Das Abenteuer Cloudwatt wurde 2012 von Nicolas Sarkozy medienwirksam ins Leben gerufen. Doch Anfang 2020 wurde Cloudwatt bereits wieder eingestellt. Mit diesem Projektversuch einer staatlichen Cloud, wollte Frankreich eine nationale Alternative zu den amerikanischen Cloud-Giganten anbieten. Jetzt nimmt unser Nachbarland einen zweiten Anlauf: Die französische Regierung hat Anfang des Jahres eine neue Cloud-Strategie vorgestellt. Darin setzt sie sich erneut für die Datensicherheit ein. Kurz darauf kündigten die Unternehmen Capgemini und Orange, das bereits an Cloudwatt gearbeitet hatte, an, gemeinsam einen Dienstleister namens Bleu zu gründen. Dieser soll eine gehostete Plattform sowie Dienstleistungen für französische staatliche Stellen, Behörden und Krankenhäuser anbieten.
Dabei ist die Datensicherheit von zentraler Bedeutung: Minister Bruno Le Maire verspricht, eine Wiederholung früherer Versäumnisse zu vermeiden, um den technischen Gegebenheiten und den Erwartungen der Nutzer Rechnung zu tragen. Die Bemühungen Frankreichs lohnen schon deshalb einen genaueren Blick, weil auch in Deutschland der öffentliche Sektor enorme Bedenken hinsichtlich der gängigen Sicherheitskonzepte in der Cloud äußert.
Das Versprechen des französischen Ministers kommt zur rechten Zeit: Nach Angaben der Agentur der Europäischen Union für Cybersicherheit haben sich die Cyberangriffe in den letzten zwölf Monaten verdoppelt. Netzwerke von Krankenhäusern und des Gesundheitswesens verzeichneten einen Anstieg der Angriffe um 47 Prozent – diese gehören zu den Hauptkomponenten, von denen erwartet wird, dass sie die neue Cloud der französischen Regierung nutzen werden. Nach Angaben von Risk Based Security wurden mehr Daten kompromittiert als jemals zuvor seit 2005.
Während des Covid-19-Lockdowns stiegen die Angriffe sprunghaft an, da Hacker und Malware es auf die weltweit neu ausgebaute digitale Infrastruktur abgesehen hatten, die für Heimarbeit und Verbraucher eingerichtet wurden. Die Bedrohung durch weitere Lockdowns mag zwar zurückgehen, aber die Vorlage für künftige Angriffe steht fest. Da die französischen Behörden verstärkt auf die Cloud setzen, ist es hilfreich, jene drei Faktoren zu kennen, die von Hackern am ehesten ausgenutzt werden können.
Eine künftige Blaupause für Angriffe
Der erste Punkt betrifft die Komplexität der vorgeschlagenen Cloud-Umgebungen mit einer wachsenden Zahl von Zugriffsanfragen und schnellen Transaktionen zwischen Mensch und Systemen sowie den Systemen untereinander, die Hunderttausende von Benutzern und Geräten umfassen. Die Herausforderung besteht darin, die Transaktionen zu überwachen und zu verwalten, um nur das zuzulassen, was sicher ist und das zu unterbinden, was verdächtig ist.
Der zweite Punkt bezieht sich auf den Umfang und die Vielfalt. Cloud-Infrastrukturen umfassen Anbieter, Anwendungen und Dienste. Dies macht es für IT-Teams schwierig, Praktiken und Verfahren für eine einheitliche Sicherheit anzuwenden. Wie wirkt sich das aus? Schwachstellen in Systemen werden übersehen und das Versäumnis, auch nur einen einzigen routinemäßigen Software-Patch aufzuspielen, kann zu einem Albtraum in puncto Sicherheit werden. Letzteres ist für ein Drittel der Sicherheitsverletzungen verantwortlich.
Und schließlich geht es auch um die Ausbreitung von Secrets. Benutzernamen, Kennwörter und API-Tokens, die zur Identifizierung, Authentifizierung und Autorisierung verwendet werden und in Code, Datenbanken, Repositories und Diensten gespeichert sind, fallen in die Hände von Hackern. Diese suchen nach einer Hintertür in Systemen und Netzwerken, um Angriffe zu starten und Malware zu installieren. Laut dem Data Breach Report 2021 von Verizon sind 85 Prozent der Sicherheitsverletzungen auf menschliches Versagen zurückzuführen, 61 Prozent davon auf gestohlene oder verlorene Zugangsdaten.
Will man Daten in dieser Umgebung schützen und gleichzeitig die Vorteile der Cloud beibehalten, dann erfordert dies einen neuen Sicherheitsansatz. Das traditionelle Modell beruht auf einer Kombination aus vertrauenswürdiger IP-Adresse und Perimeter-Firewall. Bei der Cloud ist diese Grenze jedoch überall – sie umfasst praktisch jede Anwendung, jeden Benutzer, jedes System und jede Transaktion. Und da Angreifer Geheimnisse ausnutzen, ist die Idee einer vertrauenswürdigen IP-Adresse aus heutiger Sicht ein Trugschluss.
Ein effektiverer Weg, die Cloud zu sichern, ist das Zero Trust Modell. Das bedeutet, dass man den Menschen, Systemen oder Transaktionen im Netzwerk nicht allein deshalb vertrauen kann, weil sie sich in diesem Netzwerk befinden. Also gilt es, alle menschlichen und maschinellen Transaktionen zu autorisieren und zu verifizieren. Kurzum: Es kommt nicht darauf an, wo man ist, sondern wer man ist. Dieses Modell hat auch die US-Regierung in diesem Jahr übernommen. Joe Biden und das Weiße Haus haben die Behörden angewiesen, innerhalb von zwei Monaten einen Plan zur Umsetzung einer Zero-Trust-Architektur zu entwickeln.
Zero Trust im zweiten Anlauf
Das Ziel, Zero Trust zu erreichen, verfolgt auch das französische Projekt. Doch welche praktischen Schritte sind dafür nötig?
Der erste besteht darin, die Ausbreitung von Secrets durch ein System der zentralen Verwaltung unter Kontrolle zu bringen. Die Zentralisierung hilft dabei, Geheimnisse zu verfolgen, zu kontrollieren und zu verhindern, dass sie in die Hände von Hackern fallen. Sie bietet eine Grundlage für die konsistente Bereitstellung von PKI-Zertifikaten, Informationen zur Datenbankanmeldung, API-Schlüsseln und Passwörtern für Hunderttausende von Geräten, Transaktionen und Benutzern. Im Falle einer Datenpanne können IT-Teams feststellen, wem der Zugriff gewährt wurde. Sobald Anmeldeinformationen zentral verwaltet werden, können dafür anspruchsvollere Methoden angewandt werden, einschließlich bedarfsgesteuerter, ephimerischer Identitäten und Anmeldeinformationen.
Ein solches System kann komplex und arbeitsintensiv sein, wenn es manuell bedient wird. Französische Beamte sollten daher Workflows entwickeln, die die Bereitstellung und den Lebenszyklus von Secrets verwalten können. Workflows ermöglichen es IT-Teams, Zugriffsrichtlinien zu erstellen, zu kodifizieren, anzuwenden und durchzusetzen, Netzwerkkonfigurationen zu erstellen und Konnektivität in großem Umfang und unabhängig von Cloud-Anbietern, Tools oder Anwendungen zu sichern.
Sobald Identitäten und Berechtigungsnachweise geklärt sind, ist der zweite Schritt die Sicherung des Zugangs zum System und zu den Daten. Dabei gilt es, die Sicherung der Daten sowohl im Ruhezustand als auch bei der Übertragung durch Verschlüsselung zu gewährleisten. Herkömmliche Verschlüsselungsstrategien können Organisationen nicht mehr schützen. Ein neuer Ansatz ist erforderlich. Die Verwendung von transparenter Festplattenverschlüsselung schützt nicht vor Angreifern im Netzwerk, die sich beispielsweise Zugang zur Datenbank verschafft haben. Bei diesem neuen Konzept erfolgt die Verschlüsselung nicht transparent, sondern wird auf die Anwendungsschicht verlagert. Anwendungen schreiben und lesen verschlüsselte Daten, die auch tokenisiert und umgewandelt werden können und entschlüsseln Daten nur im Speicher. Dadurch wird die Angriffsfläche für den Datenzugriff verringert.
Das Herzstück eines Zero-Trust-Systems ist eine Automatisierungs-Engine. Dieses maschinenbasierte System, aktiviert Workflows und Verfahren, die durch Ereignisse ausgelöst werden. Auf diese Weise können IT-Teams in der erforderlichen Größenordnung zuverlässig arbeiten und verlässliche Ergebnisse sicherstellen, ohne dass menschliches Eingreifen erforderlich ist.
Fazit und Ausblick
Die französische Regierung rüstet sich aktuell für eine zweite Runde im Wettlauf um die souveräne nationale Cloud mit dem besten Sicherheitskonzept, doch die Sicherheitsanforderungen sind erheblich höher geworden. Aus der Vergangenheit zu lernen bedeutet, einen Sicherheitsansatz zu wählen, der die Vorteile der Cloud nutzt, und gleichzeitig die Daten von Staat und Bürgern maximal zu schützen. Die logische Konsequenz daraus ist das Zero Trust Modell – ein Ansatz, der auch für den öffentlichen Sektor in Deutschland ein praktikables Konzept darstellt.
Autor:
Lance Haig ist Regional Manager of Solutions Engineering bei HashiCorp mit Sitz in DACH. Er verfügt über 26 Jahre Erfahrung in den Bereichen Unternehmensführung sowie Operations- und Infrastrukturmanagement. Lance Haig arbeitet mit einem starken Team von Solutions-Engineers. Gemeinsam unterstützen sie Kunden dabei, die HashiCorp-Tools Terraform, Vault, Consul und Nomad effizient in den Unternehmen einzusetzen, um in dieser sich schnell verändernden digitalen Welt Wertschöpfung und Sicherheit zu gewährleisten.
