Mehr Vertrauen ins Cloud-Computing

«Wer mit seinem digitalen Business durch Nutzung der Public Cloud Gas geben will, der benötigt auch gute Bremsen. Ein tragfähiges Sicherheitskonzept mit einer flexi­blen Absicherung der Cloud-Services schafft die Grundlage für die vertrauensvolle Cloud-Nutzung», sagt Marko Vogel, Partner Cyber Security bei KPMG. Doch viele Unternehmen sind weiterhin unsicher, ob sie der Cloud Vertrauen schenken können. Firmen ohne Public-Cloud-Lösungen haben vor allem Sicherheitsbedenken. Sieben von zehn Nichtnutzern fürchten einen unberechtigten Zugriff auf sensible Unternehmensdaten. Für 60 Prozent ist die Rechtslage unklar, wie der «Cloud-Monitor 2020» des Digitalverbands Bitkom ergab.

In Branchen, die mit besonders sensiblen Daten wie zum Beispiel Patientendaten umgehen, muss die Cloud ihre Tauglichkeit noch stärker unter Beweis stellen. Im Vergleich zu anderen Branchen hinkt etwa der Gesundheitssektor bei der Adaptation neuer Technologien deutlich hinterher, berichtet das «Ärzteblatt». Dies liege unter anderem an dem speziellen, stark regulierten und komplexen Umfeld der Gesundheitsbranche.

Dabei wäre Cloud-Computing erwünscht und wichtig für die Umsetzung der E-Health-Strategie, wie sie das Bundesministerium für Gesundheit entwickelt hat. Damit auch sensible Gesundheitsdaten in einer Cloud verarbeitet werden können, sind jedoch erhöhte Sicherheitsanforderungen zu erfüllen. «Krankenhäuser und viele andere Einrichtungen des Gesundheitswesens tragen in mehrfacher Hinsicht eine besondere Verantwortung für ihre IT-Netzwerke», so der Präsident des Bundesamts für Sicherheit in der Informationstechnik (BSI) Arne Schönbohm. «Der Schutz sensibler Patientendaten muss ebenso zuverlässig gewährleistet sein wie die Versorgung von Patientinnen und Patienten mit Unterstützung modernster Computertechnologie.»

Ein solcher Schutz sensibler Patientendaten und anderer besonders zu schützender Daten während der Verarbeitung in einer Cloud soll mit Confidential Computing möglich werden.

«Führende Unternehmen im Bereich der Informations- und Infrastruktursicherheit sind mit dem Schutz von gespeicherten Daten (data at rest) oder während der Übertragung (data in flight) durch eine Vielzahl von Methoden bestens vertraut», erklärt Lorie Wigle, Vice President Architecture, Graphics and Software Group und General Manager of Platform Security Product Management bei Intel. «Daten, die aktiv im Speicher verarbeitet werden, sind jedoch etwas anderes. Unabhängig davon, ob diese auf den eigenen Servern vor Ort, in einer Edge-Bereitstellung oder im Herzen des Rechenzentrums eines Cloud-Anbieters ausgeführt werden, sind diese ,in Verwendung befindlichen Daten fast immer unverschlüsselt und potenziell anfällig», so Lorie Wigle weiter.

Es liegt auf der Hand, dass der mangelnde Schutz während der Verarbeitung von Daten in einer Cloud besonders kritisch bei Patienten- oder Finanzdaten zu sehen ist. Doch auch andere Daten, zum Beispiel solche, die ein Betriebsgeheimnis enthalten, haben einen erhöhten Schutzbedarf, der auch während der Verarbeitung erfüllt werden muss, nicht nur bei der Speicherung und Übertragung der Daten.

Eine Absicherung der Daten während der Verarbeitung in einer Cloud ist deswegen über den Gesundheitssektor und das Finanzwesen hinaus für viele Branchen und Anwendungsfälle relevant. «Unternehmen, die ihre Anwendungen in der öffentlichen Cloud ausführen möchten, aber nicht wollen, dass ihre wertvolle Software-IP für andere Software- oder den Cloud-Anbieter sichtbar ist, können ihre proprietären Algorithmen mit Confidential Computing ausführen», erklärt Lorie Wigle von Intel. «Mehrere Parteien können Transaktionen gemeinsam nutzen, ihre vertraulichen oder geschützten Daten jedoch durch die Verwendung von Confidential Computing vor den anderen Parteien schützen.»

Microsoft, das Intel-Technologie für seine Lösung Azure Confidential Computing nutzt, nennt Beispielanwendungen: Organisationen im Gesundheitswesen können umfangreiche Datensätze, zum Beispiel aus Genom-Analysen, gemeinsam nutzen, ohne dass diese Daten an andere Organisationen weitergegeben werden. In Öl- und Gas- sowie IoT-Szenarien können Unternehmen sensible Daten, die zu ihrem geistigen Eigentum gehören, künftig gefahrlos zur Verarbeitung in die Cloud transferieren.