Welche Rechte hat der Administrator?

Spezial

Datensicherheit - An Cloud Computing führt kein Weg mehr vorbei. Aber die bestmögliche Sicherheit muss gewährleistet sein. Ein Forschungsprojekt befasst sich mit der Frage, wie man die Daten gegen internen Missbrauch schützen kann.

22. Juli 2015

Während vor zehn Jahren noch die Hardware zum Betrieb der Systeme der größte Kostenfaktor war, wird es aufgrund der hohen Sicherheitsstandards und des gewachsenen Administrationsaufwands heute immer schwieriger, die IT-Systeme mit den unternehmensinternen Kapazitäten sicher und zuverlässig zu betreiben«, so Dr. Volker Kruschinski, Vorstandsvorsitzender des IT-Spezialisten Schleupen.

Deshalb öffnen sich inzwischen immer mehr Energieversorger, bei denen vor einigen Jahren noch erhebliche Vorbehalte gegen die Auslagerung der IT existierten, dem Thema Cloud Computing. Sie folgen damit einem allgemeinen Trend, der sich auch in anderen Wirtschaftszweigen abzeichnet. So wurde laut einer Studie des IT-Branchenverbandes Bitkom im Jahr 2014 bereits in 44% aller deutschen Unternehmen Cloud Computing eingesetzt.

Ausfallsicherheit

In der Energiewirtschaft stehen beim Cloud Computing oft die kaufmännischen IT-Systeme im Fokus, an deren reibungslosen Betrieb höchste Sicherheitsanforderungen gestellt werden. Aufgrund ihrer Komplexität und hohen wirtschaftlichen Bedeutung sind in diesem Feld reibungslose Prozesse unerlässlich, sodass ein ausfallsicherer Cloud-Einsatz einen hohen Mehrwert bietet. Aber auch der Cloud-Betrieb von Serviceportalen, über die Kunden via Internet Änderungen an ihren Stammdaten vornehmen, ist sehr sinnvoll. Denn die Anbindung der Serviceportale an die zentralen Backend-Systeme erfordert sehr komplexe IT-Architekturen, um die sensiblen Daten vor einem unberechtigten Zugriff komplett abzuschirmen.

Schub erwartet

Durch das in Bearbeitung befindliche IT-Sicherheitsgesetz erwartet die IT-Branche einen zusätzlichen Schub Richtung Cloud. Denn der Betrieb der Sicherheitsstruktur wird perspektivisch immer zeit- und kostenaufwendiger. So sind zukünftig verpflichtend IT-Managementsysteme nachzuweisen, die einen aufwendigen Zertifizierungsprozess durchlaufen müssen.

Auch die neuen Aufgaben im Bereich der Smart Meter Gateway Administration sind besonders von kleineren und mittelgroßen Stadtwerken ohne ein Outsourcing der Softwaresysteme wirtschaftlich und personell kaum zu stemmen. So erfordert die Umsetzung des hohen Sicherheitsniveaus der technischen Richtlinie TR03109 (BSI-Schutzprofil) des Bundesamts für Sicherheit in der Informationstechnologie eine äußerst komplexe IT- und Kommunikationsinfrastruktur. Nach Einschätzung von Schleupen werden deshalb zukünftig immer mehr Energieversorger zumindest diesen Teil ihrer IT-Systeme und Softwarelösungen in den Cloud-Betrieb überführen.

Wirtschaftlich kalkulieren

Aus wirtschaftlicher Sicht entfällt eine Kapitalbindung für den Aufbau beziehungsweise den Betrieb eines Rechenzentrums, wenn Dienste und die Hardware angemietet werden. Durch transparente Geschäftsmodelle sind die Kosten für das Cloud Computing außerdem gut kalkulierbar. Idealerweise bleiben die Lösungen frei skalierbar, sodass die Ressourcen bedarfsgerecht angepasst werden können, etwa um Nutzungsspitzen auszugleichen.

Mittels klar definierter Service-Level-Agreements (SLA) lässt sich dabei das Risiko für den reibungslosen Betrieb vom eigenen Unternehmen in Richtung des Anbieters der Cloud-Lösungen transferieren. Außerdem stellen die Anbieter sicher, dass die genutzten Ressourcen jederzeit dem Stand der Technik entsprechen. Dadurch, dass sie ihre Ressourcen mehreren Marktteilnehmern bereitstellen, können die einzelnen Dienstleistungen zudem kostengünstiger und passgenau zur Unternehmensstruktur bereitgestellt werden. Die Gesamtbetriebskosten sind bei Cloud-Anbietern im Vergleich deutlich geringer, insbesondere wenn man berücksichtigt, dass sonst jedes Unternehmen neben der Technik auch eigenes Personal zum Betrieb und zur Wartung der Hard- und Software bereitstellen müsste.

Was darf der Admin?

Im Vergleich zur Inhouse-Lösung können die technisch gut ausgestatteten und professionell betriebenen Rechenzentren durch redundante Systeme und einen besseren Zutrittsschutz zudem eine hohe Verfügbarkeit und höhere Ausfallsicherheit garantieren. »Wir nehmen die hohen Sicherheitsanforderungen, die unsere Kunde beim Cloud Computing an uns stellen, sehr ernst«, so Volker Kruschinski. Deshalb beteiligt sich sein Unternehmen auch am Forschungsprojekt Split Cloud. Gemeinsam mit wissenschaftlichen Verbundpartnern wie der TU Darmstadt und dem Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein wird im Rahmen des Projektes eine IT-Architektur entwickelt, die durch eine strikte Rollentrennung beim Zugriff auf die sich in der Cloud befindlichen Daten die Datensicherheit weiter erhöht.

Es sollen abgesicherte Mechanismen und Schnittstellen entwickelt werden, die es dem Dienstanbieter beziehungsweise dem Software-Hersteller erlauben, die nötigen Wartungsarbeiten an der IT-Infrastruktur und den Softwaresystemen unter höchsten Sicherheitsstandards durchzuführen. Das bis Ende 2016 laufende Projekt wird mit Mitteln des Bundesministeriums für Bildung und Forschung gefördert. Im Rahmen des Split-Cloud-Projekts wird eine Architektur entwickelt, welche die Software-Serviceleistungen unter Berücksichtigung der neuesten Datenschutzanforderungen absichert.

Aufgeteilte Datensätze

Denn nach einer zum Projektauftakt durchgeführten Analyse der Bedrohungsszenarien ist der interne Zugriff und Missbrauch von Unternehmensdaten eine der zentralen Gefahren-quellen. Durch eine dedizierte Anwendungsvirtualisierung und die Aufteilung der Datenhaltung in verschiedene Kompartimente oder Trusted Virtual Domains setzt das Forschungsvorhaben deshalb eine sichere Rollentrennung zwischen Hersteller, Anbieter und den Nutzern des Dienstes beziehungsweise der Software um.

Georg Staß (Schleupen)

Erschienen in Ausgabe: 06/2015