Jan ist ein Security Experte aus Bonn und arbeitet bei Accenture Security. Sein Fokus ist Zero Trust / Cloud Security und er beschäftigt sich hauptberuflich mit allen Themen rund um Informationssicherheit.
Das Interview ist der erste Teil einer Serie über Kontrolle und Leistungsfähigkeit in der europäischen IT. Es wurde geführt von Gregor Schumacher.
Gregor: Vor wem sollten wir uns in der IT eigentlich schützen?
Jan: Es gibt verschiedene Angreifer-Profile, angefangen von meinem Sitznachbarn, der von der Seite auf meinen Bildschirm schaut und „Shoulder Surfing“ betreibt. Dann gibt es die „Script Kiddies“, die Dinge ausprobieren, die sie im Internet gesehen haben. Sie schreiben dann aus Spaß Phishing-Emails, sind aber mitunter dennoch erfolgreich. Mit gesundem Menschenverstand und guter Sicherheits-Software kann man hier schon einige Angriffe abwehren.
In der nächsten Stufe gibt es Angreifer, die wirklich Ahnung haben. Sie verstehen bekannte Sicherheitslücken oder finden selbst welche. Daraus schreiben sie eigene Angriffs-Tools, die dann, aufgrund ihrer Einmaligkeit, nicht so einfach von gängigen Antivirus-Tools erkannt werden. Früher hätte man sie „Hacker“ genannt, aber das Wort ist in der Security-Szene inzwischen positiv besetzt. Besser passt der Begriff „einzelner Krimineller“. Sie sind aber eher Einzelkämpfer.
Als nächstes gibt es die „organisierte Kriminalität“. Die haben meist kaum eigene IT-Kenntnis, können sie aber bei Experten einkaufen. Sie spionieren gezielt Opfer-Unternehmen aus und erstellen beispielsweise aufwendige, individuelle Phishing-Kampagnen. Dabei versuchen sie mit Hilfe gefälschter Emails oder Websites an Schlüsselinformationen des Unternehmens zu gelangen. Gelingt es Kriminellen, verschlüsseln sie die Daten ihrer Opfer und geben diese nur gegen Lösegeld wieder frei. Das nennt sich dann „Ransomware-Attacke“. Dagegen nutzen gängige Abwehrtools wenig, hilfreich ist da im Wesentlichen Misstrauen oder gesunder Menschenverstand. Das Stichwort ist hier Awareness.
Noch deutlich professioneller gehen Großkonzerne vor, wenn sie Wirtschaftsspionage betreiben. Sie nutzen prinzipiell die gleichen Methoden wie die organisierte Kriminalität, haben es aber nicht auf Lösegeld abgesehen, sondern auf geheime Information des Konkurrenten.
Die höchste Kategorie der Angreifer sind ausländische Regierungen bzw. deren Geheimdienste. Diese haben meist das größte Budget und Zugriff auf die besten Absolventen ihrer Universitäten, denn es geht ja um das Vaterland. Das mutmaßlich amerikanische Schadprogramm Stuxnet ist ein gutes Beispiel für Vorgehen und Wirkung der Agenten. Es nutzte eine Reihe von bisher unbekannten Sicherheitslücken, sogenannte "Zero Days" und zielte auf eine Verbreitung via USB-Sticks. Ziel waren definierte Industriesteuerungen, also Anlagen, die in iranischen Urananreicherungsanlagen verwendet werden. Dort angelangt beschleunigte der Virus die Zentrifugen, simulierte nach außen hin aber völlige Normalität. Die Anlagen gingen daraufhin kaputt und das iranische Atom-Programm wurde um Jahre verzögert. Teilweise geheimes Wissen über Sicherheitslücken, Industrieanlagen und Leute vor Ort waren dafür nötig.
Gregor: Seit Jahren verstärken Unternehmen ihre Investitionen in IT-Sicherheit. Warum sind und bleiben wir dennoch so verwundbar?
Jan: IT basiert auf immer wieder neuer Hardware und Software, und diese werden immer komplexer und zahlreicher. Mit dem Internet of Things wird jedes Gerät intelligent und muss aus irgendeinem Grund in das Internet: Thermostate, Spülmaschinen, Drucker, alle enthalten Software mit Tausenden oder vielleicht Millionen Zeilen Code. Forscher nehmen an, dass es je 100 Zeilen Code einen Fehler gibt. Jetzt lasst uns annehmen, dass nur jeder Tausendste Fehler wirklich kritisch ist, aber dann sind das jedes Jahr wieder genug Möglichkeiten für Angreifer, in ein Unternehmen zu gelangen. Insbesondere, wenn die Lufttrockner und intelligenten Lampen von Unternehmen nicht mit Patches versorgt oder eventuell von Nutzern nicht upgedatet werden oder werden können.
Wenn ich also einen 20 Jahre alten Netzwerkdrucker besitze, dann läuft dort auch ein Webserver. In diesen kann sich der Kriminelle hineinmogeln und tauscht die Software gegen seine eigene aus. Diese erfüllt dann weiterhin ihre Aufgabe, scannt aber zusätzlich das interne Netzwerk. Und wie bekomme ich das mit? Es gibt ja kein Antivirus-Programm für Drucker. Erst wenn ich mir den Traffic im Netzwerk genau anschaue, frage ich mich: Warum kommuniziert der Drucker denn so viel? Das macht ja aber fast niemand, da eine komplexe Analyse nötig wäre.
Das heißt, die immer höher werdende Komplexität der Infrastrukturen, der genutzten Geräte und ihrer Software sowie der Unternehmensapplikationen schafft immer neue Angriffsoberflächen. Diese können nur durch das Aufspielen der jeweils neuesten Patches geschlossen werden. Und genau hier hinken die Verteidiger den Angreifern meist hinterher: Die Sicherheitslücken müssen den Herstellern bekannt sein, dann müssen diese den Patch schreiben und die Nutzer müssen diese installieren. Das heißt, wir sind und bleiben verwundbar. Man könnte auch sagen: Ein 100% sicherer Computer ist nur einer, den ich in Kunstharz eingegossen im Keller stehend und nicht am Strom angeschlossen habe.
Gregor: Im Internet lese ich immer wieder Thesen, die eine Variante der Cloud sei sicherer als die andere. Wer macht denn aus Deiner Sicht das Rennen: das klassische Rechenzentrum oder die Public Cloud?
Jan: Wir müssen erst einmal davon ausgehen, dass jede Software, egal ob sie sich in einem klassischen Rechenzentrum, in einer Private Cloud oder der Public Cloud befindet, kritische Fehler enthält. Wenn ich etwa eine Private Cloud erstmalig aufbaue, hat alles einen aktuellen Softwarestand. Zu Beginn sind dann auch alle Varianten der Cloud gleich sicher.
Danach aber beginnt ein Wettlauf, den die kleinen Rechenzentrumsbetreiber kaum gewinnen können. Die Hyperscaler AWS , Microsoft und Google beschäftigen meist dedizierte Teams je bereitgestellter Software. Diese spielen sehr schnell und automatisiert über alle Rechenzentren hinweg Patches ein. Zudem gibt es spezialisiere Cyber-Sicherheitsabteilungen, die proaktiv nach Sicherheitslücken der eigenen Cloud suchen und deren schnelle Behebung anstoßen. Der sichere Betrieb ihrer Cloud, ist nun einmal das Kern-Geschäftsmodell der Hyperscaler.
Der durchschnittliche Betreiber eines klassischen Rechenzentrums oder einer Private Cloud hingegen hat in der Regel Personalmangel. Schlüsselmitarbeiter sind überlastet und für viele Anwendungen zuständig. Zudem sind die Applikationen häufig mit Middleware und Infrastruktur logisch verbunden, so dass Sicherheitsupdates einzelner Software-Produkte erst umfangreich auf Anwendungsebene vorbereitet werden müssen. Um ein Rechenzentrum auf aktuellem Stand zu halten, bedarf es viel Erfahrung, Geld und gut ausgebildeter Leute.
Um auf die Frage zurückzukommen: Der Abstand zwischen Angreifern und Verteidigern ist bei Hyperscalern kleiner als bei Private Clouds. Es gibt unter Sicherheitsaspekten einige Vorteile in der Public Cloud.
Gregor: Du hattest einige Angreifer-Typen genannt, von Kleinkriminellen bis zu Nachrichtendiensten. Kann man sich in der Public Cloud durch Verschlüsselung wirksam vor ihnen schützen?
Jan: Die Antwort ist mehrschichtig. Grundsätzlich erhalten Behörden aus der Strafverfolgung und Geheimdienste („Legal Interception“) Zugang zu allen großen Netz- und Plattformbetreibern, gemäß Artikels 10 des Grundgesetzes. Gleiches gilt in allen anderen großen Ländern analog. Hier gibt es zudem keinerlei Größenbeschränkung. Wenn wir beide also ein Rechenzentrum für unsere Nachbarn aufmachen, dann können die Behörden morgen an der Tür stehen, auf Artikel 10 verweisen und Zugang zu unseren Daten verlangen. Darüber hinaus können Geheimdienste jedweder Herkunft natürlich den Systemadministrator bestechen oder ihre technischen Skills anwenden.
Aber klar, Verschlüsselung kann helfen. Bei einer Festplattenverschlüsselung etwa hält ein Trusted-Computing-Modul den Schlüssel, für das Betriebssystem aber sind alle Daten transparent nutzbar. Bricht jetzt ein Krimineller in das Rechenzentrum ein und stielt die Festplatten, erhält er lediglich Datensalat. Kommt der Kriminelle dagegen über eine Schwachstelle oder ein kompromitiertes Konto ins System , gelangt er einfach über die Applikation an die Daten, auch wenn diese eigentlich sicher verschlüsselt wurden – auf der Festplatte.
Entscheidend ist also immer die Frage: Wo wird was verschlüsselt und wo liegen die Schlüssel? Hier kommt das Kerckhoffs’schen Prinzip zum Tragen: demzufolge beruht die Sicherheit eines Kryptosystems nicht auf der Geheimhaltung des Algorithmus, sondern auf der des Schlüssels. Nehmen wir eine Web-Anwendung, die in der Cloud einen vorinstallierten Linux-Server mit unverschlüsselter Datenbank nutzt. Der Administrator dieser Cloud darf es zwar nicht, aber er könnte sich einen Snapshot der Datenbank ziehen und hätte somit die gewünschte Information. Dann sagt sich der Cloud-Kunde: Gut, dann verschlüssele ich eben die Daten in der Datenbank. Jetzt würde sich der Administrator einen sogenannten „Memory Dump“ ziehen. Sprich: Er zieht sich eine Kopie des Inhalts des Arbeitsspeichers des Cloud Linux-Servers, denn dort werden die Daten ja zum Zweck der eigentlichen Kalkulation kurzzeitig entschlüsselt. Ihm lägen dann sogar die Schlüssel im Klartext vor und er könnte diese dann für weitere Entschlüsselungsvorgänge nutzen.
Als nächste Stufe könnte sich der Cloud-Kunde dann entschließen, nur noch die verschlüsselten Daten in der Cloud zu speichern, die Ver- und Entschlüsselung sowie die Aufbewahrung des Schlüssels aber im eigenen Rechenzentrum durchzuführen. Die Cloud würde dann zu einem reinen Daten-Dump verkommen. Die schöne, große Service-Welt der Cloud mit ihren AI-Algorithmen und allen anderen Datenverarbeitungsmöglichkeiten, die ist dann weg, denn die Plattform sieht ja nur die verschlüsselten Daten. Ganz richtig ist diese Aussage nicht, es gibt auch sogenannte homomorphe Verschlüsselungsverfahren, die auch mit verschlüsselten Daten noch arbeiten können, aber in Summe bleibt der Handlungsspielraum schon sehr eingeschränkt.
Kann ich mich gegen alles und jeden durch Verschlüsselung schützen und gleichzeitig noch die wichtigen Funktionalitäten einer Cloud nutzen? Ich würde sagen nein. Es gibt immer Abwägungen, die man treffen muss. Man hat auf der einen Seite die Breite des Portfolios, Skalierbarkeit und technische Sicherheit vor den meisten Angreifer-Profilen und auf der anderen Seite Kontrolle oder Kontrollwahrnehmung gegenüber sehr speziellen Angreifer-Profilen.
Gregor: Es wird viel debattiert über eine souveräne Cloud. Die soll genau bei diesem Spagat helfen zwischen Kontrolle und Leistungsfähigkeit. Ist sie aus deiner Sicht eine Lösung?
Jan: Als erstes würde ich behaupten: Die eine souveräne Cloud, die gibt es nicht. Viel relevanter ist es auch, dass ich die Clouds, die es gibt, souverän nutze.
Der Bitkom zieht eine klare Grenze zwischen Autarkie und Souveränität. Ersteres ist der Versuch, die komplette Wertschöpfung selbst zu kontrollieren, auch wenn dies zu Leistungseinbußen führt. Letzteres ist die Idee, eine hohe Leistungsfähigkeit zu erreichen durch eine intelligente Steuerung mehrerer Anbieter mit dem Ziel singuläre Abhängigkeiten an irgendeiner Stelle der Wertschöpfung zu vermeiden.
Der Versuch mit Hilfe einer privaten Cloud autark zu werden ist völlig absurd. Vielleicht kann ich auf der Ebene der Software meinen Leistungsanspruch reduzieren und dann mit weitestgehender Eigenleistung zufrieden sein, aber spätestens auf Hardware-, Komponenten- und Rohstoffseite ist dann Schluss. Möchte ich etwa seltene Erden selbst abbauen, das Silizium selbst gießen und die Chips im eigenen Keller herstellen? Selbst den Linux-Kernel mit seinen 10 Millionen Zeilen Code werde ich nicht kontrollieren können.
Souveränität dagegen ist mit Multi-Cloud-Ansätzen heute schon weitestgehend erreichbar. Ist es zum Beispiel mein Ziel, nicht von einem Cloud-Anbieter wie Google abhängig zu sein, dann kann ich auf Applikationsebene schon sehr viel erreichen. Beispielsweise kann ich dort nur unkritische Daten halten und unkritische Services nutzen oder ich kann beim Design der Applikation darauf achten, dass ich sie jederzeit auch auf Azure oder AWS ausrollen kann. Stichwort: DevOps.
Mit der Unabhängigkeit von Google durch Multi-Cloud verbleibt dann immer noch ein „Single Point of Failure“: Die Abhängigkeit von den USA, dem Herkunftsland der Hyperscaler sowie der meisten Private-Cloud-Anbieter wie VMware. Ist es also das Schutzziel, eine Situation wie damals zwischen Google und Huawei zu vermeiden, dann bleibt nur noch die durchgängige Verwendung von Open Source-Software wie Open Stack oder Open Shift. Hier ist einiges an Leistungsfähigkeit und Kontrolle möglich, allerdings setzt dies wieder sehr viel gut ausgebildete Experten und viel Eigenleistung voraus.
Gregor: Harald Joos hat einmal von einem nationalen Hyperscaler für Deutschland gesprochen. Würde dieser die deutsche digitale Souveränität maßgeblich verbessern?
Jan: Vor allen Dingen aus Sicht der Bundesregierung ist es schön, so etwas einmal in den Raum zu stellen. Ich glaub auch, dass viele Firmen gerne ein Hyperscaler wie Google, AWS, Microsoft oder Alibaba wären, denn die haben wahnsinnig viele Experten und riesige Budgets, die sie in die Entwicklung von Rechenzentren und Services stecken können. Und selbst bei gleicher Ressourcenlage würden die Hyperscaler schneller entwickeln, denn sie haben eine auf Softwareentwicklung optimierte Kultur. Da geht es um Geschwindigkeit, um Fortschritt und nicht hauptsächlich um Fehlervermeidung, bei der jeder Beteiligte immer mit einem Auge auf die Einhaltung der DSGVO schielt.
Wie viele Unternehmen mit deutschem Hauptsitz kämen denn überhaupt für eine solche Aufgabe in Frage? Schwarz IT, IONOS, SAP, arvato, T-Systems, nicht viele mehr. Die letzten drei haben sich jeweils für Kooperationsmodelle mit Microsoft und Google entschieden. Und die ersten beiden gehen einen sehr evolutionären, zurückhaltenden Weg. Also keiner ist im Moment so verwegen, eine komplett eigene Plattform mit großer Vision aufzubauen. Da ist der Zug tatsächlich abgefahren.
Gregor: Dann lass uns zum Abschluss mal träumen: Wie würdest du dir eine europäische IT-Landschaft vorstellen, wenn das Schutzziel geopolitische Unabhängigkeit wäre?
Jan: Der Grundgedanke von Gaia-X war gar nicht mal so falsch. Da hat man gesagt: wir sind allein aus politischen Erwägungen heraus nicht in der Lage, einen Riesen aufzubauen, denn Frankreich und Deutschland könnten sich kaum darauf einigen, in welchem Land dieser dann welche Rechenzentren aufbauen würde. Also lass uns doch die vorhandenen mittelgroßen Akteure vernetzen, also ein verteiltes Modell finden und dann Größe durch Interoperabilität erreichen. Ein Verbund vieler Plattformen mit gemeinsamen Schnittstellen, einer gemeinsamen Sprache, das könnte funktionieren.
Ein solches Konstrukt müsste man dann noch einmal deutlich besser absichern. Ich meine hier nicht einfach eine C5-Zertifizierung oder IT-Grundschutz, denn solche Zertifizierungen sind häufig nicht das Papier wert auf dem sie stehen. Ich meine eine Sicherheit über den langfristigen Bestand eines solchen Verbundmodells. Man bräuchte dann eine gute Kategorisierung sowohl der Leistungsangebote der Provider als auch der jeweiligen Applikationen und Daten. Man würde dann sagen: Diese Daten und Anforderungen können innerhalb der dezentralen Cloud auch amerikanische Provider übernehmen, jene besonders kritischen Daten des Auswärtigen Amtes dürfen dann nur von deutschen Anbietern gespeichert und verarbeitet werden.
Das klingt jetzt schon sehr nach Gaia-X, aber schaut man sich die konkreten Use Cases und Anwendungsbeispiele an, dann sieht es nicht so aus, als ob die ernsthaft an einem klar klassifizierten Katalog von Infrastrukturservices arbeiten. Noch dazu einer, der uns für hochkritische Anwendungen von der geopolitischen Abhängigkeit zur USA befreit.
