Warum Lösungen aus der Cloud sicherer sind
Teilen:
Egal ob einfache Office Anwendungen oder der Einsatz von Business-Lösungen wie ERP und CRM: Noch immer fürchten viele Unternehmen, dass Arbeiten in der Cloud nicht sicher ist. Was viele übersehen: Sicherheit ist ein vielschichtiges Konzept, das mehr beinhaltet wie den Schutz vor unbefugtem Zugriff, Datendiebstahl oder Datenverlust. In diesem Blogbeitrag diskutieren wir die Facetten des Begriffes „Sicherheit“ und zeigen Ihnen, warum die Cloud unserer Meinung nach derzeit die sicherste Lösung für den Einsatz von Business-Software ist.
Die vielen Facetten der Sicherheit
Für eine umfassende Sicherheits-Strategie müssen Unternehmen mehrere Aspekte berücksichtigen – egal ob sie Daten lokal speichern oder mit einer Cloud-Lösung arbeiten. Diese sind:
- Objektsicherheit (Intrusion Protection)
- Ausfallsicherheit (High Availability)
- Backup-Strategie (Desaster Recovery)
- Sicherheit vor digitalen Angriffen (Security)
Zusätzlich zu den hier genannten Aspekten gehören auch das Rechte-Management (Access Control) sowie ein Datenschutzkonzept in die Betrachtung eines vollständige Sicherheits-Konzeptes. Da es sich hierbei aber um konzeptionelle Fragen handelt, bei der es keinen signifikanten Unterschied macht, wo Software und Daten gehostet werden, sind Rechte-Management und Datenschutz nicht Thema der nun folgenden Gegenüberstellung.
1. Objektsicherheit / physikalischer Schutz
Laut polizeilicher Kriminalstatistik wird in Deutschland durchschnittlich alle 5 Minuten ein Einbruch verübt. Der Schutz der eigenen IT-Infrastruktur bedeutet folglich auch physikalischer Objektschutz – sei es vor Diebstahl, Vandalismus oder Sabotage. Denn gelangt ein Angreifer erst einmal in einen Serverraum – und somit hinter die Firewall – sind von hier aus Angriffe auf die IT-Infrastruktur einer Firma wesentlich einfacher zu bewerkstelligen (z.B. durch Einspielen von Schadsoftware, Mitschneiden von Netzwerk-Traffic etc.).
Moderne Cloud Rechenzentren haben für ihre Serverräume ein hochwertigeres Sicherheitskonzept in puncto Zutrittskontrolle und Einbruchschutz. Mechanischer Schutz, Videoüberwachung, Vier-Augen-Prinzip, Sicherheitspersonal rund um die Uhr, Kontrolle an neuralgischen Zugängen: All das ist in den großen Rechenzentren vorbildlich umgesetzt.
Hinzu kommen:
- eine permanente Kontrolle der Raumtemperatur in Serverräumen,
- Schutz vor Überspannung sämtlicher Hardwarekomponenten
- Schutz vor technischen Schäden wie Feuer, Wasserschäden, CO2 etc.
Die Wahrscheinlichkeit, dass Rechenzentren Opfer eines Einbruchdiebstahls werden und Unternehmensdaten auf diese Weise verloren gehen, ist verschwindend gering.
2. Ausfallsicherheit / Hochverfügbarkeit
Stromausfall, Netzausfall, Hardwarecrashs oder Feuer: Die Gefahr, dass eines dieser Ereignisse ein Unternehmen irgendwann einmal trifft, ist nicht zu unterschätzen. Sicherheit bedeutet deshalb auch auf diese Szenarien vorbereitet zu sein. Denn was passiert, wenn an einem Montagmorgen – z.B. nach einem Stromausfall oder einem Hardwareausfall – das ERP-System eines Unternehmens wegbricht? Der Webshop ist offline, die Produktion steht still und mit jeder Stunde Downtime wird sowohl der finanzielle als auch der Image-Schaden größer.
Beeinflusst solch ein Szenario (Hardwareausfall, Stromausfall) nicht den laufenden Betrieb, dann spricht man von einem hochverfügbaren, ausfallsicheren System.
Ausfallsicherheit und Hochverfügbarkeit ist in der Cloud besser umgesetzt
Hochverfügbarkeit bedeutet: Alle Komponenten, sowie die gesamte IT-Infrastruktur müssen mindestens doppelt vorhanden sein. Das heißt:
- sämtliche Hardware gibt es zwei Mal und sie ist räumlich voneinander getrennt aufgebaut
- zwei Stromleitungen zu unterschiedlichen Trassen sind verlegt
- zwei Netzverbindungen sind vorhanden
Modern Rechenzentren sind so geplant, dass Sie dem Grundsatz von hochverfügbarer IT-Infrastruktur Rechnung tragen. Um nur die beiden wichtigsten Belange zu nennen:
- Sämtliche notwendige Redundanzen sind Standard.
- Administratoren, die im Schadensfall eingreifen, stehen rund um die Uhr zur Verfügung.
Darüber hinaus sind moderne Rechenzentren in unterschiedliche Brandabschnitte unterteilt, so dass auch bei Feuer die Hochverfügbarkeit für die Kunden gewährleistet ist. Geo-Redundanz – die Bereitstellung der IT-Infrastruktur an zwei unterschiedlichen Standorten mit räumlicher Distanz – ist ein weiterer Service, den Cloud Rechenzentren anbieten. So gilt Ausfallsicherheit auch dann, wenn der äußerst unwahrscheinliche Fall eintritt und ein Rechenzentrum komplett ausfällt.
Für die meisten Unternehmen ist Hochverfügbarkeit folglich über die Cloud wesentlich einfacher und vor allem günstiger zu realisieren. Alleine das dafür notwendige Know-How sowohl für Konzeption als auch für den späteren Betrieb ist enorm. Spätestens die Umsetzung von Geo-Redundanz ist definitiv zu aufwändig und zu teuer.
3. Backup-Strategie / Desaster Recovery
Wenn im Produktivsystem plötzlich Daten korrumpieren (z.B. nach einem Virus, einem falsch eingespielten Update oder einem Hardware-Fehler), hilft es nicht, wenn man die IT-Infrastruktur gespiegelt hat und alle Komponenten doppelt vorliegen. In diesem Szenario sollte die IT-Administration innerhalb kürzester Zeit – man kalkuliert hier mit maximal 1 bis 2 Tagen – ein vollständiges Backup zurückspielen. Das Backup kommt dabei wahlweise aus der Cloud oder – heute immer noch üblich – über Bandlaufwerke und Magnetbänder, die z.B. in Bankschließfächern gelagert werden.
Je nach entstandenem Schaden werden für eine Rücksicherung oft mindestens 1-2 Tage, oft sogar noch länger, benötigt. Bei Schäden an wichtiger Hardware zum Beispiel, muss erst nachbestellt werden. Viele Komponenten haben sehr lange Lieferzeiten oder benötigen teure Wartungsverträge mit Ersatzteilgarantien und entsprechenden Reaktionszeiten. Außerdem ist auch hier umfangreiches technisches Know-How notwendig. Eine Desaster Recovery in unter 48 Stunden ist für alle Unternehmen daher eine enorme Herausforderung.
Backup-Strategie und Desaster Recovery sind in der Cloud Routine
In Cloud Rechenzentren gibt es von Anfang an die notwendigen Redundanzen bei der Hardware, sowie mehrere, auf Desaster Recovery spezialisierte Systemadministratoren. Daten werden hier aktuell und Geo-Redundant synchronisiert. So ist es im Schadensfall oftmals nur ein Routine-Eingriff, ein Backup von dem Zeitpunkt vor besagtem kritischen Ereignis einzuspielen.
In den Rechenzentren von Microsoft gilt gemäß Service Level Agreement eine Wiederherstellungszeit von deutlich unter 24 Stunden – Dynamics 365 for Finance und Operations beispielsweise besitzt eine typische Wiederherstellungszeit („Recovery Time Obejctive“) von 10 Stunden!
Auch abseits davon ist spätestens nach einem Tag ein Backup eingespielt. Business-Lösungen wie Microsoft Dynamics 365 for Finance and Operations sind darüber hinaus mit dem Notfall-Wiederherstellungsdienst Azure Disaster Recovery abgesichert. Oft sind hier erheblich geringere Recovery Zeiten, teilweise im Minutenbereich, möglich.
4. Schutz vor digitalen Angriffen
Anders als bei den ersten drei Szenarien, die sich eher selten ereignen, erfolgen digitale Angriffe auf Unternehmen und deren IT-Infrastruktur mehrmals pro Tag. Effektiver Schutz vor dieser Gefahr bedeutet dreierlei:
- Ein sicheres Netzwerk / Firewall
- Regelmäßiges schließen von Sicherheitslücken / Updates
- Schutzmaßnahmen gegen Social Engineering
4.1 Firewall
Entscheidend ist bei einer Firewall die richtige Konfiguration. Dies setzt viel Erfahrung und Expertise voraus, vor allem dann, wenn die Mitarbeiter eines Unternehmens auch von unterwegs oder von zu Hause aus – sprich von anderen Netzwerken – per VPN arbeiten.
In Cloud Rechenzentren sind Netzwerktechniker und System-Administratoren rund um die Uhr zur Stelle. So kann ein Cloud-Provider ungewöhnliche Datenströme schneller erkennen und unterbinden. Zugriffe per VPN von externen Netzwerken werden in Rechenzentren eher restriktiv gehandhabt – oder es werden User-spezifische Firewalls eingerichtet und gepflegt.
Zwar können Unternehmen, die eine On-Premise Lösung bevorzugen, diesen Schutz auch mit anderen Dienstleistern erreichen. Die Erfolgsaussicht eines digitalen Angriffes auf die Firewall eines Cloud Rechenzentrum ist jedoch wesentlich geringer.
4.2 Sicherheitsupdates
Wie wir in diesem Blog schon einmal beschrieben haben, lohnt es sich aus mehreren Gründen, sein ERP-System bzw. seine IT-Infrastruktur stets aktuell zu halten. Das Schließen von Sicherheitslücken ist hier ein zentrales Argument.
Um Gefahren zu vermeiden, müssen Unternehmen sehr diszipliniert sein und sämtliche Updates für alle Programme regelmäßig einspielen. In Rechenzentren geschieht dies automatisch. Die Zero-Day-Gap für Cloud-Anwendungen ist somit stets so gering wie möglich.
4.3 Social Engineering
Social Engineering sind Angriffe, die den Mitarbeiter / PC-Anwender als Schwachstelle identifiziert und ausnutzt. Der Klassiker: „Handwerker“, die sich für einen kurzen Augenblick Zugang beispielsweise in Serverräumen verschaffen.
Bei Unternehmen, die Ihre Mitarbeiter hier nicht kontinuierlich sensibilisieren, sind die Erfolgsaussichten von Social Engineering-Angriffen extrem hoch. Ein Experiment hat gezeigt: Eine (bösartige) Datei auf einem „zufällig liegengebliebenen“ USB-Stick, findet in Unternehmen erschreckend schnell den Weg ins Firmen-Netzwerk – und könnte hier enormen Schaden anrichten. In Cloud Rechenzentren wäre dieses Szenario undenkbar. Hier kennen alle Mitarbeiter die gängigsten Social-Engineering Tricks und werden sensibilisiert und geschult.
Cloud-Lösungen sind der beste Schutz vor Social Engineering
Wie gerade gezeigt, sind die erfolgversprechenderen Ziele von Social Engineering Attacken die Mitarbeiter von Unternehmen, nicht die Mitarbeiter der Cloud Rechenzentren. Aber es gibt noch ein entscheidenderes Argument, warum Anwendungen und Daten bei Social Engineering Angriffen in der Cloud deutlich sicherer sind.
Ein erfolgreicher Angriff über Social Engineering (z.B. mit einem Verschlüsselungstrojaner) verursacht stets einen enormen Schaden. Liegen die befallenen Daten dann noch ausschließlich auf den eigenen Servern und nicht in der Cloud, wird der Schaden erheblich größer. Denn bevor der Trojaner aus dem lokalen Netzwerk den Sprung zu den Daten in der Cloud schafft, muss er noch mehrere Sicherheitsbarrieren überwinden. Oft – so auch im Falle von Dynamics 365 – besteht gar kein direkter Zugriff auf die Cloud-Infrastruktur.
Selbst wenn ein solcher Sprung gelingen sollte, können Cloud Rechenzentren – wie im Punkt Desaster Recovery beschrieben – nach solch einem Angriff sehr schnell auf Backups zurückgreifen und das System so wiederherstellen, wie es kurz vor dem Angriff war.
Fazit:
Wie anhand von vier zentralen Sicherheits-Aspekten gezeigt, ist die Sicherheit in Cloud Rechenzentren überdurchschnittlich hoch. Hier schlägt der N-Vorteil voll zu buche, denn Cloud Rechenzentren schützen nicht nur die eigenen Daten, sondern die einer sehr großen Zahl an Unternehmen. So profitieren alle Kunden von einmalig hohen Anschaffungskosten für Sicherheitstechnik und sämtlichen erforderlichen Redundanzen.
Mit Frankfurt am Main und Magdeburg betreibt Microsoft seit 2015 zwei moderne Rechenzentren auf deutschem Boden. Mit Berlin und einem weiteren in Frankfurt am Main sind zwei weitere in Planung. Sämtliche im Beitrag beschriebene Sicherheitsaspekte sind hier vorbildlich umgesetzt – Notfall-Wiederherstellungen für Business-Lösungen wie ERP und CRM sind hier dank Azure Disaster Recovery nur noch eine Frage von Sekunden.
Natürlich bieten Cloud Rechenzentren nicht per se einen 100%-igen Schutz vor digitalen Angriffen. Aber sie reduzieren die Angriffsfläche enorm und können sämtliche gezeigte Risiken fast vollständig eliminieren. Um auf einen ähnlich hohen Sicherheits-Standard zu kommen, müssten Unternehmen einen exorbitanten Aufwand betreiben. Deshalb, so unser Fazit, gehören die Lösungen aus der Cloud derzeit zu denen mit den höchsten Sicherheitsstandards.
Weitere Vorteile, die Cloud-Lösungen neben dem Sicherheitsaspekt mit sich bringen, lesen Sie – am Beispiel des ERP-Systems Microsoft Dynamics 365 for Finance and Operations – in unserem Blogbeitrag Cloudbasiertes ERP-System – Vorteile Vs. Vorurteile.
