Wie Sicher Ist Die IT-Infrastruktur In Der Cloud?
Die Corona-Pandemie hat viele von uns zu „Heimarbeitern" gemacht. Von zu Hause aus greifen wir remote auf Firmenanwendungen zu, die in der Cloud oder lokal im Rechenzentrum bereitgestellt werden. Die Zusammenarbeit findet für viele von uns seit Monaten ausschließlich über Videokonferenzen, Calls und Chat statt. Das exponentielle Wachstum der Remote-User und Cloud-Nutzer bedingt eine zunehmende Bedrohung durch Cyberkriminalität. Sind Cloud-Lösungen also weniger sicher? Keineswegs. Cloud-Infrastrukturen gepaart mit Sicherheits-Mechanismen aus der Cloud sind in der Regel sicherer als das lokale Firmennetzwerk.
Die Bedrohungslage spitzt sich zu: Laut der Studie Cloud Security 2019 von IDG setzen mehr als ein Drittel (37 Prozent) der deutschen Unternehmen beim Cloud-Schutz auf klassische Sicherheitsmaßnahmen wie Datenverschlüsselung und VPN. Dabei können Security-Anbieter das notwendige Know-how genau dort einbringen, wo es im eigenen Unternehmen fehlt. Das betrifft zum Beispiel Cyber-Gefahren in den Bereichen Phishing und Distributed Denial of Service (DDoS), die seit Ausbruch der Corona-Pandemie enorm zugenommen haben. Besonders betroffen sind die ohnehin stark attackierten Branchen Gaming, Internet- und Telekommunikation sowie das Finanzwesen. Ein extremes Beispiel aus unserem Akamai Kundenstamm ist eine DDoS-Attacke im Juni 2020 mit einem Angriffs-Volumen von 1,44 Terabit pro Sekunde und 385 Millionen Paketen pro Sekunde (Mpps) - die bisher größte von Akamai festgestellte DDoS-Attacke. Das betroffene Unternehmen war bereits unter dem Schutz der Akamai DDoS-Plattform, somit konnte der Angriff schnell abgewehrt werden. Ohne vorhandenen Schutz kann eine solche
DDoS-Attacken 2020: Ein Kreis stellt eine Attacke auf einen Akamai-Kunden dar. Ein extremer Peak war der DDoS-Angriff im Juni 2020 mit einer Bandbreite von 1,44 Terabit pro Sekunde. Quelle: Akamai Technologies
Vor diesem Hintergrund sollte es gerade jetzt eine Selbstverständlichkeit für Unternehmen sein, die eigene Infrastruktur regelmäßig auf Sicherheitsrisiken zu prüfen. In meiner täglichen Arbeit beobachte ich immer wieder, dass viele die Gefahren aus dem Internet wie DDoS,- Webanwendungs- und Bot-Angriffe unterschätzen. Dabei muss in stark digitalisierten Branchen wie E-Commerce, Bankwesen, Medien wie auch im Bereich Internet of Things (IoT) ein hohes Maß an Sicherheit gewährleistet sein, um sowohl wiederkehrende als auch neuartige Angriffe wie PowerShell-, Mobile- und IoT-Malware bereits in der Cloud abzufangen - lange bevor sie auf die Unternehmensanwendungen und -Infrastruktur treffen.
Cloud oder nicht Cloud - ist das noch die Frage?
Ein oft geäußertes Argument gegen die Cloud-Nutzung ist der Wunsch nach Kontrolle: „Meine Daten liegen dort, wo sie mir gehören, im eigenen Rechenzentrum." Doch dieser Anspruch gerät schnell zur Milchmädchen-Rechnung. Denn der Betrieb und die Gewährleistung der Sicherheit des internen Systems bedeuten eine enorme Investition, vom Aufbau der Infrastruktur über benötigte Hardware bis hin zum Mitarbeiter-Know-how. Viele Unternehmen haben nicht die nötigen Ressourcen, um diese Infrastruktur aufzubauen, geschweige denn zu pflegen.
Die Einstiegsschwelle in die Cloud hingegen ist niedrig und die Vorteile liegen auf der Hand: Geringe Vorlaufkosten, schnelle Bereitstellung, Skalierbarkeit, Flexibilität und Erweiterbarkeit, Ausfallsicherheit und nicht zuletzt Innovation, d.h. der Zugang zur neuesten Technologie. Die Cloud-Nutzung ist nicht mehr eine Frage des Ob, sondern eine Frage des Wie.
Der Trend geht seit Jahren weg vom lokalen System hin zu Cloud-Lösungen. Laut dem Cloud Monitor 2020 von KPMG und Bitkom setzen bereits drei Viertel der Unternehmen in Deutschland auf Cloud-Computing. Die meisten Entscheider haben erkannt, dass die Cloud einen essenziellen Treiber für die digitale Transformation ihres Unternehmens darstellt. Das flexible Modell von Software-as-a-Service (SaaS) hat sich heute in vielen Bereichen durchgesetzt. Bislang macht die Private Cloud noch das Rennen gegen die Public Cloud. Doch nicht erst seit Corona nutzen immer mehr Unternehmen Public-Cloud-Lösungen von Exchange Online bis zum Videochat.
On-premise vs. Cloud: Wo der Trend hingeht: Zwischen 2015 und 2019 haben sich immer mehr Unternehmen für die Cloud entschieden. Bislang kommen Private Cloud-Lösungen noch etwas häufiger zum Einsatz als die Public Cloud. Quelle: Cloud Monitor 2020, KPMG/Bitkom
Klar ist: Sowohl Cloud- als auch lokale Infrastrukturen sind Cyberangriffen ausgesetzt und müssen proaktiv geschützt werden. Doch Statistiken belegen, dass es weniger Verdachtsfälle in der Cloud als On-Premises gibt. Die Sorge, dass Daten in der Cloud unsicher sind, schwindet langsam aus den Köpfen der Entscheider. Zu diesem Schluss kommt auch die Cloud Security Studie 2019 der IDG Research Services. Demnach wissen die Unternehmen um die Sicherheit der Cloud und was sie brauchen, um diese zu erhalten.
Wo ist es am sichersten? Unternehmensinterne IT-Systeme sind tendenziell anfälliger für Angriffe als Public Cloud-Lösungen. Quelle: Cloud Monitor 2020, KPMG/Bitkom
Die Gefahrenpotenziale in Cloud-Services betreffen vor allem Hacker-Angriffe, Datendiebstahl und DDoS-Attacken. Auf solche Angriffe kann ein Cloud Security Anbieter frühzeitig reagieren. Akamai analysiert die Internet-Bedrohungslage in sechs weltweit verteilten Security Operations and Command Center (SOCC), in denen 700 Sicherheitsexperten unterstützt durch Machine Learning rund um die Uhr Angriffs-Vektoren erkennen, analysieren und abwehren.
Fazit: mehrstufe sicherheit durch starke partner
Ein Zustand der absoluten Sicherheit ist nie final erreicht. Technologien und somit Cyber-Bedrohungen wandeln sich immer weiter. Daher muss auch die IT-Sicherheit kontinuierlich angepasst werden. Sicherheit auf verschiedenen Ebenen ist ein Schlüssel zum Erfolg: Schutz der DNS-Server, der Webanwendungen und natürlich der Infrastruktur selbst - umgesetzt und betreut durch starke Partner, so dass Sie sich auf Ihr Kerngeschäft konzentrieren können.
Zum Schluss möchte ich Ihnen die Lektüre von zwei Dokumenten ans Herz legen: Werfen Sie einen Blick in die Checkliste für den Kampf gegen DDoS-Erpressung und in das Paper Erstellung eines DDoS Protection Plan - 8 Best Practices.
