Trusted Cloud. Innovatives, sicheres und rechtskonformes Cloud Computing

Transkript

1 Trusted Cloud Innovatives, sicheres und rechtskonformes Cloud Computing

2 Impressum Herausgeber Bundesministerium für Wirtschaft und Technologie (BMWi) Öffentlichkeitsarbeit Berlin Das Bundesministerium für Wirtschaft und Technologie ist mit dem audit berufundfamilie für seine familienfreundliche Personalpolitik ausgezeichnet worden. Das Zertifikat wird von der berufundfamilie ggmbh, einer Initiative der Gemeinnützigen Hertie-Stiftung, verliehen. Stand Oktober 2012 Druck Bonifatius GmbH, Paderborn Gestaltung und Produktion PRpetuum GmbH, München Bildnachweis George Doyle/Getty (Titel) sonjanovak/fotolia (S.4) zothen/fotolia (S. 2) Nicholas Rigg/Getty (S. 6) Martin Barraud/Getty (S. 18) Medioimages/Photodisc/Getty (s. 28) Tetra Images/Getty (S. 36) Thomas Northcut/Getty (S. 42) Text und Redaktion Kompetenzzentrum Trusted Cloud A&B One Kommunikationsagentur GmbH Diese Broschüre ist Teil der Öffentlichkeitsarbeit des Bundes ministeriums für Wirtschaft und Technologie. Sie wird kostenlos abgegeben und ist nicht zum Verkauf bestimmt. Nicht zulässig ist die Verteilung auf Wahlveranstaltungen und an Informationsständen der Parteien sowie das Einlegen, Auf drucken oder Aufkleben von Informationen oder Werbemitteln.

3 Inhaltsverzeichnis Vorwort... 3 Das Technologieprogramm Trusted Cloud... 5 Entwicklung von Basistechnologien MIA...10 MimoSecco...12 Sealed Cloud...14 SkIDentity...16 Value4Cloud...18 Anwendungen für Industrie und Handwerk Cloud4E...22 CLOUDwerker...24 PeerEnergyCloud...26 SensorCloud...28 Anwendungen für den Gesundheitssektor cloud4health...32 GeneCloud...34 TRESOR...36 Anwendungen für den öffentlichen Sektor CloudCycle...40 goberlin...42 Das Kompetenzzentrum Trusted Cloud...45

4

5 3 Vorwort Die Cloud ist längst in unserem Alltag angekommen: Viele nutzen privat schon heute webbasierte - Dienste, streamen ihre Musik online auf ihr Smartphone oder speichern und verwalten ihre Kontakte und sonstige Dateien im Internet. Und dabei ist es egal, ob gerade der Tablet-PC, der Laptop oder das Smartphone genutzt wird Dokumente, Bilder, Videos und Musik sind überall abrufbar. Auch für Unternehmen eröffnet Cloud Computing vielfältige Möglichkeiten etwa wenn es darum geht, aktuelle passgenaue Software, Rechenleistung und Speicherplatz über das Internet zu beziehen. Dadurch müssen Unternehmen nicht selbst in eine große IT- Infrastruktur investieren gerade für Start-Ups ein entscheidender Vorteil. Gezahlt wird verbrauchsabhängig nur für die tatsächlich benötigten Ressourcen. So können Unternehmen auf innovative Technologien zugreifen, die bislang vor allem den Großen der Branche vorbehalten waren. Und: Mitarbeiter können mobil auf ihre Daten zugreifen. Das ermöglicht Flexibilität im Unternehmen und eröffnet viel Raum für neue Geschäftsmodelle. Mit dem Technologieprogramm Trusted Cloud wollen wir die großen Innovations- und Marktpotenziale von Cloud Computing gerade für den Mittelstand weiter erschließen. In verschiedenen Gebieten werden exemplarisch die Chancen und die Vielfalt der neuen Anwendungen demonstriert von Industrie und Handwerk über die Gesundheitsbranche bis zum öffentlichen Sektor. Es gibt aber auch Gründe, die Unternehmen beim Einsatz der Cloud noch zögern lassen. Gerade bei den rechtlichen Rahmenbedingungen und der Stan - d ardisierung besteht noch Handlungsbedarf. Mit dem Aktionsprogramm Cloud Computing gehen wir auch auf solche Fragen ein und arbeiten gemeinsam mit der Wirtschaft und der Wissenschaft an verlässlichen Lösungen. Deutschland hat alle Chancen, sich in diesem zukunfts - trächtigen Markt weiter als führender Standort zu etablie ren. Sicheres Cloud Computing made in Germany eröffnet viele neue Möglichkeiten vielleicht auch für Sie. Ich lade Sie herzlich ein: Nutzen Sie unser Informationsangebot! Ihr Dr. Philipp Rösler Bundesminister für Wirtschaft und Technologie

6

7 Das Technologieprogramm Trusted Cloud

8 6 Das Technologieprogramm Trusted Cloud Einleitung Die Informations- und Kommunikationstechnologien (IKT) bilden eine entscheidende Grundlage für den Er - folg des Wirtschaftsstandorts Deutschland. Sie leisten als Querschnittstechnologien einen zentralen Beitrag zur Produktivität und damit für die Wettbewerbsfähigkeit der gesamten Wirtschaft. Eine derzeit besonders vielversprechende Entwicklung ist Cloud Computing. Damit können Unternehmen aktuelle Software, Rechenleistung und Speicherplatz direkt über das Internet beziehen. Dies geht einher mit einer stärkeren Industrialisierung der IT: Standardisierung und Automatisierung, Modularisierung, Konzentration auf Kernkompetenzen und kontinuierliche Qualitätsverbesserungen. Mit hohen jährlichen Wachstumsraten gehört Cloud Computing zu den wichtigsten Trends der IT-Branche weltweit. Auch in Deutschland hat Cloud Computing mittlerweile eine hohe Dynamik erreicht. Zunächst ging die Entwicklung besonders von den privaten Konsumenten aus. Mittlerweile setzen auch immer mehr Unternehmen Cloud-Lösungen ein. Cloud Computing bietet Vorteile für alle Unternehmen Cloud Computing eröffnet vielfältige Möglichkeiten für Unternehmen aller Branchen. Über die Cloud können auch mittelständische Firmen auf innovative Technologien zugreifen, die bislang vor allem großen Unternehmen vorbehalten waren. Sie müssen nicht mehr selbst in eine große IT-Infrastruktur investieren, da sie alle Ressourcen von einem professionellen IT- Anbieter quasi mieten können. Gezahlt wird verbrauchsabhängig nur für die tatsächlich benötigten Leistungen. Gleichzeitig können die Mitarbeiter bequem auch mobil auf ihre Daten zugreifen. Diese Flexibilität wird den typischen Anforderungen eines Unternehmens oftmals besser gerecht als bisherige On-Premise-Lösungen. Weiterhin können durch Cloud Computing ganz neue Geschäftsmodelle und innovative Produkte entstehen. Für die IT-Unternehmen ist Cloud Computing aktuell ein zentraler Wachstumsmarkt. IT-Anbieter können bestehende Kapazitäten mittels Cloud-Lösungen besser auslasten. Durch standardisierte und automatisierte Prozesse verbessern sie ihre Kosteneffizienz. Gleichzeitig kann der meist hohe und kostenintensive Energieverbrauch reduziert werden. Trusted Cloud Innovatives, sicheres und rechtskonformes Cloud Computing Zuverlässigkeit, Sicherheit, Verfügbarkeit und Datenschutz sind wichtige Voraussetzungen, um das notwendige Vertrauen der Anwender in Cloud-Dienste zu etablieren. Ziel des Technologieprogramms Trusted Cloud ist daher die Entwicklung und Erprobung innovativer, sicherer und rechtskonformer Cloud-Computing-Lösungen. Von diesen neuen, cloud-basierten Diensten sollen insbesondere mittelständische Unternehmen profitieren. An den 14 Projekten sind insgesamt 36 Unternehmen verschiedener Branchen, 26 wissenschaftliche Einrichtungen und fünf weitere Institutionen beteiligt. Die entstehende Cloud-Landschaft basiert auf interoperablen Diensten, die kom binierbar sind, die rechtliche Anforderungen berück sichtigen und den Bedürfnissen der Anwender gerecht werden. Durch einen offenen Markt werden im Wettbewerb innovative Anwendungen entstehen, so dass IT-An wen - der aus einem breiten Angebot die für sie passenden Dienste wählen können. Insgesamt soll dies zu einer Stärkung des IKT-Standorts Deutschland beitragen. Cloud-Lösungen für mittelständische Unternehmen im Fokus Im Rahmen des Technologieprogramms Trusted Cloud werden die Vorteile von Cloud Computing anhand konkreter Pilotanwendungen verdeutlicht. Die entstehenden Referenzbeispiele eignen sich für den Einsatz in unterschiedlichen Branchen von Industrie und Handwerk über die Gesundheitsbranche bis hin zum öffentlichen Sektor. Dabei stehen die speziellen Anforderungen und Bedürfnisse mittelständischer Unternehmen im Vordergrund. Gleichzeitig sollen die Lösungen auf andere Einsatzgebiete übertragbar sein. Auch für Start-Ups und junge Unternehmen kann Cloud Computing ein entscheidender Vorteil sein. Das meist noch geringe verfügbare Kapital muss besonders nutzbringend eingesetzt werden. IT ist natürlich für viele Geschäftsprozesse sehr wichtig, aber die üblichen

9 Das Technologieprogramm Trusted Cloud 7 Investitionen in eine eigene IT-Infrastruktur sind durch Cloud Computing nicht mehr notwendig. Da die Ressourcen direkt von professionellen IT- Anbietern über das Internet bezogen werden, fallen nur relativ geringe nutzungsabhängige Kosten an. Gleichzeitig wächst die IT durch die hohe Skalierbarkeit quasi mit dem Unternehmen mit. Innovationsfreundliche Rahmenbedingungen schaffen Zwar gibt es bereits zahlreiche Cloud-Dienste, die Unternehmen bei der Umsetzungen ihrer Geschäftsideen und -vorhaben nutzen können. Jedoch stellen die heutigen Angebote häufig proprietäre Lösungen einzelner Anbieter dar und bilden voneinander getrennte Lösungsinseln. Gerade wegen dieser fehlenden Interoperabilität und Portabilität stehen viele Unternehmen Cloud Computing immer noch skeptisch gegenüber. Ziel sollte eine interoperable Cloud- Landschaft sein, in der Dienste kombinierbar und Daten portabel sind sowie sicher und einfach verwendet und ausgetauscht werden können. Darüber hinaus bestehen Unsicherheiten bei der Rechtskonformität und den rechtlichen Rahmenbedingungen für Cloud Computing. Diese reichen vom Datenschutz über Haftungsfragen bis zu urheberrechtlichen Aspekten. Die Organisation der elektronischen Datenverarbeitung erfährt durch neue Technologien einen grundlegenden Wandel. Cloud Computing wirft gerade bei Fragen des Datenschutzes schwierige Rechtsfragen auf. Die rechtlichen Rahmenbedingungen sollen eine effiziente Nutzung von Cloud Computing ermöglichen. Gleichzeitig müssen Datenschutz und IT-Sicherheit gewährleistet sein. An diesen und weiteren Herausforderungen von Cloud Computing wird gemeinsam mit der Fach-Community gearbeitet. Vom Technologiewettbewerb zum Technologieprogramm Das Bundesministerium für Wirtschaft und Technologie (BMWi) hat Trusted Cloud im September 2010 als Technologiewettbewerb gestartet. Insgesamt sind 116 Projektvorschläge eingereicht worden. In einem mehrstufigen Prozess mit Unterstützung einer unabhängigen Expertenjury wurden die 14 erfolgversprechendsten Projekte ermittelt. Die Forschungs- und Entwicklungsaktivitäten haben im September 2011 begonnen. Das dafür bereitgestellte Fördervolumen beträgt rund 50 Millionen Euro. Durch Eigenbeiträge der Projektpartner liegt das Gesamtvolumen von Trusted Cloud bei rund 100 Millionen Euro. Das Technologieprogramm Trusted Cloud ist der zentrale Beitrag des BMWi zum Aktionsprogramm Cloud Computing, das gemeinsam mit Partnern aus Wirtschaft und Wissenschaft im Oktober 2010 gestartet wurde. Es ist Bestandteil der IKT Strategie Deutschland Digital 2015 und der Hightech-Strategie der Bundesregierung.

10

11 Entwicklung von Basistechnologien

12 10 Entwicklung von Basistechnologien MIA Informationsmarktplatz für das deutschsprachige Web Das deutschsprachige Web ist ein gewaltiger Fundus verschiedenster Informationen. Vor allem für kleinere Firmen aus der Industrie war es in der Vergangenheit nicht einfach, gezielt auf Fachdatensammlungen im Web zugreifen zu können. Die TU Berlin entwickelt deshalb mit fünf weiteren Partnern im Projekt MIA Marktplatz für Informationen und Analysen eine Online-Lösung, mit der selbst kleine und mittelständische Unternehmen gängige Analysewerkzeuge nutzen können. Die geplante Marktplatz-Infrastruktur umfasst die Bereitstellung, die Veredelung, die Vermarktung so - wie die Abrechnung von Daten und Mehrwertdiensten. Data-Warehouse für alle deutschsprachigen Web-Inhalte MIA will dazu einen Großteil der relevanten deutschsprachigen Netzinhalte in einem zentralen Data-Warehouse zusammenfassen und die gesammelten Textdaten mit Informationen über ihre Herkunft, ihren In halt und ihre sprachliche Struktur anreichern. Erster Schritt dazu ist die Entwicklung von Datenstrukturen und Algorithmen die auch hohen Datenmengen bewältigen können. Herausforderungen liegen dabei in der Verbesserung der Ressourcenzuordnung in Cloud- Architekturen und in der Parallelisierung von Rechenjobs in verteilten Systemen. Kurze Datenzugriffs- und Ausführungszeiten sollen eine hohe Benutzerinteraktivität sicherstellen. Marktplatzteilnehmer kombinieren Daten und Algorithmen zu neuen Produkten Die Infrastruktur ermöglicht MIA völlig neuartige Geschäftsmodelle. Beispielsweise kann ein Softwarehaus eine Nischentechnologie für das Text-Mining auf dem Marktplatz, zusammen mit den Daten des deutsch sprachigen Webs, anbieten. Ein Marktforschungsunternehmen kauft die Nutzungsrechte an der Technologie, veredelt ausgewählte Web-Daten mit Hilfe der MIA-Infrastruktur und vertreibt die gewonnenen Analysen an ein produzierendes Unternehmen als elektronisch handelbares Gut oder als Beratungsdienstleistung.

13 Entwicklung von Basistechnologien 11 MIA senkt drastisch die Eintrittsbarrieren für den Geschäftsbereich der Datenanalyse Die Investition des BMWi und der Projektpartner in diese Infrastruktur bzw. den zentralen Marktplatz er - möglicht auch kleineren und mittelständischen Unternehmen das Anbieten eines eigenen Geschäftsbereiches Datenanalyse und ohne erst selbst die nötige Basistechnologie zu entwickeln und eine technische Infrastruktur aufzubauen. Durch diese neu geschaffene Informationsökonomie in Deutschland werden die, für diese Unternehmen oft erheblichen, Barrieren für Markteintritt und Innovation beseitigt. Die Projektpartner planen prototypische Anwendungsfälle für die Branchen Medien, Marktforschung und Beratung, unter besonderer Berücksichtigung der hierfür spezifischen Anforderungen an Datenschutz und Datensicherheit am Standort Deutschland. Als weitere Ausbaustufen wären eine Internationalisierung sowie die Aus weitung der bereitgestellten Dienstleistungen denkbar. Ausgangssituation Deutschsprachiges Web bietet großen Datenschatz für verschiedenste Anwendungen Unternehmen fehlt eine Infrastruktur zur Erfassung, Analyse und Verwertung dieser Daten Zahlreiche Algorithmen zur Textanalyse des Web existieren bereits in separaten Projekten Zielsetzung Zentraler Informationsmarktplatz für das Handeln von Daten und Analyseverfahren Cloud-Infrastruktur senkt drastisch die Eintrittsbarriere für den Markt der Datenanalyse Marktplatzteilnehmer kombinieren existierende Algorithmen und Daten in neuen Produkten Koordinator Technische Universität Berlin, Dr. Alexander Löser Alexander.Loeser@TU-berlin.de Telefon Partner Fraunhofer-Institut für Rechnerarchitektur und Sofwaretechnik (FIRST) Neofonie GmbH ParStream GmbH TEMIS Deutschland GmbH VICO Research & Consulting GmbH Laufzeit

14 12 Entwicklung von Basistechnologien MimoSecco Vertrauensvolles Datenmanagement für Cloud-Dienste Unternehmensdaten in der Cloud müssen gut ge schützt sein. Erprobtes Mittel dazu ist eine ausreichende Verschlüsselung der Daten bei Transport und Speicherung. Sollen diese Daten allerdings vom Anwender bearbeitet werden, müssen sie zumindest teilweise entschlüsselt vorliegen. Bei Cloud Computing werden Daten außerhalb des eigenen Unternehmens bei Cloud-Anbietern zusammen mit vielen anderen Daten gespeichert und verarbeitet. Infolge dessen sind besonders viele Daten bei einem Anbieter konzentriert, woraus sich ganz neue Probleme eines möglichen Datenmissbrauchs durch Insiderangriffe ergeben, beispielsweise von Administratoren. Darüber hinaus verschärft sich die Herausforderung an die Gewährleistung der Sicherheitsrichtlinien dadurch, dass durch die Komposition mehrerer Dienste von Drittanbietern komplexe neue Dienste bereitgestellt werden können. MimoSecco will hier Sicherheit gewährleisten, indem z. B. eine entfernte Verbindung eines mobilen Endgerätes mit einem Unternehmensserver genauso wie die Kommunikationsverbindung eines Dienstes mit einem anderen innerhalb einer physischen Ausführungsumgebung verschlüsselt wird. Neben der Datenverbindung sollen in MimoSecco neue Konzepte der Datenspeicherung entwickelt und überprüft werden, welche die Vertraulichkeitsanforderungen des Datenbesitzers sicherstellen sollen. Fragmentiertes, örtlich verteiltes Sicherheitsmanagement MimoSecco erlaubt es, Daten geschützt in der Cloud abzulegen und dennoch ein effizientes Arbeiten auf diesen Daten zu ermöglichen. Dies wird erreicht, indem die Daten geschickt auf mehrere unabhängige Cloud-Anbieter aufgeteilt werden. Auf dem Datenserver liegen die Daten in verschlüsselter Form, der Betreiber des Servers hat somit keine Kenntnis über den Inhalt der Daten. Eine über der Datenbank vorgenommene Indizierung wird teilverschlüsselt auf zwei weitere Server verteilt. Die Indizierung und das Verschlüsseln der Daten übernimmt der vertrauenswürdige Datenbankadapter. Anfragen an die Datenbank stellt der Cloud-Anwender über den Datenbankadapter. Dieser ermittelt durch Anfragen an die Indexserver die betroffenen Datensätze der verschlüsselten Datenbank. Diese werden dann durch den Datenbankadapter

15 Entwicklung von Basistechnologien 13 vom Datenserver abgerufen, entschlüsselt und dem Cloud-Anwender zur Verfügung gestellt. Bei Änderungen durch den Cloud-Anwender werden die bestehenden verschlüsselten Datensätze vom Datenbankadapter durch neue ersetzt und gegebenenfalls die betroffenen Indizes aktualisiert. Token-basierte Verschlüsselungsmethoden Ein zentrales Element ist die Nutzung zertifizierter Hardware-Sicherheitstoken. Dies sind spezielle, gegen physische Angriffe gesicherte Smartcards, die in unterschiedlichen Bauformen zur Verfügung stehen. Ein Sicherheitstoken muss an den Datenbankadapter angeschlossen sein. Der benötigte Schlüssel zur Entschlüsselung der Daten liegt nur im Sicherheitstoken vor. Liegen gültige Zertifikate des Cloud-Anwenders und gleichzeitig der vertrauenswürdigen SaaS-Anwendung vor, welche ebenso über eigene Sicherheitstoken abgesichert sind, gibt das Sicherheitstoken des Datenbankadapters den Schlüssel temporär frei, so dass die benötigten Daten entschlüsselt werden können. Nach erfolgter Bearbeitung der Daten wird der Schlüssel im Datenbankadapter wieder gelöscht. Der Zugriff auf die Sicherheitstoken erfolgt über eine neu entwickelte Middleware. Diese wird als Baukasten gestaltet, so dass auf den jeweiligen Systemen (Endgerät, Saas-Anwendung, Datenbankadapter usw.) aus diesem Baukasten die dort jeweils benötigten Komponenten ausgewählt und eingesetzt werden können. Ausgangssituation Mitarbeiter wollen mobil, aber auch sicher auf Unternehmensdaten zugreifen Datenverarbeitung in der Cloud gilt als unsicher, da Unbefugte Zugriff auf die Daten erlangen können Öffentlicher Cloud-Anbieter hat theoretisch Zugang zu allen Daten Zielsetzung MimoSecco sorgt für mehr Sicherheit bei der Verarbeitung von Daten in der Cloud und ermöglicht mobiles Arbeiten im Unternehmenskontext Mehrstufiges Sicherheitszonenkonzept er - schwert Insiderangriffe bei Cloud-Anbietern Einsatz von Sicherheitstoken und Verschlüsselung ermöglicht bessere Kontrolle über den Zugriff auf die Daten der Nutzer Koordinator CAS Software AG Spiros Alexakis spiros.alexakis@cas.de Telefon Partner Karlsruher Institut für Technologie (KIT) WIBU-Systems AG Laufzeit

16 14 Entwicklung von Basistechnologien Sealed Cloud Technisch sicheres Cloud Computing Die eigenen Datenbestände sind für Unternehmen wie ein gut gehüteter Schatz, egal ob es sich um Geschäftsgeheimnisse oder andere interne Dokumente handelt. Diese Daten in die Cloud auszulagern erscheint vielen Unternehmen immer noch riskant. Denn die sensiblen Informationen liegen dabei nicht mehr auf Festplatten im eigenen Haus, sondern bei einem Drittanbieter, der theoretisch darauf Zugriff nehmen könnte. Das Projekt Sealed Cloud entwickelt eine Lösung, um Daten in der Cloud besonders zu schützen und damit das Vertrauen von Unternehmen in Cloud-Dienste zu stärken. Versiegelung der Datenverarbeitung schafft Sicherheit Dazu schafft Sealed Cloud eine versiegelte Cloud- Computing-Infrastruktur. Sie soll mit technischen Mitteln hinterlegte Daten nachhaltig schützen. Ein ganzes System von Sicherheitsvorkehrungen schließt dabei über die gesamte Verarbeitung der Daten den Zugriff Unbefugter aus. Oftmals haben der Betreiber des Cloud-Dienstes und seine Mitarbeiter praktisch uneingeschränkten Zugriff auf die technische Infrastruktur und damit auf alle dort gespeicherten und verarbeiteten Informationen. Mit Sealed Cloud werden diese so genannten Insiderangriffe explizit ausgeschlossen. Damit bietet Sealed Cloud einen Schutz sowohl gegen externe als auch gegen interne Versuche Unbefugter, die sensiblen Daten abzurufen. Bei Sealed Cloud wird der Zugriff auf Daten, auch gegenüber dem Cloud-Anbieter, technisch derart erschwert oder sogar unmöglich gemacht, dass ein Lesen von Daten durch den Dienstanbieter oder den Cloud-Betreiber praktisch nicht mehr möglich ist. Angefangen bei den physischen Systemen über die genutzten Betriebssysteme und Middleware bis hin zu den Anwendungen wird ein abgeschlossenes Silo geschaffen, auf das der Zugriff von Unbefugten nicht möglich ist. In diesem Silo können die Daten sicher unverschlüsselt gehalten werden, was für die Verarbeitung der Daten notwendig ist. Der Zugriff wird über die gesamte Verarbeitung der Daten sowohl auf physischer als auch auf digitaler Ebene ausgeschlossen.

17 Entwicklung von Basistechnologien 15 Offene und standardisierte Schnittstellenschicht für Cloud-Dienste Sealed Cloud soll durch eine offene und standardisierte Schnittstellenschicht unternehmenskritischen Cloud- Diensten ein hohes Sicherheitsniveau und möglicherweise auch rechtliche Einfachheit bieten. Die Technologie wird am Beispiel zweier Lösungen im Bereich Software as a Service (SaaS) demonstriert. Mit delegate soll zum einen ein Dienst angeboten werden, mit dem der Verfügungsberechtigte eines Unternehmens Zugangsberechtigungen zu Cloud-Diensten verwalten und kontrolliert delegieren kann. Als zweites soll der etablierte Web-Privacy-Dienst ID GARD, der für Unternehmen Vertraulichkeit für geschäftsrelevante Informationen im Internet bietet, auf die offene Schnittstellenschicht portiert werden. Der Dienst soll die Privatsphäre von Anwendern im Internet schützen und so den Datenschutz sicherstellen. Ausgangssituation Schutz von Anwenderdaten gegenüber Cloud- Anbietern nicht sichergestellt Kein einheitlicher technischer Datenschutzstandard für Public-Cloud-Lösungen Unklare Sicherheitslage mindert Vertrauen in Cloud-Dienste Zielsetzung Versiegelte Cloud-Infrastruktur verhindert unbefugten Zugriff des Cloud-Anbieters auf Daten des Cloud-Anwenders Public-Cloud-Lösungen können so vertrauenswürdig sein wie Private-Cloud-Dienste Verbesserte technische und ggf. rechtliche Sicherheit erhöht Vertrauen in Cloud-Dienste Koordinator Uniscon universal identity control GmbH Dr. Hubert Jaeger hubert.jaeger@uniscon.de Telefon Partner Fraunhofer-Einrichtung für Angewandte und Integrierte Sicherheit (AISEC) SecureNet GmbH Laufzeit

18 16 Entwicklung von Basistechnologien SkIDentity Vertrauenswürdiges Cloud Computing braucht starke Authentisierung Cloud-Dienste ermöglichen das gemeinsame Arbeiten an Projekten, egal wo sich die Kollegen gerade befinden. In rund um den Globus verteilten Büros, auf einem Notebook zu Hause oder auch unterwegs mit Smartphone oder Tablet-PC, überall haben die Mitarbeiter Zugriff auf wichtige Daten oder gemeinsam nutzbare IT-Dienste. Diese Flexibilität ist jedoch mit einem Risiko verbunden: Unbefugte könnten sich durch Hackerangriffe oder gezielte Betrugsversuche die Zugangsdaten eines Mitarbeiters verschaffen und so unerlaubten Zugriff auf sensible Daten erhalten. Um dies zu verhindern müssen in der Cloud starke, auf mehreren Faktoren (Besitz, Wissen, Sein etc.) basieren de Authentisierungsmechanismen eingesetzt werden. Brücke zwischen sicheren Ausweisen und Cloud Genau hier setzt das Projekt SkIDentity an. Es schlägt eine Brücke zwischen sicheren elektronischen Ausweisen (eid) in Form von Chipkarten, wie z. B. dem neuen Personalausweis, der elektronischen Gesundheitskarte, Signatur- und Bankkarten oder Mitarbeiterausweisen, und dem wachsenden Markt der Cloud-Computing- Infrastrukturen. Ziel ist es, vertrauenswürdige Identitäten für die Cloud bereitzustellen und dadurch alle Arten von Geschäftsprozessen für Konsumenten und Unternehmen besser abzusichern. Hierfür werden bereits existierende sowie neu zu entwickelnde Komponenten, Dienste und Vertrauensinfrastrukturen zu einer umfassenden, rechtskonformen, wirtschaftlich sinnvollen und hochsicheren Identitätsinfrastruktur für die Cloud integriert und in breitenwirksamen Pilotprojekten erprobt. Nutzung bestehender Ausweise für eine sichere Authentifizierung Besondere Berücksichtigung finden hierbei die Bedürfnisse der kleinen und mittleren Unternehmen und Behörden. Kern der SkIDentity-Infrastruktur ist ein eid-broker, der die Dienstnutzer entsprechend den Sicherheitsvorgaben (Wünschen) des Cloud-Dienstes an einen Authentifizierungsdienst aus einer Auswahl bestehender Dienste weitervermittelt. Der Authentifizierungsdienst führt die Nutzerauthentifizierung durch. Dabei können bestehende existierende elektronische Ausweise zum Einsatz kommen. Mit Hilfe der SkIDentity Infrastruktur können sich Dienstnutzer so mit ihren bereits vorhandenen sicheren Ausweisen für verschiedenste Cloud-Dienste anmelden.

19 Entwicklung von Basistechnologien 17 Zweifelsfreie Identitäten für die Cloud und aus der Cloud Am Ende steht ein auf bewährten und hochsicheren Technologien basierendes Anmeldeverfahren, das in den Cloud-Dienst integriert wird und dort als eine Art Wäch - ter fungiert. Bei einem Login-Versuch prüft SkIDentity die Echtheit des genutzten Ausweises und stellt bei der erstmaligen Registrierung auf Wunsch weitere Benutzerattribute (z. B. Name, Adresse) bereit. Auf Basis dieser Information kann der Cloud-Dienst entscheiden, ob und auf welche Funktionen und Daten ein Benutzer Zugriff hat. Um diese Vorteile nutzen zu können, muss der Cloud-Anbieter keine eigene aufwändige IT-Infrastruktur betreiben, sondern kann die sicheren Authentisierungsdienste bequem aus der Cloud beziehen. Rundum sicheres und vertrauensvolles Datenmanagement für Cloud-Dienste Zusätzliche Einsatzgebiete hat SkIDentity in weiteren Projekten, die ebenfalls die Absicherung von Daten und Informationen in der Cloud zum Ziel haben. Gemeinsam mit den auch zum Trusted Cloud-Technologieprogramm gehörenden Projekten MimoSecco und Sealed Cloud sorgt SkIDentity für rundum sichere Cloud-Lösungen. Während MimoSecco und Sealed- Cloud vor allem die auf den Servern der Cloud-Anbieter gespeicherten und verarbeiteten Daten schützen, verhindert SkIDentity den unautorisierten Zugriff auf diese Systeme aus der Cloud. Ausgangssituation Log-In ist bedeutender Sicherheitsaspekt bei Cloud-Diensten Angreifer überwinden schwache Authentisierungsverfahren und können Daten entwenden oder missbrauchen Kein einheitliches, starkes Authentisierungsverfahren für Anwender von mehreren Cloud-Diensten Zielsetzung Sicheres und benutzerfreundliches Authentifizierungssystem verhindert unbefugte Zugriffe auf Daten in der Cloud Hochsichere Anmeldung für die Cloud auf Basis etablierter Technologien und bewährter Ausweissysteme Broker-basierte Architektur ermöglicht kosteneffizientes Identitätsmanagement, das selbst für KMU und Kommunen geeignet ist Koordinator Ecsec GmbH Dr. Detlef Hühnlein detlef.huehnlein@ecsec.de Telefon Partner ENX Association Fraunhofer-Institut für Arbeitswirtschaft und Organisation (IAO) Fraunhofer-Institut für Graphische Datenverarbeitung (IGD) OpenLimit SignCubes GmbH Ruhr-Universität Bochum, Lehrstuhl Netz- und Datensicherheit Universität Passau, Lehrstuhl für Öffentliches Recht, Informationstechnologierecht und Rechtsinformatik Urospace GmbH Versicherungswirtschaftlicher Datendienst GmbH Laufzeit

20 18 Entwicklung von Basistechnologien Value4Cloud Marktunterstützende Mehrwertdienste für mehr Vertrauen in Cloud Computing Cloud Computing gewinnt an Bedeutung für die tägliche Arbeit von Unternehmen. Nicht nur aus Kostengründen, sondern auch aus Gründen der Flexibilität und Mobilität setzen viele Betriebe zunehmend auf Cloud-Dienste. Mit steigender Nachfrage wächst zum einen die Anzahl der verfügbaren Dienste, zum anderen auch die Anzahl der Anbieter. Gleichzeitig mangelt es an Möglichkeiten für IT-Entscheidungsträger, sich einen guten Überblick über den Markt zu verschaffen und Cloud-Dienste vergleichen zu können. Anbieter stehen demgegenüber vor der Herausforderung marktgerechte, innovative Cloud-Dienste bereitzustellen. Diese Schwierigkeiten hat das Projekt Value4Cloud erkannt und verfolgt als Lösungsansatz die Entwicklung von marktunterstützenden Diensten für Anwender und Anbieter. Entstehende Ergebnisse wie etwa ein Konzept zur Unterstützung von Kunden bei der Analyse von Cloud-Service-Angeboten oder Werkzeuge in Form von Kriterienkatalogen werden in ein Transfer-Center überführt und stehen Anwendern wie Anbietern zur Verfügung. Fokus: Cloud-Anwender Mit der Bereitstellung von IT-Diensten über die Cloud sind nicht nur neue Technologien und Konzepte verbunden. Gemeinsam mit der Vielzahl unbekannter Anbieter führt Cloud Computing bei Anwendern zu großer Unsicherheit. Hier setzt Value4Cloud an. Zum einen werden Dienste zur Vertrauensunterstützung entwickelt, die beispielsweise in Online-Marktplätzen für Cloud-Dienste integriert werden können. Zum anderen entstehen Dienste, die dem Anwender helfen sollen einen auf seine Bedürfnisse abgestimmten Cloud-Dienst zu finden. Dafür werden Cloud-Angebote geeignet systematisiert, Vergleichsmöglichkeiten geschaffen, wichtige Diensteigenschaften durch Anwender selbst bewertet und zusätzlich eine unabhängige Zertifizierung von Leistungsmerkmalen gefördert. Ferner wird im Rahmen des Projekts die rechtliche Zulässigkeit verschiedener Cloud-Nutzungen bewertet und kann somit in die Auswahlentscheidung der Anwender einbezogen werden.

21 Entwicklung von Basistechnologien 19 Fokus: Cloud-Anbieter Cloud-Anwender erwarten von ihren Anbietern einerseits eine kostengünstige und effiziente Bereitstellung der Cloud-Dienste. Andererseits fordern sie kundenspezifische Innovationen. Value4Cloud unterstützt Cloud-Anbieter diesen Zielkonflikt zu meistern. Durch den Einsatz offener Innovationsmethoden wird das Wissen der Anwender und externer Partner genutzt, um kundenorientiert Lösungen zu schaffen. Die Rechtsverträglichkeit neuer Angebote wird durch Leitfäden zur rechtskonformen Servicegestaltung adressiert. Diese beziehen sich auf Fragen des Datenschutzes, der IT-Forensik und der Haftung. Ausgangssituation Anwendern fehlen verlässliche Ansätze zur Bewertung der Qualität von Cloud-Diensten. Mangelnde Vergleichsmöglichkeit von Cloud- Diensten Erfahrungen und Bedarf der Cloud-Anwender werden nur von einzelnen Anbietern zur Weiterentwicklung ihres Angebots aufgegriffen Bewertungsansätze zu Rechtskonformität von Cloud-Diensten fehlen Zielsetzung Einheitliches Schema erleichtert Vergleich und Bewertung der Qualität von Cloud- Diensten. Aspekte wie Sicherheit und Rechtskonformität können besser beurteilt werden Kundenmeinungen und -bewertungen helfen bei der Orientierung im Angebot Projektergebnisse helfen Cloud-Anbietern bei der Weiterentwicklung ihrer Dienste, etwa durch aussagekräftigere Servicebeschreibungen Koordinator Partner fortiss An-Institut der Technischen Universität München, Forschungsbereich Information Systems Prof. Dr. Helmut Krcmar gate Garchinger Technologie- und Gründerzentrum GmbH SpaceNet AG Universität Kassel, Fachgebiet Wirtschaftsinformatik und Projektgruppe verfassungsverträgliche Technikgestaltung (provet) im Forschungszentrum für Informationstechnik-Gestaltung (ITeG) Universität zu Köln, Wirtschafts- und Sozialwissenschaftliche Fakultät Laufzeit