Bundesamt für Sicherheit in der Informationstechnik

M 4.440 Verschlüsselte Speicherung von Cloud-Anwenderdaten

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator

Neben der verschlüsselten Übertragung über öffentliche Netze kann auch die verschlüsselte Speicherung von Cloud-Anwenderdaten notwendig sein, um zu verhindern, dass Administratoren oder andere Mitarbeiter des Cloud-Diensteanbieters auf gespeicherte Informationen zugreifen können.

Die Verschlüsselung von Cloud-Datenbeständen kann so ausgestaltet sein, dass der Cloud-Diensteanbieter die Verschlüsselungsmittel bereitstellt und einsetzt, also Verfahren und Schlüssel bei ihm liegen. Alternativ kann der Cloud-Anwender über den Schlüssel verfügen, während der Cloud-Diensteanbieter lediglich die Verschlüsselung bereitstellt. Letzteres ist zu bevorzugen, falls dies die technischen Möglichkeiten des genutzten Cloud-Service-Modells zulassen.

Eine Verschlüsselung von Cloud-Datenbeständen muss mit einem geeigneten Verschlüsselungsalgorithmus und in einer Weise erfolgen, dass ein Datenverlust bei Fehlfunktion (Stromausfall, Abbruch des Vorgangs) systemseitig abgefangen wird.

Die Auswahl eines geeigneten Verschlüsselungsalgorithmus sollte gemäß Maßnahme M 2.164 Auswahl eines geeigneten kryptographischen Verfahrens erfolgen.

Die Umsetzung einer verschlüsselten Speicherung hängt stark von dem Servicemodell ( PaaS , IaaS , SaaS ) und von der bereitgestellten Architektur ab:

Beispiel: PaaS / Datenbank

Eine Verschlüsselung kann auf Datenbank-Ebene erfolgen, z. B. über feldbasierte Ver- und Entschlüsselung ( vgl. M 4.72 Datenbank-Verschlüsselung ). Bei der Datenbankverschlüsselung sind besonders die Export- und Import-Funktionen zu berücksichtigen, die unter Umständen Daten unverschlüsselt übertragen. Einige Datenbankmanagementsysteme bieten eine zusätzliche Berechtigungsumgebung an, mit deren Hilfe den Datenbankadministratoren der lesende Zugriff auf Feldebene der Datenbank entzogen werden kann, indem z. B. der Select-Befehl für den Datenbankadministrator gesperrt wird. In diesem Fall können die Datenbankadministratoren zwar Tabellen einfügen oder löschen und Backup-Operationen durchführen, den Inhalt der Tabellen aber nicht einsehen.

Diese Art der "Datenunterdrückung" erfordert ein zusätzliches Berechtigungskonzept und ein Vier-Augen-Prinzip für diejenigen, die die Berechtigungen für die Datenbankadministratoren vergeben. Die Informationen des Cloud-Anwenders in den Datenbanken können aber auf diese Weise effizient vor unberechtigter Einsichtnahme durch die Administratoren geschützt werden.

Beispiel: IaaS / Festplattenverschlüsselung

Es kann bei IaaS der Fall sein, dass die virtuelle Festplatte verschlüsselt wird. Je nach eingesetzter Lösung der Festplattenverschlüsselung kann die Systemintegrität während des Bootprozesses geprüft werden.

Eine Entschlüsselung kann dann nur durch den Cloud-Anwender erfolgen. Im Allgemeinen erfolgt dies nach anfänglicher Eingabe eines Passworts oder einer PIN automatisch, wenn Cloud-Benutzer auf Daten des verschlüsselten Bestandes zugreifen wollen.

Die Anwenderdaten sind in diesem Fall durch den Administrator des Cloud-Diensteanbieters nicht einsehbar.

Bei Festplattenverschlüsselung muss zusätzlich darauf geachtet werden, dass die Backup-Methode ebenfalls Verschlüsselung unterstützt. Wenn die Datensicherung unverschlüsselt erfolgt, könnten unter Umständen über diesen Weg Informationen ausgespäht werden.

Beispiel: IaaS oder PaaS / Bereitstellung von Hilfsmitteln zur Verschlüsselung

Bei diesem Szenario stellt der Cloud-Diensteanbieter dem Cloud-Anwender Software zur eigenständigen Verschlüsselung bereit, z. B. Container-Lösungen, welche der Cloud-Anwender mit einem Passwort zur Verschlüsselung der darin abgelegten Daten verwenden kann. Verantwortung für Schlüsselmanagement und verschlüsselte Ablage liegen hier beim Cloud-Anwender.

Beispiel: SaaS / Verschlüsselung über die Anwendungslogik

Der Cloud-Diensteanbieter, hier als Software-Anbieter, bindet in die Cloud-Anwendung ( SaaS ) eine proprietäre Verschlüsselung ein, welche die Daten anwendungsseitig verschlüsselt ablegt. Die Verantwortung für Einsatz und Verwaltung der Verschlüsselung liegt hier beim Cloud-Diensteanbieter / Software-Anbieter.

Prüffragen:

  • Werden vertrauliche Cloud-Anwenderdaten derart verschlüsselt, dass der Cloud-Administrator keinen Zugriff auf die Informationen hat?

Stand: 14. EL Stand 2014