Gäbe es eine Liste mit den am häufigsten verwendeten IT-Schlagwörtern der letzten Jahre, dann wäre ein Begriff mit Sicherheit weit oben angesiedelt: Cloud Computing. Immer mehr Unternehmen bieten es an, immer mehr Unternehmen wollen es nutzen und immer stärker drängt sich eine entscheidende Frage in den Mittelpunkt: Wie sicher sind meine Daten in der Wolke eigentlich aufgehoben?
Bevor wir uns der Sicherheit von Cloud Computing widmen, wollen wir noch kurz von unseren eigenen Erfahrungen mit der Cloud - an der Patentierung dieses Begriffs ist Dell übrigens gescheitert - berichten und zeigen, welche Rolle die digitale Wolke in der täglichen Arbeit von //SEIBERT/MEDIA mittlerweile spielt.
Positive und negative Aspekte der Amazon Web Services (AWS)
Das mit Abstand bekannteste Projekt, bei dem wir auf Cloud-Infrastrukturen setzen, ist der von //SEIBERT/MEDIA entwickelte Ego-Tracking-Dienst TwentyFeet. Mit mindestens sieben permanent laufenden Instanzen – vergleichbar einer virtuellen Maschine (VM) – ist es auch gleichzeitig unser größtes Projekt.
Die Erfahrungen, die wir seit dem Start von TwentyFeet mit den Amazon Web Services sammeln konnten, sind im Großen und Ganzen zwar positiv, aber leider nicht durchweg.
Was uns definitiv überzeugt hat, ist die schnelle und unkomplizierte Einrichtung neuer Instanzen. Dank Auto Scaling und Elastic Load Balancing können neue Instanzen auch automatisiert gestartet und gestoppt sowie die eintreffenden Daten auf diese verteilt werden –stets unter der Bedingung, dass die eigene Anwendung mit diesem dynamischen Verhalten umgehen kann. Auch die sehr exakten Abrechnungen Amazons sind ein Pluspunkt: Man bezahlt nur das, was man auch tatsächlich nutzt.
Was uns definitiv (noch) nicht überzeugt hat, ist der Speicher-Dienst Elastic Block Store, der es erlaubt, Daten außerhalb der eigentlichen Instanz zu speichern und ihr nach Belieben wieder hinzuzufügen. Mit bis zu einem Terabyte Speicherkapazität ist das ein sehr interessantes Modell, doch leider war die Performance bislang eher enttäuschend. Auch die Instanzen selbst haben noch immer mit so manchen unschönen Kinderkrankheiten zu kämpfen: So kam es durchaus schon häufiger vor, dass sich Instanzen einfach aufgehängt oder mit nicht mehr als einer Kernel Panic verabschiedet haben.
Werfen wir nun einen Blick auf die drei wichtigsten Kategorien, in die man heutige Cloud-Angebote einteilen kann, auf ihre bekanntesten Vertreter und auf die Risiken, denen sie ausgesetzt sind.
Was hinter den Abkürzungen IaaS, PaaS und SaaS steckt
Infrastructure as a Service (IaaS): Im einfachsten Fall stellen Anbieter dem Kunden virtuelle Systeme als Infrastruktur zur Verfügung und überlassen es ihm weitestgehend selbst, wie genau und für welche Programme er diese nutzt. Der entscheidende Unterschied zum klassischen Mieten eines Servers in einem großen Rechenzentrum besteht in der Skalierbarkeit: Benötigt man mehr Ressourcen, bekommt man diese unkompliziert und schnell zugewiesen, sinkt der eigene Bedarf wieder, gibt man sie wieder ab.
Zu den größten und am stärksten miteinander konkurrierenden IaaS-Anbietern gehören die beiden US-Unternehmen Amazon und Rackspace.
Platform as a Service (PaaS): Eine Ebene höher angesiedelt, legen PaaS-Anbieter den Fokus auf Applikationen, die vom Kunden programmiert und in einer bereitgestellten Laufzeitumgebung gestartet werden können. Die Administration der Systeme entfällt komplett. Der Kunde muss sich lediglich mit den Programmierschnittstellen der Cloud-Plattform vertraut machen, die sich von Anbieter zu Anbieter unterscheiden.
Zu den bekanntesten PaaS-Angeboten zählen Googles App Engine, Microsofts Windows Azure und Salesforce.
Software as a Service (SaaS): Die höchste und abstrakteste Schicht des Cloud-Modells bezieht sich auf fertige Software-Lösungen, die Unternehmen zur kostenfreien oder -pflichtigen Verwendung anbieten. Der Kunde hat keinen direkten Zugriff auf die Systeme und kann keine eigenen Anwendungen auf diesen starten. Diese Starrheit von SaaS-Lösungen wird vor allem durch die einfache Bedienbarkeit und den praktisch nicht vorhandenen Wartungsaufwand wieder wettgemacht, weswegen solche Angebote häufig von einzelnen Personen oder kleineren Gruppen genutzt werden.
Besonders prominente SaaS-Lösungen sind die in der Geschäftswelt sehr beliebten Tools Zendesk, Atlassian OnDemand, Highrise, Basecamp & Co.
Wie sicher sind meine Daten in der Wolke aufgehoben?
Spricht man mit den Anbietern von Cloud Computing über mögliche Risiken, wird einem allzu gerne der Eindruck vermittelt, dass es überhaupt keine gäbe. Die Cloud zeichne sich durch Kostenersparnis, Leistungsfähigkeit, Flexibilität, Stabilität und Sicherheit aus. Risiken? Eher theoretischer Natur!
Dass das zentrale Speichern unvorstellbar großer Datenmengen Risiken birgt, ist aber letztlich so einleuchtend wie der Wunsch der Anbieter, diese nicht unnötig aufzubauschen. Die bislang aufgetretenen Probleme, mit denen sich Cloud-Dienste konfrontiert sahen, lassen sich grob in fünf Risikokategorien einordnen.
Ausfall der Systeme: Große Anbieter wie Amazon oder Microsoft verfügen zwar über riesige Serverfarmen mit ausgeklügelten Backup-Mechanismen, die dem heimischen DVD-Brennen weit überlegen sind, aber dennoch werden auch diese Systeme nie vollkommen frei von Fehlern sein. Kommt es dann zu einem Crash des Cloud-Speichers, ist die Katastrophe häufig perfekt, da die Kunden auf eigene Backups komplett verzichten und die Daten endgültig verloren sind.
Die größten Ausfälle dieser Art waren der Zusammenbruch der Sidekick-Systeme von T-Mobile USA im Oktober 2009 und der Crash von Amazons Elastic Compute Cloud (EC2) im April dieses Jahres. Beide Vorfälle endeten zwar letztlich mehr oder weniger glimpflich, zeigen aber deutlich, wie leicht es zu fatalen Kettenreaktionen in komplexen Cloud-Speichern kommen kann.
Hacker-Angriffe: Je mehr Daten ein Anbieter speichert und je sensibler sie sind, desto größer ist der Anreiz für kriminelle Hacker, sich Zugriff zu diese zu verschaffen. Die privaten Bilderalben vom letzten Strandurlaub dürften zwar kaum einen Angreifer ernsthaft interessieren, die Geschäftsdaten großer Unternehmen jedoch schon. Und gerade solche werden zunehmend in die Wolke ausgelagert.
Auch wenn sich die Anbieter von Cloud-Diensten bei diesem sensiblen Thema in Schweigen hüllen, kann man davon ausgehen, dass Hacker-Angriffe zur Tagesordnung gehören. Dass dennoch bislang nichts passiert zu sein scheint, spricht für die Sicherheit der Systeme.
Fehler in der Software: Bei der Bewertung möglicher Risiken denken vermutlich viele Anwender zuerst an die Rechenzentren und deren potentielle Schwachstellen. Tatsächlich hat sich jedoch in der Vergangenheit schon mehrmals gezeigt, dass die meisten Lücken aufseiten der Software, mit der man die Cloud-Dienste bedient, zu finden sind. Gerade webbasierte SaaS-Produkte sind für altbekannte Probleme wie Cross-Site-Scripting anfällig.
Den wohl skurrilsten und kritischsten Software-Fehler erlaubte sich erst kürzlich der Online-Speicherdienst Dropbox, bei dem nach einem Code-Update jeder Account für mehrere Stunden ohne Passwort zugänglich war. Nur wenige Wochen vorher sorgte bereits eine Sicherheitslücke im Windows-Client des Dienstes für Kritik am Sicherheitsbewusstsein des Anbieters.
Missbrauch der Dienste: Anbieter von IaaS- und PaaS-Lösungen werben gerne mit enormer Rechenleistung, großer Bandbreite und ständiger Verfügbarkeit zu erschwinglichen Preisen. Solche Angebote sind jedoch nicht nur für Forscherteams an Universitäten oder Unternehmen lukrativ, sondern immer häufiger auch für Kriminelle. Mit gefälschten Informationen melden diese sich bei den Diensten an und missbrauchen die Infrastruktur der Cloud für diverse Cyber-Verbrechen. Bis der Schwindel entlarvt ist, hat der Betrüger sein Ziel meist schon erreicht oder schon einen neuen Fake-Account angelegt.
Bereits 2009 hat ein Team der Sicherheitsfirma Electric Alchemy gezeigt, dass sich geheime Schlüssel in der Wolke schnell und günstig knacken lassen. Mit dem Brechen von SHA1-Hashes und WPA-Schlüsseln verhält es sich ähnlich, wie der Kölner Thomas Roth in seinem Blog beweist. Und auch die Bandbreite ist eine zweischneidige Sache: Für nur sechs US-Dollar und mithilfe eines kleinen Programms schafften es zwei Sicherheitsexperten aus den USA, den Server ihres Kunden in die Knie zu zwingen.
Fremdzugriff auf persönliche Daten: Selbst wenn Anbieter von Cloud-Speichern ihre Systeme gegen jeden unerlaubten Zugriff von außen perfekt schützen würden, wären die Daten noch immer gefährdet. Von innen könnten Techniker, die über genügend Rechte verfügen, Hintertüren platzieren, um sensible Informationen anzuzapfen. Ein gutes Sicherheitskonzept sollte zwar helfen, solche Manipulationen schnell zu entdecken, aber eine Garantie gibt es schlicht und ergreifend nicht.
Doch auch wenn dieses Risiko aus der Welt geschafft wäre, bliebe noch eine allerletzte Lücke, die Anbieter derzeit nicht schließen können: Hat das Unternehmen seinen Hauptsitz in den USA, haben die dortigen Geheimdienste dank des USA PATRIOT Acts von 2001 die Möglichkeit, Zugriff auf die Daten zu verlangen. Das betrifft laut Microsoft sogar Daten, die in Rechenzentren außerhalb der USA gespeichert werden.
Fazit
Analysten sind sich einig: Cloud Computing ist ein wachsender Markt, in dem noch eine Menge Potenzial schlummert. Und auch wenn IT-Probleme oder Kriminelle einen Schatten auf diese Technik geworfen haben, sind die Vorteile einfach zu verlockend, um künftig auf die Wolke verzichten zu wollen.
Vermutlich wird es der Cloud wie vielen neuen Technologien gehen: Zunächst dominiert noch die Skepsis, doch am Ende wundert man sich, wie man jemals ohne die Innovation leben konnte! Wir möchten auf die Cloud jedenfalls definitiv nicht mehr verzichten müssen. 🙂
Weiterführende Informationen
Haben Sie Fragen zum Thema IT-Sicherheit? Möchten Sie Risiken minimieren und Sicherheitslücken in Ihrem Unternehmen identifizieren und stopfen? Die erfahrenen IT-Experten von //SEIBERT/MEDIA/SYSTEMS beraten Sie gerne – bitte sprechen Sie uns unverbindlich an! Ausführliche Informationen finden Sie auch auf unserer speziellen Seite zum Thema Internet-Security-Beratung.
IT-Sicherheit als kontinuierlichen Prozess verstehen
IT-Sicherheit: Warum Unternehmen Penetrationstests durchführen sollten (und eigentlich auch müssen)
TwentyFeet: Tomcat-Cluster wird um Memcached erweitert
Mitwirkender an Konzeption und Umsetzung: Alexander Seith
Foto: Konrad Lindenberg unter CC-Lizenz
Mehr über die Creative-Commons-Lizenz erfahren
