Schutz der Daten in der Cloud

Im Frühling 2021 befragte Veeam 1.550 Unternehmen aus 14 Ländern, wie deren eingesetzte Cloud-Umgebungen ihre zukünftigen Datensicherungsstrategien beeinflussen. Die COMPUTERWELT sprach mit Mario Zimmermann, Country Manager Austria by Veeam darüber, was diese Erkenntnisse speziell für Österreich bedeuten. [...]

Cloud-IT-Lösungen haben sich wohl für die meisten Unternehmen zu einer unverzichtbaren Technologie entwickelt. Im Gegensatz zu früheren IT-Generationen gibt es jedoch heute nicht mehr nur eine moderne Architektur. Zunächst wurden Midrange-Systeme zum Standard, später NetWare und Windows und schließlich virtualisierte Umgebungen auf Basis von VMware. Heute können Unternehmen verschiedene moderne Szenarien wie IaaS, SaaS, PaaS und Container nutzen, die jeweils unterschiedliche Vorteile und Datenschutzanforderungen mit sich bringen. Dementsprechend befragte Veeam 1.550 IT-Fachleute, die allesamt an den Cloud-Strategien ihrer Unternehmen beteiligt sind, einschließlich Cloud-Hosting-Plattform, Software-as-a-Service (SaaS) und Container. Untersucht wurden die Faktoren, die für und gegen eine Cloud-Einführung sprechen, sowie die Strategien und Methoden, die zum Schutz der Daten auf jeder Cloud-Plattform verwendet werden.

Der Report ist in vier Abschnitte unterteilt: 1. Fakten zu Hybrid-Cloud-Umgebungen, 2. Disaster Recovery in cloudbasierten Infrastrukturen, 3. SaaS-basierte Anwendungen wie Office 365 und 4. Container.

Was sind die Kernaussagen des Reports und was war die größte Überraschung für Veeam als Hersteller?

Für mich ergeben sich drei Kernaussagen aus dem Report. Erstens: die Pandemie hat die Digitalisierung beschleunigt und mit ihr die Nutzung von Cloud-Technologien und -Services. Damit verbunden ist ein Nachziehen der Datensicherheitskonzepte, die entsprechend angepasst werden müssen.

Zweitens: hybride Ansätze aus On-Premise und Cloud haben sich durchgesetzt, wobei die Tendenz, beide zu kombinieren, weiter zunehmen wird. Und drittens: die Investitionsbereitschaft von Unternehmen in puncto IT-Modernisierung war in den letzten eineinhalb Jahren enorm.

Das gleiche gilt für Österreich, hier wurden sogar Investitionsprämien bereitgestellt. Außerdem ist mir aufgefallen, dass es unter vielen Verantwortlichen Unwissenheit über die Notwendigkeit von Backup für SaaS-Lösungen in der Cloud gibt.

Hierzulande beobachte ich aber einen gegenteiligen Trend, denn in meinen Gesprächen sind sich neun von zehn Organisationen durchaus bewusst, dass sie Backups benötigen.

Wie wird mit dem Thema Cloud in Österreich im Vergleich zu den globalen Ergebnissen umgegangen und was bedeuten die Ergebnisse für Veeam in Bezug auf lokale Strategien und Schwerpunkte?

Was den Einsatz von Cloud-Lösungen in Österreich angeht, hat die Pandemie die Transformation stark vorangebracht. Investitionen und Innovationen, die zuvor Jahre gedauert hätten, erfolgten innerhalb weniger Monate, da die Organisationen äußerst schnell handeln mussten.

Der erste Lockdown hatte damals einige kalt erwischt, denn Home-Office-Arbeitsplätze mit Applikationen wie Microsoft Teams mussten rasch eingeführt werden. Dank Cloud-Technologien konnten Unternehmen die Änderungen jedoch sehr flexibel und zeitnah umsetzen.

Die Sicherheit ist ein wichtiges Thema und damit ebenso das Nachziehen entsprechender Designs. Aufgrund der Pandemie ist vieles rasch ausgerollt worden, auch Designs, die nicht hundertprozentig final waren. Das war aber der Dringlichkeit geschuldet, um nicht die Geschäftskontinuität zu stören.
Das sind die Schwerpunkte, die ich rückblickend beobachtet habe.

Wie sieht es in Sachen Sicherheit in der Cloud im Vergleich zu On-Premise aus?

Hier gibt es keinen Unterschied, Daten gehören sowohl On-Premise als auch in Clouds gesichert, denn sie sind das wertvollste Gut jeder Organisation und damit besonders attraktiv für Cyberkriminelle.
Im Zusammenhang mit dem Thema Cloud und Sicherheit müssen allerdings folgende Fragen geklärt werden: Welches veränderte Geschäftsrisiko ergibt sich, wenn ich auf Cloud-Technologien setze oder Daten in die Cloud lege? Wie sieht es es mit der Daten-Redundanz in der Cloud aus, sind sie geo-redundant abgelegt?

Ein weiteres wichtiges Thema ist die Frage nach der Haftung von Cloud-Anbietern im Schadensfall. Wer haftet in welcher Höhe, sollte es zu Problemen, Datenverlust, Downtime oder Ähnlichem kommen? Genauso gehören Dateneigentum und -übergabe im Falle einer Vertragsauflösung geklärt, wenn zum Beispiel ein Anbieterwechsel ansteht – sei es On-Premise oder in der Cloud – wie ist das rechtlich und prozesstechnisch geregelt?

Der Einsatz der Cloud verlangt zudem neue Prozesse, Schnittstellen und Verantwortlichkeiten innerhalb der Unternehmen. Ich habe erlebt, dass die Legal-Abteilungen Kriterien-Kataloge erarbeitet und darin festgelegt haben, welche Services und Daten in die Cloud gelegt werden dürfen und welche nicht.

Wie sehen derzeit Backup-Strategien für SaaS-Lösungen aus? Zum Beispiel für Office 365?

Ein Großteil der österreichischen Unternehmen ist sich bewusst, dass die Built-in-Möglichkeiten in Office 365 – also Microsoft-Retentions – nicht mit einem Backup zu verwechseln sind. Daraus leiten sich viele Fragen ab: was passiert beim versehentlichen Löschen, was bei Angriffen von innen heraus beziehungsweise bei Angriffen mit Insiderwissen? Auch Compliance-Themen oder die DSGVO gehören mit dazu.

Hier ein einfaches Beispiel: Ein Mitarbeiter verlässt das Unternehmen, die OneDrive-Daten werden nach 30 Tagen und die Mails nach 90 Tagen gelöscht. Was aber ist, wenn ich darauf Monate später Zugriff benötige, sei es für rechtliche Themen oder für Recherchearbeiten? Und schlussendlich muss man ebenso aufpassen, wie die Lösungen grundsätzlich abgesichert sind.

Wie schätzen Sie die weiteren Entwicklungen bezüglich Cloud-Security ein?

Ohne Zweifel ist die Zahl an Ransomware-Attacken seit letztem Jahr massiv angestiegen. Neben dem eigentlichen Schaden, also Produktionsausfall und Downtime, kommt auch der öffentliche Druck zum Tragen: kein Unternehmen will in diesem Kontext in den Schlagzeilen landen.

In Österreich werden regelmäßig Unternehmen im Zuge einer Ransomware-Attacke erfolgreich verschlüsselt. Die Frage ist daher längst nicht mehr, ob man angegriffen wird, sondern wann. Diese Angriffe sind vor allem dann erfolgreich, wenn die Angreifer vorbereitet sind. Unternehmen brauchen spätestens dann eine Last Line of Defence, das heißt einen Backup- und Disaster-Recovery-Plan, der getestet und aktuell sein sollte. Das ist für mich elementarer Bestandteil eines Datensicherheitskonzeptes.

Welche Rolle spielt künstliche Intelligenz bei der Cyberkriminalität sowie beim Veeam-Angebot?

Künstliche Intelligenz spielt hier tatsächlich eine Rolle, da sie Automatismen erkennen kann wie beispielsweise die Anomalien, die mit einer Ransomware-Attacke einhergehen. Oder es lassen sich unregelmäßige Löschvorgänge in einer gewissen, untypischen Ausprägung detektieren. Diese Automatismen lösen dann frühzeitig Warnungen aus, sodass orchestrierte Schritte eingeleitet werden können. Im Rahmen eines Disaster-Recovery-Plans ist es aber letztlich ein Mensch, der entscheidet, ein Disaster Recovery auszuführen und somit auf einen zweiten Standort umzuschalten.

Was sehen Sie als die größte Herausforderung in den nächsten Monaten?

Der Fachkräftemangel ist sicherlich die größte Herausforderung. Früher war es einfacher, da IT-Experten in IT-Unternehmen gearbeitet haben. Heute benötigt jedes Unternehmen diese Fachkräfte aufgrund der IT-Abhängigkeit. Die Auswirkungen ziehen sich wie ein roter Faden durch das Business: Ohne qualifiziertes Personal kann der Betrieb leiden und die neuesten Technologien und Designs werden nicht implementiert. Am Ende des Tages tragen all diese Faktoren dazu bei, dass sich die Anfälligkeit für Cyberattacken erhöht.

Der Report kann unter Angabe von Name, E-Mail-Adresse und Telefon-nummer von der hier auf Deutsch heruntergeladen werden.