Trügerische Sicherheit: Virtualisierung genügt nicht

Wer sich nicht allein auf Virtualisierung als Schutzmaßnahme verlässt, kann die Vorteile nutzen, die sich mit einer Umstellung auf die virtuelle Systemwelt ergeben. Die Hardwarekonsolidierung ermöglicht nicht nur eine Kosteneinsparung, sie kann auch eine geringere Störanfälligkeit durch die Vereinheitlichung nach sich ziehen.

Die positiven Folgeerscheinungen sind in diesem Fall kürzere Reaktionszeiten, die sich bei kurzfristigen Anforderungen ergeben. Eine zentrale Verwaltung ermöglicht den besseren Überblick. Auch das Patch-Management lässt sich mit einfachen Mechanismen besser steuern. Insgesamt kann man so also eine bessere Labor- und Testinfrastruktur zusammenstellen.

Doch dies ist eben nur die eine Seite der Medaille. Aus der wirtschaftlichen Betrachtung heraus ist der zusätzliche Aufwand für die Sicherheitskonzeption von Servern, der Netzwerkinfrastruktur oder dem Speichernetzwerk (SAN) meist gar nicht in der Kostenbilanz erfasst.

So haben die Spezialisten einen schweren Stand im Unternehmen, wenn sie sich mit den Fachabteilungen über entsprechende Details abstimmen. Aus der nachgelagerten Betreuung ergeben sich nicht nur erhöhte Anforderungen an die administrativen Mitarbeiter und deren Konzepte, es ergibt sich auch ein Mehraufwand bei jeder Form von sicherheitskritischen Änderungen.

Im Klartext wirkt sich dies etwa auf das „Vier-Augen-Prinzip“ aus. Eine Trennung von Umsetzung und Abnahme der Prüfvorgänge ist ein Muss, um grobe Planungsfehler zu vermeiden. Nach der Etablierung gilt es, zusätzliche Hard- und Software sicherheitskritisch einzupflegen und neue Risiken zu bewerten.

Auf Anwenderebene ist es erforderlich, Einflussfaktoren vom „Gast“ auf das Hostsystem und umgekehrt zu berücksichtigen. „Im Extremfall könnte ein gestörtes System weitere Systeme in Mitleidenschaft ziehen“, so Gora. Nicht nur Probleme in der Virtualisierungssoftware könnten das System tangieren, Bugs und Software-Schwachstellen könnten auch Denial-of-Service-Attacken sowie die Übernahme von Systemen nach sich ziehen.