Warum hybrides Arbeiten auf Cloud-Sicherheit aufbaut

Als Lockdowns die Arbeitnehmer einen Großteil des Jahres 2020 dazu zwang von zu Hause zu arbeiten, war dies die tatsächliche Bewährungsprobe für die Cloud-Technologie . Ohne die drei wichtigsten Cloud-Computing-Modelle, Software-, Plattform- und Infrastruktur-as-a-Service (SaaS, PaaS bzw. IaaS), hätten viele Unternehmen diese schwierigen Umstände wohl kaum so gut überlebt. Doch weil eine Vielzahl von Daten und Benutzern in die Cloud migriert werden konnten, wurden diese Plattformen auch schnell zu wichtigen Angriffszielen für Cyberkriminelle.

Einer Studie zufolge berichteten weltweit 90 Prozent der Führungskräfte über eine Zunahme von Cyberangriffen in den ersten Tagen der Pandemie, und noch mehr (98 Prozent) sahen in den ersten zwei Monaten nach der  eine Zunahme der Sicherheitsherausforderungen. Ein Großteil davon war zweifellos auf die Cloud zurückzuführen. Jetzt, da sich ein neue hybrid Arbeitskultur herausbildet, geht es darum, diese Herausforderungen effektiver zu bewältigen, und die IT-Sicherheitsrisiken zu  reduzieren, ohne die Produktivität der Benutzer zu beeinträchtigen.

Wie die Cloud die Wirtschaft rettete

Die wesentlichen Zahlen waren beeindruckend. Das Videokonferenz-Start-up Zoom gab zum Beispiel an, dass es zwischen Dezember 2019 und März 2020 von 10 Millionen auf über 200 Millionen aktive Nutzer/innen gewachsen ist. Microsoft sprach im April 2020 von einem Tagerekord von über 200 Millionen Meeting-Teilnehmer/innen bei seiner konkurrierenden Plattform Teams, welche gehabt, CEO Satya Nadella als "zwei Jahre digitale Transformation im im Zeitraum von zwei Monaten" bezeichnete.

Unabhängige Untersuchungen bestätigen diese Thesen. Eine Studie von Snow Software aus dem Juni 2020 ergab, dass 52 Prozent der Unternehmen weltweit verstärkt auf Cloud-basierte Videokonferenzplattformen setzen, während drei Viertel (76 Prozent) angaben, dass sie mehr für Cloud-Infrastrukturen von Unternehmen wie Microsoft Azure, Google und Amazon Web Services ausgeben. Der Einsatz von Cloud Computing wird weiter zunehmen. Gartner prognostizierte kürzlich, dass die Ausgaben für öffentliche Cloud-Dienste im Jahr 2021 um 18,4 Prozent steigen werden.

Es ist leicht zu verstehen, warum. Die Möglichkeit, sich von jedem Ort der Welt aus anzumelden und auf Unternehmensdaten und -anwendungen zuzugreifen, Besprechungen abzuhalten und mit Kollegen zusammenzuarbeiten, war für die Unternehmensmitarbeiter im Lockdown von unschätzbarem Wert. Größere IaaS-Implementierungen halfen unterdessen bei der Unterstützung neuer kundenorientierter Websites, Anwendungen und Markteinführungsstrategien, um Kunden online anzusprechen. Von gehosteten E-Mail- und CRM-Diensten bis hin zu innovativen neuen B2C-Diensten stand die Cloud in all ihren Formen bereit, um den Betrieb von Unternehmen dann aufrechtzuerhalten, wenn sie ihn am dringendsten benötigten.

Warum Arbeiten in der Cloud im Homeoffice ein Risiko ist

Sicherheit war schon immer ein großes Problem, wenn es um die Cloud ging. Mit SaaS werden die traditionellen Unternehmensperimeter effektiv erweitert. Wo Unternehmensdaten in die Hände eines Drittanbieters gelegt werden, geht auch die Kontrolle der IT-Abteilung ein Stück weit verloren.

Dazu bringt die Cloud eine größere Komplexität mit sich, die zu Sicherheitslücken führen kann - vor allem, wenn Unternehmen mehrere hybride Clouds neben lokalen Servern betreiben, auf die teilweise über VPN zugegriffen werden muss. Dies ist eine sicherheitstechnische Herausforderung für die IT-Abteilung und für die Mitarbeiter, die sich entsprechend verantwortungsvoll verhalten müssen. Im Durchschnitt und 82 Prozent eine Hybrid-Cloud-Strategie.

Die Cloud vergrößert die Angriffsfläche von Unternehmen für Bedrohungsakteure erheblich - sie bietet mehr Angriffsfläche in Form von falsch konfigurierten Konten und Systemen, schwachen Passwörtern und Sicherheitslücken. Wenn dann noch unsichere Heimnetzwerke und -geräte sowie schlecht geschulte, abgelenkte Benutzer hinzukommen, sind ideale Voraussetzungen für Cyber-Angriffe auf die Fernarbeit vorhanden.

Wichtige Herausforderungen für die Cloud-Sicherheit

Diese Bedrohungen sind nicht nur theoretisch. Im Laufe der Pandemie haben wir aus erster Hand erlebt, wie Cloud-Dienste von Bedrohungsakteuren ins Visier genommen und von Entwicklern und Benutzern unabsichtlich angreifbar gemacht wurden. Hier sind einige der bekanntesten Beispiele:

Phishing: Je mehr Mitarbeiter Zugänge zu den SaaS-Konten des Unternehmens erhalten, desto größer ist das Phishing-Risiko durch ihre Anmeldungen. In den ersten Tagen der Pandemie drehten sich viele dieser Phishing-Angriffe um COVID-spezifische Köder. Google behauptete im April 2020, täglich 18 Millionen bösartige E-Mails, unter anderem mit Phishing-Inhalten, im Zusammenhang mit der Pandemie zu blockieren. Die Zugangsdaten konnten zum Entsperren von Geschäftsanwendungen und für Brute-Force-Angriffe gegen andere Konten verwendet werden. Über eine halbe Million Zoom-Konten wurden, dank Credential-Stuffing-Angriffen auf Grundlage gefishter Anmeldeinformationen, im April 2020 im Dark Web zum Verkauf angeboten.

Fehlkonfiguration kann zwei Formen annehmen. Die erste besteht darin, dass einfach nicht die richtigen Sicherheits- und Datenschutzeinstellungen in Apps wie Videokonferenzen aktiviert werden, wodurch Ihre Chats möglicherweise belauscht werden können. Dies ist das Risiko, das zum sogenannten Zoombombing führte, obwohl Zoom seitdem die integrierte Sicherheit stark verbessert und viele der wichtigsten Einstellungen standardmäßig aktiviert hat.

Eine zweite, vielleicht noch gefährlichere Art der Fehlkonfiguration führt uns zurück zum Thema der Komplexität von Multi- und Hybrid-Clouds. IT-Teams versäumen es regelmäßig Datenbanken mit passenden Konten-Richtlinien richtig abzusichern., Das ist problematisch, weil Hacker immer gezielter nach diesen offenen Datenbanken suchen.

Schwachstellen: Menschen machen Fehler und das gilt auch für ihren Code. Während der Pandemie wurden viele schwerwiegende Sicherheitslücken in Zoom und anderen SaaS-Anwendungen entdeckt, die es Angreifern ermöglicht hätten, die Fernsteuerung der Geräte von Benutzern zu übernehmen. Auch firmeneigene Webanwendungen, die in der Cloud gehostet werden, sind gefährdet. Einer Schätzung zufolge waren einfache Angriffe auf Webanwendungen für über 20 % der Sicherheitsverletzungen im vergangenen Jahr verantwortlich.

Wie man die Cloud-Sicherheit am hybriden Arbeitsplatz verbessert

Die gute Nachricht ist, dass Sicherheitsexperten wie ESET seit Jahren Best Practices für Cloud-Sicherheit anbieten. Es gibt zwar kein Patentrezept, aber folgende Maßnahmen helfen bei der Minimierung von Cyberrisiken beim hybriden Arbeiten:

• Klassifizieren Sie Unternehmensdaten, die in die Cloud gelangen und richten Sie geeignete Kontrollen ein
• Machen Sie sich mit dem Modell der geteilten Verantwortung für Cloud-Sicherheit vertraut
• Nutzen Sie starke Verschlüsselung für in der Cloud gespeicherte Daten, sowohl im Ruhezustand als auch bei der Übertragung
• Verwenden Sie sichere Passwörter (und einen Passwort-Manager)
• Nutzen Sie Multi-Faktor-Authentifizierung (MFA) für alle Konten
• Beschränken Sie den Zugang zu sensiblen Konten nach dem Prinzip der geringsten Privilegien
• Erwägen Sie den Einsatz eines Cloud Access Security Brokers zur Koordinierung von Authentifizierung und Verschlüsselung
• Konfigurieren Sie SaaS-Konten entsprechend Ihrer Risikobereitschaft (Sicherheits- und Datenschutzeinstellungen)
• Verwenden Sie ein Cloud Security Posture Management (CSPM)-Tool zur Kennzeichnung von IaaS-Fehlkonfigurationen
• Führen Sie regelmäßige Sicherheitsschulungen der Mitarbeiter zur Erkennung von Phishing durch
• Etablieren Sie unverzügliches, risikobasiertes Patchen aller Cloud-Server und -Software
• Erwägen Sie einen Zero-Trust-Ansatz, um die Auswirkungen von Cloud-Verletzungen zu verringern
• Nutzen Sie eine leistungsfähige Cloud-Sicherheitslösung wie ESET Cloud Office Security, um Dienste wie Microsoft 365 abzusichern.

Cloud Computing wird in der Unternehmens-IT immer mehr zum Normalfall und nicht mehr Ausnahme sein. Sorgen Sie jetzt dafür, dass Ihr Unternehmen in Puncto Sicherheit die Nase vorn hat, damit ihr Unternehmen daraus geschäftliche Vorteile erzielen und gleichzeitig Cyberrisiken auf ein akzeptables Niveau reduzieren kann.