«Die Verantwortung liegt nicht nur beim Cloud-Anbieter»

Aus dem Dossier kompakt in Kooperation mit Trend Micro & Netzwoche*

Michael Unterschweiger, ­Regional Director Schweiz & Österreich bei Trend Micro

Wer muss sich darum kümmern, dass die Daten in der Cloud sicher sind? Der, der die Cloud ­betreibt, oder der, der seine Daten in die Cloud schob? Beide, sagt Michael Unterschweiger, ­Regional Director Schweiz & Österreich bei Trend Micro. Interview: Coen Kaat

Wer trägt die Verantwortung, wenn die Daten in der Cloud liegen? Der Kunde oder der Cloud-Dienstleister?
Michael Unterschweiger: Zur Klärung dieser Frage hat sich für Public und Hybrid Clouds das Shared-Responsibility-Modell durchgesetzt. Das bedeutet, dass sich Kunde und Cloud-Service-Provider die Zuständigkeit für die Sicherheit teilen: Der Cloud-Service-Provider ist für die Sicherheit der Cloud selbst verantwortlich. Dazu gehört ausser der physikalischen Sicherheit der Hardware auch die grundlegende Sicherheit der Software von Computing- und Storage-Workloads auf der Virtualisierungsebene. Der Kunde trägt hingegen die Verantwortung für die Sicherheit innerhalb der Cloud, also etwa für den Schutz von Anwendungen, Updates und Patching von Gastbetriebssystemen, für die Authentifizierung, die Verschlüsselung von Daten oder die Konfiguration von Firewalls.

Das Shared-Responsibility-Modell klingt schön und gut. Aber ist das in der Praxis auch so klar abgegrenzt?
Die Abgrenzung funktioniert in der Regel sehr gut. Dies liegt nicht zuletzt daran, dass die grossen Cloud-Anbieter es ihren Kunden möglichst einfach machen wollen, ihre Anwendungen und Daten zu schützen. So können Kunden zeitgemässe, Cloud-native Sicherheitslösungen wie Trend Micro Deep Security direkt aus den Marketplaces der Dienstleister beziehen und sehr einfach ausrollen und nutzen.

Wie sicher sind die Daten in der Cloud?
Gerade die Clouds der grossen Dienstleister sind sehr sicher. Es liegt im eigenen Interesse dieser Anbieter, ein hohes Schutzniveau aufrechtzuerhalten und strenge Sicherheitsrichtlinien zu erfüllen. Insofern ist die oftmals noch vorhandene Angst vor der Public Cloud unbegründet. Doch auch Private Clouds lassen sich sicher gestalten. Mit modernen Sicherheitslösungen für On-Premise-Infrastrukturen können diese ebenso wirkungsvoll abgesichert werden.

Wie unterscheiden sich Public- und Hybrid-Cloud-Lösungen in Bezug auf die Sicherheit?
Während in der Public Cloud geteilte Verantwortlichkeiten gelten, sind die Betreiber von On-Premise-Infrastrukturen selbst für deren Sicherheit verantwortlich. Davon abgesehen lassen sich heutige Cloud-Sicherheitslösungen nahtlos über hybride Infrastrukturen ausrollen und flexibel an die aktuellen Work­loads anpassen. Dabei ist für den Kunden kein Unterschied spürbar. Ein Vorteil der hybriden Cloud besteht zudem in der Möglichkeit, sensible Daten und Anwendungen im eigenen Rechenzentrum zu behalten, etwa um Compliance-Vorgaben zu erfüllen. Gleichzeitig können andere Prozesse von der grösseren Flexibilität der Public Cloud profitieren.

Was sollte ein Nutzer unternehmen, um seine Daten und Prozesse in der Cloud abzusichern?
Die wichtigste Regel ist, sich überhaupt mit der Sicherheit zu beschäftigen. Der grösste Fehler ist, der leider noch immer häufig gemacht wird, die Verantwortung allein beim Cloud-Dienstleister zu sehen. Die Annahme, eine Public oder Hybrid Cloud sei ein Rundum-Sorglos-Paket, ist schlicht falsch. Zunächst sollte der eigene Sicherheitsbedarf ermittelt und ein Sicherheitskonzept erstellt werden, das sowohl den eigenen Verantwortungsbereich als auch den des Cloud-Providers beinhaltet. Dabei müssen auch die branchen- und unternehmensspezifischen Compliance-Vorgaben beachtet werden. Das Ausrollen der Sicherheit geht dann mit modernen Lösungen vergleichsweise einfach. Bei allen Schritten kann ein Partner, etwa ein Systemhaus oder Managed Service Provider, wertvolle Unterstützung bieten.

*Dieser Beitrag erschien am 17. April in der Netzwoche.