Die Sicherheit von Cloud-basierten Softwaretools

Spätestens seit den großen Datenlecks der letzten Jahre ist klar, dass die Sicherheit unser aller persönlichen Informationen einen großen Stellenwert innerhalb der Internet-Gesellschaft einnimmt. Auch für Unternehmen, die Softwaretools nutzen, ist das ein wichtiger Aspekt. 

Schließlich verlagern diese im Zuge der Digitalisierung viele sensiblen Mitarbeiterdaten sowie Geschäftsgeheimnisse in die Cloud. Immer mehr mahnende Stimmen warnen vor der Unsicherheit von Cloud-basierten Anwendungen. Doch was steckt wirklich dahinter? Welche Möglichkeiten zum Schutz von sensiblen Daten in der Cloud gibt es für Unternehmen? Diesen Fragen soll im Folgenden nachgegangen werden.

Daten in der Cloud nehmen täglich zu

Der Branchenverband Bitkom belegt: Zwei von drei Unternehmen nutzen heute die Cloud als Basis für Ihre Softwareapplikationen. Das macht das moderne System der Datenverwaltung zum absoluten Spitzenreiter unter den Speichermöglichkeiten – Tendenz steigend. Sogenanntes Cloud Computing wird in 21 Prozent der noch nicht involvierten Firmen diskutiert oder der Umstieg darauf bereits geplant. Das stellt die Anbieter solcher Softwaretools vor die Herausforderung ihre Systeme sicherer zu machen. Doch nicht nur die Anbieter sind gefordert, auch die Nutzer sollten sich schon vor Nutzung mit verschiedenen Sicherheits-Varianten vertraut machen.

Public-Cloud vs. Private Version

Besonders bei der Sicherheit von Softwaretools spielt die Form der Cloud, auf der diese basieren, eine große Rolle. Experten unterscheiden zwei Formen:

• Public-Cloud: Dazu gehören unter anderem Google Drive oder Box. Sie bieten einen komplett eingerichteten Speicherplatz im Netz. Dabei sind bereits unterschiedliche Sicherheitssysteme mit eingebaut. Diese sind allerdings standardisiert und werden von Hackern leichter geknackt als die zweite Version. 

• Private-Cloud: Dabei handelt es sich um ein komplett eigenständiges Software-System. Diese werden zum großen Teil unabhängig von öffentlichen Anbietern eingerichtet. Das führt automatisch zu mehr Kontrolle über die darin gespeicherten Daten. Der Nachteil, gerade für Unternehmen: Ein deutlich höherer technischer Aufwand.

So können Unternehmen ihre Zugänge schützen

Firmen stehen vor ganz anderen Herausforderungen zum Schutz von Daten als es beispielsweise Privatpersonen tun. Da viele Unternehmen alle Prozesse in einem speziellen ERP-System bündeln, gilt es nicht nur Verschlüsselungen zu etablieren oder den Serverstandort gut zu wählen. Gerade in großen Unternehmen müssen die Cloud-Zugänge vieler Mitarbeiter zusätzlich geschützt werden. Authentifizierung und Autorisierung sind die Schlüsselbegriffe für Datensicherheit in der Cloud. Hierbei gibt es einige Lösungsansätze:

1. Cloud Access Security Broker (CASB)

Diese Software stellt sich zwischen den einzelnen Mitarbeiter und den Cloud-Speicher des jeweiligen Tools. Sie stellt quasi eine Art Sicherheitsschleuse dar, die Zugänge verwaltet. Monitoring und Management stehen bei diesen Systemen ganz weit oben. So kann auch im Nachhinein noch nachvollzogen werden, welcher Mitarbeiter von welchem Standort aus und zu welcher Zeit auf die jeweilige Cloud-basierte Software Zugriff hatte.

2. Mehrfache Authentifizierung

Die zwei- oder mehrstufige Authentifizierungsschleusen sind die wohl wichtigsten Elemente beim Schutz von Firmendaten in der Cloud. Möglich sind beispielsweise:

• Kombination mehrerer Passwörter miteinander.
• Einmal-Zugänge, die jeweils separat herausgegeben werden.
• Gegenstände, die in den Authentifizierungsprozess integriert werden wie zum Beispiel ein USB-Stick.

Dabei gilt: Je mehr Elemente diese Mehrfachauthentifizierung enthält, desto sicherer sind die Daten in einer Cloud-basierten Software. Daher sollten mindestens zwei, wenn nicht sogar drei Stufen eingebaut sein.

3. Zuspruch von unterschiedlichen Nutzungsrechten

Das umfasst nicht nur die Authentifizierung der einzelnen Mitarbeiter, sondern auch die Autorisierung von Rechten innerhalb der Cloud. Das heißt konkret, dass jede Person, die Zugriff hat, unterschiedliche Nutzungsrechte eingeräumt bekommt. Ein Administrator kann diese Freiheiten individuell zusprechen. Jeder Mitarbeiter kann so nur die Daten einsehen, die für ihn relevant sind. Das ist das sogenannte Least Privilege Prinzip. Wichtig dabei ist allerdings, dass diese Zugriffsrechte immer aktuell und dynamisch sind. So kann auf Veränderungen schnell reagiert werden und der Arbeitsfluss mit dem Cloud-basierten System wird nicht unterbrochen. Unternehmen sollten auch daran denken, dass wenn Mitarbeiter aus der Firma ausscheiden, Ihnen auch sämtliche Autorisierungen entzogen werden – andernfalls können hier schnell sensible Daten verschwinden.