Schlüsselmanagement: wichtiger Sicherheitsbaustein für Cloud-Nutzer

Die Forderung nach hoher Skalierbarkeit durch dynamische Lastverteilung und nach größtmöglicher Kosteneffizienz durch die multiple Nutzung von IT-Equipment führt zu dem Modell einer Rechenleistung nach Maß, die keine Investitionen erfordert, sondern einfach abgerufen werden kann. Dieser derzeit als Cloud Computing vermarktete Ansatz stellt nicht zuletzt im Bereich der IT-Sicherheit völlig neue Anforderungen.

Die technische Basis von Cloud Computing ist eine weitgehende Virtualisierung der Abläufe, die je nach Bedarf auch externalisiert, also in die „Wolke“ geschoben werden. Dadurch lösen sich die herkömmlichen Netzwerkstrukturen mit ihren bekannten, auf einer klar abgrenzbaren Netzstruktur basierenden Security-Instrumenten (Firewall, Einbruchspräventionssysteme, Integrationsüberwachung von Dateien und Protokollprüfung etc.) auf. Sie müssen durch Instrumente ersetzt werden, die quasi in Echtzeit mit den sich dynamisch ändernden und nur schwer lokalisierbaren Verarbeitungspunkten mitwandern.

„Um wirksame Sicherheit in Zeiten von Virtualisierung und Cloud Computing bereitzustellen, muss ein umfassender Schutz von Ressourcen und Daten installiert werden, der flexibel und stets aktuell ist“, umreißt Udo Schneider, Solution Architect EMEA bei Trend Micro die Herausforderungen. Bei den Trend-Micro-Lösungen („DeepSecurity“ und „SecureCloud“) bewegt sich die Sicherheit mit den Arbeitslasten und wird durch den Hypervisor agentenlos oder mittels eines Agenten dem virtuellen Betriebsystem zur Verfügung gestellt, um alle Gastbetriebssysteme zentral von einem Punkt aus zu schützen.

Trennung von Schlüsseln und Daten

„Mit der Verlagerung der Daten und deren Verarbeitung auf die Rechenzentren eines Dienstleisters wachsen für die Sicherheitsverantwortlichen in den Unternehmen noch einmal die Aufgaben“, sagte Marcus Rubenschuh, Vice President IT Security & Compliance und Chief Information Security (CISO) bei der Deutschen Post AG Brief, auf der Veranstaltung „Security World 11“ des IT-Sicherheitsberaters Integralis kürzlich in Stuttgart.

Wenn Unternehmen und Organisationen hier ihrem betrieblichen Verhaltenscodex und den gesetzlichen Auflagen und Verpflichtungen nachkommen wollen – zum Beispiel einer datenschutzgemäßen Verarbeitung von Personaldaten-, ist die Verschlüsselung der Daten ein unbedingtes Muss. „Die Daten kommen bei Cloud Computing nun einmal in fremde Hände, sodass bei ihrer Verarbeitung die Mitarbeiter des jeweiligen Providers eine große Gefahrenquelle darstellen“, erklärt Mattias Rosche, Director Consulting & Business Development Central Europe bei Integralis.

Rosche plädierte nicht nur für eine sichere Verschlüsselung der Daten, sondern darüber hinaus für ein Schlüsselmanagement, bei dem verschlüsselte Daten und die Schlüssel selbst streng getrennt aufbewahrt werden. Der Provider dürfe unter keinen Umständen Zugang zu den Schlüsseln haben. Das Schlüsselmanagement müsse entweder auf einem Key Management Server, der beim Dateneigner steht, betrieben werden oder zumindest bei einem Dienstleister liegen – beispielsweise Integralis.

Weiterverarbeitung der verschlüsselten Daten möglich

Durch den Lösungsansatz mit Agenten, die direkt auf der virtuellen Umgebung liegen und damit auch von mehreren Anwendungen gleichzeitig verwendet werden können, ist auch das Problem der Weiterverarbeitung der verschlüsselten Daten auf elegante Weise gelöst. Der Endkunde als Dateneigner hat nämlich die volle Kontrolle über seine Daten, während der Provider, der sie tatsächlich verarbeitet, quasi blind für die Daten ist.

Ohne solch einen agentenbasierten Ansatz können verschlüsselte Daten erhebliche Probleme verursachen. Relevant wird diese Problematik in den so genannten Public-Cloud-Anwendungen à la Salesforce.com. In solchen Anwendungen muss man sich sehr genau überlegen, was man verschlüsselt. So sind zum Beispiel Suchfunktionen nach einer Verschlüsselung nicht mehr durchführbar. „Man wird deshalb Adressen und Namen wohl eher nicht verschlüsseln, wohl aber Bankkonten, Infos oder Kreditkartendaten“, erklärt Rosche.

Für die Private Cloud ist eine Lösung, etwa das Trend Micro Smart Protection Network ein technischer Durchbruch. Ein ähnliches Produkt gibt es auch von SafeNet. Für Public-Cloud-Lösungen steht dieser Durchbruch noch aus. Vermutlich ist er sogar grundsätzlich unmöglich – zumindest was eine umfassende Sicherheit betrifft. Verschlüsselungs-Proxys, die den Datenstrom analysieren und dann verschlüsseln gibt es natürlich. Grundsätzlich muss aber der Datenstrom, wenn eine Verarbeitung der Daten in der Cloud ansteht, immer entschlüsselt werden, sodass der Endbenutzer sich auf die Kompetenz und Integrität von Dienstleistern verlassen muss, die Proxy-Lösungen anbieten. Die Kosteneffizienz, die mit einer Public-Cloud umsetzbar ist, hat also ihren Preis. Der sollte allerdings in Zusammenarbeit mit einem soliden IT-Sicherheitsdienstleister hinnehmbar sein.