Wenn ein ICT-Bereich derzeit besonders boomt, dann ist es wohl Cloud Computing. Gemäss aktuellen Zahlen von Canalys sind die Ausgaben hierfür global 2019 auf 107,1 Milliarden US-Dollar gestiegen. Dies entspricht einem Wachstum gegenüber dem Vorjahr von 37,6 Prozent. Nicht zuletzt durch die Etablierung der Hyperscaler in der Schweiz, also der mächtigsten globalen Cloud-Anbieter AWS, Google und Microsoft, dürfte die Nutzung von Rechen- und Datenwolken hierzulande ebenfalls drastisch zunehmen. Hierbei reiben sich nicht nur die Anbieter und zugehörigen Dienstleister die Hände, auch Hacker wittern Morgenluft.

Dass Anwenderunternehmen in hohem Mass in der Cloud angreifbar sind, hat unlängst der Cloud-Security-Spezialist Netskope gezeigt. Eine Auswertung der Daten des eigenen «Threat Labs» ergab für 2019, dass 44 Prozent der bösartigen Bedrohungen Cloud-basiert sind. Dies ist umso attraktiver für Hacker, als Netskope davon ausgeht, dass 89 Prozent der Endanwender von Firmen in irgend­einer Form Cloud-Dienste in Anspruch nehmen.

Besonders haben es die Angreifer dabei auf die populärsten Cloud-basierten Online-Speicher abgesehen. So nennt Netskope in seiner Studie «The Dark Side of the Cloud» folgende fünf Cloud-Apps als jene, in denen am
häufigsten Bedrohungen identifiziert wurden. Diese seien «Microsoft Office 365 OneDrive for Business», «Box», «Google Drive», «Microsoft Azure» ganz allgemein und «GitHub». Die Gefahr verschärft sich gemäss Netskope zudem, da gut ein Fünftel der Anwender Daten zwischen den Online-Applikationen hin- und herschiebt, also ein wichtiges Firmendokument von OneDrive in Google Drive verschiebt oder das File mit den Mitarbeitenden via Slack teilt.

Offensichtlich werden diese bekannten Cloud-Dienste auch zunehmend für den Kontoklau missbraucht. Dies berichtet etwa Thomas Uhlemann, Security Specialist DACH bei ESET, gegenüber Computerworld. «Aktuell sehen wir die grösste Gefahr darin, dass Cyberkriminelle per Phishingmails die steigenden Nutzerzahlen an Cloud-Angeboten, wie etwa Office 365, ausnutzen wollen», berichtet er und präzisiert, dass dabei den Endanwendern gefälschte Login-Seiten präsentiert werden, um die echten Zugangsdaten der Nutzer abzufragen.

Uhlemann empfiehlt denn auch in diesem Zusammenhang, neben der konsequenten Verschlüsselung von in der Cloud gespeicherten Daten, die von den meisten dieser Dienste angebotene Zwei-Faktor-Authentifizierung auch zu nutzen, respektive in den entsprechenden Policies des Unternehmens vorzuschreiben. Handkehrum warnt er: «Finger weg von Diensten, die keine Zwei-Faktor- oder Multi-Faktor-Authentifizierung anbieten!»

Aber nicht nur bei den Endanwendern öffnen sich in Sachen Cloud Computing Einfallstore. Auch Entwickler und IT-Mitarbeiter geben den Hackern Angriffsflächen oder exponieren Daten. So sind die grössten Datenlecks der jüngsten Geschichte meist darauf zurückzuführen, dass grössere Datenmengen in Form von «Buckets» im AWS-Speicher S3 öffentlich abgelegt wurden. Diese Datenkübel werden zwar standardmässig als privat generiert, oft möchten aber Entwicklerteams die Speicher gemeinsam nutzen und ver­öffentlichen sie zu diesem Zweck. Wird danach vergessen, den Kübel wieder auf «privat» zu stellen, kann es zum Datenleck kommen.

Genau dies geschah offenbar den beiden US-Finanz­instituten Advantage und Argus. Dort hatte man im Zusammenhang mit einer Smartphone-App eine S3-Bucket offen gelassen. Das Ergebnis: Gut 425 Gigabyte an hochsensi­blen Informationen standen Ende Dezember 2019 öffentlich zugänglich im Web. Fast 500'000 zum Teil hochsensible Dateien wie etwa Bankabrechnungen von Kunden waren so offen einsehbar.

Der Fall von Advantage und Argus zeigt deutlich, dass nicht die Cloud-Umgebung per se mehr oder weniger sicher ist als die hauseigene IT. Vielmehr sind es oft Fehler bei der Konfiguration von Online-Speichern und virtuellen Instanzen, die in der Cloud gelagerte und verarbeitete Daten gefährden. Und die damit verbundene Gefahr wird eher zunehmen als abnehmen, befürchtet das Marktforschungsunternehmen Gartner. Die Auguren gehen davon aus, dass bis 2025 sage und schreibe 99 Prozent aller Cloud-Security-Vorfälle auf Fehler der Kunden zurückzuführen seien.

Dass Fehlkonfigurationen grosse Datenklaus ermög­lichen, beweist der Fall von Capital One, der im Sommer 2019 ruchbar wurde. Damals gelang es einer ehemaligen Mit­arbeiterin von AWS, über eine falsch konfigurierte Web Appli­cation Firewall (WAF) auf die von AWS gehostete In­frastruktur des Finanzdienstleisters zuzugreifen, Daten abzusaugen und die Ausbeute voller Hackerstolz auf GitHub abzulegen.

Auch gemäss Zohar Alon, Leiter des Cloud-Geschäfts beim israelischen Cyber-Security-Experten Check Point, lauert die grösste Gefahr für Cloud-Umgebungen in der fehler­haften Konfiguration entsprechender Anwendungen. «Diese werden nämlich zunehmend komplexer», gibt er im Gespräch mit Computerworld zu bedenken. Und Alon hat mit Kubernetes, einem System zur Bereitstellung von Container-Anwendungen, einen Hauptverdächtigen identifiziert. «Ein besonderer Faktor, der die Konfiguration verkompliziert, ist Kubernetes», berichtet er. Denn dessen Kon­figuration sei sehr komplex. «Somit kann der Einsatz von Kubernetes zu einem wahren Konfigurationsdurcheinander führen, und zwar egal, ob in der öffentlichen Cloud betrieben oder im eigenen Unternehmen», meint Alon weiter. Ein Grund hierfür sei, dass Kubernetes hauptsächlich von den Entwicklern selbst installiert und betrieben werde und nicht von der IT-Abteilung der Unternehmen. «Dann sind die Standardkonfigurationen von Kubernetes nicht optimal und die Benutzeroberfläche nicht grafisch und daher sehr unübersichtlich», bekrittelt er weiter.

Doch es gibt auch Lösungsansätze und Best Practices, die IT-Security-Experten empfehlen können. «Das Erstellen und Pflegen der Security Policies und Konfigurationen sollten automatisiert werden», meint etwa Boris Achermann, Head Cloud Workload Protection und CTO der in Bassersdorf beheimateten Ispin gegenüber Computerworld. Für diese Prozesse sei das Sammeln von Telemetriedaten und maschinelles Lernen für die Auswertung unerlässlich, fügt er an. «Damit lassen sich in kürzester Zeit präzise Policies synthetisieren», ist er überzeugt.

Gabriel Kälin, Systems Engineer bei Fortinet Schweiz, sieht das ähnlich: «Automatisierung hilft, Fehlern vorzubeugen und Best Practices zu etablieren.» Schliesslich könnten Technologien, welche die Konfiguration, Aktivitäten und Vorgänge in der Cloud einfach sichtbar machen, ungemein hilfreich sein, die Sicherheit zu verbessern, meint er.

Dem kann Achermann nur beipflichten: «Visibilität ist ein Grundpfeiler in der Cloud Security», sagt er. Es muss ihm zufolge jederzeit ersichtlich und nachvollziehbar sein, wo sich die Applikationen und Daten des Unternehmens befinden. «Unabhängig von der Cloud-Umgebung ist die Visibilität symbiotisch mit der Automatisierung anzuwenden. Es gilt, die automatisierten Prozesse zu überwachen und neue Erkenntnisse in die Automatisierung einfliessen zu lassen», doppelt Achermann nach.

Ein weiteres Problem in Sachen Cloud Security ist schliesslich, dass nicht immer ganz klar ist, wer für welchen Teil der Sicherheit zuständig ist. Es heisst nämlich, genau festzulegen, wie viel Verantwortung der Provider übernimmt und wie viel das Anwenderunternehmen sowie wo sich Überschneidungen ergeben oder Grauzonen auftun. 

Etabliert hat sich hier inzwischen das Shared-Respon­sibility-Modell. Generell gilt dabei, dass der Provider für die Sicherheit der Cloud als solcher zuständig ist. Dagegen zeichnet der Anwender für die Sicherheit in der Cloud verantwortlich. Somit ist der Kunde für seine Daten, die in der Cloud gelagert und verarbeitet werden, selbst verantwortlich.

Dass die Verantwortlichkeiten zwischen Cloud-Anbieter und Cloud-Kunde geteilt werden, ist dabei auch der  Mehrheit der im Rahmen der aktuellen Swiss-IT-Studie von Computerworld und IDC befragten gut 300 IT-Verantwortlichen aus Schweizer Unternehmen bewusst (vgl. Grafik). So sind 56,2 Prozent der Befragten der Ansicht, dass beide für die Datensicherheit in der Cloud zuständig sind. Immerhin je ein Fünftel der konsultierten CIOs sind der Ansicht, dass nur der Cloud-Provider oder nur der Kunde für die Sicherheit im Cloud-Umfeld zu sorgen hat.

Heikel sind dabei die Gebiete, bei denen die Verantwortung zwischen dem Cloud-Anbieter und dem Firmenanwender geteilt wird. Dies ist je nach Service-Kategorie unterschiedlich und hängt davon ab, wie viel der Infrastruktur der Provider jeweils zur Verfügung stellt. So liegt bei einem SaaS-Modell (Software as a Service) fast die komplette Verantwortung beim Provider, während beim IaaS-Modell (Infrastructure as a Service) der Anwender zum Beispiel für die auf der gemieteten Infrastruktur laufenden Applika­tionen und virtuellen Umgebungen sowie die dort abgelegten Daten zuständig ist.

Das sieht Ispins Achermann ähnlich: «Je nach Cloud-Service-Modell findet sich die ‹Shared Responsibility› an unterschiedlichen Schichten im Infrastruktur-Stack.» Einschlägige Referenzmodelle zeigten, dass die «Shared
Responsibility» nicht vertraglich delegier- oder ausbedingbar sei, meint er weiter. «Kundenseitig ist der erste Schritt zur Risikoreduktion die genaue Kenntnis der Schnittstelle beziehungsweise der Arbeitsteilung zwischen Kunde und Cloud Service Provider», folgert Achermann.

In der Praxis hiesse das, dass Cloud-Anbieter Schnittstellen zur Verfügung stellen müssten, die es dem Anwender erlaubten, Kontrolle über seine Daten zu behalten, meint Kälin von Fortinet Schweiz. «Was der Anwender nicht beeinflussen kann, muss der Anbieter schützen», betont er. «Beispielsweise ist der Cloud-Anbieter dafür verantwortlich, dass die Mandanten sauber voneinander getrennt werden», doppelt Kälin nach.

Wer also was beim Cloud Computing zu schützen hat, ist nicht immer glasklar. Umso wichtiger ist es, die Zuständigkeiten im Voraus festzuzurren. «Hier helfen gegebenenfalls eindeutig vertraglich festgehaltene Regelungen», sagt Uhlemann von ESET. «Ebenso sollte man als Unternehmen bei Hostingangeboten auf die Festlegung bestehen, wer für die Aktualisierung von zur Verfügung gestellten Betriebssystemen und Software sowie für die Wartung der Hardware zuständig ist», lautet daher seine Empfehlung.