CLOUD-COMPUTING 28. OKTOBER 2014 THEIBYA RAVINDRAN

Transkript

1 CLOUD-COMPUTING 28. OKTOBER 2014 THEIBYA RAVINDRAN

2 Inhalt Wolkenkuckucksheim Cloud... 2 Was ist die Cloud?... 2 Wozu kann ich sie gebrauchen?... 2 Wie teuer sind Clouddienste?... 2 Was sind die Vorteile?... 2 Gibt es Nachteile?... 2 Und der Datenschutz?... 2 Wie sicher sind die Daten?... 3 Und wie lautet das Fazit?... 3 Bekannte Clouddienste im Überblick... 4 Risiken bei der Nutzung von Cloud Computing... 5 Kontrollverlust über die Daten... 5 Fehlende oder mangelnde Abgrenzung/Isolierung der verschiedenen Datenverarbeitungen... 5 Compliance Risiken... 5 Zugriff von ausländischen Behörden auf die Daten... 5 Lock-in Effekte... 5 Bedrohungen... 6 Missbrauch und schädliche Nutzung von Cloud Computing... 6 Unsichere Schnittstellen und APIs... 6 Böswillige Insider... 6 Risiken durch geteilte Technologien... 6 Datenverlust und -kompromittierung... 6 Diebstahl von Benutzerkonten oder Cloud-Diensten... 6 Unbekannte (neue) Risiken... 6 Index

3 Wolkenkuckucksheim Cloud Die Wolke ist praktisch, weil Nutzer immer und überall auf ihre Daten zugreifen können. Nicht jede Datei sollte aber dort landen. Der Sohn lebt in Miami, die Tochter in Berlin, die Eltern in München und doch sehen sie sich gemeinsam Fotos von der letzten Familienfeier an. Für Nutzer, die ihre Bilder online bei einem Clouddienst ablegen, kein Problem. Das ist längst nicht alles, was die Datenwolke kann. Was ist die Cloud? Die Cloud, englisch für Wolke, ist ein Onlinespeicher, in den Nutzer Fotos, Musik oder Dokumente hochladen können. Einmal in der Wolke angekommen, stehen die Daten jederzeit und überall zur Verfügung. Mit internetfähigen Geräten kann der Nutzer von unterwegs auf die Wolke zugreifen. Wozu kann ich sie gebrauchen? In einer Cloud ablegen kann ein Nutzer alle Arten von Daten, die er stets braucht oder mit anderen teilen will. Besonders beliebt sind Fotos, Videos, Musik oder Office- Dokumente. Auch der Terminkalender kann dort liegen. So hat der Nutzer ihn stets auf allen Geräten parat. Daten mit anderen zu teilen bedeutet: Auf Wunsch können auch der Partner oder Kollegen auf die Termine zugreifen. Zu den bekanntesten Anwendungen einer Cloud gehören - Dienste wie zum Beispiel gmx oder Google- Mail. Sie funktionieren schon seit Jahren nach dem Wolkenprinzip, also der Idee, Daten zentral und online zu speichern. Wie teuer sind Clouddienste? Viele Dienste bieten kostenlosen Speicherplatz: zwischen 1 und 26 Gigabyte. Wer mehr will, muss die Kapazität gegen Geld aufstocken. Bei Dropbox zum Beispiel kosten 50 Gigabyte rund 75 Euro im Jahr. Was sind die Vorteile? Wer wichtige Daten stets dabeihaben will, kann auf einen USB-Stick verzichten. Hat der Nutzer zuhause ein wichtiges Office- Dokument bearbeitet, kann er im Büro automatisch auf die zuletzt gespeicherte Version zugreifen. Sinnvoll sind Clouddienste auch zur Datensicherung. Geht der Computer kaputt, können Nutzer die gesicherten Fotos, Dokumente oder Songs aus dem Netz auf den neuen Computer laden. Gibt es Nachteile? Clouddienste funktionieren nur auf Geräten mit Internetzugang zuhause und im Büro selten ein Problem. Unterwegs eventuell schon. Smartphones und Surfsticks machen das Internet zwar mobil, grössere Datenmengen schöpfen das Volumen der gebuchten Flatrate aber schnell aus. Ein weiterer Nachteil: Hat der Nutzer sich für einen Dienst entschieden, ist er meist festgelegt. Ein «Umzug» zu einem anderen ist aufwendig. Es fehlt an Übertragungsstandards zwischen den Anbietern. Problematisch wird es auch, wenn einer Pleite geht. Unter Umständen bekommt der Nutzer seine Daten dann nur schwer zurück oder die Festplatten mit den Informationen wechseln sogar den Besitzer. Und der Datenschutz? Grosse Anbieter wie Google, Amazon, Microsoft oder Apple sitzen in den USA. Deren Server stehen auf der ganzen Welt verteilt. Deutsches Datenschutzrecht ist daher nur schwer anwendbar. Amerikanische Firmen müssen den Ermittlungsbehörden gespeicherte Daten zur Verfügung stellen. Wer mehrere Dienste eines Anbieters nutzt, muss ausserdem damit rechnen, dass dieser Nutzerdaten miteinander verknüpft. Google macht das seit März. Es entstehen umfangreiche Nutzerprofile, die Google für personalisierte Werbung einsetzt. Unklar bleibt auch, was mit den Daten passiert, nachdem der Nutzer 2

4 sich bei einem Dienst abgemeldet hat. Daher gilt: Vorsicht mit sensiblen Informationen. Tan-Listen zum Onlinebanking oder Gehaltsabrechnungen haben in der Cloud nicht verloren. Tipp: Verschlüsseln Sie Ihre Daten, zum Beispiel mit dem kostenlosen Programm Truecrypt, bevor Sie sie hochladen. Wie sicher sind die Daten? Von den Bedenken zum Datenschutz abgesehen ist alles relativ sicher. Serverbetreiber sind verpflichtet, alle Daten ständig abzusichern. Aber Server können ausfallen oder gehackt werden. Im schlimmsten Fall sind die gespeicherten Informationen dann weg, oder Kriminelle verwenden sie zu illegalen Zwecken. CDs oder externe Festplatten können aber ebenfalls ausfallen oder gestohlen werden. Eine hundertprozentige Sicherheit gibt es nie. Und wie lautet das Fazit? Clouddienste vereinfachen die Datensicherung und die Synchronisation zwischen verschiedenen Geräten. Wer mit geringeren Datenmengen hantiert, kann auf viele Dienste kostenlos zugreifen. Vorsicht mit sensiblen Informationen: Laden Sie Ihren Lebenslauf und Ihre Geheimnummern nicht ins Wolkenkuckucksheim. 3

5 Bekannte Clouddienste im Überblick Dienst Gigabyte (GB) Euro im Jahr Beschreibung Amazon Cloud Drive 20 GB 15 Euro 5 GB kostenlos, für alle Arten von Dateien, Musikdateien, die der Nutzer bei Amazon gekauft hat, werden bei der Speicherbelegung nicht Apple icloud eingerechnet. 25 GB 32 Euro 5 GB kostenlos, für Bilder, , Termine Lesezeichen, Notizen und Dokumente. Dateien, die der Nutzer bei Apple gekauft hat, zählen nicht mit. Dropbox 50 GB 75 Euro 2 GB kostenlos, Onlinespeicher für einzelne Dateien oder ganze Ordner, die sich auf Wunsch automatisch synchronisieren. Google 20 GB 4 Euro 9 GB kostenlos, verschiedene Google-Dienste: Mail (7 GB), Picasa (1 GB) oder Docs (1 GB). Gekaufter Speicherplatz wird aufgeteilt. Microsoft SkyDrive Strato HiDrive Telekom Cloud 25 GB kostenlos Gemeinsames Bearbeiten von Officedokumenten und das Anlegen von Fotoalben ist möglich. Maximale Dateigrösse ist 100 MB. 20 GB 24 Euro 5 GB kostenlos, Preise variieren je nach Vertragsdauer. Laut Anbieter stehen Server nur in Deutschland, so dass deutsches Datenschutzrecht gilt. 46 GB 45 Euro 26 GB kostenlos, Kombination aus -Fach und Mediencenter. Für Fotos, Videos und Musik gibt es separate Ordner mit eigenen Funktionalitäten. Quelle: test 5/2012, Stand: 10. April 2012 Datenspeicher Internet 5% Dokumente 12% s 15% Adressen 43% Fotos 25% Musik Fotos Musik Adressen s Dokumente 4

6 Risiken bei der Nutzung von Cloud Computing Die Auslagerung von Daten ist immer mit Risiken verbunden. Auf das Cloud Computing treffen insbesondere die folgenden zu: Kontrollverlust über die Daten Wegen der weltweiten Vernetzung und der Virtualität ist der Standort der Daten oft nicht erkennbar. Dies trifft im besonderen Mass für die Public Clouds zu. Der Cloud-Nutzer als verantwortlicher Dateninhaber weiss damit nicht, wo genau seine Daten in der Cloud gespeichert und verarbeitet werden. Er weiss oft auch nicht, ob Subunternehmer involviert sind und ob diese für einen angemessenen Datenschutz sorgen. Der Cloud-Nutzer kann somit seine datenschutzrechtlichen Pflichten hinsichtlich Gewährleistung der Datensicherheit, Gewährung des Auskunftsrechts oder Berichtigung und Löschung der Daten nicht (mehr) oder nur ungenügend wahrnehmen. Fehlende oder mangelnde Abgrenzung/Isolierung der verschiedenen Datenverarbeitungen Dem Konzept von Cloud Computing ist inhärent, dass verschiedene Nutzer, die in keiner Beziehung zu einander stehen, ihre Daten in derselben Cloud und durch dasselbe System verarbeiten lassen (sog. Multi-Tenant-Architektur). Damit erhöht sich das Risiko, durch Attacken auf einen der Nutzer in Mitleidenschaft gezogen zu werden. Die eigenen Daten könnten also wegen Hackerangriffen oder Distributed Denial of Services Attacken (DDoS) nicht mehr verfügbar sein oder selbst «mitgehackt» werden. Es ist deshalb eminent wichtig, dass die Datenbearbeitun-gen der verschiedenen Cloud-Nutzer strikt voneinander getrennt werden und es nicht zu einer Vermischung der Daten kommt. Compliance Risiken In der Cloud kann es vorkommen, dass Teile eines Datensatzes in verschiedenen weltweit verstreuten Rechenzentren liegen. Daraus ergeben sich Probleme nicht nur in Bezug auf die Gewährleistung von Datenschutz und Datensicherheit, sondern auch in Bezug auf die Einhaltung von anderen gesetzlichen Pflichten (Aufbewahrungs- oder Beweispflicht, Einhaltung von Geheimhaltungspflichten, etc.). Unternehmen und Behörden die solche Dienste in Anspruch nehmen, sind sich oft zu wenig bewusst, dass die primäre Pflicht zur Einhaltung der Datenschutzregeln zunächst einmal bei ihnen selbst liegt und nicht beim Anbieter, der die Daten auf einem Cloud-Server speichert oder in der Cloud bearbeitet. Zugriff von ausländischen Behörden auf die Daten In vielen Fällen werden die Daten für die Bearbeitung in der Cloud ins Ausland bekannt gegeben. Dabei werden die Daten oftmals auch in Ländern gespeichert oder bearbeitet, die über keinen (ausreichenden) Datenschutz verfügen. Cloud Service-Anbieter sind aber auch gegenüber ausländischen Behörden und Gerichten verpflichtet, gegebenenfalls Zugriff auf Daten in der Cloud zu gewähren; dies gilt selbst dann, wenn die Daten nicht im Land der Behörde bearbeitet oder gespeichert werden. Lock-in Effekte Ein weiteres Risiko ist die Abhängigkeit vom Cloud-Service-Anbieter und fehlende Portabilität und Interoperabilität. Das heisst, die Daten können wegen nicht vorhandener standardisierter Technologien und Schnittstellen nicht (mehr) oder nur mit grossem finanziellen und/oder technischem Aufwand ins eigene IT-System zurückgeführt oder zu einem anderen Cloud- Anbieter migriert werden. Quelle: 5

7 Bedrohungen Cloud-Services sind durch ihre Exponiertheit im Internet zahlreichen Angriffsmöglichkeiten und Gefahren ausgesetzt. Sie sind öffentlich erreichbar und zumeist betreiben Dritte ihre Infrastruktur, was beides Sicherheitsrisiken zur Folge hat. Die Cloud Security Alliance (CSA) hat die aus ihrer Sicht sieben größten Gefahren bei der Nutzung von (Public) Cloud Computing beschrieben: Missbrauch und schädliche Nutzung von Cloud Computing Begünstigt durch grundlegende Eigenschaften von Cloud-Infrastrukturen (wie die schnelle und einfache Verfügbarkeit neuer Ressourcen mit sehr guter Netzanbindung) ist die Nutzung von Cloud-Ressourcen für Angreifer sehr interessant, um beispielsweise Denial-of-Service-Attacken (DoS) zu starten oder Schadsoftware zu hosten. Unsichere Schnittstellen und APIs Cloud-Services und die von den Anbietern zur Verfügung gestellten Management-Schnittstellen sind bei Public-Cloud-Angeboten über das Internet erreichbar und lassen sich daher leicht angreifen. Darüber hinaus existieren Programmierschnittstellen, die von den Anwendern zur Steuerung und Konfiguration der Cloud-Services verwendet werden können. Schwachstellen an diesen Interfaces öffnen möglicherweise Einfallstore, um beispielsweise unrechtmäßigen Zugriff auf Kundendaten zu erhalten. Böswillige Insider Sicherheitsmaßnahmen der Software sind oft wirkungslos, wenn der Angreifer auf die Infrastruktur des Cloud-Anbieters zugreifen kann. Das ist besonders bei böswilligen Insidern der Fall - also Mitarbeitern des Cloud-Anbieters, die sich Zugriff auf Kundendaten verschaffen. Risiken durch geteilte Technologien Eine weitere Eigenschaft von Cloud Computing ist das so genannte Pooling von Ressourcen. Das bedeutet, dass die physischen Ressourcen von allen Anwendern der Cloud-Services gemeinsam verwendet werden. Dabei können sich Probleme bei der zuverlässigen Trennung der Nutzerdaten ergeben. Datenverlust und -kompromittierung Weil die Daten in der Cloud gespeichert sind und viele Anwender gleichzeitig dieselbe Infrastruktur verwenden, ergeben sich besondere Anforderungen an die Datensicherheit. Vergangene Probleme bei Cloud-Providern zeigen, dass es auch durch technische Probleme zu Datenverlusten kommen kann. Diebstahl von Benutzerkonten oder Cloud-Diensten Damit Anwender ihre Dienste schnell und einfach benutzen können, setzen viele Cloud-Anbieter auf einen simplen Anmeldeprozess. Gelingt es einem Angreifer, die Zugangsdaten eines Kundenkontos in Erfahrung zu bringen, kann er unter falschem Namen auf fremde Daten zugreifen, Ressourcen missbrauchen und Schaden anrichten. Unbekannte (neue) Risiken Um die Risiken von Cloud-Services abzuschätzen, müssen Anwender die Sicherheitsvorkehrungen der Anbieter analysieren und in die eigene Betrachtung mit einbeziehen. Findet diese Risikoanalyse nicht oder nur unzureichend statt, weil der Cloud- Provider nicht alle benötigten Informationen bereitstellt, bleibt ein nicht einschätzbares Risiko. Quelle: 6

8 Index Amazon 2, 3 Apple 2, 3 Dropbox 2, 3 Google 2, 3 Microsoft 2, 3 Missbrauch 6 Nutzung 5, 6 Risiken 5, 6, 7 Verschlüsseln 3 7