Das Modell der geteilten Verantwortung

Liegt eine Datei „in der Cloud“, liegt sie auf einem Server, der einem Unternehmen gehört, das Sie nie getroffen haben und nie besuchen werden. Diese Konstellation teilt die Sicherheitsverantwortung zwischen zwei Parteien auf, und die meisten Menschen erfahren nie, wo genau die Grenze verläuft, bis etwas schiefgeht. Jeder große Cloud-Anbieter dokumentiert diese Aufteilung ausdrücklich, denn ein Irrtum in beide Richtungen — anzunehmen, der Anbieter decke alles ab, oder zu versuchen, Dinge abzusichern, die der Anbieter bereits übernimmt — führt zu echten Vorfällen.

Zwei Seiten einer Linie

Amazon Web Services nennt seine Version dieser Aufteilung das Modell der geteilten Verantwortung und unterscheidet zwischen „Sicherheit der Cloud“ und „Sicherheit in der Cloud“. AWS ist für Ersteres zuständig: „die Hardware, Software, Vernetzung und Einrichtungen, die AWS-Cloud-Dienste betreiben“ — die physischen Rechenzentren, das Einspielen von Infrastruktur-Updates, die Teile, die Sie selbst nie prüfen oder konfigurieren könnten, selbst wenn Sie es wollten. Für Zweiteres ist der Kunde zuständig, und AWS benennt für Cloud-Speicherdienste genau, was das umfasst: „die Verwaltung ihrer Daten (einschließlich Verschlüsselungsoptionen), die Klassifizierung ihrer Werte und die Nutzung von IAM-Werkzeugen“ — also wer Zugriff darauf erhalten darf.

Die Grenze verschiebt sich je nach Nutzung

Microsofts Dokumentation macht einen Punkt deutlich, der für jeden wichtig ist, der zwischen verschiedenen Arten von Cloud-Diensten wählt: Die Trennlinie ist nicht starr, sie verschiebt sich je nach Servicemodell. Microsofts Verantwortungstabelle führt Kundendaten, Kontoidentitäten und Zugriffsverwaltung in jedem Modell, ob vor Ort oder in der Cloud, immer als Aufgabe des Kunden auf. Bewegt man sich jedoch von Infrastructure-as-a-Service (die Miete einer virtuellen Maschine, die Sie selbst konfigurieren) hin zu Software-as-a-Service (die Nutzung einer fertigen Anwendung wie eines E-Mail- oder Dateifreigabedienstes), übernimmt Microsoft zunehmend mehr: Betriebssysteme, Anwendungscode und Netzwerkkonfiguration werden mehr und mehr zur Aufgabe von Microsoft statt zu Ihrer. Was sich nie verschiebt, in Microsofts eigenen Worten, ist, dass „Sie immer die Verantwortung behalten“ für Ihre Daten, Ihre Konten, Ihre Endgeräte und Ihre Zugriffskontrollen.

Warum die Kundenseite wichtiger ist, als es klingt

Für eine NGO, die einen fertigen Dateifreigabe- oder E-Mail-Dienst nutzt — Software-as-a-Service, das Modell, bei dem der Anbieter am meisten übernimmt — ist es verlockend anzunehmen, die Sicherheit des Anbieters sei nun die ganze Geschichte. Das ist sie nicht. Die Seite des Anbieters (seine Server, sein Netzwerk, seine Updates) ist bei großen Diensten meist ausgezeichnet; genau deshalb greifen Angreifer sie selten direkt an. Stattdessen zielen sie auf die Kundenseite: ein schwaches oder wiederverwendetes Passwort, ein Link, der weiter geteilt wurde als beabsichtigt, ein Konto ohne zweiten Faktor. Jede Kategorie auf der obigen Liste „immer Aufgabe des Kunden“ ist, nicht zufällig, auch Thema der nächsten Lektion in diesem Kurs.

Eine Frage, die sich bei jedem genutzten Cloud-Dienst lohnt

Bevor Sie einem Cloud-Dienst sensibles Material anvertrauen, lohnt es sich, dessen eigene Dokumentation zur geteilten Verantwortung zu finden (alle großen Anbieter veröffentlichen eine) und zwei Fragen zu stellen: Was sichert der Anbieter tatsächlich standardmäßig ab, und was bleibt ausdrücklich mir überlassen? Die Antwort macht meist genau klar, von welchen Ihrer eigenen Gewohnheiten — behandelt im Rest dieses Kurses — die Sicherheit dieser Daten tatsächlich abhängt.