IBM hat kürzlich die Ergebnisse einer globalen Studie veröffentlicht, der zufolge Datenschutzverletzungen im Jahr 2021 die untersuchten Unternehmen durchschnittlich 4,24 Millionen US-Dollar pro Vorfall kosteten. Für alle, die den Überblick behalten: Das sind die höchsten Kosten in der 17-jährigen Geschichte des Berichts.
Sitzen diese Kapuzenpulli tragenden Übeltäter in irgendeinem bösen Land und arbeiten Überstunden, um unsere Systemmauern zu hacken und unsere Daten zu stehlen? In vielen Fällen lassen die Mitarbeiter im Flur die Türen für Datenschutzverletzungen versehentlich weit offen.
Die meisten Szenarien, die Datenschutzverletzungen ermöglichen, sind einfache Fehlkonfigurationen oder menschliche Fehler. Das geschieht, wenn ein Sicherheitsadministrator oder Endbenutzer bestimmte Sicherheitsattribute nicht ordnungsgemäß einrichtet. Dadurch bleibt der Zugriff auf einen Rechen- oder Speicherserver in der Cloud weit offen und anfällig für eine Datenschutzverletzung – ohne dass besondere Fähigkeiten erforderlich wären, um die Sicherheitsvorkehrungen zu durchbrechen.
In einem kürzlich veröffentlichten Bericht stellte McAfee einen Zusammenhang zwischen der Zunahme von Cloud-Datenschutzverletzungen und dem Stand der Multi-Cloud-Nutzung her. Der Bericht ergab, dass in den vergangenen Jahren fast 70 Prozent der offengelegten Datensätze – insgesamt 5,4 Milliarden – durch eine unbeabsichtigte Veröffentlichung im Internet infolge falsch konfigurierter Cloud-Dienste verursacht wurden.
Noch alarmierender ist, dass McAfee feststellte, dass die meisten dieser Fehlkonfigurationen nicht gemeldet und in vielen Fällen nicht bemerkt werden. Damit kommen wir zum Kern der Sache: Menschen tun etwas Dummes, wodurch böswillige Akteure problemlos zum Zug kommen. Hinzu kommt, dass die Fehler, sobald sie entdeckt werden, aufgrund der negativen PR oder zur Vermeidung disziplinarischer Maßnahmen gegen Mitarbeiter häufig ignoriert oder vertuscht werden.
Siehe auch: Der erfolgreiche CISO: So baut man Vertrauen bei Stakeholdern auf
Ursachen menschlicher Fehler bei der Cloud-Sicherheit
Welche Fehler machen Menschen also bei der Einrichtung ihrer Cloud-Sicherheit? Es gibt zwar zahlreiche Gründe für solche Fehler, doch hier sind die beiden häufigsten:
Mangelnde Schulung und/oder Erfahrung
Offensichtlich, ich weiß. Die meisten Fehlkonfigurationen und anderen Fehler, durch die Verarbeitungsprozesse und Daten unbeabsichtigt offengelegt werden, lassen sich auf ein mangelndes Verständnis der Funktionsweise von Sicherheitseinstellungen zurückführen. Dazu gehört auch mangelndes Wissen darüber, wie die standardmäßigen Sicherheitsparameter neu konfiguriert werden, die normalerweise ausreichen würden, um externe Eindringlinge fernzuhalten.
Mit anderen Worten: Hacker können die vom Cloud-Anbieter erstellten Standardsicherheitseinstellungen in der Regel umgehen, um die Daten und/oder die Verarbeitung offenzulegen. Die Beibehaltung der standardmäßigen Sicherheitsparameter entspricht (manchmal buchstäblich) der Verwendung von „admin“ als Passwort.
Dieses Problem wird bestehen bleiben, weil zu viele offene Stellen, die Cloud-Sicherheitskenntnisse erfordern, auf zu wenige qualifizierte Bewerber treffen. In vielen Fällen stellen Unternehmen weniger erfahrene und ungeschulte Mitarbeiter ein, nur um diese Stellen überhaupt zu besetzen und irgendeinen Fortschritt zu erzielen. Das Ergebnis: Solche Fehler werden immer häufiger auftreten.
Cloud-Anbieter sind zu schnell
Da Cloud Computing auf Abruf erfolgt und Anbieter ihre Cloud-Dienste, einschließlich der Sicherheit, kontinuierlich verbessern, ändern sich häufig auch die Funktionsweisen der Sicherheitseinstellungen. Ja, mit jeder Veröffentlichung werden Versionshinweise herausgegeben, aber Mitarbeiter versäumen es oft, ihr Wissen zu aktualisieren – meist, weil sie zu viel Arbeit und zu wenig Zeit haben.
Wenn sich etwas ändert und die Einstellungen aktualisiert werden müssen, geschieht dies nicht. Das führt zu Sicherheitslücken, weil die Kunden nicht mit den Aktualisierungen der Sicherheitsfunktionen und -einstellungen durch die Cloud-Anbieter Schritt halten können.
In einem Fall einer Datenschutzverletzung waren die Kunden eines Anbieters automatisch von der Verschlüsselung ausgeschlossen, bis eine Vereinbarung gelesen und akzeptiert wurde. Hacker nutzten die Tatsache aus, dass die meisten Kunden die Verschlüsselung zunächst deaktiviert ließen, und erhielten so einfachen Zugriff auf cloudbasierte Daten.
Daraus wird dann die Forderung abgeleitet, Cloud-Anbieter sollten sich so weit bremsen, dass ihre Sicherheitsteams mit den Änderungen Schritt halten können. Dieser Ansatz bringt jedoch eigene Probleme mit sich, insbesondere wenn Cloud-Anbieter bekannte Schwachstellen nur zögerlich beheben. Stattdessen müssen Benutzer und Cloud-Anbieter ihre Abstimmung verbessern, um sich besser an diese Änderungen anzupassen.
Siehe auch: Secure Access Service Edge: Große Vorteile, große Herausforderungen
Schutz vor Cloud-Sicherheitsverletzungen
Was die Maßnahmen zur Vermeidung von Fehlkonfigurationen der Cloud-Sicherheit und anderen Fehlern betrifft, die Datenschutzverletzungen begünstigen können, liegt die Verantwortung beim Kunden.
Allerdings müssen sich auch die Cloud-Anbieter bewusst sein, dass sie eine Rolle bei der Lösung spielen. Letztlich bedarf es einer enger verzahnten Zusammenarbeit, um dieses Problem zu bekämpfen.
Hier sind einige Punkte, auf die sich Unternehmen konzentrieren können:
Von Kollegen geprüfte Konfigurationen
Verlangen Sie, dass Kollegen die Sicherheitseinstellungen überprüfen und deren Richtigkeit bestätigen. Ja, das bedeutet, einen weiteren Cloud-Sicherheitsadministrator zu finden, der Ihre Arbeit kontrolliert und sicherstellt, dass nichts übersehen wurde.
Zu den damit verbundenen Problemen gehört, dass Kollegen zu freundschaftlich miteinander umgehen und deshalb die Einstellungen nicht wirklich überprüfen. Andere könnten diese Position für Büropolitik nutzen, etwa um einen Kollegen absichtlich schlecht aussehen zu lassen.
Automatisierte Konfigurationsprüfungen und -tests
Eine weitaus bessere Lösung wäre, die Menschen mithilfe automatisierter Sicherheitsprüfungen und Audits vollständig aus dem Prozess zu entfernen, um Probleme mit Einstellungen und anderen Konfigurationen zu finden.
Der Vorteil besteht darin, dass diese Prüfungen in weniger als einer Minute durchgeführt werden können und direkt an die für die ursprüngliche Fehlkonfiguration Verantwortlichen berichten. Diese können das Problem umgehend beheben, ohne andere benachrichtigen zu müssen.
Viele dieser Tools finden Sie in der Welt von DevOps, wo Sicherheitstests üblich sind. Dabei wird das DevOps-Testkonzept auf Sicherheitskonfigurationen sowie Anwendungen und Daten ausgeweitet, um möglichst viele Schwachstellen zu beseitigen. Allerdings muss sowohl in die Tools als auch in Fähigkeiten und Schulungen investiert werden. Andernfalls landen Sie wieder bei denselben Problemen, die die Tools eigentlich lösen sollten.
Siehe auch: Die besten Website-Scanner
Die größte Herausforderung für die Cloud-Sicherheit?
Die obersten Sicherheits- und Informationsverantwortlichen von Unternehmen haben heutzutage bereits genug Sorgen. Menschliche Fehler bei der Systemsicherheit sind jedoch ein größeres Problem, als die meisten verstehen. Für die meisten Unternehmen ist dies ein stilles Sicherheitsgeheimnis, da die Fehler nicht eingestanden und bei ihrer Entdeckung nicht gemeldet werden. Zu diesem Ergebnis kommt die oben erwähnte Studie.
Der erste Schritt besteht also darin, sich einzugestehen, dass ein Problem besteht. Ergreifen Sie anschließend Maßnahmen zur Behebung der Probleme, indem Sie die Kernursachen identifizieren und verstehen und herausfinden, wie sie ordnungsgemäß behoben werden können. Wenn Sie nicht möchten, dass Ihr Unternehmen aus den falschen Gründen in den Morgennachrichten landet, wäre heute ein guter Tag, um die aktuellen Prozesse und Verfahren Ihres Sicherheitssystems zu überprüfen.