Cloud-Sicherheit – das musst du wissen.

Cloud-Security-Risiko 1: Mangelnde Datensicherheit und Datenschutzrisiken.

Was bedeutet eigentlich Datensicherheit? Der Website Datenschutz.org zufolge versteht man in Deutschland unter dem Begriff “Datensicherheit” alle technischen Aspekte, die mit dem Schutz von Daten in Verbindung stehen. Dabei werden drei übergeordnete Ziele verfolgt: Vertraulichkeit (nur befugte Personen können auf die Daten zugreifen), Integrität (die Daten können weder durch technische Defekte noch durch Manipulation versehrt werden) und Verfügbarkeit (die Daten sind verfügbar, wenn sie benötigt werden).

Zugriff durch Unbefugte, Manipulation der Daten und technische Defekte – das sind Risiken, denen Daten in der Cloud ausgesetzt sind, beispielsweise im Falle eines Angriffes. Eine wichtige Maßnahme, um Datensicherheit zu gewährleisten, ist deshalb die Verschlüsselung von Daten. Sie gewährleistet die sichere Übertragung von Daten, sichere Zugriffsberechtigungen sowie Schutz vor versehentlicher Löschung oder Veränderung.

Cloud-Security-Risiko 2: Verfügbarkeitsrisiken.

Ein weiteres Risiko bei Cloud-Diensten ist das Verfügbarkeitsrisiko. Ist ein Cloud-Dienst aus irgendeinem Grund nicht verfügbar, kann das zu Ausfallzeiten und damit erheblichem Produktivitätsverlust führen. Ein Ausfall der Cloud-Lösung kann für Nutzer*innen der Cloud somit einen großen finanziellen Schaden bedeuten. Gründe für Cloud-Ausfälle können beispielsweise Angriffe oder auch Schäden an der Hardware sein, beispielsweise durch einen Brand.

• Brände, Überschwemmungen oder ähnliches: Daten, die in der Cloud gespeichert werden, liegen leider keinesfalls wirklich auf einer abstrakten Wolke – sondern werden in ganz realen, auf der ganzen Welt verteilten Rechenzentren gespeichert. Und diese sind auch „ganz normalen“ Risiken ausgesetzt. Erst 2021 ist genau so ein Fall eingetreten: Beim französischen Cloud-Anbieter OVH kam es zu einem Brand in einem Straßburger Rechenzentrum. Die Server wurden zerstört, die Rechenzentren waren teilweise nicht erreichbar, und ein Teil der Daten wurde zerstört.
• Unautorisierte Zugriffe:Die Cloud kann nicht nur von außen angegriffen werden – auch von innen können zum Beispiel unautorisierte Zugriffe erfolgen. So kann es nicht nur zu Datendiebstahl kommen, sondern es kann auch passieren, dass Daten vorsätzlich oder versehentlich gelöscht werden.

Cloud-Security-Risiko 3: Sicherheitsrisiken wie Angriffe auf die Cloud.

Kann die Cloud gehackt werden? Ja: Cloud-Umgebungen werden oft zum Angriffsziel von Cyberkriminellen. Diese Sicherheitsbedrohungen werden nicht nur immer häufiger, sondern auch immer komplexer – denn Cyberkriminelle denken sich immer neue Wege aus, um Cloud-Systeme anzugreifen. Zu den häufigsten Angriffen auf Cloud-Systeme gehören die folgenden:

• Ransomware-Angriffe: Hierbei werden Daten oder ganze IT-Systeme durch Schadprogramme verschlüsselt. Nur gegen die Zahlung eines Lösegeldes (= ransom, der englische Begriff für Lösegeld) werden die Daten freigegeben oder wieder entschlüsselt.
• Denial-of-Service-Angriffe: Denial-of-Service-Angriffe werden auch DoS-Angriffe genannt. Dabei wird die Nicht-Verfügbarkeit eines Dienstes oder Servers herbeigeführt, etwa durch extrem viele Anfragen. Durch diese künstliche Überlastung kann das System dann zusammenbrechen (= Denial of Service).
• IP-Spoofing: Hierbei werden IP-Pakete (Datenpakete, in welchen größere Datenmengen übertragen werden) mit gefälschter Absender-IP-Adresse verschickt. Dadurch verschleiert der Absendende seine Identität (= Spoofing, auf Deutsch: Verschleierung oder Manipulation) und gibt vor, dass das Paket von einer vertrauenswürdigen Quelle stammt.

Cloud-Security-Risiko 4: Mangelnde Compliance.

Wer mit der einer Cloud-Lösung arbeitet, muss auch gewisse Vorschriften, Sicherheitsmaßnahmen und Regeln erfüllen. Ist das nicht der Fall, kann die Cloud schnell zu einem Sicherheitsrisiko werden.

Cloud-Sicherheits-Maßnahme 1: Verschlüsselung von Daten.

Um Daten bei der Übertragung und Speicherung in der Cloud zu schützen, werden sie verschlüsselt – das heißt, sie werden nicht in ihrem ursprünglichen Format verwendet, sondern in ein nicht lesbares Format umgewandelt. Ohne einen Verschlüsselungsschlüssel, den nur ein autorisierter Empfänger oder eine autorisierte Empfängerin besitzt, sind die Daten nutzlos – und damit effektiv geschützt, auch bei Datenverlust oder Datendiebstahl.

Die meisten Cloud-Anbieter bieten Verschlüsselung als Teil ihrer Cloud-Security-Maßnahmen an. Bei Adobe Document Cloud werden Daten beispielsweise im Ruhemodus mit dem Standard 256-Bit-AES verschlüsselt. Bei der Datenübertragung wird http (Hypertext Transfer Protocol) in Verbindung mit TLS-Verschlüsselung (Transport Layer Security) unterstützt.

Cloud-Sicherheits-Maßnahme 2: Gute Umgebungssicherung.

Vor ganz realen Cloud-Sicherheitsrisiken wie Bränden, Hochwasser oder Einbrüchen schützen sich Cloud-Anbieter mit einer guten Umgebungssicherung. Bei Adobe Document Cloud sind die Datenzentren etwa mit Klimaanlagen ausgerüstet, damit Betriebstemperatur und Luftfeuchtigkeit konstant gehalten werden können – denn zu hohe Temperaturen oder zu hohe Luftfeuchtigkeit können der Hardware schaden.

Zudem sind die Datenzentren mit Sensoren ausgestattet, die Gefährdungen durch Umwelteinflüsse – beispielsweise Rauch oder einen entstehenden Brand – schnell und sicher erkennen und Alarm schlagen.

Cloud-Sicherheits-Maßnahme 3: Konstante Systemüberwachung.

Komplexe Sicherheitsbedrohungen erfordern komplexe Maßnahmen für mehr Cloud-Sicherheit. Deshalb setzen viele Cloud-Anbieter auf ein ganzes Orchester an Überwachungssystemen, die das System rund um die Uhr überwachen. Bei Adobe Document Cloud kommen neben eigenen Überwachungssystemen etwa noch zusätzlich Lösungen von Drittanbietern zum Einsatz.

Diese Systeme sind in der Lage, nicht autorisierte Zugriffsversuche sofort zu erkennen und schlagen bei verdächtigen Aktivitäten sofort Alarm. Zusätzlich werden Angriffsversuche kontinuierlich analysiert, um aus ihnen zu lernen und die Sicherheitsmaßnahmen an die neuesten Bedrohungen anzupassen..

Cloud-Sicherheits-Maßnahme 4: Gute Cloud-Compliance.

Der Schlüssel zu einer besseren Cloud Security heißt Cloud Compliance. Darunter versteht man das Ausmaß der Umsetzung und Einhaltung von unternehmensinternen, gesetzlichen und regulatorischen Bestimmungen und Richtlinien.

Für eine gute Cloud Compliance müssen IT-Verantwortliche deshalb dafür sorgen, dass alle Mitarbeiter*innen in ihren Unternehmen die entsprechenden Vorschriften kennen und einhalten. Dazu gehören zum Beispiel regelmäßige Passwort-Updates. Diese sein ein einfacher, aber sehr wirkungsvoller Schutzmechanismus gegen unerlaubte Zugriffe.

Aber nicht nur auf Nutzerseite ist Compliance ein Thema – auch die Anbieter müssen Standards und Vorgaben einhalten. Wie gut es um die Compliance bei der Cloud-Lösung deiner Wahl bestellt ist, zeigen dir Zertifikate, welche die angebotene Informationssicherheit eines Cloud-Anbieters nachweisen. Anbieter bekommen diese nur, wenn sie sich bestimmten Anforderungen unterwerfen und sich von einem unabhängigen Dritten auf die Einhaltung dieser prüfen lassen.

Adobe Sign erfüllt zum Beispiel die Sicherheitsstandards HIPAA (Health Insurance Portability and Accountability Act), FERPA (Family Educational Rights and Privacy Act) und 21 CFR Prat 11 und ist zudem für SAFE-BioPharma® zertifiziert.

Cloud-Sicherheits-Maßnahme 5: Schnelle Wiederherstellung nach Ausfällen.

Je schneller Daten wiederhergestellt und der Betrieb wieder aufgenommen werden kann, desto besser. Damit das gelingt, sind zum Beispiel ein Wiederherstellungsplan sowie eine zuverlässige Backup- und Wiederherstellungslösung essenziell für eine sichere Cloud.

Bei Adobe Document Cloud sind die Rechenzentren daher zum Beispiel so konzipiert, dass Ausfälle von System oder Hardware lediglich minimale Auswirkungen haben und die Prozesse der Kunden und Kundinnen nicht beeinträchtigt werden.

Cloud-Sicherheits-Maßnahme 6: Rollenbasierte Zugriffskontrollen.

Um unautorisierte Zugriffe zu verhindern, ist es zum Beispiel wichtig, dass nicht jeder Mitarbeiter und jede Mitarbeiterin beliebig auf alle Daten zugreifen kann. Deshalb wird für bessere Cloud Security oft mit rollenbasierten Zugriffskontrollen gearbeitet. Basierend auf einem Rollenkonzept mit mehr oder weniger ausgeprägten Rechten haben Nutzer*innen dann nur Zugang zu den Systemen und Daten, die sie auch wirklich benötigen.

Auch Adobe Document Cloud arbeitet mit einem solchen Konzept; dabei werden die Zugriffsrechte basierend auf einem Konzept erteilt, welches nur minimale Rechte vorsieht.

Cloud-Sicherheits-Maßnahme 7: Zwei-Faktor-Authentifizierung.

Eine weitere Maßnahme für mehr Cloud-Sicherheit ist die Zwei-Faktor-Authentifizierung. Damit wird sichergestellt, dass nur autorisierte Benutzer*innen auf den Cloud-Dienst zugreifen können.

Um das zu gewährleisten, kommt nach dem üblichen Log-in über die Passworteingabe ein zweiter Faktor zum Einsatz; in den meisten Fällen in Form eines mobilen Endgerätes. Der Nutzer oder die Nutzerin hinterlegt dabei zum Beispiel seine Nummer und erhält dann nach der erfolgreichen Passworteingabe einen Code, der ebenfalls korrekt eingegeben werden muss. Erst dann ist der Log-in möglich.

Auch Nutzer*innen von Adobe Document Cloud können die Zwei-Faktor-Authentifizierung aktivieren und somit die Sicherheit ihres Adobe-Kontos erhöhen. Hier erfährst du, wie du die zweistufige Verifizierung für dein Adobe-Konto einrichtest.

Verschlüsselungsarten im Überblick.

Man unterscheidet bei der Verschlüsselung zwischen symmetrischen, asymmetrischen und hybriden Verfahren.

Symmetrische Verfahren: Verschlüsselung und Entschlüsselung werden hierbei mit demselben Schlüssel durchgeführt. Sender*in und Empfänger*in müssen sich also vorab auf einen Schlüssel einigen. Ein symmetrischer Verschlüsselungsschlüssel wird auch als privater Verschlüsselungsschlüssel bezeichnet.

Asymmetrische Verfahren: Für Verschlüsselung und Entschlüsselung werden hierbei unterschiedliche Schlüssel verwendet – der öffentliche Schlüssel (Public Key) sowie ein privater Schlüssel (Private Key). Mit dem bekannten, öffentlichen Schlüssel werden die Daten verschlüsselt, mit dem privaten Schlüssel, der nur dem Empfänger oder der Empfängerin bekannt ist, werden sie entschlüsselt.

Hybride Verfahren: Hierbei kommen beide Verfahren zum Einsatz. Die Daten werden mit einem symmetrischen Verfahren verschlüsselt; beim Austausch der Schlüssel kommt ein asymmetrisches Verfahren zum Einsatz.