Zero Trust und Cloud-Dienste: Ein mehrdimensionaler Ansatz für das Gleichgewicht zwischen Komfort und Sicherheit

Cloud-Dienste im modernen Geschäftsumfeld: Ein Überblick

Seit ihren Anfängen in den frühen 2000er Jahren erlebten Cloud-Dienste einen steilen Anstieg in der Anwendung im Geschäftsbereich. Datenspeichersysteme und Services wie Amazon Web Service, Dropbox, Microsoft Azure, OpenNebula, OpenStack und viele andere stürmten zwischen 2002 und 2017 den Markt. Der Erfolg der Cloud als Dienstleistungslösung wurde 2014 mit der Einführung der European Grid Infrastructure Federation Cloud, die es Wissenschaftlern ermöglicht, komplexe Berechnungen und Datenanalysen durchzuführen, zementiert.

Bis zum Jahr 2020 hatten laut einer Studie von IDG 81 % der Unternehmen zumindest einen Teil ihrer IT-Infrastruktur in die Cloud verlagert. Mehr als die Hälfte (55 %) dieser Unternehmen gaben an, mehr als eine Cloud-Dienstleistung zu nutzen: 34 % nutzen zwei, 10 % drei und 11 % mehr als drei Cloud-Dienste.

Cloud-Dienste bringen viele Vorteile mit sich und sind oft die beste Wahl zur effektiven Unterstützung von Geschäftsprozessen, da sie als skalierbare, kosteneffizient und sicher gelten. Jedoch sind Cloud-Dienste häufig von Cyber-Angriffen betroffen, was weitreichende Folgen hat, da der Einflussbereich groß ist und den Unternehmen oft die Kontrolle und Transparenz fehlt.

Um diesem Risiko vorzubeugen, ist ein mehrdimensionaler Ansatz zur Strukturierung von Sicherheitsarchitekturen notwendig. Eine auf Zero-Trust-Prinzipien basierende Lösung ist ideal, um Abhängigkeiten von solchen zentralisierten Diensten zu vermeiden. Dies bietet die bestmögliche Kombination aus einem modernen und komfortablen Arbeitsumfeld und gleichzeitig erstklassiger Sicherheit.

Cloud-Dienste im Arbeitsumfeld: Effektive Zusammenarbeit auf Kosten höherer Sicherheitsrisiken

Die Vorteile einer Cloud

Cloud-Dienste sind mittlerweile im Unternehmensumfeld fest etabliert. Bis 2021 berichteten laut Statists 74 % der Organisationen, dass sie Cloud-Infrastrukturdienste nutzen. Unternehmen wählen die Cloud anstelle traditioneller lokaler Server oder physischer Datenspeicher aus verschiedenen Gründen:

Durch die Auslagerung von Funktionen und Aspekten des Managements wie z.B. Datenverarbeitung, -sicherung und IT-Infrastrukturmanagement an einen erfahrenen Anbieter können sich Unternehmen auf ihr Kerngeschäft konzentrieren und schneller einen Wettbewerbsvorteil im Markt erlangen. Cloud-Dienste sind außerdem die bevorzugte Strategie, um große Datenmengen zu bewältigen und die digitale Transformation für mehr Geschäftsagilität voranzutreiben. In einer PwC-Umfrage aus dem Jahr 2023 wird auch berichtet, dass Organisationen, die Cloud-Technologien verwenden, eine höhere Produktivität und bessere Kollaborationsmöglichkeiten aufweisen als diejenigen, die keine Cloud nutzen.

Die Nachteile einer Cloud

Trotz dieser zahlreichen Vorteile sollten Unternehmen die Nachteile der Einführung von Cloud-Diensten nicht außer Acht lassen:

• Ausfallzeiten aufgrund von Internetstörungen oder schwachen Verbindungen
• Abhängigkeit vom Anbieter aufgrund hoher Wechselkosten und Herausforderungen in der Datenmigration
• Sicherheitsrisiken insbesondere bei öffentlichen Cloud-Diensten und dem Einsatz mehrerer Clouds

Darüber hinaus beobachteten Unternehmen zwischen 2020 und 2022 einen starken Anstieg an Cyberangriffen, bei denen Cloud-Dienste das Hauptziel waren. Diese Sorge wurde in der IDG-Umfrage 2020 deutlich: 38 % der Befragten nannten Sicherheitsherausforderungen als ein Hauptproblem bei Cloud-Diensten. Im Jahr 2023 stieg diese Zahl auf rund 75 %.

In einer Statista-Umfrage aus dem Jahr 2021 berichteten insgesamt 40 % der Befragten von Cloud-Datenverletzungen mit finanziellen Folgen. Im Jahr 2022 stieg diese Zahl auf 50 %. Eine Studie von IBM zeigt, dass die globalen Durchschnittskosten einer einzelnen Datenverletzung im Jahr 2023 auf 4,45 Millionen US-Dollar geschätzt werden. Es wird auch von Datenschutzverletzungem im Zusammenhang mit dem Zugriff der Diensteanbieter auf die Daten ihrer Kunden berichtet. Mit zunehmender Nutzung von mehreren Cloud-Diensten steigt auch die Herausforderung, diese Risiken zu bewältigen.

Zero Trust: Verbindung von Komfort und Sicherheit

Angesichts der hohen Sicherheitsrisiken bei Cloud-Diensten raten Sicherheitsexperten dazu, durch die Implementierung einer Zero-Trust-Strategie selbst die Kontrolle über Geschäftsdaten und -kommunikation zu übernehmen und sich nicht allein auf die Sicherheitsfunktionen von Cloud-Diensten zu verlassen. Dies erfordert einen mehrdimensionalen Ansatz, der mehrere Schutzmechanismen beinhaltet, um die Sicherheit auf verschiedenen Ebenen zu gewährleisten.

Eine ganzheitliche Sicherheitsstrategie erfordert als Grundlage zuverlässige und sichere Hardware. Ergänzend hierzu ist es essenziell, die Datenverschlüsselung sowie einen umfassenden Schutz der Betriebssysteme und Plattformen sicherzustellen. Sind diese Schlüsselelemente – Hardware-Sicherheit, Datenverschlüsselung und Systemschutz – effektiv abgesichert, können Cloud-Dienste bedenkenlos eingesetzt werden.

Diese Herangehensweise bietet für private Unternehmen und den öffentlichen Sektor die maximale Sicherheit, während sie gleichzeitig zur Effizienzsteigerung sowie besseren Zugänglichkeit zu verschiedenen Anwendungen und Diensten beiträgt.

Ein hervorragendes Beispiel für einen detaillierten Überblick über die Zero-Trust-Architektur ist die NIST 800-207-Exekutivverordnung, die 2020 von der US-Regierung herausgegeben wurde. Diese Richtlinie etablierte einen umfassenden Satz von Zero-Trust-Prinzipien und Empfehlungen für die Cybersicherheit.

Das folgende Kapitel bietet einen tieferen Einblick in die Elemente von Zero Trust und skizziert den mehrdimensionalen Ansatz einer Zero-Trust-Strategie in einer Cloud-Umgebung.

Eine moderne Sicherheitslösung: Was ist Zero Trust?

Ein Zero-Trust-Ansatz lässt sich mit "never trust, always verify" zusammenfassen. Das bedeutet, dass keinem Benutzer oder Gerät automatisch vertraut wird und alle Aktivitäten kontinuierlich authentifiziert und autorisiert werden müssen. Dieser Ansatz minimiert das Risiko von Datenverletzungen und erfolgreichen Cyberangriffen erheblich, indem sichergestellt wird, dass nur vertrauenswürdige Benutzer und Geräte Zugang zu sensiblen Informationen haben.

Dies impliziert, dass man auf zentralisierte Vertrauensanker verzichten sollte. Solche Vertrauensanker sind typischerweise spezifische Server, Netzwerkkomponenten oder Authentifizierungssysteme, denen normalerweise alle anderen Elemente des Netzwerks vertrauen. Daraus ergibt sich die Frage, wie man stattdessen die Identität eines Nutzers verifizieren kann.

Um eine Zero-Trust-Architektur im Sicherheitsnetzwerk zu implementieren, muss eine Organisation von einer Perimeter-Sicherheit zu einem granularen Ansatz mit kontinuierlicher Risikobewertung wechseln. Benutzer müssen in Sachen IT-Sicherheit geschult werden, und Notfallpläne müssen vorhanden sein, da mit Sicherheitsverletzungen immer zu rechnen ist.

Also eine Kombination aus bewährten Sicherheitstools und Cybersecurity-Konzepten, das die Sicherheitsrisiken in der Infrastruktur und im Netzwerk einer Organisation verringert.

Der mehrdimensionale Ansatz: hohe IT-Sicherheit und Nutzerfreundlichkeit

Die Implementierung einer Zero Trust Architektur in einer Cloud-Infrastruktur ermöglicht es Unternehmen, ein tieferes Verständnis für Risiken, Daten und Vermögenswerte zu erlangen, während gleichzeitig ein durchgängiges Sicherheitsniveau aufrechterhalten wird. Dazu ist ein mehrdimensionaler Ansatz erforderlich.

Die wesentlichen Bereiche, die vor möglichen Angriffen geschützt werden sollten, beinhalten Geräte, Anwendungen, Netzwerke und Benutzer. Folgende vier Ebenen müssen dafür gesichert werden:

1. Adaptive Zero-Trust-Architektur

Diese Ebene ist die Grundlage der Sicherheitsstrategie. Um eine Zero-Trust-Architektur zusammen mit Cloud-Diensten zu etablieren, muss ein Unternehmen zuerst genau festlegen und verstehen, welche Identitätsanbieter, Anwendungen und Geräte verwendet werden. Außerdem ist es wichtig, die Benutzer selbst und deren Verhaltensweisen genau zu kennen und zu analysieren. Dies bedeutet, dass das Unternehmen ein klares Bild davon haben muss, wer Zugriff auf seine Systeme hat, welche Tools und Geräte im Einsatz sind, und wie diese genutzt werden. So wird jeder Zugriffspunkt und jede Interaktion innerhalb des Systems kontinuierlich überwacht und überprüft, um die Sicherheit zu gewährleisten.

Beim Einloggen in einen Cloud-Dienst werden Benutzer basierend auf früherem Verhalten, Standort, Risikobewertung und Gerätetyp beurteilt. Der Zugang wird auf Grundlage dieser Ergebnisse gewährt oder verweigert.

Empfehlungen für die Praxis:

• Risikobasierte Richtlinien einrichten, die maschinelles Lernen nutzen, um den Zugriff automatisch zu verweigern oder zu entziehen
• Selbstbedienungs-Identitätsverifizierung mit Multi-Faktor-Authentifizierung und robusten Zugriffskontrollen implementieren

2. Bedrohungsschutz

Der Bedrohungsschutz ist eine Ebene, die sich auf die Überwachung und Reaktion auf Ereignisse innerhalb des Cloud-Tenants konzentriert. Diese Ebene folgt typischerweise auf die vorherige Ebene der adaptiven Zero-Trust-Architektur. Ein dediziertes Sicherheitsbetriebsteam ist in der Regel für die Überwachung und Reaktion auf verdächtige Aktivitäten verantwortlich. Dieses Team verwendet verschiedene Überwachungstools und -techniken, um Anomalien oder Sicherheitsverletzungen zu identifizieren. Durch ihre kontinuierliche und aktive Überwachung können sie die "schützende Oberfläche" – also den Bereich, den sie sichern – erweitern. Das bedeutet, dass sie in der Lage sind, neue Bedrohungen zu erkennen und die Sicherheitsarchitektur entsprechend anzupassen, um die Sicherheit kontinuierlich zu verbessern und auf dem neuesten Stand zu halten.

Empfehlungen für die Praxis:

• Eine einheitliche Plattform verwenden (Extended Detection & Response - XDR), um Warnungen aus verschiedenen Sicherheitsprodukten zu integrieren
• Häufige Wartung durchführen
• DLP-Regeln für Endpunkte und Cloud-Dienste einrichten

3. Annahme einer Sicherheitsverletzung

Diese Ebene unterscheidet sich von anderen Ebenen einer Sicherheitsarchitektur, indem sie von der Annahme ausgeht, dass Sicherheitsverletzungen unvermeidlich sind oder bereits stattgefunden haben. Im Gegensatz zu anderen Ebenen, die sich auf Prävention, Erkennung und Abwehr von Bedrohungen konzentrieren, fokussiert diese Ebene auf die Vorbereitung und Reaktion auf Sicherheitsvorfälle.

Der Zero-Trust-Ansatz geht davon aus, dass Sicherheitsverletzungen unvermeidlich sind oder bereits stattgefunden haben. Daher sind andere Verteidigungsstrategien erforderlich, die eine kontinuierliche Überwachung der gesamten Infrastruktur beinhalten, um auf Bedrohungen reagieren zu können. Dieser Ansatz vermeidet das blinde Vertrauen in zentrale Vertrauensanker, wie zentralen Servern und Zertifizierungsstellen (Certificate Authorities, CAs). Diese Vertrauensanker waren früher der Standard für sichere Kommunikation. Sie bestätigen von außen, dass der Inhaber eines Zertifikats auch wirklich den dazugehörigen öffentlichen Schlüssel besitzt. Diese Bestätigung ermöglichte es Nutzern, Signaturen oder Behauptungen, die mit dem privaten Schlüssel verbunden waren, zu vertrauen. Die fundamentale Schwäche dieses Ansatzes liegt im impliziten Vertrauen, das in diese Zertifizierungsstellen gesetzt wird. Wenn Browser und Betriebssysteme diesen Stellen standardmäßig vertrauen, kann das Versagen einer einzigen Zertifizierungsstelle die Sicherheit aller Nutzer gefährden. Ein Beispiel dafür ist der Vorfall bei DigiNotar, bei dem ein Cyberangriff die Erstellung gefälschter Zertifikate für viele Websites ermöglichte, was zu einem umfangreichen Kompromiss der Datensicherheit führte.

Empfehlungen für die Praxis:

• Notfall-Behebungspläne vorbereiten
• Backup-Systeme implementieren
• 'Break-the-glass'-Konten erstellen
• Den Schadensradius begrenzen, indem Sie Ihren Perimeter reduzieren: Mit echter Ende-to-Ende-Verschlüsselung wird verhindert, dass ein kompromittiertes Gerät unmittelbar andere Geräte in Gefahr bringt.
• die Zeit zwischen dem Auftreten einer Sicherheitsverletzung und ihrer Entdeckung minimieren: Ein Bruch oder Diebstahl eines physischen Geräts wird i.d.R. viel schneller erkannt als ein Angriff auf einen zentralen Server.

4. Die Benutzer

Im Vergleich zu anderen Ebenen wie Geräten, Anwendungen oder Netzwerken hat diese Ebene eine besondere Bedeutung, da Menschen oft als das schwächste Glied in der Sicherheitskette angesehen werden.

Empfehlungen für die Praxis:

• Regelmäßige IT-Sicherheitsschulungen mit Schwerpunkt auf praktischen Übungen planen
• Angriffssimulationen, wie z.B. Phishing-Simulationen, verwenden, das Bewusstsein der Benutzer für solche Bedrohungen zu schärfen.

Zero Trust und Cloud-Dienste: Sichere E-Mail-Kommunikation und Dateifreigabe

Die sichere Nutzung eines Cloud-Dienstes ist durch die Anwendung der Zero-Trust-Prinzipien möglich, welche die Sicherheit auf mehreren Ebenen erhöhen. E-Mail-Kommunikation ist ein hervorragendes Beispiel dafür, wie diese Prinzipien umgesetzt werden können. Für absolute Sicherheit müssen asymmetrische Verschlüsselungsmethoden mit privat auf Geräten gespeicherten Schlüsseln für die Ende-zu-Ende-Verschlüsselung genutzt werden, im Gegensatz zu cloud-basierten Anwendungen. Diese Vorgehensweise gewährleistet die Sicherheit auf der Anwendungsebene und schützt die Daten während ihrer Übertragung.

Die Schlüsselverteilung sollte Peer-to-Peer erfolgen, um eine zentrale Verteilung, die kompromittiert werden könnte, zu vermeiden. Dies trägt zur Sicherheit auf der Netzwerkebene bei. Jede Sitzung generiert durch Forward Secrecy einen eigenen Verschlüsselungsschlüssel, was bedeutende Sicherheitsverletzungen verhindert, selbst wenn Angreifer einen Schlüssel entschlüsseln. Durch eine einfache Plug-in-Installation kann der bestehende E-Mail-Anbieter und die Cloud-Infrastruktur beibehalten werden, wobei die Benutzerebene durch kontinuierliche Überprüfung und Bewertung des Zugriffsverhaltens gesichert wird.

Vertrauenswürdige Dateifreigabedienste können die kollaborativen Vorteile von Cloud-Diensten verstärken, indem sie die Sicherheit auf der Datenschutzebene erhöhen. Vertrauliche Daten werden direkt in der Datei verschlüsselt und können sicher an Nachrichten angehängt werden. Zero-Trust-Dateifreigabe bietet echte Datentransparenz und -sichtbarkeit und gewährleistet gleichzeitig die Sicherheit. Dies wird durch Aufbewahrungspolitiken, granulare Ordner- und Dateiberechtigungen, SSL/TLS-Protokolle und benutzerdefinierte DLP-Regeln erreicht, die den Dateizugriff einschränken und verwalten.

Fazit

Um eine Zero-Trust-Architektur für Cloud-Dienste erfolgreich einzuführen, ist sorgfältige Planung und genügend Zeit erforderlich. Ein schrittweiser Prozess, der verschiedene Sicherheitsebenen berücksichtigt, sorgt für sichere Abläufe und trägt zu einem effizienten und produktiven Arbeitsumfeld bei. Der Wechsel von einem zentralisierten Sicherheitsmodell zu einem mehrdimensionalen Ansatz bedeutet, dass jede Ebene des Netzwerks individuell abgesichert wird, um den spezifischen Anforderungen gerecht zu werden. Auch wenn die Umstellung auf ein neues Sicherheitssystem eine Anpassung im Denken und etwas Zeit benötigt, verbessert sie letztendlich die Cybersicherheit der gesamten Organisation.