Was ist Hybrid-Cloud-Security? Herausforderungen und Best Practices

Das Hybrid-Cloud-Modell wird immer beliebter – und aus gutem Grund. Unternehmen können ihre sensiblen Daten in der abgeschirmten Private Cloud speichern und gleichzeitig die Skalierbarkeit der Public Cloud nutzen. Mit diesen Vorteilen gehen allerdings auch Sicherheitsbedenken einher. Die Kombination unterschiedlicher Cloud-Umgebungen kann die Komplexität erhöhen und mehr Angriffsvektoren schaffen.

Deshalb befassen wir uns in diesem Artikel mit der Hybrid-Cloud-Security. Erfahren Sie mehr über typische Herausforderungen wie Zugangsverwaltung oder Provider-Management und wie Sie diese meistern.

Definition: Was ist Hybrid-Cloud-Security?

Das Ziel von Hybrid-Cloud-Security besteht darin, Daten, die in einer hybriden Cloud-Umgebung gehostet werden, abzusichern. Eine solche Cloud-Umgebung besteht typischerweise aus einer Private Cloud und einer Public Cloud. Falls das Setup mehr als eine öffentliche Cloud umfasst, spricht man von einer hybriden Multi-Cloud. Viele Organisationen integrieren außerdem ihre Legacy-Infrastruktur in ihr Hybrid-Cloud-Setup.

Hybrid Clouds bieten Ihnen ein hohes Maß an Flexibilität. Sensible Daten können in der Private Cloud gespeichert werden. Gleichzeitig profitieren Sie von der Skalierbarkeit und der Kostenersparnis der Public Cloud. Und nicht zuletzt können Sie leicht Workloads zwischen verschiedenen Cloud-Umgebungen hin- und herschieben. Das ermöglicht eine Vielzahl von Use Cases.

Jedoch gehen mit diesen Vorteilen auch Herausforderungen einher. Jede Cloud-Umgebung hat ihre eigenen Sicherheitsanforderungen. Außerdem müssen Sie darauf achten, die unterschiedlichen Umgebungen nahtlos miteinander zu verbinden. Falls diese Verbindungen nicht gut durchdacht sind und fortlaufend überprüft werden, können sich hier neue Angriffsvektoren ergeben. Ihre Hybrid-Cloud-Security steht und fällt mit der Orchestrierung.

Typische Herausforderungen

Dies sind typische Herausforderungen, mit denen sich Unternehmen befassen müssen:

Abhängigkeiten

Wenn Sie eine Hybrid Cloud im Einsatz haben, können Sie wahrscheinlich nicht mehr alle Infrastruktur-Elemente direkt managen. Zumindest der Public-Cloud-Anteil Ihrer Hybrid Cloud wird nun durch einen externen Provider wie AWS oder Microsoft Azure betreut. Bestimmte Sicherheitsparameter werden hier durch den Public-Cloud-Anbieter vorgegeben.

Was den Private-Cloud-Anteil Ihrer Hybrid Cloud angeht, hängt es davon ab, wo Ihre Private Cloud zu Hause ist. Falls Sie Ihre Private Cloud on-prem betreiben, kontrollieren Sie praktisch alle Sicherheitsparameter selbst. Falls Ihre Private Cloud aber extern gehostet wird, zum Beispiel bei einem Managed-Services-Provider, müssen Sie sich bei Änderungen auch hier mit dem Anbieter abstimmen.

Diese Abhängigkeit vom Provider kann in längeren Entscheidungswegen resultieren, falls es zu einem Vorfall kommt. Statt direkt zu reagieren, müssen Sie zuerst Rücksprache mit dem Anbieter halten. Es kann auch vorkommen, dass Sie und der Anbieter unterschiedliche Vorstellungen davon haben, was einen Vorfall konstituiert. Vielleicht möchten Sie schon aktiv werden, während der Provider noch keine Notwendigkeit sieht, Gegenmaßnahmen zu ergreifen.

Solche Bedenken zerstreuen sich aber in der Praxis meist. Tatsächlich führt die Zusammenarbeit mit einem externen Provider fast immer dazu, dass Ihre Hybrid-Cloud-Security deutlich steigt. Viele Inhouse-Teams sind so ins Tagesgeschäft eingebunden, dass sie kaum Zeit haben, sich in Sachen IT-Security auf dem Laufenden zu halten, und z. B. neue Angriffsformen zu analysieren. Ein spezialisierter Provider kümmert sich dagegen sofort um neue Bedrohungen oder klaffende Sicherheitslücken. Das wiegt theoretische Abhängigkeiten schnell wieder auf.

Fehlalarme

Die Kombination unterschiedlicher Cloud-Umgebungen kann zu Fehlalarmen führen. Es kann vorkommen, dass Ihre Monitoring-Tools den Traffic zwischen verschiedenen Clouds falsch einordnen und darin eine Bedrohung sehen. Solche Fehlalarme können auf Dauer Ihr IT-Team desensibilisieren. Sollte es zu einer realen Bedrohung kommen, reagiert das Team nun vielleicht verspätet.

Konkurrierende Lösungen

Viele Unternehmen integrieren mehrere Public Clouds in ihr Hybrid-Cloud-Setup. Dieses Modell bezeichnet man als hybride Multi-Cloud.

Das schafft Flexibilität, hat aber auch Nachteile. Je mehr unterschiedliche Public Clouds Sie hinzunehmen, desto mehr Schnittstellen, Parameter und APIs müssen Sie verwalten. Die Implementierung einheitlicher Sicherheitsrichtlinien über alle Cloud-Umgebungen hinweg wird so deutlich erschwert.

Ein Beispiel: Um eine virtuelle Private Cloud aufzusetzen, müssen Sie bei jedem Anbieter einen unterschiedlichen Weg wählen. Amazon bietet Ihnen die „Amazon Virtual Private Cloud“, Azure das „Azure Virtual Network“ und Google die „Google Virtual Private Cloud“. Indem Sie diese unterschiedlichen Lösungen kombinieren, steigt die Wahrscheinlichkeit für Fehlkonfigurationen und Sicherheitslücken.

Datenaustausch

Wenn Sie Applikationen in unterschiedlichen Cloud-Umgebungen betreiben, müssen diese Anwendungen miteinander kommunizieren. Die Herausforderung besteht darin, den Datenverkehr abzusichern, insbesondere weil die „In-flight“ Absicherung vergleichsweise ressourcenintensiv ist.

Passwort-Management

Die meisten Public Clouds bieten ein Passwort-Management-System. Allerdings funktioniert dieses System typischerweise nur für die jeweilige Public Cloud. Um all Ihre Passwörter über ein zentrales Interface zu managen, müssen Sie auf eine Drittanbieterlösung zurückgreifen.

Datenmanagement

Wenn Sie in unterschiedlichen Cloud-Umgebungen operieren, kann dies das Datenmanagement erschweren.

Ein typisches Szenario ist, dass Daten falsch abgelegt werden. Beispielsweise werden Datensätze, die eigentlich zusammengehören, in unterschiedlichen Clouds abgespeichert.

Ein weiteres Szenario ist die Vermischung von Daten. Datensätze, die eigentlich getrennt gehalten werden sollten, werden am selben Ort abgespeichert.

Im schlimmsten Fall resultiert dies in Datenverlusten, weil Mitarbeiter die Zusammenhänge nicht mehr nachvollziehen können und scheinbar überflüssige Datensätze löschen.

Solche Verteilungsprobleme können auch die Log-Analyse verkomplizieren. Wenn Daten über mehrere Clouds hinweg gespeichert werden, wird es schwieriger, vorherzusagen, wie sich ein Software-Bug oder ein Cyberangriff auswirken wird.

Zugriffsmanagement

IAM-Tools (Identity- und Access-Management) erleichtern Ihnen die User-Verwaltung. Sie können leicht Berechtigungen vergeben und auch wieder zurückziehen, falls ein Mitarbeiter ausscheidet. Die meisten Public-Cloud-Plattformen verfügen über ein IAM. Allerdings sind diese Tools nicht übertragbar. Die Lösung von AWS wird nicht für Microsoft Azure funktionieren und umgekehrt. Wenn Sie hier mit unterschiedlichen Lösungen parallel arbeiten, kann das schnell zu Berechtigungsirrtümern führen. Das erhöht die Gefahr für Insider-Threats.

Menschliches Fehlverhalten

Tatsächlich geht die größte Bedrohung für die Hybrid-Cloud-Security oft nicht von den technischen Lösungen aus, sondern von den menschlichen Usern. Beispielsweise könnte sich ein Mitarbeiter über ein ungesichertes, öffentliches WLAN-Netz einwählen und sensible Unternehmensdaten versenden. Auch die Verwendung von privaten Endgeräten im Homeoffice ist ein großes Problem. Schnell werden hier mal Daten über eine ungeschützte Messaging-App auf dem Handy ausgetauscht.

15 Best Practices für die Hybrid-Cloud-Security

Um Ihre Hybrid-Cloud-Security zu steigern, sollten Sie auf die folgenden Best Practices achten.

1. Verwenden Sie das Zero-Trust-Modell

Das Credo des Zero-Trust-Modells ist „Never Trust, Always Verify“. Das bedeutet: Usern und Geräten sollte niemals blind vertraut werden, selbst wenn sie in der Vergangenheit bereits überprüft worden waren. Dieses Modell ist besonders relevant für die Hybrid Cloud, weil es hier mehr als eine Zugangsmöglichkeit gibt.

Setzen Sie die folgenden Maßnahmen um:

• Implementieren Sie ein durchgängiges, cloudübergreifendes System für die Zugangsverwaltung.
• Validieren Sie jedes Endgerät, bevor Sie ihm Zugriff erlauben.
• Erteilen Sie gerade so viele Berechtigungen für einen User, wie dieser benötigt, um eine bestimmte Aufgabe auszuführen.

2. Setzen Sie einen SLA auf

Ein Service Level Agreement (SLA) legt fest, welche Service-Standards Ihr Public- oder Private-Cloud-Provider einhalten muss.

Stellen Sie sicher, dass Ihr SLA auf die folgenden Punkte eingeht:

• Welche Leistungen muss der Provider im Detail erbringen?
• Welche Aufgaben muss Ihr Inhouse-Team selbst übernehmen?
• Wie werden Compliance-Vorgaben eingehalten?
• Wie wird die Geschäftskontinuität sichergestellt?
• Was ist die garantierte Verfügbarkeit?
• Was genau umfasst der Wiederherstellungsplan des Providers?

3. Managen Sie Ihre Konnektoren

Konnektoren verbinden Ihre unterschiedlichen Clouds und schaffen so eine kohärente Hybrid-Cloud-Umgebung. Es ist wichtig, diese Konnektoren abzusichern. Beispielsweise kann es Sinn machen, direkte Netzwerkverbindungen und sogenannte VPN-Tunnel zu kombinieren, wobei die direkten Netzwerkverbindungen als Standardlösung und die VPN-Tunnel als Reserve fungieren.

4. Vereinheitlichen Sie Ihre Tools

Wenn Sie für jede Cloud-Umgebung unterschiedliche Tools verwenden, kann das schnell unübersichtlich werden. Ziehen Sie deshalb Lösungen vor, die cloudübergreifend funktionieren. Das betrifft insbesondere die Zugangsverwaltung, Compliance-Lösungen, Monitoring-Systeme und Systeme zum Risikomanagement. Je besser es Ihnen gelingt, Aufgaben zu zentralisieren, desto unwahrscheinlicher ist es, dass Bedrohungen übersehen werden.

Im Idealfall richten Sie eine übergeordnete Management-Konsole für alle Cloud-Umgebungen ein. Auf diese Weise können Sie sämtliche Workflows zentral verwalten. Es gibt hier verschiedene geeignete Tools von Drittanbietern. Wichtig: Achten Sie darauf, dass die Lösung auch die Einbindung von On-Prem-Ressourcen erlaubt.

5. Nehmen Sie Ihr Netzwerk unter die Lupe

Um Ihre Hybrid Cloud umfassend abzusichern, sollten Sie die einzelnen Schichten Ihres Netzwerks unter die Lupe nehmen. Das beinhaltet unter anderem:

• Den Hypervisor
• Das Betriebssystem
• Die Server
• Die Datenbanken
• Die Applikationen

Fragen Sie sich für jede Schicht, was der wahrscheinlichste Angriffsvektor ist und wie Sie diesen am besten neutralisieren. Implementieren Sie für jede Schicht ein Monitoring-System, um frühzeitig über Vorfälle unterrichtet zu werden.

6. Überprüfen Sie Ihre Einstellungen

Viele Cyberangriffe sind nicht besonders ausgeklügelt – trotzdem haben sie Erfolg. Das hängt mit Fehlkonfigurationen der Systeme zusammen. Diese wurden übersehen oder gingen vergessen und werden nun für die Attacke ausgenutzt.

Um dieser Gefahr vorzubeugen, sollten Sie regelmäßig Ihre Systemeinstellungen überprüfen. Schaffen Sie einen standardisierten Prozess, um Fehlkonfigurationen aufzuspüren, zu dokumentieren und zeitnah zu beheben. Streben Sie eine Automatisierung dieses Prozesses an; die manuelle Durchführung wird gerne aufgeschoben.

7. Verschlüsseln Sie Ihre Daten

Es ist entscheidend, Ihre Daten zu verschlüsseln, damit diese nicht von Unbefugten gelesen oder veröffentlicht werden können. In einer Hybrid Cloud ist das umso wichtiger, weil Informationen häufiger den Standort wechseln. Achten Sie darauf, Daten nicht nur im Ruhezustand, sondern auch während sie bewegt werden zu verschlüsseln („In-flight Encryption“).

Prüfen Sie dafür alle Level des Service Mesh. Betrachten Sie nicht nur Datenbanken und Backups, sondern auch die Betriebssystemebene und das Server-Level.

Generell sollten Sie asymmetrische Verschlüsselungsverfahren symmetrischen vorziehen. Denken Sie außerdem daran, dass Quantencomputer in naher Zukunft viele der gängigen Verschlüsselungsverfahren überflüssig machen werden. Halten Sie heute schon nach Verfahren Ausschau, die hier mithalten können.

8. Nutzen Sie Mikrosegmentierung

Mikrosegmentierung-Tools verhindern, dass sich ein Angriff ausbreiten kann. Dafür werden virtuelle Maschinen voneinander isoliert, um die lateralen Bewegungsmöglichkeiten eines Angreifers einzuschränken. Auf diese Weise kann er vergleichsweise wenig Schaden anrichten. Dies beugt auch dem Problem der Rechteausweitung („Privilege Escalation“) vor; häufig verschaffen sich Angreifer Zugriff auf ein System und erteilen sich dann selbst mehr Rechte. Für Hybrid Clouds mit einer Container-Orchestrierung ist das besonders relevant.

Microsegmentation und weitere Use Cases finden Sie in unserem Blogartikel „Hybrid-Cloud-Beispiele: Wofür können Sie eine hybride Cloud einsetzen?„.

9. Sichern Sie „Tauschgeschäfte“ ab

In einer Hybrid Cloud spielen sich Workloads oft in mehreren Umgebungen ab. Beispielsweise kann eine bestimmte Applikation in Cloud A beheimatet sein, aber Services aus Cloud B beziehen – und umgekehrt. Um diese „Tauschgeschäfte“ abzusichern, sollten Sie ein System für die Authentifizierung einführen. Es gibt hier eine Reihe von Drittanbieter-Software-Tools, die das erleichtern. Ein spezialisierter Hybrid-Cloud-Provider wie Proact wird Ihnen bei der Auswahl helfen.

10. Führen Sie Vulnerability Scans durch

Führen Sie regelmäßige, automatisierte Vulnerability Scans durch, um sicherzustellen, dass alle Systeme geschützt sind. Durch die Integration von KI haben diese Tools noch einmal zugelegt. Anomalien, die in der Vergangenheit übersehen worden wären, sind nun auffindbar. Verwenden Sie für das Training dieser KI-Tools vor allem Ihren Cloud-Traffic; hier fallen Angreifer am ehesten auf.

11. Installieren Sie Firewalls

Sie sollten alle Schichten Ihres Netzwerks durch Firewalls absichern, wie den Hypervisor, das Betriebssystem, Datenbanken und Applikationen. Das klingt aufwendiger, als es ist. Moderne Firewalls können einfach als SaaS-Modul eingekauft werden und ermöglichen die Echtzeitanalyse von Datenpaketen.

12. Überprüfen Sie Ihren Quellcode

Falls Fehler im Quellcode unentdeckt bleiben, kann dies zu Sicherheitslücken führen. Verwenden Sie deshalb Code-Testing-Tools, um die Arbeit Ihrer Entwickler zu überprüfen, bevor das entsprechende Programm live geht. Diese Tools können nahtlos in Ihren Softwareentwicklungszyklus integriert werden. Sie überführen neuen Code automatisch in eine Sandbox und testen ihn dort, isoliert vom Rest des Systems.

13. Managen Sie Ihre Backups

Erzeugen Sie immer mehrere Backup-Kopien desselben Datensatzes. Sollte eine Kopie beschädigt sein, verfügen Sie über Alternativen. Managen Sie außerdem, wer auf die Backups zugreifen kann; auch hier sollten Sie sich vom Zero-Trust-Gedanken leiten lassen.

Verschlüsselung ist ein weiteres Muss. So stellen Sie sicher, dass die Daten unlesbar sind, selbst wenn ein Angreifer Zugriff auf sie erhält.

Und nicht zuletzt sollten Sie für geografische Redundanz sorgen, indem Sie Backup-Kopien auf unterschiedliche Standorte verteilen. Beispielsweise könnten Sie jeweils eine Kopie auf Ihren lokalen Servern, bei Ihrem Private-Cloud-Anbieter und in der Public Cloud aufbewahren.

Lesen Sie hier, wie Sie eine Backup-Strategie für Ihr Unternehmen entwickeln können.

14. Entwerfen Sie einen Wiederherstellungsplan

Seien Sie auch auf schwer vorhersagbare Ereignisse wie Naturkatastrophen vorbereitet, indem Sie einen Wiederherstellungsplan entwerfen. Noch wichtiger: Testen Sie diesen Plan in Form von Szenario-Drills. Viele Unternehmen verfügen zwar in der Theorie über einen Wiederherstellungsplan, haben diesen aber noch nie einer Belastbarkeitsprobe unterzogen.

Um diesen Plan umzusetzen, sollten Sie auf den Public-Cloud-Anteil Ihrer Hybrid Cloud zurückgreifen. Mit entsprechenden Tools können Sie in einer oder mehreren Public Clouds eine Disaster-Recovery-Umgebung einrichten. Solche Umgebungen skalieren leicht und bieten Geo-Redundanz, ohne dass Sie deshalb grundlegende Änderungen an der Systemarchitektur vornehmen müssten.

15. Führen Sie regelmäßige IT Audits durch

Um Ihre Hybrid-Cloud-Security auf dem neuesten Stand zu halten, sollten Sie regelmäßige IT Audits durchführen. Die digitale Bedrohungslage verändert sich ständig. Angriffsarten, die vor drei Monaten noch unbekannt waren, könnten jetzt ein akutes Risiko für Ihre Organisation darstellen. IT Audits adressieren dieses Problem.

Verbessern Sie Ihre Hybrid-Cloud-Security mit Proact!

Sind Sie auf der Suche nach einem verlässlichen Partner, um Ihre Hybrid-Cloud-Security zu steigern? Dann sollten Sie sich mit unseren Proact-Experten unterhalten.

Im ersten Schritt setzen wir uns mit Ihnen zusammen, um Ihre Sicherheitsbedürfnisse kennenzulernen. Dabei arbeiten wir eng mit Ihrem Inhouse-Team zusammen. So stellen wir sicher, dass unsere Security-Maßnahmen genau auf Ihre Geschäftsziele abgestimmt sind.

In der zweiten Phase entwerfen wir eine detaillierte Sicherheitsstrategie. Diese adressiert sowohl existierende Sicherheitslücken als auch zukünftige Bedrohungsszenarien. Ein besonderer Schwerpunkt liegt hierbei auch auf der Definition von optimierten Prozessen im operativen Betrieb Ihrer Sicherheitslösungen (Beispiel siehe Blogartikel „Wie ein Security Operations Center (SOC) für mehr Cybersicherheit sorgt„). Auf diese Weise schützen wir Ihre sensiblen Daten (zum Beispiel Kundendaten) und erhöhen gleichzeitig die Geschäftskontinuität.

Im letzten Schritt implementieren wir sämtliche Sicherheitsmaßnahmen für Sie. Das beschränkt sich nicht nur auf die Umsetzung der technischen Lösungen. Wir unterstützen Sie auch mit Support-, Monitoring- und Verwaltungsservices. Egal, welche Anforderungen Sie im Bereich Hybrid-Cloud-Security haben — wir helfen Ihnen weiter.

Das klingt interessant? Dann vereinbaren Sie jetzt eine unverbindliche Erstberatung. Wir freuen uns, von Ihnen zu hören.