Analysen
24. Juli 2013
AUTOR: Businesscloud.de

„Das Firmenrechenzentrum ist – leider – keine Burg“

Zu den Eigenheiten von uns Deutschen zählt bekanntlich, dass wir gerne die Rolle von „Bedenkenträgern“ übernehmen. Das gilt vor allem für neue Dinge. Dazu zählen auch IT-Technologien wie Cloud Computing. „Sind meine Daten in einer Cloud auch sicher?“ oder „Ist eine Cloud-Umgebung nicht per se anfälliger für Cyber-Angriffe als mein eigenes Rechenzentrum?“ – dies sind klassische „Bedenkenträger-Fragen“, die im Zusammenhang mit der Cloud aufkommen. Business-Cloud.de Firmenrechenzentrum ist keine Burg

Viele IT-Verantwortliche in Unternehmen betrachten „ihr“ Rechenzentrum im Gegensatz zu einer Cloud Computing-Umgebung als uneinnehmbare Festung. Völlig zu Unrecht, wie Studien belegen. Bild: Thomas Max Müller / Pixelio.de

Richtig ist, dass Cloud Computing eine Reihe von – neuartigen – Fragen im Zusammenhang mit IT-Security, Datenschutz und Datensicherheit aufwirft. Ebenfalls zutreffend ist, dass Cyber-Kriminelle Cloud Computing-Services und -Rechenzentren als lohnende Ziele entdeckt haben. Interessanter Weise bescheiden sich viele Angreifer damit, Service-Provider, auch Betreiber von Cloud-Diensten, mit Distributed-Denial-of-Service-Attacken zu nerven, statt „echte“ Einbruchsversuche zu starten. Bei solchen DDoS-Angriffen werden Server des Providers mit Anfragen von zig Tausenden gekaperter Rechner überschwemmt. Das Ziel: Den Zugang zu den Services zu torpedieren. Oft stecken hinter solchen Aktionen Aktivisten, die auf diese Weise ihrem Unmut über ein Unternehmen Luft machen wollen.

Attacken auf Web-Anwendungen dominieren

Besonders beliebt bei Cyber-Kriminellen, die Cloud-Service-Provider als Ziel definiert haben, sind Attacken auf Web-Anwendungen. Das stellt die amerikanische IT-Sicherheitsfirma AlertLogic in ihrem „State of Cloud Security Report 2013“ fest. AlertLogic, ein Anbieter von Sicherheitslösungen für Cloud-Umgebungen, befragte im Rahmen der Untersuchung seine Kunden, darunter viele Cloud-Service-Provider. Laut der Studie waren im zweiten Halbjahr 2012 an die 52 Prozent der befragten Cloud-Service-Provider von Web Application Attacks betroffen. Dies sind Versuche, Sicherheitslücken von Web-Anwendungen auszunutzen, beispielsweise durch SQL Injection. Von den Unternehmensrechenzentren waren dagegen nur 39 Prozent betroffen. Business-Cloud.de AlertLogic Angriffshäufigkeit

Laut einer Kundenbefragung von AlertLogic sehen sich Cloud-Service-Provider mit eher beiläufigen Angriffen auf Web-Anwendungen und mit Brute-Force-Attacken konfrontiert. Dagegen setzen Cyber-Kriminelle bei Attacken auf Firmennetze auf zielgerichtete Angriffe, etwa mithilfe von Malware sowie ungepatchten Anwendungen. Bild: AlertLogic

Äußerst beliebt waren Scans von Firmen- und Provider-Netze auf Schwachstellen hin (27 Prozent). Solche Aktivitäten sollen Einfallstore zutage fördern, etwa ungepatchte Server und Anwendungen, die Sicherheitslücken aufweisen.

Dann eben mit Brutalität ...

Dagegen lagen Unternehmensnetze bei so genannten Brute-Force-Angriffen mit 49 Prozent deutlich vorne. Nur 30 Prozent der Anbieter von Cloud-Computing-Diensten verzeichneten solche Attacken. Brute-Force-Attacken zielen darauf ab, Passwörter zu ermitteln oder die Verschlüsselung von Laufwerken oder Ordnern zu knacken. Mittlerweile ist es für Angreifer möglich, mehrere Millionen Passwörter pro Sekunde durchzuprobieren, um das passende „Sesam öffne Dich“ herauszufinden. Paradoxer Weise gehen Angreifer mittlerweile dazu über, solche rechenintensiven Operationen von IT-Ressourcen in einer Cloud durchführen zu lassen. Ein weiteres Hilfsmittel sind High-End-Grafikprozessoren wie die „Fermi“-GPUs von Nvidia oder die AMD-Radeon-Prozessoren. Im Dezember vergangenen Jahres hat die IT-Beratungsfirma Stricture Consulting Group ein Linux-Cluster mit 25 Radeon-Grafikkarten zusammengebaut, das 350 Milliarden Passwörter pro Sekunde prüft (Details dazu siehe diesen Beitrag auf dem Online-Portal Ars Technica). Damit lässt sich jedes Windows-Passwort innerhalb von maximal sechs Stunden ermitteln. Business-Cloud.de AlertLogic PasswortCracker

Die IT-Sicherheits-Consulting-Firma Stricture Consulting Group hat einen echten „Password Cracker“ gebaut. Das Linux-System kann mit seinen 25 Radeon-Grafikkarten bis zu 350 Milliarden Passwort-Kombination pro Sekunden durchtesten. Bild: Stricture Consulting Group

Firmen-Data-Center stärker im Fokus als Cloud Computing-Rechenzentren

Bemerkenswert allerdings ein Resultat der Befragung von AlertLogic: Auf Rechenzentren von Unternehmens werden deutlich häufiger zielgerichtete Attacken durchgeführt als auf die von Cloud-Service-Providern. Die Zahl der „Aufklärungsversuche“, etwa Schwachstellen-Scans, lag bei Unternehmen um den Faktor 10 höher als bei Cloud-Data-Centern. Zudem meldeten 49 Prozent der befragten Unternehmen Angriffe mithilfe von Botnets, über die Schadsoftware verbreitet wurde. Dagegen verzeichneten nur 5 Prozent der Anbieter von Cloud-Computing-Services solche Attacken. Allerdings muss man dazu anmerken, dass das Verbreiten von Malware mithilfe von Spam-E-Mails, sprich infizierten E-Mail-Anhängen, und Drive-by-Downloads über verseuchte Webseiten primär auf Arbeitsplatzrechner abzielt. Davon sind in einem Firmennetzwerk mehr zu finden als bei einem Service-Provider.

Cloud-Computing-Rechenzentren sind nicht unsicherer

Business-Cloud.de Angriffsverteilung Firmenrechenzentren Cloud

Ebenfalls ein Beleg dafür, dass sich Cyber-Kriminelle lieber auf das Firmenrechenzentrum stürzen: Bei Angriffen auf Enterprise Data Center werden mehr unterschiedliche Verfahren eingesetzt als bei Aktionen gegen Rechenzentren von Cloud-Service-Providern. Bild: AlertLogic

Um auf das Thema „Bedenkenträger“ zurückzukommen: Die Resultate der Untersuchung von AlertLogic sprechen für sich: 1. Nicht Cloud-Data-Center, sondern Firmenrechenzentren sind stärker im Fokus von Cyber-Crime-Spezialisten. Unter anderem deshalb, weil sich ein Cloud-Service-Provider Sicherheitspannen schlichtweg nicht leisten kann. Sonst wäre er schnell „out of business“. Daher schotten Service-Provider ihre Rechenzentren sorgfältiger ab als die meisten Unternehmen. 2. Firmen sehen sich mit deutlich ausgefeilteren und zielgerichteten Angriffen konfrontiert. Auch hier spielt der Faktor eine wesentliche Rolle, dass es viele Unternehmen mit IT-Sicherheit nicht ganz so genau nehmen. Das gilt in Deutschland für ein Gutteil der Mittelständler mit ihren meist hoch belasteten IT-Abteilungen. Daher ist die Zielgruppe eine leichtere Beute als ein gut „befestigtes“ Cloud-Data-Center eines Service-Providers. 3. Bei Angriffen und Aufklärungsaktionen gegen Rechenzentren von Unternehmen werden deutlich mehr unterschiedliche Verfahren eingesetzt – im Schnitt 2,3. Bei Cloud-Rechenzentren sind 1,8 „Incident Types“. Auch das belegt, dass Cyber-Kriminelle ihre „Künste“ lieber bei Unternehmensnetzen einsetzen als bei deutlich anspruchsvolleren Angriffen auf Cloud-Service-Provider.

Fazit: Sicherheit heißt Cloud

Was bleibt somit von all den Bedenken in puncto Sicherheit gegenüber Cloud Computing übrig? Wenig! Ganz im Gegenteil: Eigentlich sollten sicherheitsbewusste Unternehmen darüber nachdenken, ob sie ihre wertvollen Daten nicht besser einem Cloud-Data-Center anvertrauen als diese auf schwächlich gesicherten Servern und Storage-Systemen im eigenen Rechenzentrum zu belassen – zur Freude von Cyber-Kriminellen.

Seite teilen

Must Reads von anderen Tech-Seiten
silicon.de: Safe-Harbor-Nachfolger – EU-Datenschützer verlangen Nachbesserungen Weiterlesen

 

CANCOM.info: Drei Gründe für die Hybrid Cloud – Das leistet der Cloud-Mix in Unternehmen Weiterlesen

 

Scope Online: Cloud Computing in der Produktion – Drei Mythen über Business Cloud-Lösungen  Weiterlesen

Pressemitteilungen

Köln, den 2. August 2016 – Der ERP-Spezialist proALPHA stellt die Cloud-Variante seines ERP-Systems ab sofort über die Hosted ... Weiterlesen
München/Köln, den 30. Juni 2016 – In der umfassendsten Analyse des deutschen Marktes für Cloud-Computing-Services im B2B-Bereich ... Weiterlesen
Köln, den 21. Juni 2016 – PIRONET macht Anwendern den Umstieg auf die neue Anwendungssuite SAP S/4HANA ab sofort besonders leicht: Kunden ... Weiterlesen
München/Köln, 19. April 2016 – Der IT-Konzern CANCOM hat einen neuartigen Marktplatz für Softwareanwendungen aus der Cloud ... Weiterlesen