Cloud Computing und Cybersicherheit

Cloud Computing bietet Behörden und Unternehmen flexible IT-Ressourcen, birgt aber auch Sicherheitsrisiken. Das BACS zeigt, worauf bei Datenschutz, Kontrolle und Verträgen zu achten ist.

Cloud Computing ist eine spezifische, technisch weiterentwickelte Form des IT-Outsourcings, die auf bewährten Konzepten aufbaut. Die unter «Weiterführende Informationen» erwähnte Technologiebetrachtung dient als fundierte Entscheidungsgrundlage für IT-Verantwortliche in Behörden, Firmen und Bildungsinstitutionen.

Grundlagen und Definitionen

Cloud Computing wird als Modell definiert, das den Zugriff auf IT-Ressourcen über ein Netzwerk ermöglicht. Diese Ressourcen werden jeweils nicht gekauft, sondern gemietet.

Das BACS stützt sich bei seiner Einschätzung auf die weltweit anerkannten fünf Grundcharakteristiken des National Institute of Standards and Technology (NIST):

On-Demand-Zugriff
Nutzer können Dienste jederzeit ohne manuelle Intervention des Anbieters beziehen.
Ressourcen-Pooling
Physische Ressourcen werden gebündelt und mehreren Nutzern dynamisch zugewiesen.
Schnelle Skalierbarkeit
Eine automatisierte Anpassung an veränderte Lastanforderungen ist möglich.
Messbarkeit
Die Ressourcennutzung wird kontinuierlich überwacht, was eine transparente Abrechnung erlaubt.
Zugang über das Internet
Der Management-Zugang erfolgt über das öffentliche Netz, wobei zwischen Management- und Systemumgebung unterschieden wird.

Service- und Bereitstellungsmodelle

Die Wahl des passenden Cloud-Modells beeinflusst massgeblich die Verantwortlichkeiten zwischen Anbieter und Kunden:

Bei den Bereitstellungsmodellen wird zwischen der Public Cloud (gemeinsame Infrastruktur, Management über das Internet) und der Private Cloud (dedizierte Hardware, eingeschränkter Management-Zugang) unterschieden.

Herausforderungen für die Cybersicherheit

Der Einsatz von Cloud-Diensten birgt spezifische Risiken, da die physische Kontrolle über die Daten teilweise abgegeben wird:

Kontrollverlust
Die Daten unterliegen nicht mehr der alleinigen Kontrolle der Organisation. Bei Ausfällen droht temporärer oder permanenter Datenverlust.
Kryptografische Lücken
Während die Datenübertragung und -speicherung gut schützbar sind, bleibt der Schutz während der Bearbeitung im Prozessor eine Herausforderung (Confidential Computing).
Angriffsfläche Management-Zugang
Da dieser oft über das Internet erreichbar ist, gefährden Fehlkonfigurationen oder gestohlene API-Schlüssel die gesamte Infrastruktur.
Mandantenfähigkeit
Durch das Ressourcen-Pooling können Schwachstellen in der Schlüsselinfrastruktur des Anbieters potenziell viele Kunden gleichzeitig betreffen.

Entscheidungshilfe und Anforderungen

Um zu beurteilen, ob ein Cloud-Dienst für ein konkretes Vorhaben geeignet ist, hat das BACS einen dreistufigen Prüfprozess definiert.

Rechtliche Prüfung

Es müssen Verträge zur Auftragsdatenverarbeitung (DPA) vorliegen. Bei Datenübermittlungen ins Ausland ist ein angemessenes Datenschutzniveau zwingend erforderlich.

Technische und organisatorische Anforderungen

Notfallplanung
Die Daten müssen exportierbar sein und als Offline-Backup (Schutz vor Ransomware) gesichert werden können.
Transparenz
Der Anbieter muss Sicherheitsfunktionen wie Multi-Faktor-Authentisierung (MFA), Verschlüsselung (TLS/VPN) und Zugriffsprotokollierung lückenlos dokumentieren.
Meldewesen
Ein transparenter Prozess für die Meldung von Vorfällen und Schwachstellen muss vorhanden sein.

Zentrale Leitfragen

Sind die rechtlichen Anforderungen (z. B. Amtsgeheimnis) bezüglich der Datenverarbeitung erfüllbar? Wenn nein, ist auf die Cloud zu verzichten.
Wie zeitkritisch ist die Anwendung? Die Abhängigkeit von einer stabilen Internetverbindung muss berücksichtigt werden.
Wie schwerwiegend sind die Folgen eines Datenverlusts oder eines unbefugten Zugriffs?
Verfügt die eigene IT-Organisation über die notwendige Maturität, um die komplexere Überwachung der Cloud-Umgebung zu bewältigen?