Thought Leadership
Mit der pandemiebedingten rasanten Ausbreitung von Cloud Technologien gingen zwangsläufig auch vermehrt Datenpannen einher. Egal ob absichtlich herbeigeführt oder
technische Probleme und Systemausfälle: Die passende Strategie kann diese Risiken von vorneherein auf ein Minimum reduzieren.
Die Nutzung von Cloud Technologie – egal ob Software-, Plattform- oder Infrastructure as a Service – ist inzwischen auch in Deutschland zum Standard geworden. Es finden sich nur wenige Unternehmen, die bisher noch keine Berührung mit Cloud Applikationen haben.
Zudem haben gerade die Jahre 2020 und 2021 dazu geführt, dass aus Businesssicht die Vorbehalte gegenüber Cloud vermehrt über Bord geworfen werden und hier auf Lösungen zur Kollaboration gesetzt wird. Doch auch die Berichte über Datenpannen und fragliche Datensicherheit bei Clouddiensten mehren sich in den letzten Jahren.
Die häufigsten Ursachen für Datenpannen
Datenpannen bzw. deren Ursachen lassen sich lose in vier Kategorien unterteilen:
- Konfigurationsfehler – Eine der häufigsten Ursachen sind Konfigurationsfehler durch fehlendes Knowhow. Da wir bei Cloud in den meisten Fällen von hochvernetzten Systemen sprechen – oft auch in einem Hybridszenario zwischen eigenen Datacentern und Public Cloud – ist der Datenaustausch und die Kommunikation essenziell. Hier passieren schnell Fehler beim Setup oder der späteren Administration. Vor allem, wenn die Anforderungen an den jeweiligen Workload nicht klar definiert und dokumentiert sind.
- Fehleinschätzungen – Eine weitere Ursache ist die Fehleinschätzung bei der Verwahrung von Schlüsseln und anderen Geheimnissen wie Identitäten, um die Daten in der Cloud zu schützen. Wenn Schlüssel bei Einzelpersonen aufbewahrt werden oder zentrale Identitäten zum administrativen Zugriff maximal geschützt, erhöht sich das Risiko eines Missbrauchs deutlich. Gerade bei der Nutzung von APIs werden anprogrammierbare Schnittstellen nach außen veröffentlicht, welche ohne korrekte Schutzmaßnahmen rund um die Keys und Identitäten zu einer Schwachstelle werden.
- Angriffe – Natürlich spielen auch Angriffe von außen eine Rolle. Desto bekannter ein Unternehmen und desto häufiger ein Unternehmen sich in der Presse wiederfindet, umso höher das Risiko eines Angriffs. Es lässt sich relativ leicht herausfinden, ob ein Unternehmen einen Public Cloud Provider nutzt. Noch einfachere Ziele sind hingegen SaaS Applikationen, sollten diese nicht gut gesichert sein. Im Falle von fehlender konsequenter Zwei-Faktor-Authentifizierung
- Betreiber-Versäumnisse – Mit am seltensten führen Fehler des Cloud Betreibers zu Datenpannen, wobei es hier dann eher um Datenverlust geht. In den letzten fünf Jahren waren vereinzelt Mitteilungen zu lesen, dass vor allem kleinere Cloud Anbieter Schlüssel verloren haben und damit verschlüsselte Daten von Kunden nicht wieder herstellen konnten. Dabei handelt es sich bisher aber um Einzelfälle und war noch nicht bei den großen Hyperscalern zu beobachten.
Datenpannen auf Datenschutzebene
Natürlich kann man in Verbindung mit Cloudtechnologie auch von Datenpannen im Datenschutzkontext sprechen. Dabei werden personenbezogene Daten unsachgemäß in der Cloud verarbeitet, was zu hohen Strafen seitens der Datenschutzbehörden führen kann.
In Abgrenzung zu den vorigen Punkten ist hier aber zuerst nicht von einem Abhandenkommen von personenbezogenen Daten auszugehen. Vielmehr werden in diesem Kontext bspw. die Verarbeitung der Daten im nicht-europäischen Ausland oder unverhältnismäßige Mengen oder auch zweckfremde Datenverarbeitungen geahndet.
Datenschutzverstöße werden irrtümlich als häufigste Pannen wahrgenommen
In der Presse finden sich diverse Beispiele zu Datenpannen – bei den meisten bezieht man sich hier auf Datenschutzverstöße. Bei genauerem Hinsehen erkennt man jedoch Verweise auf die zuvor genannten Ursachen wie Fehleinschätzungen, Konfigurationsfehler etc.
2020 hat zum Beispiel ein AWS Engineer sensible Daten versehentlich auf Github für jeden zugänglich gespeichert. Dabei handelte es sich um Keys, Passwörter, Infrastrukturdetails und Schlüsselpaare verschiedener Kunden, welche durch den Engineer betreut wurden. Dieser Fehler wurde zwar schnell festgestellt, dennoch waren die Daten ca. fünf Stunden für jeden zugänglich.
Es ist nicht ganz sicher, was hinter diesem Fall steckt. Es ist jedoch davon auszugehen, dass durch fehlendes Knowhow und Bequemlichkeit die Daten dort abgelegt wurden, um sich selbst den Workflow zu vereinfachen.
Ein anderes Beispiel konnten wir bei einem unserer Kunden feststellen. Bei einer Optimierung der bestehenden Cloud Infrastruktur, welche durch die Kunden IT aufgebaut wurde, konnten wir einen öffentlich zugänglichen Storage finden.
Im Zuge des Setups wurde dieser Storage mit Fokus auf Dateiaustausch erstellt und für jeden mit diesem Link frei verfügbar. Jedoch blieb dieser Bucket auch lange nach der initialen Migration vorhanden und die Daten darin häuften sich. Durch fehlendes Log Management ließ sich auch nicht mehr nachvollziehen, ob Daten durch Dritte abgezogen wurden. Auch bei diesem Beispiel handelt es sich um einen Vorfall, bei dem nicht bedacht wurde, wie weitreichend die Entscheidungen sein können.
Lösungen um Datenpannen proaktiv zu begegnen:
- Mitarbeiter-Schulungen – Teil jedes Cloud Projekts sollten umfangreiche Schulungen der administrativen Mitarbeiter sein, um die nötige Sorgfaltspflicht und ein Gefühl zu vermitteln, welche Auswirkungen übereilte Änderungen bringen können. Dabei spielt es keine Rolle, ob es um SaaS oder IaaS geht. Wie in allen IT Security Bereichen ist der Mensch die größte Schwachstelle, weshalb hier genug Zeit für einen Knowhow-Transfer aufgewendet werden sollte. Auch eine offizielle Zertifizierung des jeweiligen Cloudproviders kann eine Möglichkeit sein.
- Monitoring & Reporting – Weiter bieten alle großen Cloud Provider ein automatisiertes Compliance Monitoring und Reporting. Dazu werden technische und organisatorische Regeln hinterlegt. Sollten diese aus einem Grund gebrochen werden – bspw. für Tests oder Fehler bei der Konfiguration – meldet der Service dies an eine vorab definierte Gruppe. In Kombination mit einem Kostenmonitoring hat man hier mächtige Werkzeuge, um den Überblick über die Cloudlandschaft zu behalten.
- Auswertung – Noch einen Schritt weiter kann man mit der Überwachung durch Event-Logmanagement oder einem integrierten SIEM System gehen. Gerade durch die Korrelation von Logs aus verschiedenen Quellen lassen sich Schwachstellen oder Fremdzugriffe zuverlässig aufdecken. Auch hier liefern die Hyperscaler eigene Lösungen, die zum einen sehr gut integriert sind aber auch das Anbinden von OnPrem Quellen erlauben.
- Security Features – Auch eine intensivere Nutzung der Security Features des Cloud Betreibers bringt Möglichkeiten, die einem durchschnittlichen Mittelständler nicht zu Verfügung stehen. Themen wie Datenklassifizierung (plus zugehörigem Regelwerk), Identitätsverwaltung mit Zwei-Faktor-Authentifizierung oder starke Verschlüsselungsmechanismen können in der Cloud einfach genutzt werden und sind gut integriert.
Unabhängig der möglichen Ursache empfiehlt es sich, für die gängigsten Szenarien Notfallpläne bereit zu halten. Schnelles und richtiges Verhalten ist essenziell nach dem Entdecken einer Datenpanne.
Dabei ist es manchmal nicht der richtige Weg, direkt alles abzuschalten. Das Vorgehen im Notfall muss regelmäßig trainiert werden und kann sehr gut mit Disaster Recovery Tests verbunden werden.
Fazit – Ängste sind bei einem guten Setup unbegründet
Dass eine vermehrte Nutzung von Cloud Technologien auch zu vermehrten Datenpannen führen würde, ist nicht überraschend, sondern zu erwarten gewesen. Zum einen ist die Technologie für viele Admins noch neu und die Feinheiten, auf die geachtet werden muss ungewohnt.
Zum anderen stehen diese Dienste durch DSGVO Diskussion und Vorbehalte gegenüber der großen Hyperscaler weiter im Fokus der Öffentlichkeit.
Der erste Schritt ist sich über die Herausforderungen bewusst zu sein und diese entsprechend im Unternehmen zu bewerten. Angst vor Cloud ist jedoch nicht angebracht. Mit einem bewussten Vorgehen kann den Risiken begegnet werden, um Cloudtechnologie dafür zu nutzen, wofür sie gedacht ist: Verbesserungen entlang der Wertschöpfungskette zu ermöglichen und damit dem Business einen Vorteil zu verschaffen.
