendes Argument für On-Premises oder Cloud sein, da beide Optionen eine gute Einhaltung aller Standards bieten. Daher können On-Premises-Unternehmen bedenkenlos auf SaaS umsteigen, ohne Kompromisse bei ihrer Compliance einzugehen. Allerdings kann Microsoft derzeit nicht garantieren, dass Exchange Online bei der Verarbeitung von E-Mails keine Daten außerhalb der EU weiterleitet.

3. Datensicherheit und Kontrolle

• On-Premises: Bei On-Premises gibt es keinen Kontrollverlust, da das Unternehmen die alleinige Verantwortung trägt.

• Cloud / SaaS: Auch hier gibt es keinen richtigen Kontrollverlust, da die Verantwortung sowohl beim Unternehmen als auch beim Dienstanbieter liegt. Außerdem findet kein Wechsel zwischen den Systemen statt, da der Datenverkehr von Exchange Online zu Exchange Online verläuft.

• Fazit: SaaS bietet hier einen klaren Vorteil, denn die Dienstleister können die Systeme effizienter betreiben und bieten mehr Know-how als das eigene Team. Dank des besseren Überblicks können sie zudem Schwachstellen schneller erkennen und die Daten zuverlässiger sichern.

4. Einfache Implementierung und Wartung

• On-Premises: Die Verantwortung für Implementierung und Wartung liegt beim Unternehmen, was meist kostenintensiv und aufwändig ist.

• Cloud / SaaS: Der Anbieter übernimmt Implementierung und Wartung und garantiert Releases, Bugfixes, DevOps, Monitoring, Verfügbarkeit / Up-Time durch SLA. Er arbeitet recht anonym, jedoch steht dem Kunden auch bei SaaS-Lösungen ein Expertenteam zur Seite. Die Sicherheitsspezialisten kennen die Situationen des Kunden grundsätzlich gut, haben geeignete Protokolle für Reaktionen und können schnell mit Rat und Tat unterstützen.

• Fazit: SaaS liegt hier klar vorn, denn es ist schneller und flexibler einsetzbar und erspart dem Unternehmen viel Aufwand.

5. Verfügbarkeit

• On-Premises: Wenn Bandbreite ein Problem für den VPN-Zugriff ist, dann ist Cloud oft die (einzige) Lösung. Abgesehen davon sollte die Konnektivität innerhalb von verteiltem Arbeiten, Homeoffice, Niederlassungen und On-Premises ohne Einschränkungen verfügbar sein.

• Cloud / SaaS: Bei der Cloud gilt „globale“ Verfügbarkeit und Zugänglichkeit. Das Sicherheitsrisiko bei kompromittierten Homeoffice-Arbeitsplätzen über VPN ist hier geringer.

• Fazit: In Bezug auf die Verfügbarkeit bietet keine der beiden Optionen einen signifikanten Vorteil. Allerdings weist die integrierte Sicherheit der SaaS-Umgebung definitiv ein besseres Niveau auf.

6. Kosten gemäß Total Cost of Ownership (TCO)

• On-Premises: Bei On-Premises Cybersecurity Management werden oft nur Software-Lizenzen und Maintenance berechnet, aber es steckt viel mehr dahinter. On-Premises Kosten umfassen Softwarelizenzen, Wartung, Gewinnaufschlag, Hardware, Netzwerkinfrastruktur, Personal, Wartung, Support 24/7 DE/EN, Energie, Kühlung, Sicherheit und Compliance. Der Erwartung nach sollen die Kosten zu Beginn höher, später niedriger sein. Doch in Wirklichkeit ändert sich der Preis je nach Anzahl der Mailboxen.

• Cloud / SaaS: Bei SaaS hängen die Kosten vom jeweiligen Abonnement ab. Dieses beinhaltet jedoch auch die gleichen Kosten wie On-Premises. Auch hier trifft die Annahme, dass der Preis zu Beginn niedriger und später höher ist, nicht zu.

• Fazit: Nach Schätzungen rechnet sich E-Mail-Sicherheit On-Premises ab etwa 100.000 Usern. SaaS hingegen rechnet sich bis etwa 100.000 Nutzern durch die Economies of Scale, da sie diese Kosten mit anderen Kunden teilen, die die Dienste ebenfalls in Anspruch nehmen, sie aber nicht voll auslasten können. Mit SaaS erhält der Kunde zudem einen wichtigen Mehrwert über die Kosten hinaus – der Service wird von spezialisierten Fachleuten gewährleistet, die sich ausschließlich auf die Sicherheit konzentrieren und sehr effizient und qualitativ hochwertig arbeiten. Bei On-Premises werden die Sicherheitsaufgaben oft nebenbei erledigt. Wenn man zudem bedenkt, dass 95 Prozent der Sicherheitsvorfälle durch menschliche Fehler verursacht werden, fällt die Sorgfalt bei der Sicherheit sehr stark ins Gewicht.

Fazit: „Pro On-Premises“ vs. „Pro Cloud“

Fasst man die Schlussfolgerungen dieser Analyse zusammen, so ergibt sich folgendes Bild. Es wird deutlich, dass viele Argumente für On-Premises nicht so ausschlaggebend sind, und dass SaaS mehr Vorteile bereithält.

Über den Autor: Uwe Dingerkus ist Security Service Owner bei GBS Europa, einer Tochterfirma von DIGITALL.

(ID:49814435)