In der heutigen digitalen Ära ist die Sicherheit von Unternehmensdaten von grösster Bedeutung. Die kürzlichen Enthüllungen um den entwendeten Master-Key von Microsoft unterstreichen die Schwachstellen, die selbst bei den grössten Tech-Giganten auftreten können. Viele Unternehmen stehen vor der Herausforderung, die richtige Cloud-Strategie zu wählen, um ihre sensiblen Daten zu schützen. In diesem Artikel beleuchten wir, warum eine Hybrid-Cloud-Strategie oft die sicherste und effizienteste Lösung darstellt.
Die jüngsten Sicherheitsvorfälle in Verbindung mit Public Clouds verdeutlichen die damit verbundenen Risiken. Insbesondere grosse Cloud-Anbieter wie Microsoft, AWS und Google ziehen aufgrund ihrer Marktdominanz und Reichweite verstärkt Cyberangreifer an. Der Grund dafür liegt im sogenannten Angriffsvektor: Je grösser und bekannter der Dienstleister, desto attraktiver ist er für Cyberkriminelle, da ein erfolgreicher Angriff auf solch eine Plattform potenziell Zugang zu einer enormen Menge an Daten und Ressourcen bietet. Des weiteren können solche Vorfälle, bedingt durch die grosse Kundenzahl, weitreichende Folgen haben und sich auf eine Vielzahl von Organisationen und Einzelpersonen auswirken. Dies sollte Unternehmen zu denken geben, insbesondere wenn sie überlegen, wo und wie sie ihre sensiblen Daten speichern und verarbeiten. Wir werden diese Risiken ausführlich diskutieren und zeigen, warum sie für Unternehmen ein zentrales Anliegen sein sollten.
Im Gegensatz dazu bietet die Hybrid-Cloud eine Kombination aus Public und Private Clouds, die das Beste aus beiden Welten vereint. Sie kombiniert die Skalierbarkeit öffentlicher Clouds mit der Sicherheit und Kontrolle privater Clouds. Ein besonderer Fokus liegt dabei auf lokalen Cloud-Anbietern wie Naveum. Diese können gerade im Bereich der dedizierten Private Clouds und bei besonders sensiblen Daten oft eine sicherere und auf die Bedürfnisse des Endkunden angepasste Lösung bieten.
Enthüllung von Sicherheitslücken in Public Clouds und bei grossen Cloud-Anbietern
Public Clouds, insbesondere die von Marktführern wie Microsoft, AWS und Google Cloud, sind in der modernen Geschäftswelt weit verbreitet. Ihre Anziehungskraft liegt in der Fähigkeit, Unternehmen dabei zu unterstützen, ihre Anwendungen und Daten effizient zu hosten und gleichzeitig wirtschaftliche Vorteile zu erzielen.
Jedoch haben jüngste Sicherheitsvorfälle Bedenken hinsichtlich der Verlässlichkeit von Public Cloud Lösungen und grossen Anbietern aufkommen lassen. Solche Vorfälle unterstreichen die Bedeutung einer transparenten Kommunikation seitens des Cloud-Anbieters, schnellen Reaktionszeiten und direkten Ansprechpartnern für Unternehmen. Obwohl Hyperscaler durchaus ihre Vorzüge haben, kann ein lokaler Cloud-Anbieter genau das bieten, was für einen erstklassigen und individuellen Service notwendig ist.
Im Juni 2023 wurde Microsoft von einer Behörde auf ungewöhnliche Aktivitäten in ihren Online-Exchange-Konten hingewiesen. Untersuchungen ergaben, dass es zu unautorisierten Zugriffen auf E-Mails gekommen war, was auf einen gravierenden Fehler bei Microsoft hinweist. Anscheinend wurde ein sehr wichtiger Master Key von Microsoft gestohlen, der den Angreifern zu diesen Zugriffen verholfen hat.
Nur zwei Monate später, im August, gab Intel eine erhebliche Schwachstelle in ihren CPUs bekannt. Diese Schwachstelle ermöglicht es, über geteilte Ressourcen in der Public Cloud, sensible Informationen von anderen Nutzern auszulesen. Es ist bemerkenswert, dass solche Schwachstellen insbesondere in Umgebungen von grosser Bedeutung auftreten, in denen Hardware-Ressourcen zwischen vielen Nutzern geteilt werden, wie es bei grossen Cloud-Anbietern auf Public Cloud Infrastrukturen der Fall ist.
Diese Vorfälle betonen die Wichtigkeit, einen Cloud-Anbieter zu wählen, der transparent informiert, direkte Ansprechpartner bereitstellt und in der Lage ist, rasch auf Sicherheitsbedenken zu reagieren. Lokale Cloud-Anbieter verschaffen Endkunden, Resellern und MSPs einen entscheidenden Vorteil durch massgeschneiderte Dienstleistungen, persönlichen Support und enge Partnerschaften.
Microsoft und der gestohlene Schlüssel: Ein beunruhigendes Schweigen
Die Washington Post veröffentlichte im Juli einen Bericht über erfolgreiche Hacking-Angriffe auf die E-Mail-Konten einiger Regierungsbehörden in Westeuropa. Microsoft führte den Vorfall auf die Aktivitäten der chinesischen Hacker-Gruppe Storm-0558 zurück, ohne jedoch den gesamten Umfang des Schadens offenzulegen. Inzwischen steht fest, dass die Hacker mehr als nur E-Mails abrufen konnten. Der eigentliche Durchbruch gelang ihnen durch einen kryptografischen Schlüssel, der nicht nur für Outlook anwendbar war.
Laut Microsoft haben sich chinesische Angreifer mit der Bezeichnung Storm-0558 Zugriff auf das von Microsoft gehostete Exchange Online von hauptsächlich Regierungsbehörden aber auch weiteren Unternehmen verschafft. Untersuchungen ergaben, dass Storm-0558 ab dem 15. Mai 2023 Zugriff auf bis zu 25 Organisationen in der Public Cloud von Microsoft hatte.
Storm-0558 hatte ab dem 15. Mai 2023 Zugriff auf bis zu 25 Organisationen in der Public Cloud von Microsoft.
Dies gelang den Angreifern mit Hilfe eines gestohlenen Signaturschlüssels, mit dem sie sich selbst funktionierende Access Tokens für Outlook Web Access (OWA) und Outlook.com ausstellen konnten. Damit konnten sie unter anderem auf E-Mails und deren Anhänge zugreifen.
Wie dieser Diebstahl gelingen konnte, wollte oder konnte Microsoft auch einen Monat später noch nicht im Detail erklären. Auch die Tatsache, dass die mit dem Signaturschlüssel ausgestellten Tokens überhaupt funktionierten, erklärt das Unternehmen nur unzureichend: Ein Problem mit der Gültigkeitsprüfung («Validation Issue») habe dazu geführt, dass die eigentlich nur für Privatkundenkonten (MSA) vorgesehenen Zertifikate auch im Azure Active Directory (AAD) für Geschäftskunden funktionierten. Erschwerend kommt hinzu, dass Microsoft offenbar bewusst vermeidet, die von diesem Security- und Privacy-Desaster betroffenen Produkte explizit zu benennen.
In seinem Artikel vom 11. Juli 2023 behauptet Microsoft, den Angriff erfolgreich abgewehrt zu haben. So sei die Verwendung der mit dem gestohlenen MSA-Schlüssel ausgestellten Tokens blockiert und der Schlüssel ersetzt worden. Detaillierte Informationen zum Angriff finden Sie hier.
Weitere Folgen und Fragen aufgrund des Microsoft Vorfalls
Das Sicherheitsunternehmen Wiz hat eine Analyse veröffentlicht, die darauf hindeutet, dass der kürzlich gestohlene Microsoft-Schlüssel möglicherweise als eine Art «Masterkey» für fast alle Microsoft-Cloud-Dienste fungierte. Laut Wiz hätte der Schlüssel nicht nur für den Zugang zu Exchange Online genutzt werden können, sondern auch für andere Dienste wie SharePoint, Teams und sogar Kunden-Apps, die «Login with Microsoft» verwenden.
Microsoft hat zwar Massnahmen ergriffen, um den Schlüssel zu sperren und die Bedrohung zu mindern, hat jedoch wenig Informationen über den Vorfall oder seine genaue Auswirkung veröffentlicht.
Wiz behauptet, dass der entwendete Schlüssel ein OpenID-Signaturschlüssel für das Azure Active Directory (Azure AD) war. Damit wäre es möglich gewesen, Zugangstoken für nahezu alle Microsoft Cloud-Dienste zu erstellen. Es ist unklar, wie weitreichend der Schaden ist, und Microsoft hat die Behauptungen als «weitgehend spekulativ» bezeichnet, ohne jedoch weitere Details zu nennen.
Die Analyse wirft Fragen bezüglich der Transparenz und der Sicherheitspraktiken von Microsoft auf. Sie betont, dass Kunden von Microsoft mehr Transparenz und konkrete Unterstützung bei der Überprüfung möglicher unautorisierter Zugriffe einfordern sollen. Tatsächlich kündigte Microsoft im Juli an, dass es einige Security-Tools wie Back-end Logging Systeme all seinen Geschäftskunden gratis zur Verfügung stellen wird, damit diese unautorisierte Zugriffe schneller erkennen können.
Politische Konsequenzen für Microsoft
Der Vorfall erschütterte nicht nur die IT-Welt. Auch der Politiker und US-Senator Ron Wyden war empört und hat sich in einem förmlichen Brief an diverse US-Behörden wie die FTC, CISA und das Justizministerium gewandt. Er forderte diese auf, Massnahmen gegen Microsoft zu ergreifen. Dies spiegelt erhebliche Besorgnis auf Regierungsebene wider und könnte auch rechtliche Konsequenzen für Microsoft bedeuten.
Der Senator betont, dass Microsoft eine «erhebliche Verantwortung» für den Vorfall trägt. Er fordert unter anderem, dass das Cyber Safety Review Board den Fall untersucht und das Justizministerium prüft, ob Microsofts Handlungen gegen Bundesgesetze verstossen haben könnten.
Sicherheit in der Cloud: Eine komplexe Herausforderung
Während absolute Sicherheit in der digitalen Welt eine Illusion bleibt, können wir doch mit den richtigen Ansätzen das Risiko minimieren und unsere Daten schützen. Die hybride Cloud, eine Symbiose aus öffentlichen und privaten Cloud-Diensten, tritt hier als potente Lösung auf den Plan.
Eine hybride Cloud-Strategie kombiniert die Vorteile von privaten und öffentlichen Clouds, bietet Flexibilität und Kosteneffizienz durch bedarfsgerechte Skalierung und gewährleistet durch gezielte Platzierung kritischer Daten in privaten Umgebungen höhere Sicherheit.
Was ist eine Hybrid-Cloud-Strategie
Eine Hybrid-Cloud-Strategie bezeichnet den integrierten Einsatz sowohl von privaten als auch von öffentlichen Cloud-Ressourcen, um die IT-Anforderungen eines Unternehmens optimal zu erfüllen. Durch diese Kombination profitieren Unternehmen von der Flexibilität, Skalierbarkeit und Kosteneffizienz der öffentlichen Cloud, während sie gleichzeitig die erhöhte Kontrolle und Sicherheit der privaten Cloud für sensible oder geschäftskritische Anwendungen nutzen können. Diese Strategie ermöglicht es Unternehmen, ihre Workloads je nach Anforderung und Bedarf zwischen den Cloud-Umgebungen zu verschieben, und bietet somit ein hohes Mass an Agilität und Anpassungsfähigkeit in einer ständig wechselnden digitalen Landschaft.
Sicherheitsvorteile einer hybriden Cloud-Strategie
Die Wahl einer hybriden Cloud-Strategie bietet mehrere Sicherheitsvorteile gegenüber einer Public Cloud-Lösung:
Erweiterte Kontrolle über Daten: Mit einer hybriden Cloud haben Unternehmen die Flexibilität, ihre sensibelsten Daten und Anwendungen innerhalb einer privaten Cloud oder auf eigenen Servern zu speichern. Dies schützt sie vor potenziellen Risiken, die mit der Speicherung in einer externen, mit mehreren Kunden geteilten Umgebung verbunden sind.
Massgeschneiderte Sicherheitsprotokolle: Die hybride Cloud ermöglicht es Unternehmen, speziell zugeschnittene Sicherheitsrichtlinien und -mechanismen für ihren privaten Cloud-Teil zu implementieren. Das heisst, sie sind nicht ausschliesslich auf die Standard-Sicherheitsangebote eines Public Cloud-Anbieters angewiesen.
Erfüllung von Compliance-Anforderungen: Die Fähigkeit, Daten lokal in einer privaten Cloud zu speichern, erleichtert es vielen Unternehmen, sich an branchenspezifische regulatorische Standards und Gesetze zur Datenspeicherung zu halten.
Individuelle Netzwerksicherheit: Unternehmen, die eine hybride Cloud nutzen, können massgeschneiderte Netzwerksicherheitslösungen implementieren, wie beispielsweise spezielle Firewalls oder Intrusion-Detection-Systeme, um den Datenverkehr zu ihrer privaten Cloud optimal zu überwachen und zu kontrollieren.
Dedizierter Support: Viele Anbieter von privaten Cloud-Lösungen bieten dedizierten Support und massgeschneiderte Service Level Agreements (SLAs) an, um sicherzustellen, dass spezifische Geschäftsanforderungen erfüllt werden.
Flexibilität und Skalierbarkeit: Unternehmen können ihre Cloud-Umgebung genau an ihre Geschäftsanforderungen anpassen und bei Bedarf schnell skalieren.
Leistungsstabilität: Da die Ressourcen nicht mit anderen Nutzern geteilt werden, können Unternehmen eine gleichbleibende Systemperformance und Reaktionsgeschwindigkeit erwarten.
Insgesamt bietet die hybride Cloud-Strategie Unternehmen eine umfassendere und flexiblere Kontrolle über ihre Daten und Sicherheitspraktiken. Sie kombiniert das Beste aus beiden Welten – die massgeschneiderten Sicherheitslösungen der privaten Cloud und die Vorteile der Public Cloud – und gibt Unternehmen so ein stärkeres Werkzeug, um sich gegen aktuelle und zukünftige Bedrohungen zu schützen.
Das hohe Mass an Kontrolle, Sicherheit und Anpassungsfähigkeit, welche die Private Cloud mit sich bringt, was sie besonders attraktiv für Unternehmen als Ergänzung zur Public Cloud macht, die spezifische IT-Anforderungen haben oder in streng regulierten Branchen tätig sind.
Bringen Sie Ihre sensiblen Daten in Sicherheit
In einer Welt, in der Cybersicherheit mehr denn je im Fokus steht, stellen Vorfälle wie der gestohlene Master-Key von Microsoft eine ernsthafte Bedrohung für Unternehmen dar. Die Entscheidung für eine private Cloud-Lösung eines lokalen Anbieters kann hier einen entscheidenden Unterschied machen.
Mit unserem Managed VMware Cloud Stack (MVCS) erhalten die Kunden nicht nur eine Cloud-Lösung, sondern eine speziell auf ihre Bedürfnisse zugeschnittene, hochperformante Infrastruktur. Diese dedizierte Umgebung gewährleistet, dass Unternehmen die volle Kontrolle über ihre Daten behalten und sich auf massgeschneiderte Sicherheitsmechanismen verlassen können.
Indem sie sich für MVCS Private Cloud Lösungen entscheiden, rüsten sich Unternehmen optimal gegen zukünftige Sicherheitsvorfälle und gewährleisten gleichzeitig einen reibungslosen, zuverlässigen Betrieb. Es ist nicht nur eine Frage der Technologie, sondern auch des Vertrauens in einen Anbieter, der die lokalen Gegebenheiten kennt und versteht. Mit einer solchen Lösung können Unternehmen sicher sein, dass ihre kritischen Daten und Anwendungen bestmöglich geschützt werden.
German 
English