viperagp - stock.adobe.com
Tipps für sichere und erfolgreiche Cloud-Backups
Computerweekly.DE sprach mit einem Security-Experten darüber, wie sich Cloud-Backups absichern lassen. Auch hier sind Grundregeln zu beachten, aber zudem bestimmte Besonderheiten.
Cloud-Backups beziehungsweise Backup-as-a-Service-Angebote werden mittlerweile von zahlreichen Firmen genutzt und integrieren diese in ihre Data-Protection- und Disaster-Recovery-Strategien. Allerdings sollten Anwender sehr genau prüfen, was der jeweilige Dienst offeriert, um Sicherheitslücken, Fehler und im schlimmsten Fall Datenverlust zu verhindern.
Computerweekly.DE sprach mit Dr. Sebastian Schmerl, Director Security Services EMEA bei Arctic Wolf und ständiges Mitglied in der EU/ENISA - Working Group on Security Operation Centres, über die wichtigsten Faktoren, die es zu beachten gilt. Arctic Wolf ist ein Unternehmen für Security Operations und berät seine Kunden auch dahingehend, wie sinnvolle und erfolgreiche Datensicherungen zu einer erweiterten Sicherheit im Unternehmen führen kann.
Cloud-Storage und Cloud-Backup unterscheiden
Zunächst muss ganz klar zwischen Cloud-Storage und Cloud-Backup unterschieden werden. Cloud-Storage wird oft mit File-Share-and-Sync wie Dropbox oder OneDrive gleichgesetzt. Hier werden Daten entweder manuell oder automatisiert in einen Ordner einer Public Cloud kopiert. „Diese digitalen Informationen können für eine Wiederherstellung einzelner Ordner, Dateien oder Bilder dienen, ohne ein Full Backup lässt sich aber ein größerer Störfall nicht abfangen,“ betont Dr. Schmerl. „Größere Umgebungen benötigen umfassende Cloud-Backup-Dienste, mit denen sich im Falle eines größeren Ausfalls vollständige Systeme, Virtuelle Maschinen, Domänen, Active Directorys oder ganze Umgebungen wiederherstellen lassen. Natürlich sollten diese auch granulare Recoverys einzelner Files oder Mails gewährleisten.“ Gerade Domänen und Active Directorys gehören zu den kritischen Posten, die meist zuerst wieder verfügbar sein müssen.
Verschlüsselung und Datenabfrage klären
Eine Schlüsselfunktion für sichere Cloud-Backups ist die Verschlüsselung der Daten, die zum Anbieter gesendet werden. Dabei sollten Anwender gezielt die angebotenen Möglichkeiten beim Provider in Erfahrung bringen und entscheiden, welchen Sicherheitsgrad sie für ihre Daten wünschen. Dies lässt sich im besten Falle über Service Level Agreements absichern. Sind diese beim Cloud-Anbieter nicht anpassbar, muss erst recht eine sorgfältige Überprüfung erfolgen, um sicherzustellen, dass diese mit internen Vorgaben übereinstimmen.
„Hier sind Fragen nach der Art der Verschlüsselung wichtig,“ betont Sebastian Schmerl. „Wird während des Datenransfers (in transit) oder nach der Speicherung (at rest) verschlüsselt? Ist die Verschlüsselung schwach oder stark? Erfolgt sie auf Datei- oder Ordner-Basis? Ganz wichtig ist zudem die Schlüsselverwaltung. Wo sind die Schlüssel abgelegt und wer hat Zugriff? Diese essenziellen Punkte müssen erörtert und auf die Anforderungen des Unternehmens angepasst werden“
Darüber hinaus sollte auch die Backup- und Recovery-Strategie des Cloud Providers auf den Prüfstand gestellt werden: Wie erfolgen Auditierungen, respektive erfüllt der Anbieter die Audit-Anforderungen? Welche Redundanzen sind implementiert und gibt es die Möglichkeit eines Failovers? Verfügt der Dienstleister selbst über eine umfassende Backup- und Recovery-Planung, ist er ein vertrauenswürdiger Partner fürs Cloud-Backup. Letztlich gibt der Anwender seine Daten an eine Drittpartei; Verschlüsselung und Data Protection sind deswegen vom Anbieter gefordert. Wird beispielsweise versehentlich eine virtuelle Maschine oder Festplatte nicht gelöscht (zum Beispiel, weil der Vertrag ausläuft), so möchte niemand, dass diese Daten unverschlüsselt zugreifbar sind.
Der nächste wichtige Punkt ist die eigentliche Wiederherstellung, also die Art und Weise, wie sich die Daten aus der Cloud heraus wieder am eigenen Standort verfügbar lassen. „Wer Daten aus der Cloud zurückführen möchte, benötigt meist eine sehr gute und schnelle Internetverbindung,“ sagt Schmerl. „Wird nur ein Dokument benötigt, das versehentlich gelöscht wurde, so ist das sicher kein Problem. Müssen aber große Datensätze, virtuelle Maschinen oder gesamte Systeme wiederhergestellt werden, so kann dies länger dauern und bei Netzwerkschwankungen zu Datenverlust führen. Zudem gibt es das asymmetrische Kostenmodell zu beachten: Speichern kostet fast nichts, die Daten zurückzuführen kann ungleich teurer sein.“
„Größere Umgebungen benötigen umfassende Cloud-Backup-Dienste, mit denen sich im Falle eines größeren Ausfalls vollständige Systeme, virtuelle Maschinen, Domänen, Active Directorys oder ganze Umgebungen wiederherstellen lassen. Natürlich sollten diese auch granulare Recoverys einzelner Files oder Mails gewährleisten.“
Dr. Sebastian Schmerl, Arctic Wolf
Aus diesem Grund sollte der Administrator abwägen, welche Daten er in der Cloud durch ein Backup sichern möchte. Wichtige Daten und Ressourcen, die nahezu sofort wieder verfügbar sein sollen, sind eventuell in einer lokalen Sicherung besser aufgehoben, da sie – je nach Störfall – schneller wiederherstellbar sind.
Fällt ein gesamter Standort weg, dann muss festgelegt sein, welche Daten zuerst aus der Cloud und an welchen Standort gebracht werden. Das heißt die technischen Voraussetzungen müssen gegeben sein (zum Beispiel Breitbandanschluss, verfügbare Storage- und Rechenressourcen). Vor dem Einsatz eines Cloud-Backup muss geklärt sein, ob sich damit auch ein Full Recovery umsetzen lässt, ohne dass Budget, Mitarbeiter und technologische Ressourcen überstrapaziert werden.
Mehr als nur Daten wiederherstellbar machen
Ein Disaster Recovery ist immer mehr als nur die Wiederherstellung von Daten oder Speichersystemen. Deswegen sollte eine Backup-Strategie auch Systeme und Ressourcen umfassen, die übersehen werden und im Ernstfall nicht oder nur mit großem Aufwand wieder verfügbar gemacht werden könnten.
„Manche Firmen übersehen wichtige Dinge, die auch in einen Disaster-Recovery-Plan gehören wie Telefonlisten, Schließanlagen oder Authentifizierungssysteme an Unternehmenszugängen,“ so Schmerl. „Alles, was nicht dokumentengetrieben ist, beispielsweise auch SQL-Datenbanken oder SAP-Anwendungen, benötigen einen gesonderten Zugriff und sollten nicht unbedingt im Cloud-Backup residieren.“
Andere Komponenten können Netzwerk- beziehungsweise Internetverbindungen, Switches oder Überwachungskameras sein. Hierfür muss der Plan auflisten, welche Ressourcen in welchem Zeitraum nach einem Störfall wieder verfügbar sein müssen.
Testen – Üben – Probieren – Warten
Wie erwartet spricht Dr. Schmerl auch ein immer wiederkehrendes Problem an: „Testen. Üben. Probieren. Das muss immer wieder deutlich gesagt werden. Ein Backup – auch ein Cloud-Backup –, das nicht getestet wird taugt im Ernstfall nichts. Das muss nicht immer nur an technischen Voraussetzungen liegen, sondern auch an Faktoren wie der Verantwortlichkeit, den Umsetzungsschritten oder Mitarbeiterverfügbarkeit.“
Sei es die Systemverfügbarkeit, die Datenintegrität oder die Netzwerkverbindung: Wird die Datensicherung nicht in regelmäßigen Abständen geprüft, kann es beim Versuch eines Recoverys zu Fehlern, Datenverlust und letztlich zu einer erfolglosen Wiederherstellung kommen. Der Security-Experte weist zudem darauf hin, dass eine Architekturinventur vor der Implementierung eines Cloud-Backups (oder eines anderen) unerlässlich ist. Zudem ist die IT-Architektur und die Prozessumgebung eines Unternehmens ein „lebend Ding“, das ständig Veränderungen ausgesetzt ist: Neue Systeme, neue Anwendungen, Mitarbeiterwechsel und -zuwachs spielen eine wichtige Rolle bei der Backup-Planung und -Wartung. Schmerl empfiehlt hier Monitoring-Tools, um hier auf dem neusten Stand zu bleiben sowie eine Anpassung sowie eine Veränderung eintritt.
Tests für Cloud-Backups lassen sich auch mit dem Service-Anbieter absprechen. Hier lassen sich eventuell regelmäßige Tests mithilfe des Dienstleisters realisieren.
Security als Teil der Backups – Backups als Teil der Security
Nicht erst seit der rollenden Ransomware-Welle spielt auch Security eine Rolle bei der Datensicherung und insbesondere bei Backup as a Service. „Jede Datensicherung sollte spezifischen Sicherheitsvorgaben unterliegen,“ bekräftigt Schmerl. „Das umfasst Dinge wie die Authentifizierung der Nutzer oder Administratoren und die Zugriffsrechte.“ Oftmals sind Anwender nachlässig, wenn es darum geht, wer wann und wie lange worauf Zugriff hat.
„Muss ein Nutzer ein Dokument wiederherstellen, kann es passieren, dass er der Einfachheit wegen umfassendere Zugriffsrechte erhält als er eigentlich bräuchte. Ist der Admin überarbeitet oder hat zu viele Aufgaben zu erledigen, kann es dazu kommen, dass er vergisst, diese Rechte wieder zu kassieren. Das kann ein potenzielles Risiko für die Datensicherung bedeuten,“ erklärt Schmerl.
Multifaktor-Authentifizierung ist ein Muss, ebenso die Regel der geringsten Rechte, wobei die Zugriffsrechte extrem beschränkt und im größeren Umfang nur für die relevanten Mitarbeiter einzurichten sind. Kommt es zu einem Störfall, müssen die Verantwortlichkeiten klar geregelt sein und eventuell erweiterte Nutzerrechte nach dem Disaster Recovery wieder revidiert werden.
Der Sicherheitsaspekt darf beim Backup nicht vergessen werden. Ebenso wichtig ist es, die Datensicherung als ein Teil der Security-Strategie anzusehen und zu integrieren. Macht sich Malware ein einer Firma breit, kann ein Backup beziehungsweise eine erfolgreiche Datenwiederherstellung unternehmensrettend sein. Ebenso müssen die Sicherheitskomponenten auch die Backup-Ressourcen schützen. Im Falle eines Cloud-Backups lassen sich wie erwähnt rollenbasierte Zugriffskontrollen oder ein VPN für geschützten Zugriff einrichten.
Nicht zuletzt sei noch erwähnt, dass es natürlich wichtig ist, eine 3-2-1-Backup-Strategie implementiert zu haben, am besten noch mit Air-Gap-Funktion, denn auch Cloud Service Provider sind angreifbar. Es wäre nahezu fahrlässig, sich bei der Datensicherung nur auf den Cloud-Dienstleister zu verlassen.
Ein Backup as a Service oder Cloud-Backup kann eine gute Ergänzung der Datensicherungsstrategie sein. Allerdings müssen IT-Verantwortliche umsichtig planen, interne Ressourcen und Prozesse kennen sowie die Abläufe und Abrechnungsmodelle des Anbieters prüfen. Cloud-Backup scheint auf den ersten Blick eine einfache Lösung zu sein, wenn interne Ressourcen knapp sind oder das Backup optimiert werden soll, aber Firmen müssen ihre eigenen Datensicherungsgegebenheiten verstehen, bevor sie ihre digitalen Werte an einen Dritten weitergeben. Auch Cloud Provider sind angreifbar und ein Cloud-Backup ist nicht die heilsbringende Lösung für alle Probleme, sondern nur ein weiterer Baustein der Data-Protection-Umgebung.
