Alle Branchen

Resiliente Cloud-Strategien für eine unsichere Welt

In einer Zeit geopolitischer Spannungen und sich wandelnder Datenschutzregeln müssen Institutionen ihren Cloud-Ansatz neu bewerten. Dieser Artikel bietet eine Perspektive, wie man mit den steigenden Risiken des Datenzugriffs in den USA umgehen kann und welche Schritte unternommen werden können, um sich an eine sich verändernde globale Landschaft anzupassen.

6 Minuten Lesezeit
Mit Insights von
Thomas Bossard portrait for Cybersecurity

Thomas Bossard

Principal Security Consultant & People Lead
tizian glanzer security engineer

Tizian Glanzer

Junior Security Engineer

Die neue Realität: Steigende rechtliche Risiken und Unsicherheiten

Vier Monate sind bereits vergangen, seit die neue US-Regierung im Amt ist. Die letzten Wochen und Monate haben zu einer bedeutenden Verunsicherung hinsichtlich der Entwicklung der USA und deren internationaler Beziehungen geführt. Dies wirft auch Fragen im Hinblick auf die Nutzung von Cloud-Diensten der US-amerikanischen Hyperscaler auf:

  • Sind die Daten sicher vor den Zugriff der US-Behörden?
  • Reichen die aktuellen Lawful Access Reviews aus, um der sich verändernden Risikolandschaft gerecht zu werden?
  • Wie wirken sich Abhängigkeiten von einzelnen Anbietern auf potenzielle Serviceunterbrechungen aus?

Insbesondere die daraus resultierenden rechtlichen Fragen werden von David Rosenthal detailliert beantwortet. Ebenso werden die Veränderungen der Risiken und deren Bewertung erläutert. Die Bedenken werden vor allem durch drei Entwicklungen getrieben:

Wesentliche Entwicklungen

  • Versuchte Entlassung im PCLOB

    Die Amtsenthebung demokratischer Mitglieder des Boards kann langfristig in einer Schwächung der US-EU/US-CH DPF-Schnittstelle (Data Privacy Framework) resultieren. Das DPF ist ein Abkommen, das den rechtmässigen Transfer personenbezogener Daten aus der Europäischen Union (EU) in die Vereinigten Staaten (USA) ermöglicht. Dabei wird sichergestellt, dass die Daten von EU-Bürgerinnen und -Bürgern einen angemessenen Schutz gemäss den EU-Datenschutzgesetzen, insbesondere der Datenschutz-Grundverordnung (DSGVO), erhalten. Zum Beispiel beschränkt es die Überwachung durch die USA zu Zwecken der nationalen Sicherheit. 

  • Staatlicher Zugriff auf Firmendaten

    Ebenfalls befürchtet wird die Möglichkeit eines Zugriffs auf bei US-Hyperscalern liegende Unternehmensdaten durch die US-Regierung unter vorgeschobenen Gründen (wie schwerer Straftaten). Dem stehen zwar einige Hürden entgegen, dies setzt jedoch voraus, dass sich die US-Behörden an US-Recht halten und die Gerichte dieses auch durchsetzen. Einem solchen Zugriff stehen zudem die vertraglichen Pflichten entgegen, die US-Hyperscaler mit ihren Kunden abgeschlossen haben. Diese Verpflichtungen sehen vor, dass sich die Hyperscaler dem Versuch der US-Behörden, auf die Daten zuzugreifen, widersetzen. Wie das Beispiel des blockierten Outlook-Kontos des Chefanklägers des Internationalen Strafgerichtshofs (IStGH), Karim Khan, zeigt, halten die Hyperscaler diese Versprechen nicht bedingungslos ein. 

  • Vorgaben gegen US-Hyperscaler-Verträge

    Es wird befürchtet, dass die USA zur Durchsetzung ihrer Interessen den US-Hyperscalern gesetzliche Vorgaben macht, die für europäische Kunden inakzeptabel sind. Die Verträge zwischen US-Hyperscalern und Kunden sehen zwar Bestimmungen gegen ausländische Behördenzugriffe vor, jedoch nur dann, wenn sie dabei gegen kein anwendbares US-Recht verstossen. Würde ein solches Gesetz verabschiedet werden, hiesse dies, dass die wichtige Schutzklausel in den Verträgen ihre Gültigkeit verliert oder deutlich abgeschwächt wird. Aufgrund der volatilen Lage lässt sich die Eintrittswahrscheinlichkeit nur schwer prognostizieren.

Zühlkes Einschätzung: Zeit für eine strategische Neuausrichtung

Auch wenn sich die oben genannten Befürchtungen zum gegenwärtigen Zeitpunkt nicht vollständig bewahrheitet haben, ist es dennoch erforderlich, auf die dynamische geopolitische Lage zu reagieren.

Die obigen Befürchtungen werfen die Frage auf, ob die aktuellen Lawful Access Reviews und die daraus abgeleiteten technischen Maßnahmen noch zeitgemäß sind. Ebenso betroffen sind etwaige CCRA (Cloud Compliance and Risk Assessment) Beurteilungen, die auf die detaillierten Lawful Access Reviews und deren technische Maßnahmen verweisen.

cloud security team

Nach unserer Einschätzung ist es unerlässlich, insbesondere für Unternehmen in Branchen mit strengen Regulierungsanforderungen, wie der Finanzbranche oder dem Bereich kritischer Infrastruktur, ihre Lawful Access Reviews zu überprüfen und gegebenenfalls an die neuen Gegebenheiten anzupassen. Als Folge davon müssen auch die organisatorischen und technischen Massnahmen angepasst werden. Dafür hat das Team um David Rosenthal eine aktualisierte Variante des FLARA (Foreign Lawful Access Risk Assessment) erstellt, die diesen neuen Gegebenheiten Rechnung tragen soll. 

Aus Sicht von Zühlke werden insbesondere die Themen Business Continuity Management (BCM) und Exit-Strategie in naher Zukunft erheblich an Bedeutung gewinnen. Unsere Erfahrungen aus Kundenprojekten zeigen, dass beide Bereiche nur unzureichend oder oberflächlich adressiert wurden. Umso dringlicher ist es nun, bestehende Lücken zu schließen und entsprechende Strategien gezielt weiterzuentwickeln.

Handlungsempfehlungen

1. Aktualisierung von CCRA, FLARA und zugehörigen Massnahmen

Aus unserer Sicht ist es essenziell, das CCRA sowie die zugehörigen Risikoanalysen regelmäßig auf ihre Aktualität und Angemessenheit zu überprüfen. Wir empfehlen, das neue FLARA im Rahmen der laufenden Nachbeurteilung zu verwenden.

Daraus geht in der Regel eine Vielzahl von organisatorischen und technischen Anforderungen hervor, um Cloud Dienstleistungen sicher betreiben zu können. Viele Anforderungen sollten bereits durch den Einsatz eines Security Frameworks umgesetzt worden sein. Sollte dies, zum Beispiel aufgrund der Größe Ihres Unternehmens, nicht der Fall sein, bietet OWASP mit dem Cloud Security Cheat Sheet oder der Cloud-Native Application Security Top 10 einen guten Einstieg. 

2. Priorisierung des Business Continuity Management (BCM) 

Nebst der Aktualisierung von CCRA, FLARA, sowie daraus resultierenden organisatorischen und technischen Maßnahmen, werden nun jedoch zwei weitere Themenfelder relevanter: BCM und Exit-Strategie.

Das Thema BCM ist komplex und wird in der Realität oft unterschätzt. Dennoch raten wir dringend, sich frühzeitig und strukturiert damit auseinanderzusetzen. Wie gut ist Ihr Unternehmen in diesem Bereich aufgestellt? Idealerweise können Sie alle nachfolgenden Fragen mit Ja beantworten. Ist das nicht der Fall, besteht konkreter Handlungsbedarf.

  • Ist eine Organisationsstruktur zur Bewältigung von Störungen definiert und dokumentiert?
  • Sind Verantwortlichkeiten und Rollen wie BCM-Beauftragter und Krisenteams klar zugewiesen?
  • Ist ein BCM-Plan vorhanden, der Ablaufpläne, Eskalationspfade und Kommunikationsstrategien beschreibt?
  • Sind Performanceanforderungen zur Umsetzung der Business Continuity Requirements definiert?
  • Sind Kapazitätsanforderungen zur Umsetzung der Business Continuity Requirements beschrieben?
  • Wurden diese Anforderungen aus einer systematischen Business Impact Analyse (BIA) abgeleitet?
  • Ist für jeden kritischen IT-Service ein Recovery Time Objective (RTO) definiert?
  • Ist für jede relevante IT-Ressource ein Recovery Point Objective (RPO) definiert?
  • Wird die Wirksamkeit des BCM-Plans mindestens jährlich durch Tests oder Übungen überprüft?
  • Werden aus Tests gewonnene Erkenntnisse dokumentiert und im Plan berücksichtigt (kontinuierliche Verbesserung)?
  • Decken die skizzierten BCM-Szenarien einen Komplettausfall Ihrer Cloud-Infrastruktur ab?

3. Erstellen einer Cloud-Exit Strategie, bevor man sie braucht 

Wenn das Wort «Exit-Strategie» fällt, wird oft lässig abgewunken. Teilweise, weil es von Cloud-Kritikern in einer beinahe Panik schürenden, unfundierten Art und Weise verwendet wird und daher an Substanz verliert. Teilweise aber auch daher, weil man sich mit unangenehmen Themen beschäftigen muss und davor zurückscheut. Tatsache ist: Ein Cloud Ausstieg ist in der Regel mit gewaltigen Kosten verbunden, weil Effekte wie Vendor-Lock-in greifen und häufig die Infrastruktur on-premises den Anforderungen und Kapazitäten nicht mehr entspricht.

Im Rahmen einer Cloud-Exit-Strategie ergeben sich für Sie verschiedene Handlungsoptionen, die je nach technologischer Reife, Risikobereitschaft und strategischer Ausrichtung differenziert zu bewerten sind.

Nachfolgend werden drei zentrale Exit-Varianten dargestellt. Es gilt zu beachten, dass auch Mischvarianten denkbar sind.

  • Wechsel des Hyperscalers / Multicloud-Ansatz

    Ein Wechsel zu einem anderen US-Hyperscaler oder die Umsetzung einer Multicloud-Strategie bietet dem Unternehmen hohe Flexibilität hinsichtlich Skalierbarkeit und Kapazitätsbereitstellung. Zudem bleibt die Innovationsfähigkeit gewahrt. 

    Jedoch sind die Anforderungen an die Cloud-Maturität des Unternehmens signifikant – insbesondere die Notwendigkeit, internes Personal auf mehreren Plattformen gleichzeitig zu schulen, stellt eine erhebliche Herausforderung dar. Ein möglicher Nachteil besteht darin, dass viele der ursprünglichen Risiken (z. B. Abhängigkeit von US-Anbietern) nicht grundlegend adressiert werden. Das bedeutet insbesondere, dass diese Variante nutzlos wird, wenn der Grund für die Exit-Strategie ein zu hohes Risiko im Zusammenhang mit der US-Politik ist. 

    Diese Variante eignet sich primär für Unternehmen mit einem hohen technologischen Reifegrad und etablierten Multicloud-Fähigkeiten.

  • Lokaler Cloudanbieter / Outsourcing

    Die Auslagerung an einen lokalen Cloudanbieter kann aus Sicht der Verfügbarkeitsresilienz und Georedundanz eine attraktive Option darstellen. Voraussetzung hierfür ist eine frühzeitige vertragliche Absicherung, um die notwendige Kapazität – insbesondere in Krisensituationen – sicherzustellen. 

    Zu bedenken ist jedoch, dass die Migration von Cloud-native Workloads mit erheblichen Kosten verbunden ist. Darüber hinaus müssen alle relevanten Lieferantenbeziehungen bereits im Vorfeld etabliert sein. Einige aktuelle Risiken haben im schlimmsten Fall zur Folge, dass viele Unternehmen zeitgleich aus Public-Cloud-Infrastrukturen aussteigen.

    Die Frage, ob lokale Anbieter (z. B. in der Schweiz) in diesem Fall ausreichend Kapazitäten zur Verfügung stellen können, bleibt offen. 

  • Betrieb eigener IT-Infrastruktur (On-Premises)

    Der vollständige Wechsel in eine eigene Infrastruktur erfordert eine leistungsfähige IT-Organisation, die in der Lage ist, im Krisenfall den Betrieb innerhalb weniger Wochen zu übernehmen. 

    Dies setzt umfassende Inhouse-Expertise sowie eine vorhandene hybride Cloud-Umgebung voraus. Während diese Option maximale Kontrolle und Unabhängigkeit ermöglicht, sind die Nachteile erheblich: hohe Investitionskosten, aufwändige Skalierung und erheblicher Betriebsaufwand, insbesondere für die Vorhaltung einer Notfallinfrastruktur. 

    Eine denkbare Lösung besteht darin, eine minimale On-Prem-Umgebung gezielt für den Krisenbetrieb vorzuhalten, verbunden mit einer entsprechenden Risikoakzeptanzstrategie.

„ In Zeiten zunehmender Unsicherheit erfordern widerstandsfähige Cloud-Lösungen robuste Bedrohungsmodelle und realistische Risikobewertungen sowie nachhaltige Gegenmaßnahmen wie Failover-Prozesse zu alternativen Lösungen. “
Raphael Reischuk
Partner and Group Head Cybersecurity

Zühlkes Beitrag zur Stärkung Ihrer unternehmerischen Resilienz

Für eine ganzheitliche Sicherheits- und Resilienzstrategie empfehlen wir die regelmäßige Überprüfung bestehender Risikoanalysen wie FLARA und CCRA sowie der daraus abgeleiteten organisatorischen und technischen Maßnahmen. Zudem gewinnt das Thema BCM zunehmend an Bedeutung – nutzen Sie hierzu unseren Kurztest zur Standortbestimmung Ihrer aktuellen BCM-Reife. Ergänzend dazu sollten Sie sich frühzeitig mit möglichen Cloud Exit-Strategien und deren konkreten Umsetzungsvarianten auseinandersetzen, um im Ernstfall handlungsfähig zu bleiben. Was wir Ihnen auf jeden Fall raten, ist, mit genügend Abstand über den Status Quo Ihrer Risikobeurteilung nachzudenken. 

Die Services von Zühlke stellen den Aufbau nachhaltig sicherer Cloudlösungen ins Zentrum und berücksichtigen dazu das dynamische Bedrohungsumfeld. Mit unserer Kompetenz in Cloud Security unterstützen wir Ihre Organisation mit einer detaillierten Gap Analyse Ihrer technischen Maßnahmen und helfen gezielt bei der Umsetzung notwendiger technischer Anpassungen.

Unsere Experten und Expertinnen unterstützen Sie bei der Entwicklung wirksamer BCM-Strategien, um die betriebliche Kontinuität Ihrer Organisation langfristig abzusichern. Darüber hinaus begleiten wir Sie bei der Ausarbeitung von Cloud Exit-Strategien und deren konkreter technischer Umsetzung.

Wir helfen Ihnen, Unsicherheit in Widerstandsfähigkeit zu verwandeln
Kontaktieren Sie uns
Insights
Weitere Artikel lesen