Autor: Jan Gisbertz

Die Kommunikation zwischen Smartphones (und natürlich Handys im Allgemeinen) kann niemals zu 100 Prozent sicher sein. Theoretisch haben Kriminelle diverse Möglichkeiten, Nachrichtenverläufe zwischen Handys abzufangen und mitzulesen. Gleiches gilt für das Mithören von Telefonaten. Neben Politiker:innen rücken besonders Unternehmen in den Fokus von Angreifer:innen, die an sensible Daten gelangen wollen. Sogenannte Kryptohandys bzw. -smartphones sollen das Abgreifen von Daten erschweren.

Was Kryptohandys sind, wie sie funktionieren und wie Sie Kriminellen das Mitlesen Ihrer mobilen (nicht nur Gesprächs-)Daten erschweren können, lesen Sie in diesem Beitrag.

Was ist ein Kryptohandy?

Kryptohandys sind Kommunikationsgeräte, die fortschrittliche Sicherheitsfunktionen nutzen, um das Abhören von Sprach- und Datenübertragungen während eines Live-Austauschs zu erschweren. Sie haben die Fähigkeit, viele Formen der elektronischen Überwachung zu umgehen und das Abhörpotenzial zu verringern. Dadurch sind Kryptohandys gut geeignet für den Einsatz in einer Reihe von Geschäftsumgebungen sowie in Politik und Geheimdiensten.

Wie funktioniert ein abhörsicheres Smartphone?

Der Einsatz von Kryptotechnologie setzt voraus, dass sowohl Ausgangs- als auch Endgerät den selben Verschlüsselungsgrad aufweisen. Um ein sicheres Gespräch zu führen, müssen also beide Parteien einen Telefontyp verwenden, der mit denselben Schutzprotokollen arbeitet.

Es ist möglich, einen gewissen Schutz bei einer Verbindung zu erreichen, bei der ein Kryptohandy auf der einen, aber nicht auf der anderen Seite verwendet wird. Allerdings besteht immer die Möglichkeit, dass das ungeschützte Ende überwacht wird und Daten beim Senden oder Empfangen abgefangen werden. Das Risiko bei dieser Konstellation ist demnach sehr hoch.

Die meisten Kryptohandys verschlüsseln ausgehende Signale mithilfe eines kryptografischen Chips. Dadurch wird es für Angreifende schwieriger, die abgefangenen Daten zu verwalten oder in verwertbare Daten zu „übersetzen“.

In den meisten aktuell verwendeten Kryptohandy-Systemen erfolgt die Verschlüsselung durch den Einsatz von zwei Verschlüsselungswerkzeugen anstelle einer einzigen Sicherung: Häufig wird mehr als ein Algorithmus verwendet, der die aus- und eingehenden Signale vor dem Erreichen des Empfangsgeräts zweimal verschlüsselt.

Auf diese Weise hindert das Kryptosystem des jeweiligen Smartphones mehrschichtige Überwachungstechniken, die zwar einen der Verschlüsselungscodes aushebeln können, aber nicht beide. Das Endergebnis: Nutzer:innen erschweren Kriminellen das Abhören und das Auslesen von beispielsweise übermittelten Dokumente mithilfe der sogenannten Punkt-zu-Punkt-Verbindung.

Ein Kryptohandy selbst machen? Darauf sollten Sie achten

Ein professionelles und für Politik und Geheimdienste zugelassenes Kryptohandy können Sie als Privatperson nicht einfach zu Hause „zusammenbauen“. Auch sollten Sie ein Kryptohandy darüber hinaus nicht einfach kaufen und sich dann auf die vermeintliche Abhörsicherheit des Geräts verlassen.

Fast alle aktuell in Politik und Wirtschaft verwendeten Kryptohandys erfordern, dass Ihr Gegenüber das gleiche Gerät verwendet. Darüber hinaus sind diese speziellen Smartphones sehr teuer; und der jeweilige Sicherheitsstandard kann nur wenige Monate aufrechterhalten werden.

Es gilt: Cyberkriminelle entwickeln ihre technischen Fähigkeiten rasch weiter. Sie suchen sprichwörtlich rund um die Uhr nach Schwachstellen in Telekommunikations- und IT-Systemen. Teure Kryptohandys, die gestern noch vermeintliche Abhörsicherheit boten, können heute bereits durch einen Hack nahezu nutzlos sein.

Jedoch existieren einige Möglichkeiten, wie Sie die Kommunikation mit Ihrem Smartphone sicherer gestalten und beispielsweise Angriffe durch Kriminelle erschweren können. Dazu gehört unter anderem die Verwendung möglichst sicherer Instant-Messenger, die durch eine überdurchschnittliche Verschlüsselung das Abgreifen von Daten erschweren.

Zwei Messenger-Apps, die von Expert:innen aktuell zu den sichersten gezählt werden, stellen wir Ihnen im folgenden Abschnitt vor.

Threema

Threema ist eine Mobile-Messaging-App, die Kurznachrichten und Telefonate Ende-zu-Ende (E2E) verschlüsselt. Im Gegensatz zu anderen Instant-Messengern müssen Sie bei dieser App keine E-Mail-Adresse oder Telefonnummer hinterlegen, um ein Konto zu erstellen. Dadurch können Sie den Dienst mit einem hohen Maß an Anonymität nutzen, was Threema zu einem der „privatesten“ Messenger auf dem Markt macht.

Mit Threema verschicken Sie Text- und Sprachnachrichten und können Sprach- und Videoanrufe initialisieren und Dateien übertragen. Die App erfährt regelmäßige Updates. Sowohl für iOS als auch für Android ist die App kostenpflichtig.

Ebenso befindet sich Ihr persönlicher sogenannter Threema-Schlüssel auf dem Gerät und nicht auf den zentralen Servern. Selbst, wenn sich jemand Zugang zu allen Daten auf den Servern verschaffen würde, hätten die Angreifer:innen kaum einen Nutzen davon.

Wer betreibt Threema?

Threema ist ein Produkt der Threema GmbH, einem in der Schweiz ansässigen Unternehmen. Das Team veröffentlichte seine erste Version der App im Dezember 2012 und gründete das Unternehmen offiziell im Jahr 2014. Das Unternehmen brachte im Jahr 2016 Threema.Work auf den Markt, eine spezielle Version des Messengers für den Einsatz in Unternehmen.

Wo werden Threema-Kundendaten gespeichert?

Die Nutzerdaten werden so weit wie möglich nur auf den entsprechenden Geräten gespeichert. Threema speichert nur die minimale Menge an Metadaten, die erforderlich ist, um Nachrichten an ihre richtigen Ziele zu leiten; und das auf den Servern von Threema laut Hersteller nur so lange, wie es für die Erfüllung ihrer Aufgabe erforderlich sei.

Die Server des Unternehmens befinden sich laut Threema in zwei Züricher Rechenzentren eines nach ISO 27001-zertifizierten Partners.

Signal

Signal ist eine Ende-zu-Ende-verschlüsselte Instant-Messaging- und SMS-App. Nutzer:innen können Direkt- oder Gruppennachrichten, Fotos und Sprachnachrichten senden. Der Vorteil von Signal ist der starke Fokus der App auf Sicherheit und Datenschutz.

So arbeitet Signal etwa auf Basis von Open-Source-Code. Dadurch können Sicherheitsanalyst:innen auf der ganzen Welt das Innenleben der App testen und untersuchen, ob sie sicher ist. Außerdem können sie den Entwickler:innen von Signal Fehler melden, damit diese die App verbessern.

Darüber hinaus tauscht die App im Hintergrund kontinuierlich einen Schlüssel aus, der bei jedem Dialog neu generiert und ständig durch einen Algorithmus kontrolliert wird. Kriminellen soll es dadurch schwer gemacht werden, verschlüsselte Nachrichten zu einem späteren Zeitpunkt zu dekodieren.

Wer betreibt Signal?

Signal Messenger LLC ist ein US-amerikanisches Non-Profit-Tochterunternehmen der Signal Technology Foundation, die der Kryptograph Moxie Marlinspike im Jahr 2018 zusammen mit dem WhatsApp-Mitgründer Brian Acton gegründet hat. Signal ist nicht gewinnorientiert und finanziert sich als Stiftung aus Spenden.

Wo speichert Signal die Daten der Nutzer:innen?

Signal speichert Daten laut eigenen Angaben auf einer Server-Infrastruktur von Google, Amazon und Microsoft. Die Server stehen in den USA. Signal speichert Daten daher außerhalb des Gebietes, das seit Mai 2018 von der Europäischen Datenschutz-Grundverordnung (DSGVO) geschützt ist.

Da das Unternehmen jedoch nicht gewinnbringend wirtschaftet, muss es auch keine Daten seiner Nutzer:innen für einen eventuellen Weiterverkauf an Werbekunden ermitteln. Darüber hinaus speichert Signal nach eigenen Angaben keine Gesprächsverläufe auf den Servern.

Signal speichert auf den Servern hingegen die zufällig generierten Authentifizierungstoken, Keys und Push-Token. Diese sind für den Anrufaufbau und die Nachrichtenübertragung wichtig. Sie können jedoch nicht den persönlichen Daten der Nutzer:innen zugeordnet werden.

Kryptohandys: Die aktuelle Rechtslage

Auch wenn in Deutschland der Besitz von nicht strafbar ist, können Strafverfolgungsbehörden codierte Daten aus Gesprächen zwischen zwei Kryptohandys unter bestimmten Umständen sammeln, dekodieren und im Fall einer Straftat gegen die Besitzer:innen der Smartphones verwenden.

Kriminelle haben in der Vergangenheit immer wieder versucht, sich mithilfe von Kryptohandys den Strafverfolgungsbehörden zu entziehen und ihre Kommunikation zu verschleiern. Warum sie damit längerfristig keinen Erfolg haben, zeigt exemplarisch der Fall EncroChat.

Der Fall EncroChat

Der niederländische Kommunikationsanbieter EncroChat verkaufte an seine Kund:innen vermeintlich abhörsichere Handys. Strafermittler in Frankreich und den Niederlanden vermuteten, dass Kriminelle über die EnchroChat-Handys miteinander kommunizieren würden, um ihre Kommunikation vor der Polizei zu verbergen.

Von Anfang April bis Ende Juni 2020 fingen die Fahnder:innen Gespräche von 32.477 EncroChat-Kund:innen in 122 Ländern ab. Dazu infiltrierte die Polizei den EncroChat-Server und erhielt dadurch Daten zu 66.134 eingetragenen SIM-Karten. Mithilfe der Daten konnten die Ermittler:innen fortan Gesprächsdaten dekodieren.

Bei der Auswertung einiger Daten in Frankreich stellte sich heraus, dass knapp über 60 Prozent der Nutzer:innen als Mitglieder organisierte Drogenbanden und/oder bereits durch Waffenhandel, Geldwäsche oder Gewaltverbrechen bekannt waren und in den abgefangenen Gesprächen weitere Taten planten.

Europol übermittelte zahlreiche Daten an das Bundeskriminalamt. In Folge der Datenauswertungen kam es deutschlandweit zu Hausdurchsuchungen, bei denen die Beamt:innen Drogen, Schusswaffen und Munition sicherstellten. 750 Haftbefehle wurden vollstreckt und 360 Ermittlungsverfahren eingeleitet.

Mehrere Verdächtige klagten in Deutschland gegen die Verwendung ihrer Kommunikationsdaten im Zuge einer Strafverfolgung. Mehrere Oberlandesgerichte entschieden, dass die Daten bei den Ermittlungen der französischen Behörden rechtmäßig erhoben wurden. Das OLG Berlin jedoch stimmte dieser Rechtsauffassung nicht zu.

Der Fall ging schließlich vor den Bundesgerichtshof (BGH), der Anfang 2022 bestätigte, dass die Verwendung der EncroChat-Daten gegen Verdächtige zur Aufklärung schwerer Straftaten zulässig sei.

Das Wichtigste zu Kryptohandys in Kürze

• Kryptohandys nutzen spezielle Sicherheitsfunktionen, um Kriminellen das Abfangen von Kommunikationsdaten bei Smartphones zu erschweren.
• Beim Einsatz von Kryptophontechnologie müssen Ausgangs- und Endpunkt gleiche Geräte verwenden, bzw. Technologien, die den gleichen Verschlüsselungsgrad aufweisen.
• Vermeintlich sichere Kryptohandys bieten häufig innerhalb eines zeitlich begrenzten Rahmens Schutz vor kriminellen Angriffen.
• In Deutschland ist der Besitz von Kryptohandys nicht strafbar. Doch Behörden können codierte Daten unter bestimmten Umständen sammeln, auswerten und im Rahmen polizeilicher Ermittlungen verwenden.

Quelle:

https://www.vodafone.de/business/featured/digitales-business/digitaler-arbeitsplatz/kryptohandys-und-smartphones-als-schutz-vor-ungewollten-zuhoerern-das-sollten-sie-wissen/

Cloud-Security widmet sich der Sicherung von Cloud-Computing-Systemen. Als Fachgebiet der Cyber-Sicherheit umfasst dies eine Vielzahl von Einzelmaßnahmen. Sie sollen vor Risiken wie Datenverlust, unrechtmäßigem Zugriff und dem Ausfall der Cloud-Services schützen. Zusätzlich gewährleistet Cloud-Security auch die Einhaltung der gesetzlichen Datenschutzbestimmungen. Was Sie dazu wissen müssen, lesen Sie hier.

Nach Angaben des Branchenverbands Bitkom nutzen im vergangenen Jahr 84 Prozent aller deutschen Unternehmen Cloud-Services. Cloud-Sicherheit ist ein großes IT-Thema und zentrale Disziplin der IT-Sicherheit. Ergänzend zum Beitrag bietet das Whitepaper „Cloud Security“ von Vodafone viel Wissenswertes zur Cloud Security in Betrieben.

Was ist Cloud-Security?

Beim Thema Cloud-Sicherheit denken viele Nutzer:innen zuerst an die Datensicherheit in der Cloud. Doch zur Cloud-Sicherheit (oder englisch: Cloud-Security) gehört mehr. Cloud-Sicherheit umfasst Verfahren und Technologien zur Abwehr externer und interner Bedrohungen der Unternehmenssicherheit. Sie wird durch ein breites Spektrum von Richtlinien, Technologien, Anwendungen und Kontrollprozessen erreicht.

Die Maßnahmen dienen dabei alle dem Schutz von Daten, Anwendungen, Diensten (Cloud-Services) und der Infrastruktur innerhalb des Cloud-Computings. Einige der wichtigsten Punkte einer funktionierenden Cloud-Security sind:

• 24/7-Verfügbarkeit: Der Zugriff auf Unternehmensdaten muss rund um die Uhr gewährleistet sein. Eine sichere Cloud bedeutet auch die Ausfall-Sicherheit aller beteiligten Systeme und Netze.
• Zugangskontrolle: Strukturierte Nutzer-Hierarchien regeln jederzeit, wer Zugriff auf welche Daten hat. Welche Daten können Mitarbeiter:innen, Kund:innen und Geschäftspartner:innen einsehen? Auf welche sensiblen, sicherheitsrelevanten Daten und Prozesse kann ausschließlich die IT oder die Geschäftsführung zugreifen? Gibt es persönliche Daten von Kund:innen oder Mitarbeiter:innen, die gemäß DSGVO nur einem bestimmten Nutzerkreis offenstehen?
• Cyber-Sicherheit: Cloud-Security bedeutet auch Schutz gegen Veränderung und Sabotage. Das umfasst das Einbringen von Schadsoftware wie Würmern oder Viren ebenso wie die räuberische Verschlüsselung von Daten, um „Lösegeld“ zu fordern (Ransomware). Aber auch die unbemerkte und gezielte Kompromittierung von Unternehmensdaten kann hier Thema sein. Dabei gewährleisten Services wie Cloud Application Security die entsprechende Applikationssicherheit.
• Rechtliche Aspekte am Standort: Sicherheit ist immer auch im Kontext des physischen Daten-Standortes zu sehen. Es ist stets zu prüfen, ob die jeweils gewählte Cloud den örtlichen Datenschutz-Gesetzen und -verordnungen entspricht. So kann etwa das Archivieren von bestimmten personenbezogenen Daten in einem Land legal, in einem anderen hingegen verboten sein. Auch der Einsatz von Verschlüsselungsverfahren ist nicht in allen Ländern erlaubt beziehungsweise je nach Einsatzzweck reguliert.
• Abhörsicherheit: Bei der Wahl eines Cloud-Anbieters sollte unbedingt darauf geachtet werden, ob der Anbieter auch Serverstandorte außerhalb der EU beziehungsweise in den USA besitzt. Existieren Cloud-Server in den USA, so erhält die US-Regierung durch den CLOUD Act auf Anfrage Zugang zu gespeicherten Daten in der Cloud. Die Weitergabe von personenbezogenen Daten an US-Behörden im Rahmen des CLOUD Act widerspricht den Regelungen, wie sie in der DSGVO (Datenschutz-Grundverordnung) festgelegt sind. Dies kann für Unternehmen zu Problemen führen, da nach Artikel 82 der DSGVO das Recht besteht, in so einem Fall gegen den Verantwortlichen sowie Auftragsdatenverarbeiter vorzugehen. Die Wahl eines Cloud-Anbieters ist daher immer eng mit dem Datenschutzbeauftragten des Unternehmens abzustimmen.

Die Instrumente der Cloud-Security dienen in erster Linie zur Absicherung der gespeicherten Daten und Anwendungen sowie der Cloud-Umgebungen an sich. Auch der lokale Arbeitsplatz zum Zugriff auf die Cloud sowie alle mit der Cloud-Architektur in Verbindung stehenden IT-Komponenten sind daher zu schützen.

Die in der Cloud abgelegten Daten befinden sich häufig nicht im direkten Einflussbereich der Dateneigentümer:innen. Public- oder Hybrid-Cloud-Lösungen sind im Unterschied zu reinen Private-Cloud-Lösungen zudem über das öffentliche Internet erreichbar.

Wie sicher ist die Cloud? Die Risiken im Zusammenhang mit Cloud Services

Um herauszufinden, wie sicher die Nutzung von Cloud-Diensten (oder englisch: Cloud-Services) ist und welche Form der Cloud-Security sich für Ihr Unternehmen eignet, sollten Sie die verschiedenen Arten von Cloud-Services kennen. Dies umfasst sowohl die Frage der Zugänglichkeit von Daten aus dem öffentlichen oder privaten Raum, als auch die Eigentumsverhältnisse in Bezug auf die bereitgestellte Cloud-Umgebung und deren Komponenten.

Dabei stellt sich die Frage, wie sicher Cloud-Dienste sind. Grundsätzlich ist ein Cloud-Service immer die Leistung eines externen Anbieters. Dieser stellt Ihrem Unternehmen die Infrastruktur zur Verfügung, um darauf Ihre Daten und Programme zu hosten. Dies umfasst neben der Netzwerkinfrastruktur unter anderem Datenserver und -speicher sowie Frameworks zur Virtualisierung von Computer-Eigenschaften.

Vorteil: Durch einen Cloud-Service entfallen für Ihr Unternehmen teure Investitionen in Hardware und Netzwerkinfrastruktur sowie laufende Kosten für regelmäßige Upgrades bzw. Updates und Personalkosten für Wartung.

Bei den Cloud-Services gibt es drei unterschiedliche Typen:

1. Beim Modell Software-as-a-Service (SaaS) können Sie Anwendungen nutzen, die auf den Servern eines externen Anbieters laufen. Dieser verwaltet neben den Anwendungen auch die zugehörigen Daten, Applikationen und das Betriebssystem. Typische Beispiele für SaaS sind Microsoft 365, Google Workspace, Slack oder Cisco WebEx.

Besondere Sicherheitsrisiken durch SaaS sehen Sicherheitsexperten in der Komplexität und wachsende Zahl von Cloud-Anwendungen bei diesem Anwendungstyp. Die Bereiche Zugriffs- und Sicherheitskontrollen sowie Berechtigungen und Privilegien sind beim SaaS-Modell sehr anspruchsvoll und erfordern eine leistungsfähige IT-Administration.

2. Das Modell Platform-as-a-Service PaaS wiederum bietet Ihnen die Möglichkeit zur Entwicklung eigener Anwendungen. Dazu dienen „Sandbox-Bereiche” auf den Servern des Anbieters, in denen Sie eigene Anwendungen, Daten, Netzwerke und Berechtigungen speichern und verwalten können. Bekannte Beispiele dafür sind die Google App Engine und Microsoft Azure.

Ein besonderes Sicherheitsrisiko dieses Modells entsteht durch die Einbindung von Drittanbietern in die Netzwerkstrukturen. In erster Linie sind es hier mangelhaft geschützte APIs für den Datenaustausch, die Sicherheitslücken für PaaS-Anwendungen öffnen. Durch Einschränkung der API-Zugriffe sowie Steuerung der Datenzugriffe lässt sich dieses Risiko verringern.

3. Bei Infrastructure-as-a-Service (IaaS) stellen Cloud-Anbieter Hardware- und Netzwerkanbindung zur Verfügung, auf denen Sie nahezu ihre komplette EDV unterbringen können, inklusive der Betriebssysteme. Die Anbieter verwalten dabei lediglich den zentralen Cloud-Dienst, während Sie alle Anwendungen, Daten und Laufzeiten selbst administrieren. Für die Sicherheit von Software und Daten sind somit Sie und nicht die Anbieter zuständig. Beispiele für IaaS sind die Google Compute Engine (GCE) und Amazon Web Services (AWS).

Typische Sicherheitsrisiken entstehen hierbei durch die Verlagerung der Infrastruktur in die Cloud, was strukturelle Veränderungen mit sich bringt. So unterliegen beispielsweise Fehler beim Cloud-Dienst des Providers nicht mehr der Kontrolle des Unternehmens. Entsprechend wichtig ist es, angepasste Strategien für die Wiederherstellung im Notfall zu entwickeln.

Cloud-Infrastruktur und das Thema Sicherheit:

Die „Cloud Security Definition“ definiert alle Besonderheiten im Public-, Private- und Hybrid-Cloud-Umfeld. Unterschiedliche Cloud-Dienste decken dabei die individuellen Anwendungsszenarien ab. Folgendes sollten Sie bei der Auswahl hinsichtlich des Themas Cloud-Security berücksichtigen:

• Public-Cloud: Diese Form der Cloud ist über das Internet zugänglich. Die Services stehen bedarfsgerecht nicht einzelnen Organisationen, sondern allen registrierten Anwender:innen mit jeweils eigenen Workspaces zur Verfügung. In Public-Clouds können Sie Rechenleistung, Infrastruktur, Speicher oder Anwendungen mieten. Die Fixkosten sind für Sie je nach Leistungsumfang gut kalkulierbar. Investitionen in eigene Infrastruktur oder Software sind nicht notwendig. Beim Thema Cyber-Sicherheit sind Sie hier jedoch grundsätzlich auf die vertrauliche Behandlung der übermittelten Daten durch den Dienstanbieter und dessen Sicherheitsmechanismen angewiesen.
• Private-Cloud: Als Gegenstück zur Public-Cloud stellt dieser Cloud-Service seine Infrastruktur ausschließlich für eine einzelne Organisation zur Verfügung. Sie ist ohne entsprechende Zugangsdaten nicht über das Internet erreichbar und bietet damit mehr Kontrolle und Sicherheit. Die Private-Cloud kann auf eigenen oder externen Servern gehostet werden, für die je nach Modell unterschiedlich hohe Kosten anfallen. Eine Private-Cloud ist eine gute Lösung, wenn Sie strenge Datenschutzvorgaben erfüllen müssen.
• Hybrid-Cloud: Diese Cloud-Lösung vereint die Vorteile von Public- und Private-Cloud. So können Sie sensible Daten, die besonderen rechtlichen Bestimmungen unterliegen, im abgegrenzten Bereich der privaten Cloud speichern. Der öffentlich zugängliche Teil der Hybrid-Cloud integriert hingegen die unkritischen Geschäftsprozesse und -daten. Gewöhnlich administriert ein externer Dienstleister eine Hybrid-Cloud-Umgebung, sodass Sie kein Inhouse-Personal binden müssen. Diese Lösung gilt häufig als idealer Kompromiss zwischen Anbieterunabhängigkeit, Flexibilität und Sicherheitsaspekten.
• Multi-Cloud: Die Kombinationslösung mehrerer Cloud-Dienste versammelt unter dem Begriff Multi-Cloud nach eigenem Bedarf zusammengestellte Public- und Private-Clouds unter einem gemeinsamen Dach. Sie können so die Angebote verschiedener Cloud-Anbieter parallel nutzen und sind dabei nicht an einen einzelnen Provider gebunden. Innerhalb dieser Struktur können Sie Daten zwischen den verschiedenen Clouds verschieben und externen Partner:innen oder Kund:innen einfacher Zugriff gewähren. Auf diese Weise passen Sie die Services flexibel an Ihre Bedürfnisse an und bündeln sie in einer zentralen Managementkonsole.

ISO 27018 und BSI C5 als Sicherheitsstandards

Innerhalb dieser unterschiedlichen Cloud-Infrastrukturen sorgen Standards wie die ISO 27018 und der Kriterienkatalog C5 des BSI (Bundesamtes für Sicherheit in der Informationstechnik) für einheitliche und sichere Strukturen. Die ISO 27018 regelt den Umgang mit personenbezogenen Daten in einer Cloud. Der BSI-Kriterienkatalog C5 beschreibt die technischen und organisatorischen Maßnahmen zur Sicherheit in der Cloud.

Einfache Regeln für die Cloud-Sicherheit

Cloud-Datenschutz unterscheidet sich von den Anforderungen für herkömmlichen IT-Umgebungen in Unternehmen. Ein paar grundsätzliche Regeln und Tipps helfen dabei, sich in Sachen Cloud-Datenschutz zu orientieren:

Geteilte Verantwortung: Im Gegensatz zu privaten Rechenzentren ist in der Public-Cloud der Anbieter für die Datensicherheit verantwortlich.

Zugriffsmanagement: In heterogenen Umgebungen ist ein sicheres Zugriffsmanagement (IAM) entscheidend dafür, kritische Unternehmenssysteme vor unbefugtem Zugriff zu schützen.

Verschlüsselung: Ein wesentlicher Aspekt zum Schutz der Daten in einer Cloud ist eine effektive Verschlüsselung.

Endpunktsicherheit: Cloud-Dienste führen dazu, dass Zugriffe vermehrt über Browser und persönliche Geräte erfolgen. Diese entsprechend abzusichern, gehört zu den Aufgaben einer Cloud-Security.

Schulung und Qualifikation: Professioneller Umgang mit den Cloud-Anwendungen sowie eine Sensibilisierung für Anomalien und Malware-Gefahren sind die Basis einer funktionierenden Cloud-Sicherheit im Unternehmen.

Wie funktioniert Cloud-Security?

Mechanismen der sogenannten Cloud-Security sollen die Nutzung der Cloud absichern. Dabei stehen vier Bereiche im Mittelpunkt:

1. Datenwiederherstellung bei Datenverlust
2. Schutz vor Datendiebstahl
3. Verhinderung von Datenlecks
4. Sicherung bei Systemkompromittierung

Besondere Tools sollen für die Sicherheit der Cloud sorgen, indem sie den Zugang und die Sichtbarkeit der Daten regulieren. Während des Transfers sind VPNs (Virtuelle Private Netzwerke) für den Datenschutz zuständig – vor allem bei den Cloud-Modellen abseits der Public-Cloud.

Ergänzend kommen Steuerungsstrategien zur Prävention, Erkennung und Beseitigung von Bedrohungen für die Cloud hinzu. Diese beinhalten sowohl die internen Abwehrmechanismen einer Cloud-Umgebung als auch die besondere Schulung des Nutzerverhaltens. Daneben spielen die technischen Wiederherstellungsmaßnahmen im Falle eines Datenverlustes (Cloud-Disaster-Recovery) eine wichtige Rolle. Weitere Fail-Safe-Systeme garantieren einen unterbrechungsfreien Betrieb, überwachen Backups und sorgen für die Anleitung von Mitarbeiter:innen im Fall einer notwendigen Datenwiederherstellung.

Achtung: Bei der Planung einer Unternehmens-Cloud sollten Sie vor allem die Gesetzeslage prüfen. Der Schutz von Daten und Benutzerinformationen ist in vielen Staaten mittlerweile klar reguliert. Fallen die von Ihnen verarbeiteten Daten beispielsweise unter die Bestimmungen der Datenschutz-Grundverordnung (DSGVO), stellen Sie sicher, dass der von Ihnen gewählte Cloud-Anbieter für eine entsprechende Verwahrung und Verschlüsselung der Daten sorgt.

Die Rolle der Cloud Security Alliance (CSA)

Um die Sicherheit von Clouds zu überprüfen, entstand im Jahr 2008 die Cloud Security Alliance (CSA). Dabei handelt es sich um einen gemeinnützigen Zusammenschluss von global agierenden Unternehmen, der die Absicherung von Cloud-Umgebungen anhand von Best-Practice-Beispielen kontrolliert. Die Einhaltung und Entwicklung verbindlicher Sicherheitsstandards bei Cloud-Services sind ein wichtiges Ziel der CSA.

Durch die Schulung von Anwender:innen sowie die Beratung von Softwarefirmen sollen zusätzliches Know-How und Bewusstsein für die wichtigsten Aspekte der Cloud-Security vermittelt werden. Zu diesem Zweck bietet die CSA ein Toolkit an, was die Sicherheit von Public- und Private-Clouds überprüfen kann.

Was ist Security-as-a-Service?

Die Angebote der Cloud Security Alliance fallen bereits unter den Begriff „Security as a Service” (SECaaS). Durch diesen Service externer Dienstleister können Sie beispielsweise den Datenverkehr von und zu einer Cloud überwachen und analysieren. Des Weiteren können Sie so Malware-Analysen durchführen und den Datenabfluss nach Bedarf reglementieren. Interne Sicherheitsvorkehrungen können Sie auf diese Weise auch auf externe Cloud-Umgebungen anwenden.

Anbieter von SECaaS übernehmen sowohl die Implementierung als auch die Wartung von Sicherheitslösungen für die komplette Cloud-Umgebung von Unternehmen. Die Anbieter können unabhängig von der Errichtung der Cloud-Infrastruktur deren Administration übernehmen und Policies verwalten, was Ihnen zusätzlich Aufwand und somit Kosten spart.

Passende Cloud-Security-Lösungen für Unternehmen

Cloud-Security unterscheidet zwischen verschiedenen Sicherheitslösungen, die für unterschiedliche Unternehmensgrößen empfehlenswert sind:

• Hybride Cloud-Sicherheitslösungen: Die Verlagerung der EDV in eine Hybrid Cloud bringt für Unternehmen den Vorteil, die Vorzüge von Private und Public Cloud miteinander zu kombinieren. Für eine durchgängige Sicherheit aller Plattformen und Endgeräte, die mit der Cloud kommunizieren, sind verschiedene Maßnahmen notwendig. Bei Hybrid-Cloud-Lösungen verwendete Methoden können den Sicherheitsstandard für Unternehmen deutlich erhöhen. Dazu gehören zum Beispiel Mikrosegmentierung, die Vereinfachung von Sicherheitsrichtlinien auf Grundlage identitätsbasierter Lösungen sowie ein Echtzeit-Monitoring der Cloud-Umgebung durch spezialisierte externe Anbieter.
• Sicherheitslösungen für kleine und mittlere Unternehmen (KMU): Auch KMU nutzen immer häufiger Cloud-Computing, benötigen aber meist keine komplexe Cloud-Architektur. Für den besten Schutz sensibler Daten bietet die Private-Cloud eine gute Basis. Dort sollten Sie ausschließlich verschlüsselte Unternehmensdaten speichern. Gesetzesvorgaben und Compliance-Richtlinien können Sie auf diese Art gut und kostengünstig erfüllen. Die Cloud kann zudem ausschließlich für denjenigen Bereiche und Mitarbeiter:innen des Unternehmens zugänglich sein, die sie auch tatsächlich benötigen. In diesem Zusammenhang empfiehlt sich zudem die gewissenhafte Sicherung von Zugangsdaten zur Cloud auf Unternehmensrechnern und mobilen Endgeräten. Das beugt unbefugtem Zugriff auf die Cloud vor.
• Cloud-Sicherheitslösungen für große Unternehmen: Große, global agierende Unternehmen stehen vor besonderen Herausforderungen hinsichtlich der Sicherheit ihrer Cloud-Architektur. Sie benötigen häufig eine Public-Cloud für eine einheitliche Zugänglichkeit durch Geschäftspartner und Kund:innen, unterliegen gleichzeitig aber möglicherweise unterschiedlich strengen Richtlinien hinsichtlich des Datenschutzes (beispielsweise in der EU und den USA). Was bereits für KMU gilt, ist hier für multiple und komplexe Hybrid-Cloud-Lösungen in einer ganzheitlichen Sicherheitsstrategie zu erfassen. Dabei werden Cloud-Security-Standards und Richtlinien festgelegt, die von speziell geschulten IT-Mitarbeiter:innen entwickelt und umgesetzt werden. Alternativ lassen sich externe Expert:innen in den Prozess mit einbeziehen.

Warum ist Cloud-Sicherheit wichtig?

Die Speicherung geschäftlicher und privater Daten hat sich seit der Jahrtausendwende grundlegend gewandelt: Während Unternehmensdaten in der Vergangenheit nahezu ausschließlich lokal gespeichert wurden, befinden sie diese heute zu einem großen Teil in der Cloud.

So wandern immer mehr Daten jedweder Art in die Cloud. Doch mit der Ansammlung extrem vieler Daten an einem Ort oder bei einem Anbieter steigt die Gefahr von Angriffen und/oder massiver Datenverluste: Große Datenmengen sind für Cyberkriminelle attraktiver als kleine, fragmentierte Datenbestände. Aus diesem Grund suchen diese gezielt nach Schwachstellen in der Cloud-Architektur. Anbieter wie Anwender:innen stehen also gleichermaßen in der Pflicht, für die Sicherheit der Daten in der Cloud zu sorgen.

Heutige IT besteht gewöhnlich aus einer Kombination lokaler Komponenten (stationäre Rechner, Notebooks, Server usw.) sowie der IT einer Cloud-Umgebung (intern oder extern). Beide Architekturen sind meist miteinander verwoben und stehen in komplexen Verhältnissen zueinander – erst recht, wenn mehrere Cloud-Arten verknüpft werden.

Die IT-Security steht somit vor besonderen Herausforderungen, um die Sicherheit der Daten und den Schutz vor Angriffen zu gewährleisten. Folgende Sicherheitsvorkehrungen sollten dabei obligatorisch sein:

• Firewalls: Schirmen lokale Netzwerke sowie die Cloud „nach außen“ ab und sorgen für Barrieren innerhalb hybrider Architekturen.
• Antivirensoftware: Scannt nach Viren und beseitigt sie.
• Schutz vor Ransomware: Software zur Abwehr vor Schadprogrammen, die das System kapern und die Daten Ihrem Zugriff entziehen (Mal- und Ransomware).
• 2-Faktor-Authentifizierung: Zusätzlicher Identitätsnachweis von Nutzer:innen durch zwei voneinander unabhängige Prüfverfahren.

Welche Cloud ist DSGVO-konform? Gesetzliche Anforderungen an die Cloud-Sicherheit?

Um die Sicherheit einer Cloud zu gewährleisten, stehen Unternehmen bzw. Anwender:innen selbst in der Verantwortung, müssen aber einen Teil ihrer Handlungsmöglichkeiten an den Anbieter des Cloud-Services abgeben. Um Risiken im Rahmen der Corporate Governance zu minimieren und den dauerhaften Support für eine Cloud-Architektur zu garantieren, sind die Details der Datenverarbeitung in einem Data-Processing-Agreement (DPA) festgelegt. Dieses ist rechtlich bindend und beinhaltet Regularien wie die deutsche Datenschutz-Grundverordnung (DSGVO), den amerikanischen Health Insurance Portability and Accountability Act (HIPAA) oder den internationalen Payment Card Industry Data Security Standard (PCI DSS).

Nicht zu vernachlässigen ist in diesem Zusammenhang das „Recht auf Vergessenwerden”: Dieses liefert klare Vorgaben, wenn Kund:innen einen Cloud-Anbieter verlassen möchten. Das kann beispielsweise dann der Fall sein, wenn Ihr Unternehmen den Provider wechseln oder die in der Cloud gehosteten Daten in die eigene IT-Architektur übertragen möchte. Solch einen „Exit-Prozess” sollten Sie bereits vor dem Abschluss eines Vertrags mit einem Cloud-Anbieter vereinbaren. Darunter fallen unter anderem Garantien für die Löschung von Backups und Logs nach festgelegten Zeiträumen, aber auch das Recht auf die restlose und vollständige Löschung sämtlicher Daten.

Das Wichtigste zu Cloud-Security im Überblick

Wenn Sie in Ihrem Unternehmen die Vorteile einer Cloud nutzen möchten, sollten Sie im Rahmen Ihrer Cloud-Security-Überlegungen folgende Punkte beachten:

• Bedürfnisse: Was genau benötigt Ihr Unternehmen? Brauchen Sie lediglich das abgeschlossene System einer Private Cloud zu internen Zwecken oder sind Sie auf umfangreiche Public- oder Hybrid-Cloud-Lösungen zur Kundenkommunikation angewiesen?
• Verantwortung: Wie sind die Verantwortlichkeiten zwischen Ihrem Unternehmen als Kunden und dem Cloud-Anbieter aufgeteilt? Diese werden im CSA und gegebenenfalls in Service Level Agreements festgelegt.
• Sicherheit: Für die Cloud-Security sollte definiert sein, welche Sicherheitsstandards eingehalten werden und somit in die Cloud-Umgebung implementiert werden müssen. Passt diese zur bereits bestehenden Infrastruktur?
• Externe Expertise: Neben der Aufteilung der Zuständigkeiten zwischen der IT-Abteilung Ihres Unternehmens und dem Anbieter empfiehlt sich das Hinzuziehen von externen oder internen Expert:innen.

Quelle:

https://www.vodafone.de/business/featured/digitales-business/digitale-geschaeftsprozesse/cloud-security-alles-zum-thema-sicherheit-in-der-datenwolke/