Cloud-Sicherheit: Grundlagen, die jeder Geschäftsführer oder CIO verstehen sollte

Es gibt eine Geschichte über die Entstehung von AWS, die sich hartnäckig hält: Amazon hatte all diese überschüssige Serverkapazität – aufgebaut für die Weihnachtszeit, aber 46 Wochen im Jahr ungenutzt. Jeff Bezos dachte: „Warum vermieten wir diese Kapazität nicht?"

Es ist eine gute Geschichte. Intuitiv. Logisch. Aber leider falsch.

Benjamin Black, Co-Autor des ursprünglichen AWS-Proposals, wird nicht müde zu betonen: „It's totally false." AWS wurde von Anfang an speziell als Service entwickelt, nicht aus überschüssiger Retail-Infrastruktur. Werner Vogels, Amazons CTO, stellte 2011 in einem Quora-Post klar: „The excess capacity story is a myth."

Die wahre Geschichte ist komplexer: Amazons Infrastruktur-Team war ziemlich gut darin geworden, skalierbare Systeme zu verwalten, um „ungewöhnliche Spitzenlast-Muster, besonders während der Weihnachtszeit" zu bewältigen. Sie erkannten, dass diese Expertise selbst wertvoll war und als Infrastruktur-Primitiven an andere Unternehmen verkauft werden konnte.

Aber die Tatsache, dass selbst die Entstehungsgeschichte des Cloud Computing weithin missverstanden wird, sagt uns etwas Wichtiges:

Wenn wir nicht einmal verstehen, wie die Cloud entstanden ist, wie gut verstehen wir dann, wie Cloud-Sicherheit tatsächlich funktioniert?

‍

Von Urlaubsfotos bis zu Firmendaten: Wir alle nehmen die Cloud als selbstverständlich wahr

Seit den frühen 2000er Jahren ist viel passiert. Cloud Computing hat sich von einer radikalen Idee zur Standardannahme entwickelt.

Deine Urlaubsfotos liegen in iCloud oder Google Photos. Die Kundendatenbank deines Unternehmens lebt auf AWS, Azure oder einem von Dutzenden anderen Anbietern. Deine E-Mail, dein CRM, deine gesamte operative Infrastruktur – alles ist „in der Cloud, irgendwie."

Das ist für uns alle selbstverständlich geworden. Hochladen, zugreifen, zusammenarbeiten – es funktioniert einfach. Bis es nicht mehr funktioniert, wie Nutzer im Nahen Osten festgestellt haben, als iranische Raketen und Drohnen einige ihrer Rechenzentren offline bombten.

Aber davon abgesehen: Beurteilen wir die Sicherheit von Cloud-Infrastruktur richtig? Welche Fehler werden häufig gemacht? Und noch wichtiger: Wie können wir diese Fehler beheben und unsere Cloud-Umgebungen – auch wenn nicht perfekt sicher – zumindest wesentlich sicherer machen?

‍

Das grundlegende Missverständnis: Was „Cloud" eigentlich bedeutet

Hier ist auch das Problem: „Cloud" ist auf den ersten Blick ein unpassender Begriff.

Wolken sind flauschig, schwebend, abstrakt, sie sehen nett aus, wenn du im Flugzeug sitzt und auf den magischen weissen Teppich unter dir hinabschaust. Sie sind „irgendwo da oben" – oder da unten, wenn du derjenige bist, der über ihnen fliegt. Die Metapher suggeriert, dass deine Daten in einem magischen, geschützten Raum schweben, der von Tech-Giganten verwaltet wird, die wissen, was sie tun.

Die Realität ist viel konkreter – und viel weniger automatisch sicher. Jetzt, da wir den Begriff Cloud haben, schauen wir uns die Realität an die jeder kennt: Du sitzt in einem Flugzeug, schaust auf die weissen Wolken unter dir, alles fantastisch. Dann geht das Flugzeug in den Sinkflug, plötzlich bist du in Weiss und Grau gehüllt, und sofort beginnt das Flugzeug zu schütteln, zu rütteln. Plötzlich ist der Flug nicht mehr ruhig, man klammert sich ängstlich an den Sitz. Vielleicht ist der Begriff „Cloud" doch nicht so schlecht.

„Die Cloud" ist der Computer von jemand anderem. Genauer gesagt: Es ist ein grosses System aus (hoffentlich) verteilten physischen Servern, die in Rechenzentren stehen und von Menschen verwaltet werden, die sie mit Software konfigurieren, die Bugs, Fehlkonfigurationen und Schwachstellen haben kann – genau wie jedes andere System.

Wenn du in die Cloud wechselst, eliminierst du nicht die Sicherheitsverantwortung. Du verteilst sie neu.

‍

Das Shared-Responsibility-Modell: Was dein Anbieter sichert (und was du sichern musst)

Jeder grössere Cloud-Anbieter arbeitet mit dem sogenannten „Shared-Responsibility-Modell" (Modell geteilter Verantwortung). Dieses Modell zu verstehen ist entscheidend, denn die meisten Sicherheitsverletzungen in Cloud-Umgebungen passieren genau in der Lücke zwischen dem, was Leute denken, dass gesichert ist, und dem, was tatsächlich gesichert ist.

‍

‍

Was der Cloud-Anbieter sichert (Sicherheit DER Cloud):

• Physische Infrastruktur: Rechenzentren, Strom, Kühlung, physische Zugangskontrollen

• Hardware: Server, Speichergeräte, Netzwerkausrüstung

• Virtualisierungsebene: Der Hypervisor, der deine virtuellen Maschinen von anderen trennt

• Netzwerk-Infrastruktur: Das zugrunde liegende Netzwerk, das alles verbindet

• Basis-Sicherheitsdienste: DDoS-Schutz auf Infrastrukturebene, Hardware-Patching

Ähnliche wie bei einer Mietwohnung. Der Gebäudeeigentümer ist verantwortlich für die strukturelle Integrität des Gebäudes, die Schlösser am Haupteingang, das Feuerlöschsystem und den funktionierenden Aufzug.

‍

‍

Was DU sichern musst (Sicherheit IN der Cloud):

• Deine Daten: Alles, was du hochlädst, speicherst oder verarbeitest

• Zugriffskontrolle: Wer kann worauf zugreifen und unter welchen Bedingungen

• Identität und Authentifizierung: Benutzerkonten, Passwörter, Multi-Faktor-Authentifizierung

• Anwendungssicherheit: Die Software, die du auf der Cloud-Infrastruktur ausführst

• Netzwerkkonfiguration: Firewalls, Sicherheitsgruppen, Netzwerksegmentierung

• Verschlüsselung: Sowohl ruhende Daten als auch Daten während der Übertragung

• Compliance: Erfüllung regulatorischer Anforderungen für deine Branche

‍

Zurück zur Wohnungs-Analogie: Du bist verantwortlich dafür, deine eigene Tür abzuschliessen, keine Wertsachen sichtbar am Fenster zu lassen, zu entscheiden, wem du Schlüssel gibst, und den Herd nicht anzulassen, wenn du gehst.

Der entscheidende Punkt: Der Cloud-Anbieter wird NIEMALS auf deine Daten zugreifen, um zu prüfen, ob du die Sicherheit richtig konfiguriert hast. Er kann es nicht. Er hat deine Schlüssel nicht, er kennt deine Geschäftslogik nicht. Abgesehen davon würde das in den meisten Ländern gegen geltendes Recht verstossen. Aber nicht in allen.

Das bedeutet: Du kannst deine gesamte Kundendatenbank ohne Passwortschutz hochladen, sie öffentlich für das Internet zugänglich machen, und der Cloud-Anbieter wird dich nicht stoppen. Warum? Weil es aus seiner Perspektive vielleicht beabsichtigt ist. Vielleicht betreibst du eine öffentliche Website.

‍

Wo die Sicherheitsrisiken liegen

Hier ist eine ernüchternde Statistik: 72% der Cloud-Sicherheitsverletzungen werden durch fehlerhafte Konfigurationen verursacht, nicht durch Hacks.

Also nicht weil ein staatlicher Akteur oder ein Krimineller einen Zero-Day-Exploit gestartet hat. Sondern weil jemand das falsche Kästchen angekreuzt oder vergessen hat, eine Sicherheitseinstellung zu aktivieren. Wo werden die meisten Fehler gemacht?

1. Öffentlich zugänglicher Speicher (Das S3-Bucket-Problem)

Cloud-Speicherdienste wie AWS S3, Azure Blob Storage oder Google Cloud Storage sind unglaublich praktisch. Dateien hochladen, Links teilen, von überall zugreifen.

Das Problem: Standardmässig werden diese oft als privat erstellt – aber eine Konfigurationsänderung kann sie öffentlich machen. Und „öffentlich" bedeutet „für jeden im Internet mit der URL zugänglich".

2. Fehlende Multi-Faktor-Authentifizierung auf Admin-Konten

Wenn dein Cloud-Admin-Konto nur ein Passwort benötigt, bist du nur eine Phishing-E-Mail davon entfernt, dass jemand die volle Kontrolle über deine Infrastruktur hat.

MFA (Multi-Faktor-Authentifizierung) erfordert nicht nur „etwas, das du weisst" (Passwort), sondern auch „etwas, das du hast" (Telefon, Hardware-Schlüssel) oder „etwas, das du bist" (Biometrie). 99,9% der Konto-Kompromittierungsangriffe können durch Aktivierung von MFA blockiert werden (Microsoft).

3. Zu weitreichende Netzwerkzugriffsregeln

Cloud-Anbieter lassen dich genau definieren, wer von wo auf was zugreifen kann. Sicherheitsgruppen, Firewall-Regeln, Netzwerk-ACLs – wer hat die Wohnungsschlüssel, wer bekommt sie?

4. Unverschlüsselte Daten (sowohl ruhend als auch während der Übertragung)

Verschlüsselung ist wie das Einlegen deiner Wertsachen in einen Safe. Selbst wenn jemand in dein Haus einbricht, kann er nicht auf das zugreifen, was im Safe ist, ohne die Kombination. Cloud-Anbieter machen Verschlüsselung einfach – oft ist es ein einzelnes Kontrollkästchen. Dennoch aktivieren es viele Organisationen nicht.

5. Kein Logging oder Monitoring

Wenn du keine Logs hast, kannst du Angriffe nicht erkennen. Und wenn du Angriffe nicht erkennen kannst, wirst du nicht wissen, dass du angegriffen wurdest, bis es zu spät ist.

Cloud-Anbieter bieten umfangreiche Logging-Fähigkeiten. CloudTrail für AWS, Azure Monitor für Azure, Cloud Logging für Google Cloud. Diese Dienste verfolgen jede Aktion in deiner Umgebung: wer sich eingeloggt hat, worauf zugegriffen wurde, welche Änderungen vorgenommen wurden. Aber – und das ist entscheidend – Logging ist nicht immer standardmässig aktiviert, und selbst wenn es aktiviert ist, muss jemand die Logs tatsächlich ansehen.

‍

Sicherheit kommt nicht automatisch

Der Wechsel in die Cloud bietet enorme Vorteile: Skalierbarkeit, Flexibilität, reduziertes Infrastrukturmanagement. Aber wirkliche Sicherheit gehört nicht automatisch dazu. Und die Cloud ist gut für vieles, aber nicht für alles. Und es gibt Anwendungsbereiche, wo du dir die Frage ganz grundsätzlich stellen solltest, ob das mit der Cloud eine Superidee ist.

Tatsächlich führt die Cloud neue Sicherheitsmechanismen ein, die viele Organisationen nicht vollständig verstehen. Sie erfordert ein klares Verständnis deiner eigenen Verantwortung.

Die gute Nachricht: Die meisten Cloud-Sicherheitsprobleme können mit relativ einfachen Konfigurationsänderungen behoben werden. Du brauchst keinen Doktortitel in Informatik. Du musst verstehen, wofür du verantwortlich bist, die häufigsten Fehlerquellen überprüfen und grundlegende Sicherheitspraktiken einhalten.

Fang mit einer einfachen Frage an: Verstehst du tatsächlich, wie deine aktuelle Cloud-Sicherheitslage aussieht?

Wenn die Antwort nicht eindeutig „ja“ ist,, ist heute ein guter Tag, es herauszufinden.

Dies ist ein Nettrust-Leitfaden. Für weitere Informationen zur Sicherung deiner Cloud-Infrastruktur oder zur Vereinbarung eines Sicherheitsaudits kontaktiere unser Team.

‍

Quellen:

https://en.wikipedia.org/wiki/Amazon_Web_Services

https://devsforgood.com/thread/from-internet-bubble-to-aws-the-story-of-amazon-s-datacenter-transformation-in-the-2000s

https://www.acquired.fm/episodes/amazon-web-services

https://www.networkworld.com/article/936248/the-myth-about-how-amazon-s-web-service-started-just-won-t-die.html

https://www.techaheadcorp.com/knowledge-center/history-of-aws/

https://www.awsccupmindanao.org/Workshops/Cloud%20Computing/Backbone%20of%20AWS/00%20-%20History%20of%20AWS/

https://digitalcloud.training/a-brief-history-of-aws-and-how-computing-has-changed/

https://medium.com/@nyelizabeth/the-untold-story-of-amazon-aws-cb555fa76dd9

https://www.shambix.com/how-was-amazon-aws-born-from-near-bankruptcy-to-key-global-asset/

https://cosmiccapital.substack.com/p/amazon-aws-business-breakdown

‍