1 Einleitung
Cloud-Dienste bieten zahlreiche Vorteile. Sie passen sich wechselnden Anforderungen an und bieten die notwendige Flexibilität, um neue Geschäftslösungen schneller bereitzustellen. Für viele Organisationen und Branchen sind die Angebote Office 365 und SharePoint als Software as a Service (SaaS) von Microsoft das Mittel der Wahl, um die Zusammenarbeit im Büro, die tägliche Arbeit an Dokumenten sowie den sicheren Informationsaustausch mit erweiterten Lieferketten und Geschäftspartnern zu gewährleisten. Viele Organisationen betreiben heute eine hybride IT-Infrastruktur, in der einige IT-Dienste am Standort über das firmeneigene Rechenzentrum betrieben werden, andere über eine Cloud-Umgebung und wieder andere hybrid – verteilt zwischen dem eigenen Rechenzentrum und Multi-Cloud-Umgebungen. Dies stellt eine große Herausforderung bezüglich der Sicherheit und Einhaltung regulatorischer Vorgaben dar.
Der digitale Wandel, dem sowohl private Unternehmen als auch öffentliche Institutionen gegenüberstehen, verlangt nach einem neuen Typ von IT-Infrastruktur. Diesen zu realisieren, erfordert agilere Herangehensweisen und die Fähigkeit, organisatorische und geschäftliche Anforderungen in neuen Softwaremodellen und -angeboten umzusetzen. Für die Cybersicherheit bringt dies grundlegende Veränderungen mit sich. Traditionelle Cybersicherheit konzentriert sich auf den Schutz von Netzwerken, Systemen, Anwendungen, Servern und generell Endpunkten. Wenn wir jedoch den Schutz der tatsächlichen Daten als dem zentralen, zu schützenden Gut für den Prozess der Informationssicherung betrachten, werden oft noch traditionelle Sicherungsmechanismen auf Daten auf dem Transportweg (data in motion, z. B. HTTPS) oder im gespeicherten Zustand (data at rest, z. B. dateibasierte Festplattenverschlüsselung) angewandt.
Es stellt sich die Frage, wie Daten in einer IT-Umgebung gesichert werden können, in der es die klare Trennung zwischen On-Premises und Cloud-Umgebungen nicht mehr gibt. Mit zunehmenden Anforderungen und Möglichkeiten des Informationsaustauschs lösen sich einst klar definierte Außengrenzen von Unternehmen auf. Beispielweise erfordern auf Teamarbeit ausgelegte Arbeitsumgebungen eine effiziente und sichere Informationsübermittelung zwischen verschiedenen internen und externen Geschäftspartnern, hauptsächlich über Cloud-Dienste und auf mobilen Endgeräten. Hierfür benötigen verschiedenste Akteure umfassenden Zugriff auf auch als geschäftskritisch einzustufende Inhalte.
Moderne, datenzentrische Sicherheitsansätze betrachten nicht mehr nur die Bereiche Infrastruktur und Netzwerkaußengrenzen, sondern rücken die übertragene Nutzlast in den Fokus. Der Paradigmenwechsel hin zum Schutz der Daten spielt eine Schlüsselrolle, wenn traditionelle IT-Infrastrukturen ersetzt oder durch Cloud-Dienste ergänzt werden sollen.
Datenzentrische Sicherheit setzt bei Prozessen an, die
- sensible Daten auffinden und identifizieren,
- Daten in Geheimhaltungsstufen klassifizieren (von öffentlich über vertraulich bis durch Dritte reguliert),
- (besonders sensible) Daten über deren gesamten Lebenszyklus hinweg durch Methoden wie Verschlüsselung, Hashfunktionen und Zugriffskontrolle verwalten und schützen,
- Methoden und Techniken zur Data Loss Prevention (DLP) beinhalten,
- den Zugriff auf klassifizierte/vertrauliche Daten überwachen und kontrollieren, um die erfolgreiche Einführung von Maßnahmen und Kontrollmechanismen für interne Audits und gegenüber Regulierungsbehörden, dem höheren Management und der Fachseite nachzuweisen.
Organisationen entscheiden sich zunehmend für Hybridmodelle zur Bereitstellung ihrer IT-Dienste, was eine konsistente Herangehensweise an die Verwaltung und Sicherung von Daten erfordert – und das sowohl On-Premises, in der Cloud (inklusive Multi-Cloud-Lösungen) und beim Teilen der Daten mit Dritten.
Im Vordergrund muss aber immer die Benutzerfreundlichkeit und eine transparente Anwendung der oben genannten Prozesse stehen, um Sicherheit zu gewährleisten und allen Beteiligten eine effiziente Geschäftsabwicklung zu ermöglichen.
Klassifizierung, Zugriffskontrolle und die Durchsetzung von Sicherheitsmechanismen auf technischer Ebene ermöglichen die Umsetzung risikobasierter Ansätze zu datenzentrischer Sicherheit. Solche Ansätze werden oft von Unternehmensprüfern und Unternehmen gleichermaßen gefordert, um sicherzustellen, dass sensible Daten unter Anwendung adäquater Sicherheitskonzepte identifiziert, verarbeitet, übertragen und gespeichert werden. Daten, die besonderen Auflagen, wie lokaler Speicherung oder industriespezifischen Regulierungen unterliegen, müssen angemessen isoliert werden. Somit können sie individuell und adäquat verarbeitet werden.
All dies bedeutet nicht, dass datenzentrische Sicherheit die alleinige Lösung zur Bewältigung aller sicherheitsrelevanten Herausforderungen darstellt und alle bisherigen Ansätze ersetzen sollte. Traditionelle Sicherheitsmechanismen (z. B. Firewalls oder Endpoint Security) sollten weiterhin als primäre Schutzzone dienen, um individuelle Aspekte und Sicherheitsdimensionen von Hybridumgebungen zu schützen. Wo notwendig, z. B. beim Aufbau von Teilen hybrider Umgebungen im eigenen Rechenzentrum, können diese Maßnahmen valide und effiziente Komponenten eines sogenannten mehrstufigen Sicherheitskonzeptes darstellen, das dann mehrere Dimensionen der Cybersicherheit abdeckt.
