Warum die Cloud bei der Sicherheit punktet

Sicherheitsbedenken müssen heute keine Hürde für den Wechsel in die Cloud sein. Mit umfassenden Security-Konzepten und massiven Investitionen in IT-Sicherheit sind Cloud-Provider sicherer aufgestellt als die Infrastruktur vieler Unternehmen. Stimmt auch das eigene Security-Konzept, können Cloud-Anwender mit Disaster Recovery as a Service oder KI-basierten Diensten für Cyber Security ihr Sicherheitslevel sogar noch erhöhen.

Die meisten Unternehmen haben in den letzten Jahren für den kurzfristigen Wechsel vieler Mitarbeiter ins Homeoffice verstärkt Cloud-Lösungen eingesetzt. Nach den grundsätzlich positiven Erfahrungen mit Verfügbarkeit und Zuverlässigkeit der Remote Work-Technologien wächst das Interesse, die Cloud auch für andere Bereiche zu nutzen. Cloud-basierte Managed Services machen das Unternehmen in Krisensituationen flexibler – Cloud-Umgebungen können zudem geo-redundant ausgelegt sein. Falls also IT-Personal wegen Krankheit oder Lockdown ausfällt, können andere Standorte übernehmen und Geschäft am Laufen halten.

Wie die Untersuchung „Cloud Security 2021“ von IDG Research belegt, sehen rund 60 Prozent aller Unternehmen die Cloud als Chance, die eigene IT-Sicherheit zu verbessern. Die wichtigsten Auswahlkriterien bei Cloud-Diensten sind die leichte Administration (91 Prozent der Nennungen), die gesicherte Kommunikation (89 Prozent) und die Sicherheitsfunktionen des Cloud-Anbieters (88 Prozent). Die durch die Cloud-Provider heute bereitgestellte Cloud Security wird durchgehend positiv bewertet. Einem Drittel der befragten CIOs und IT-Entscheider sind zudem Zertifizierungen der Cloud-Provider besonders wichtig. Azure weist hier mit mehr als 90 internationalen Landes- und industriespezifischen Zertifizierungen die meisten Prüfsiegel vor.

Das Sicherheitsbedürfnis deutscher Unternehmen ist hoch. Auch deshalb setzen viele Unternehmen darauf, Daten DSGVO-konform in deutschen oder europäischen Cloud-Rechenzentren unterzubringen. So wird eine Situation vermieden, in der für die eigenen Daten plötzlich eine andere Gesetzgebung gilt, wenn sie zum Beispiel auf Servern mit Standort in anderen Kontinent liegen. Provider wie Microsoft stellen mit Private-Key-Verschlüsselung und Confidential Computing sicher, dass Cloud-Betreiber die Daten nicht einsehen können. Zudem sollte auf ein klares Bekenntnis des Providers zum IP-Schutz geachtet werden, wenn zum Beispiel eigene KI- oder Analyse-Applikationen auf der Basis von Cloud-Technologie entwickelt werden.

Die Disaster Recovery, also die Wiederherstellung von Daten und Systemen im Problemfall, ist gerade für KMU eine erhebliche Herausforderung. Deshalb erhöht Disaster-Recovery-as-a-Service (DRaaS) zum Festpreis vom Cloud-Provider Datensicherheit und Systemverfügbarkeit. 

Zunehmend werden auch Security-Services angeboten, die moderne, KI-basierte Überwachungslösungen gegen Cyber-Attacken nutzen und mit zentralen Security-Leitständen umfassende Sicherheitskonzepte unterstützen. Der Betrieb solcher Security Operation Center (SOC) zeichnet sich dabei zunehmend als Trend ab. Allerdings ist es für einzelne Unternehmen zu aufwendig, ein SOC aufzubauen, in dem in dem Experten verschiedenster Disziplinen sogenannte Security Incident Response Teams bilden. Dabei werden die Systeme mit spezialisierten Analyse-Werkzeugen zum Beispiel für Intrusion Detection kontinuierlich auf Schwachstellen untersucht und überwacht: Hier sind im Grunde nur „as-a-Service“-Lösungen wirtschaftlich.

Cloud-Anbieter haben sich seit Jahren massiv auf das Thema Security spezialisiert, schlicht weil ihr Geschäftserfolg davon abhängt. Allerdings verbleibt nach wie vor viel Verantwortung im jeweiligen Unternehmen. Eine Cloud-Strategie kann deshalb immer nur so gut sein, wie das eigene Sicherheitskonzept. Das bedeutet, Unternehmen müssen klar identifizieren, welche Daten besonders schützenswert sind, wo sie liegen und wer gemäß Compliance-Vorgaben darauf zugreifen darf. 

Dem Thema Zugriffs- und Rechtemanagement kommt hier ein besonderer Stellenwert zu. Dabei haben Unternehmen einen Heimvorteil, die ohnehin schon MS Active Directory Services nutzen: Das Werkzeug zum Zugriffsschutz vereinfacht den sicheren Weg in die Cloud. In einem neuen IT-Sicherheitskonzept kann so die Benutzeridentität über die Grenzen des eigenen Unternehmens hinaus erweitert werden. In der Praxis setzen sich Hybrid- und Multicloud-Umgebungen immer stärker durch. Marktanalysten sind sich einig, dass es klassische IT-Security-Konzepte nicht mehr geben kann: Stattdessen sind alle Bereiche der Unternehmens-IT – sowohl on-Premise, in der Private und Public Cloud – durchgängig zu schützen.