HYBRID BACKUP & RECOVERY SICHERE DATENHALTUNG IN DER CLOUD

Transkript

1 SICHERE DATENHALTUNG IN DER CLOUD Stand: Februar 2016

2 INHALT EINLEITUNG WAS IST CLOUD-COMPUTING? DOPPELTE SICHERHEIT DANK HYBRIDER DATENHALTUNG VERSCHLÜSSELUNG DIE RECHTLICHE SITUATION FAZIT: HÖCHSTE SICHERHEIT IN DER CLOUD DAS SOLLTEN SIE BEACHTEN OFT GENUTZT BEGRIFFE DER IT-SICHERHEIT ÜBER DIE CARBONITE GERMANY GMBH UNSER SICHERHEITSANGEBOT SIE HABEN KONKRETE FRAGEN ZU DATENSICHERHEIT UND DATENSCHUTZ? KOSTENFREIE TESTVERSION ANFORDERN 2016 Carbonite Germany GmbH. Die Inhalte dieses Artikels wurden mit größter Sorgfalt recherchiert. Dennoch kann keine Haftung für die Richtigkeit, Vollständigkeit und Aktualität der bereit gestellten Informationen übernommen werden. Rechtliche Informationen sind insbesondere allgemeiner Art, dienen allein informatorischen Zwecken und stellen keine Rechtsberatung im Einzelfall dar. Aussagen über Ausstattung und technische Funktionalitäten sind unverbindlich und dienen nur der Information. Änderungen vorbehalten.

3 EINLEITUNG Cloud-Computing ist 2016 kein bloßer Trend mehr, es ist fester Bestandteil unternehmerischer Infrastrukturen in Büros und Betrieben jeder Größe. So gibt es heute kaum noch ein mittelständisches Unternehmen, in dem sich nicht eine Cloud- Lösung findet. Und zahlreiche Marktstudien prognostizieren der Cloud auch für die Zukunft ein rasantes Wachstum. Mit gutem Grund. Denn früher oft noch vorhandene Sicherheitsbedenken sind bei seriösen Anbietern heute obsolet, die Kostenvorteile für kleine und mittlere Unternehmen unverändert überzeugend. Gerade bei Datensicherung, Backup und Disaster Recovery können kleine und mittlere Unternehmen von den Möglichkeiten der Cloud profitieren. Denn dadurch wird die Speicherung von kritischen Daten jenseits des eigenen Unternehmens in Hochsicherheitsrechenzentren auch für diese Zielgruppe erstmals erschwinglich. Ein zentraler Aspekt für die Akzeptanz des Cloud-Computings ist dennoch unverändert die Sicherheit. Denn die gebotenen Standards der Cloud Anbieter unterschieden sich sehr. Damit Kundendaten auch tatsächlich zuverlässig sicher und geschützt sind, müssen einige Voraussetzungen erfüllt sein. Um welche es sich handelt, wird im Folgenden erklärt. Dieser Text will damit behilflich sein, die Auswahl eines geeigneten Anbieters auf eine solide Basis zu stellen. Zu Sprache kommen dabei auch rechtliche Aspekte. Denn nach dem Bundesdatenschutzgesetz (BDSG) verlangt der Schutz personenbezogener Daten in der Cloud angemessene technische und organisatorische Maßnahmen. 3

4 WAS IST CLOUD- COMPUTING? Unter Cloud-Computing, Cloud ist das englische Wort für Wolke, versteht man die Nutzung von externen Rechner- und Speicherkapazitäten sowie von zahlreichen weiteren Diensten oder Programmen über das Internet. Die Nutzung der Ressourcen eines externen Rechenzentrums erfolgt dabei ganz nach Bedarf. So lässt sich etwa der benötigte Speicherplatz in einer Cloud jederzeit an die Bedürfnisse des Anwenders anpassen. Der Zugriff auf die Cloud erfolgt über die verschiedensten Endgeräte, über Standardschnittstellen und die lokalen Funktionen eines Webbrowsers. Die wesentlichen Vorteile derartiger Lösungen liegen im leichten Datenzugang via Browser von beliebigen Orten, der hohen Ausfallsicherheit professioneller Rechenzentren sowie bei den günstigen Kosten. Letzteres insbesondere im Vergleich zum Unterhalt einer eigenen IT-Infrastruktur. Im Falle von Backup-Lösungen verbinden moderne hybride Ansätze die Vorteile der Cloud mit der Möglichkeit, vor Ort eine zusätzliche, lokale Sicherung vorzunehmen. DOPPELTE SICHERHEIT DANK HYBRIDER DATENHALTUNG Moderne Backup-Lösungen sichern die Daten in der Cloud und zusätzlich lokal im Unternehmen. Dort Vor Ort werden Daten oft auf Servern, Festplatten oder Netzspeichersystemen gesichert. Der besondere Vorteil der Speicherung von Daten in der Cloud besteht nun genau in der Beseitigung von lokalen Risiken. Denn im Unternehmen drohen jederzeit Risiken wie Defekte, Stromausfälle, Fehlbedienung, Wasserschäden oder Diebstahl. Professionelle Rechenzentren dagegen bieten Sicherheitsmaßnahmen, die von kleinen und mittleren Unternehmen in Eigenregie kaum umgesetzt werden könnten und diese Risiken zuverlässig vermeiden. Zutrittskontrollen, standardisierte Schnittstellen, jederzeit aktuelle, professionelle Sicherheitslösungen oder eine redundante (mehrfache) Datenhaltung gehören dort zum Standard und sind Bestandteil der Dienstleistung. Treten im Unternehmen interne Probleme oder Ausfallzeiten auf, stehen Ihre im Cloud-Speicher gesicherten Dateien jederzeit zur Wiederherstellung zur Verfügung. Die hybride Datensicherung sorgt so für doppelte Sicherheit. Wichtig sind Zertifizierungsnormen für Informationssicherheitsmanagementsysteme wie ISO Diese bescheinigen einem Rechenzentrum die Einhaltung hoher Standards. 4

5 VERSCHLÜSSELUNG Unter Verschlüsselung werden Verfahren verstanden, die eine lesbare Information durch einen Schlüssel (Key) in eine nicht mehr lesbare Information umwandeln. Die ursprüngliche Information kann nur durch diesen Schlüssel wieder lesbar gemacht werden. Wer nicht über diesen Key verfügt, kann folglich damit verschlüsselte Informationen nicht lesen. Die Verschlüsselung von Daten und Informationen ist daher ein sehr wirksames Instrument, den Zugriff von Unbefugten darauf unmöglich zu machen. Moderne Verfahren bieten heute so sichere Schlüssel, dass der Nutzer von der nahezu uneingeschränkten Sicherheit seiner Daten ausgehen kann. Es ist wichtig, dass Daten bereits vor der Übertragung in ein Rechenzentrum zuverlässig verschlüsselt werden. Daher kommen hier oft Verschlüsselungen mit einem AES-Algorithmus von 12 Bit Schlüssellänge zum Einsatz. Die Übertragung ins Rechenzentrum sollte zudem via Secure-Sockets-Layer (SSL) erfolgen. SSL ist ein Protokoll zur sicheren Datenübertragung im Internet. Wird ein Schlüssel auch vom Cloud-Dienstleister verwahrt, lassen sich Daten im Notfall, etwa dem Verlust eines Passworts, auch von diesem wieder entschlüsseln. Wer den Schlüssel nicht aus der Hand geben möchte, sollte auch einen eigenen, privaten Key erzeugen können (etwa als 256-Bit-AES). Ein privater Schlüssel muss im Unternehmen gut gesichert und verwahrt werden, denn er wird nicht an Dritte weitergegeben. Auf entsprechend verschlüsselten Daten kann also nur der Nutzer selber zugreifen. Die Bezeichnungen AES-12 und AES-256 beziehen sich auf die gewählte Schlüssellänge in Bit. Je länger ein Schlüssel ist, desto höher seine Sicherheit. AES-256 ist beispielsweise in den USA sogar für staatliche Dokumente mit höchster Geheimhaltungsstufe zugelassen. Damit können mittelständische Unternehmen selbst besonders sensible Daten, etwa aufbewahrungspflichtige Dokumente mit personenbezogenen Daten, zuverlässige vor unbefugten Zugriffen schützen. 5

6 DIE RECHTLICHE SITUATION Auch der Datenschutz hat mit Sicherheit zu tun, denn er bildet die Grundlage für den Schutz von personenbezogenen Daten. Deutsche Unternehmen können selbst sensible Daten mit Personenbezug in der Cloud speichern, wenn sie die Bestimmungen des Datenschutzes (unter anderem festgelegt im BDSG) und rechtliche Aufbewahrungspflichten beachten. Unter Datenschutzaspekt ist die Einhaltung dieser Regelungen am leichtesten sicherzustellen, wenn der im Rahmen einer Auftragsdatenverarbeitung ausgewählte Cloud-Anbieter seinen Sitz und sein Rechenzentrum in Deutschland beziehungsweise in der EU oder im Europäischen Wirtschaftsraum (EWR = EU sowie Island, Liechtenstein und Norwegen) hat. Denn in diesem Fall gelten die strengen deutschen Datenschutzregelungen auch für den Betreiber des Rechenzentrums. Der Vorteil dieses Vorgehens besteht darin, dass ein externes Rechenzentrum im genannten Wirtschaftsraum den gleichen Status hat wie interne Rechnerkapazitäten eines Unternehmens. Daten können somit problemlos dorthin übertragen werden. Werden die Daten nicht in diesem Raum gespeichert, sind zusätzliche Regelungen erforderlich. Auftragsdatenverarbeitung bedeutet, dass der Cloud- Anbieter die Daten im Auftrag und auf Weisung eines Unternehmens verarbeitet. 6

7 FAZIT: HÖCHSTE SICHERHEIT IN DER CLOUD Das Thema Cloud-Computing hat die IT-Branche stark verändert und wird diese auch zukünftig stark beeinflussen. Zum Vorteil für kleine und mittlere Unternehmen. Denn mittelständische Unternehmen waren zuvor kaum in der Lage, ein ähnlich hohes Sicherheitsniveau für ihre Daten zu realisieren wie Großunternehmen. Man denke nur an weitgehend ungeschützte Server- Schränke in Büro- oder Kellerräumen. Dank Cloud-Computing hat sich dies geändert. Professionellen Rechenzentren bieten Datensicherheit, Verfügbarkeit, Vertraulichkeit und Integrität, auf zuvor unerreichbarem Niveau. Der Grund dafür liegt in den dortigen Sicherheitsmaßnahmen. Zu nennen sind hier etwas der Brandschutz, Kühlsysteme, Zugangskontrollen, redundant ausgelegte Server und Leitungen sowie regelmäßige Sicherheits-Updates und ein professionelles Security-Monitoring. Und hat ein Rechenzentrum seinen Sitz in Deutschland, ist der Kunde auch beim Datenschutz auf der sicheren Seite. Cloud-Computing gestattet dem Mittelstand somit zuvor unerreicht hohe Sicherheitsstandards zu vernünftigen Priesen. DAS SOLLTEN SIE BEACHTEN - Einsatz moderner, starker Verschlüsselungsalgorithmen - Beachtung der deutschen Datenschutzgesetzgebung - Standort des Cloud-Rechenzentrums - Implementierung eines angemessenen Nutzer- und Rechte-Managements OFT GENUTZT BEGRIFFE IN DER IT- SICHERHEIT Account: Benutzerkonto bei einem Informationsdienst AGB : Allgemeine Geschäftsbedingungen Audit: Überprüfung der Sicherheit Backend: Teile eines IT-Systems, die im Hintergrund laufen Backup: Sicherheitskopie von Daten, Einstellungen und Umgebungen BSI: Bundesamt für Sicherheit in der Informationstechnik Bundesdatenschutzgesetz (BDSG): Regelt den Umgang mit personenbezogenen Daten in IT- und Kommunikationssystemen Business Continuity: Sicherung des unterbrechungsfreien Ablaufs der Geschäftsaktivitäten Compliance: Regelkonformität Deployment: Installation und Vorbereitung von Informationssystemen Disaster Recovery: Wiederherstellung von IT-Umgebungen nach Unterbrechungen Feature: Eigenschaften und Funktionen von Informationssystemen Frontend: Teile eines IT-Systems, die der Anwender nutzt Hacker: Unautorisierte Eindringlinge in ein Computersystem Incident: Vorfall im Umfeld der Informationssicherheit Logfiles: Automatische Protokolle zu IT-Abläufen Malware: Schadsoftware Patch: Update eines Programms zu dessen Verbesserung Public Cloud: Cloud-Angebote, die mehreren Nutzern zur Verfügung steht SaaS: Software as a Service (Mietsoftware) Schlüssel: kryptografischer Schlüssel Schlüsselmanagement: Verwaltung der kryptografischen Schlüssel Service-Pack: Mehrere Patches, ein größeres Update SLA: Service Level Agreement (Vereinbarung zur Qualität von Diensten) SPAM: Unerwünschte SSL: Secure Sockets Layer (Netzwerkprotokoll für die sichere Datenübertragung) 7

8 ÜBER CARBONITE Carbonite ist ein führender Anbieter von Hybrid Backup- und Recovery-Lösungen für kleine und mittlere Unternehmen. Die Anwendungen verbinden lokale Backups mit Online-Datenhaltung in einem deutschen Rechenzentrum und bieten Nutzern maximalen Schutz für ihre Geschäftstätigkeit. Für optimalen Datenschutz sorgen AES 12-Bit Standardverschlüsselung und ein optionales AES 256-Bit Private Key Verfahren. Die Anwendungen bestechen durch einfache Installation und Bedienung. In wenigen Schritten lassen sich geschäftskritische Datenbanken, Anwendungen und Server per Hot-Backup sichern. Unterstützt wird die Erstellung vollständiger Server-Images inklusive Betriebssystem, Applikationen und Einstellungen. Eine Bare Metal Recovery Funktion erlaubt die Wiederherstellung auch auf völlig neuer Server-Hardware. Carbonite Lösungen punkten mit vielen Funktionen und individuellen Einstelloptionen. Dazu gehören automatisierte Sicherungs- und Archivierungszeitpläne, Kompressionseinstellungen und ein flexibles Bandbreitenmanagement. UNSER SICHERHEITSANGEBOT Carbonite speichert Online-Backups in einem hochmodernen deutschen Rechenzentrum. Die Daten werden mittels sicherem 12-Bit-SSL- Transportprotokoll übertragen und dort standardmäßig mit AES 12-Bit- Verschlüsselung archiviert. Auf Wunsch können Backups vor der Übertragung mit einem zusätzlichen AES 256-Bit-Schlüssel nach dem Private-Key-Verfahren versehen werden. Auch lokale Backups können so durch eine zusätzliche Sicherheitsebene effektiv geschützt werden. Der Anwender behält dabei jederzeit die Kontrolle über seine Verschlüsselungsinformationen. Verwendete Private- Keys sind ausschließlich ihm zugänglich und werden nicht an Carbonite oder Dritte weitergegeben. SIE HABEN KONKRETE FRAGEN ZU DATENSICHERHEIT UND DATENSCHUTZ? Kontaktieren Sie den deutschen Carbonite Support unter KOSTENFREIE TESTVERSION ANFORDERN Kostenfreie Testversion anfordern Überzeugen Sie sich von Carbonite Server Backup und testen Sie kostenlos die dreißigtägige Trial-Version mit vollem Funktionsumfang und Telefonsupport. CARBONITE GERMANY GMBH GUTENBERGSTR ISMANING FON: SALES@CARBONITE.DE

9 Stand: Februar 2016