Cloud-Dienste sicher nutzen

Cloud-Sicherheit im IT-Grundschutz

Der Baustein OPS.2.2 «Cloud-Nutzung» richtet sich an Organisationen, die Cloud-Dienste beziehen. Für die konkreten Dienste kommen weitere Bausteine hinzu, etwa APP.5.3 für E-Mail oder APP.5.4 für Unified Communications und Collaboration. Die Basis-Anforderungen von OPS.2.2 sind:

• Strategie für die Cloud-Nutzung (A1): Ziele, Chancen und Risiken, rechtliche und organisatorische Rahmenbedingungen, welche Dienste und Daten grundsätzlich in Frage kommen.
• Sicherheitsrichtlinie für die Cloud-Nutzung (A2): verbindliche Vorgaben, etwa zu zulässigen Datenkategorien, Anmeldung und Verantwortlichkeiten.
• Service-Definition (A3): Für jeden Dienst wird beschrieben, was er leisten soll, einschließlich Anforderungen an Verfügbarkeit und Sicherheit.
• Verantwortungsbereiche und Schnittstellen (A4): Es wird festgelegt, welche Aufgaben beim Anbieter liegen und welche beim Kunden.

Standard-Anforderungen betreffen unter anderem die Planung der Migration und Einbindung, ein Sicherheitskonzept, die sorgfältige Auswahl der Anbieter, die Vertragsgestaltung, ein Notfallkonzept, den Nachweis ausreichender Informationssicherheit und die geordnete Beendigung des Vertragsverhältnisses. Bei erhöhtem Schutzbedarf kommen Portabilität, eigene Datensicherungen und Verschlüsselung hinzu.

Geteilte Verantwortung

Wer was absichert, hängt vom Dienstmodell ab:

• Infrastructure as a Service (IaaS): Der Anbieter stellt Rechenleistung, Speicher und Netz bereit. Betriebssystem, Anwendungen, Updates und Konfiguration liegen beim Kunden.
• Platform as a Service (PaaS): Der Anbieter betreibt zusätzlich die Laufzeitumgebung. Der Kunde verantwortet Anwendung, Daten und Zugänge.
• Software as a Service (SaaS): Der Anbieter betreibt die komplette Anwendung. Beim Kunden bleiben Konten, Berechtigungen, Konfiguration, Freigaben und die Frage, welche Daten er einstellt.

Kleine Betriebe nutzen überwiegend SaaS. Der häufigste Fehler ist die Annahme, mit dem Abschluss des Vertrags sei die Sicherheit erledigt. Tatsächlich entstehen die meisten Probleme in den Bereichen, die beim Kunden bleiben.

Anbieter auswählen

Prüfnachweise

Das BSI hat mit dem Kriterienkatalog C5 (Cloud Computing Compliance Criteria Catalogue) Mindestanforderungen an sichere Cloud-Dienste beschrieben. Anbieter können sich von Wirtschaftsprüfern dagegen prüfen lassen und einen Prüfbericht vorlegen. Daneben sind Zertifikate nach ISO/IEC 27001 verbreitet. Achten Sie darauf, dass sich ein Nachweis tatsächlich auf den genutzten Dienst und Standort bezieht und nicht nur auf einen anderen Unternehmensteil.

Vertrag und Datenschutz

• Wo werden die Daten verarbeitet und gespeichert, und welche Unterauftragnehmer sind beteiligt?
• Gibt es einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, wenn personenbezogene Daten verarbeitet werden?
• Welche Verfügbarkeit sichert der Anbieter zu, und was passiert bei Ausfällen?
• Wie meldet der Anbieter Sicherheitsvorfälle?
• Wie kommen Sie bei Vertragsende an Ihre Daten, in welchem Format und in welcher Frist?

Sicher konfigurieren

Identitäten und Zugänge

Bei SaaS-Diensten ist die Anmeldung die wichtigste Schutzlinie. Mindeststandard ist Zwei-Faktor-Authentifizierung für alle Konten, besonders für Administratoren. Wo möglich, binden Sie Dienste an einen zentralen Identitätsdienst an (Single Sign-on), damit beim Austritt eines Mitarbeiters ein einziger Schritt alle Zugänge sperrt. Administratorrechte erhalten nur wenige Personen, mit eigenen Administrationskonten.

Freigaben und Daten

Externe Freigaben per Link sind praktisch, geraten aber schnell außer Kontrolle. Legen Sie fest, ob anonyme Links erlaubt sind, wie lange sie gelten und wer externe Personen einladen darf. Prüfen Sie in regelmäßigen Abständen, welche Freigaben noch aktiv sind.

Protokolle

Die meisten Dienste bieten Anmelde- und Aktivitätsprotokolle. Klären Sie, wie lange diese vorgehalten werden, wer sie einsehen darf und ob bei auffälligen Anmeldungen eine Benachrichtigung erfolgt.

Datensicherung und Ausstieg

Viele Anbieter sichern ihre Infrastruktur gegen Hardwareausfall, schützen aber nicht unbedingt vor versehentlichem Löschen, Verschlüsselung durch Schadsoftware über ein synchronisiertes Gerät oder dem Verlust des Kontos. Prüfen Sie, welche Wiederherstellungsfunktionen der Dienst bietet und wie lange gelöschte Daten zurückgeholt werden können. Für geschäftskritische Daten ist eine zusätzliche, vom Anbieter unabhängige Sicherung sinnvoll; der Baustein nennt eigene Datensicherungen als Anforderung bei erhöhtem Schutzbedarf.

Denken Sie den Ausstieg von Anfang an mit: Ein Dienst, aus dem sich die Daten nur mühsam oder unvollständig exportieren lassen, macht Sie abhängig. Die geordnete Beendigung eines Cloud-Nutzungsverhältnisses ist im Baustein ausdrücklich als Standard-Anforderung aufgeführt.

Schatten-IT

Kostenlose Dienste sind schnell eingerichtet, etwa für Dateiaustausch, Umfragen oder Notizen. Oft weiß die Geschäftsleitung nicht, dass dort Kunden- oder Personaldaten liegen. Eine Liste freigegebener Dienste, kombiniert mit einem einfachen Weg, neue Dienste prüfen zu lassen, ist wirksamer als ein pauschales Verbot.

Kurzer Prüfrahmen

Für jeden Cloud-Dienst sollten Sie diese Fragen beantworten können: Welche Daten liegen dort und welchen Schutzbedarf haben sie? Wer ist intern verantwortlich? Ist die Anmeldung mit zweitem Faktor geschützt? Wer hat Administratorrechte? Gibt es einen Vertrag zur Auftragsverarbeitung? Wie werden die Daten gesichert, und wie kommen Sie bei Vertragsende an sie heran? Was tun Sie, wenn der Dienst einen Tag lang nicht erreichbar ist? Ist eine dieser Fragen offen, ist das der nächste Arbeitsschritt.