Sicherheit für die Cloud – Einblicke in die technisch anspruchsvollen und notwendigen Maßnahmen

Einführung
Die Cloud-Computing-Umgebung von Microsoft wird unablässig angegriffen: Das Unternehmen registriert 1,5 Millionen Angriffsversuche auf seine Systeme – pro Tag.

Microsoft wehrt diese Angriffe nicht nur ab, sondern lernt von ihnen.

Sämtliche vereitelte Angriffe werden zusammen mit Daten über die Milliarden von E-Mails und anderen Informationen, die die von Microsoft genutzten Rechenzentren durchlaufen, kontinuierlich dem Intelligent Security Graph des Unternehmens zugeführt. Der Intelligent Security Graph ist ein Datenknoten von Microsoft, in dem unzählige Einzeldaten gespeichert und mithilfe von Machine Learning analysiert werden.

Auf der Grundlage dieses riesigen Datennetzes lassen sich Zusammenhänge zwischen einem E-Mail-basierten Phishing-Versuch aus Nigeria und einem Denial-of-Service-Angriff aus Osteuropa herstellen, um einen Angriff auf einen einzelnen Kunden zu vereiteln. Die gewonnenen Erkenntnisse werden unter Verwendung von Produkten wie der Cloud-Plattform Microsoft Azure, dem Betriebssystem Windows 10 oder dem Produktivitätsdienst Office 365 für alle Kunden nutzbar.

Diese Sicherheitsbedrohungen haben in den letzten Jahren beträchtlich zugenommen: Datendiebstahl ist für Kriminelle äußerst lukrativ. Computerkriminalität wird mittlerweile als Chance betrachtet, um an Informationen zu gelangen, den eigenen Einfluss zu steigern und sich gegenüber Konkurrenten einen Vorteil zu verschaffen. Die Folge sind potenziell katastrophale Angriffe wie etwa die WannaCrypt-Ransomware-Kampagne. Diese Entwicklung verändert das Bild, das Kunden von der Cloud haben.

„Noch vor wenigen Jahren äußerten die meisten Kunden zu Beginn eines Gesprächs, dass Cloud-Computing aufgrund von Sicherheitsbedenken für sie nicht in Frage kommt“, so Julia White, Corporate Vice President Cloud & Enterprise bei Microsoft Corp. „Heute sagen viele, dass sie aus Sicherheitsgründen eine Cloud-Lösung benötigen.“

Cloud-Computing führt zu grundlegenden gesellschaftlichen Veränderungen – das ist keine Übertreibung: Es stellt bedeutende Branchen wie etwa den Einzelhandel auf den Kopf, ermöglicht mathematische Berechnungen, die für eine Revolution im Bereich der künstlichen Intelligenz nötig sind, und beeinflusst unsere Kommunikation mit Freunden, Familienmitgliedern und Kollegen.

Der Grund: Dank der Cloud steht Nutzern eine Unmenge an Computing-Ressourcen zur Verfügung – viel effizienter, als dies in einem unternehmenseigenen Rechenzentrum der Fall wäre. Und sie können auf diese Ressourcen über einen beliebigen Computer, ein beliebiges Smartphone oder ein anderes Gerät zugreifen.

Auch Cloud-Computing selbst hat sich zu einem beachtlichen Geschäftsbereich entwickelt. Analysten von Gartner schätzen, dass der Markt für Public-Cloud-Dienste im Jahr 2020 auf nahezu 385 Mrd. USD wachsen wird.

Microsoft erwartet allein für sein gewerbliches Cloud-Geschäft im Geschäftsjahr 2018 einen Jahresumsatz von 20 Mrd. USD.

Die Tatsache, dass eine wachsende Zahl von Nutzern ihre Daten sowie ihre geschäftlichen und persönlichen Informationen den Rechenzentren anvertrauen, hat ein neues Zeitalter der Cybersicherheit eingeläutet. Nutzer müssen an neue Sicherheitsformen herangeführt werden:

Einerseits mussten Privatpersonen und Unternehmen ein gewisses Maß an physischer Kontrolle aufgeben, die in dem Bewusstsein begründet war, dass sich ihre E-Mails und Familienfotos auf der Festplatte ihres Heimcomputers im Wohnzimmer befinden bzw. sämtliche Verkaufs- und Lohndaten auf physischen Servern gespeichert sind, die in den Büros des Unternehmens stehen.

Andererseits konnten laut Sicherheitsexperten Unternehmen wie Microsoft dank der Cloud viel komplexere Tools zum Schutz vor immer clevereren Angreifern entwickeln. Unternehmen müssen sich dadurch also nicht alleine um sämtliche Sicherheitsaspekte kümmern, sondern können auf Cloud-Anbieter wie Microsoft zurückgreifen. Sie g

„Benutzern muss klar sein, dass Sicherheit und Compliance für Cloud-Anbieter immer höchste Priorität haben“, so Doug Cahill, Senior Cybersecurity Analyst des Beratungsunternehmens Enterprise Strategy Group, Inc. „Diese Punkte sind nicht optional für ihr Geschäft. Sie SIND ihr Geschäft.“

Sicherheit als Grundkonzept
Die Cloud bietet von Natur aus einige Vorteile. Bei der Entwicklung der Cloud wurden von Anfang an moderne Sicherheits- und Datenschutzaspekte berücksichtigt. Darüber hinaus handelt es sich um ein kontrolliertes System. Kontrolliert wird es von Mitarbeitern, die sich tagtäglich mit Datensicherheit und Datenschutz beschäftigen.

Laut Cahill werden Sicherheitsfeatures für das Internet und für Computer üblicherweise als Tool bereitgestellt und nicht direkt integriert. Bei der Cloud-Infrastruktur fließen Sicherheitsüberlegungen hingegen direkt in den Entwicklungsprozess ein.

„Die Cloud bietet eine Chance auf bessere Sicherheit“, sagt er.

Mit Tools wie dem Intelligent Security Graph profitiert die Cloud von einer Art Gruppenimmunität: Wenn Microsoft eine Sicherheitsbedrohung für Microsoft Azure, Office 365, Windows 10 oder einen anderen Dienst erkennt, der auf der Cloud-Plattform ausgeführt wird, kommt dieses Wissen auch jedem anderen Dienst auf der Plattform zugute.

Julia White sieht das wie folgt: Vor der Nutzung des Cloud-Computings hatte jedes Unternehmen seine eigenen (isolierten) Informationen zu Angriffsversuchen. Heutzutage kann Microsoft täglich Milliarden von Informationen erfassen, auf Angriffsversuche untersuchen und die gewonnenen Erkenntnisse zugunsten aller Nutzer anwenden.

„Das Interessante an der Sicherheit ist: Im Gegensatz zu anderen Technologien handelt es sich um ein Katz-und-Maus-Spiel: Es gibt die Bösen und die Guten, und im Grunde ist es ein ständiger Kreislauf aus Jagen und Fangen“, erklärt Julia White. „Durch Insights und Daten kann man sich hierbei jedoch einen Vorteil verschaffen.“

Unternehmensübergreifender Ansatz
Datensicherheit bedarf laut Sicherheitsexperten mehrerer Verteidigungslinien. Zum Schutz der eigenen Cloud verfolgt Microsoft ein umfassendes Konzept, das das gesamte Unternehmen durchzieht und sowohl die Sicherheit von Konsumenten als auch Geschäftskunden gewährleistet.

Microsofts Produktteams stellen eine breite Palette an Technologien zur Erkennung, Überwachung und Reaktion von Sicherheitsbedrohungen sowie spezielle Dienste bereit, um Unternehmen beim Schutz ihrer Daten zu unterstützen. Die Konzepte werden zudem kontinuierlich von über 3.500 Microsoft-Sicherheitstechnikern optimiert. Dabei greifen sie auf Erkenntnisse zurück, die sie durch Cyberangriffe wie der jüngsten WannaCrypt-Ransomware-Kampagne gewinnen.

Im Sinne des langjährigen Engagements für Trustworthy Computing wurde von Microsoft eine Reihe von politischen Überlegungen und Empfehlungen für sicheres, zuverlässiges und zugängliches Cloud- Computing erarbeitet.

Vor Kurzem hat Microsoft z. B. eine digitale Genfer Konvention zur Etablierung internationaler Verhaltensstandards angeregt sowie Möglichkeiten zum Schutz der Privatsphäre von Nutzern erarbeitet, um gesetzliche Vorgaben zu erfüllen.

Schon vor dem WannaCrypt-Angriff hat Microsoft seine Anstrengungen zur Etablierung einer digitalen Genfer Konvention verstärkt. Microsoft bemüht sich z. B., Regierungen zu bewegen, Sicherheitslücken nicht nur zu erfassen, sondern sich zu überlegen, wann eine Sicherheitslücke gemeldet werden sollte. Der WannaCrypt-Angriff ist auf Exploits (Schadprogramme) zurückzuführen, die von der US-amerikanischen National Security Agency (NSA) gestohlen wurden. Microsoft hatte zwar bereits einen Patch zum Schutz vor dem Angriff veröffentlicht, viele Organisationen waren jedoch noch nicht geschützt.

„Regierungen müssen sich überlegen, welche Schäden die Anhäufung dieser Sicherheitslücken und die Nutzung dieser Exploits für die Zivilbevölkerung anrichten können“, schreibt Brad Smith, President von Microsoft, in seinem Blogbeitrag zu Maßnahmen, die Microsoft nach dem WannaCrypt-Angriff ergriffen hat.

Microsoft hat sich jedoch nicht nur mit aktuellen Bedrohungen für Kunden auseinandergesetzt, sondern arbeitet in Forschungseinrichtungen auf der ganzen Welt an einer Reihe bahnbrechender Technologien zur Verbesserung der Cybersicherheit und zur Bewältigung potenzieller Bedrohungen.

Diese Anstrengungen sind eng aufeinander abgestimmt. In einer aktuellen Arbeit zum Thema Cloud-Sicherheit enthält das Autorenverzeichnis neben Forschern auch eine hochrangige Azure-Führungskraft. Ein Microsoft-Verkaufsleiter verbringt ebenso viel Zeit mit den Forschungsteams wie mit den Produktgruppen, um sich über die Herausforderungen der Kunden zu informieren. Hierzu zählt etwa die Frage, wie Organisationen Kundendaten ohne Beeinträchtigung des Datenschutzes austauschen können. Mit der neuen Denkschrift „Cloud for Global Good“ fördert Microsoft ein einheitliches Verständnis der rechtlichen Rahmenbedingungen der Public-Cloud-Nutzung und zeigt Unternehmen und Organisationen anhand von Erfolgsfaktoren und Praxisbeispielen den sicheren, nachhaltigen Weg in die Cloud.

„Was uns von anderen unterscheidet, ist die Verknüpfung dieser Bereiche“, so Scott Charney, Corporate Vice President für Trustworthy Computing. „Das Ziel sind letztendlich öffentliche Richtlinien, die eine echte Verbesserung der Sicherheit bewirken und außerdem technisch umsetzbar sind.“

Den Führungskräften von Microsoft ist bewusst, dass niemand diesen Kampf allein gewinnen kann. Aus diesem Grund haben sie sich an der Schaffung eines breit gefächerten Ökosystems an Partnern beteiligt, mit dem sie zusammenarbeiten und zu dem unter anderem auch politische Entscheidungsträger gehören.

„Zur Erzielung von Erfolgen bei der Cybersicherheit müssen verschiedenste Voraussetzungen erfüllt sein“, so Brad Smith. „Technologieunternehmen müssen wirksame Maßnahmen ergreifen. Und es bedarf der umfassenden Unterstützung durch Kunden und Regierungen.“

Für Jeannette Wing, Corporate Vice President für Einrichtungen zur Grundlagenforschung von Microsoft, ist das eine symbiotische Beziehung, von der alle Beteiligten profitieren. Nach ihrer Aussage werden Sicherheits- und Datenschutztechnologien manchmal schneller entwickelt als sich öffentliche Richtlinien formulieren lassen. Und manchmal werden Technologieunternehmen durch öffentliche Richtlinien zu kreativen Lösungen inspiriert, um erfolgreich zu sein.

„Es gibt keine Wunderwaffe“, so Jeannette Wing. „Wir brauchen unser gesamtes Arsenal.“

Bei den Themen Sicherheit und Datenschutz befindet sich Microsoft in der komfortablen Position, sich neben der Bewältigung akuter Bedrohungen auch mit der Entwicklung zukunftsorientierter Konzepte beschäftigen zu können. Damit wird dafür Sorge getragen, dass die Cloud auch in zehn Jahren (oder noch weiter in der Zukunft) sicher ist. Das ist laut Jeannette Wing nicht zuletzt auf das weltweite Netzwerk von Forschungseinrichtungen zurückzuführen, in denen einige der weltweit führenden Forscher aus den Bereichen Kryptografie und Sicherheit arbeiten.

„Microsoft Research ist speziell dafür zuständig, langfristige Konzepte für das Unternehmen zu entwickeln und Probleme zu antizipieren, die dem Unternehmen noch gar nicht bewusst sind“, sagt sie.

Teil I: Teamwork

Bankräuber und Cyberdiebe

Bharat Shah ist bestens mit sämtlichen Aspekten der Cloud-Sicherheit vertraut, und die entsprechenden Akronyme, Statistiken und branchenüblichen Begriffe kommen ihm so mühelos über die Lippen wie den meisten von uns eine Sandwichbestellung.

Aber: Bharat Shah, Microsofts Corporate Vice President für die Sicherheit der Cloud-Plattform Microsoft Azure, weiß auch, dass diese Akronyme und Statistiken für die meisten Microsoft-Kunden absolut unbedeutend sind. Für sie ist nur relevant, ob ihre Daten sicher sind.

Um zu erläutern, warum Microsoft seiner Meinung nach überlegenen Schutz- und Erkennungssysteme bietet, geht er deshalb in die Zeit vor dem Internet zurück: Er vergleicht Cybersicherheit mit den deutlich höheren Erfolgen bei der Jagd nach Bankräubern, die US-Bundesstaaten verzeichnen konnten, nachdem sie damit begonnen hatten, untereinander Informationen über Banküberfälle auszutauschen. Sobald ein Bundesstaat wusste, dass er die Augen nach einem bestimmten Bankräuber offenhalten muss, taten es ihm alle anderen Bundesstaaten gleich.

Im Internetzeitalter gilt dasselbe Prinzip: Wenn ein Kunde von einem Angriffsversuch betroffen ist, werden auch alle anderen Kunden vor diesem Angriff geschützt. Diese Bündelung von Daten wird als Cloud-Effekt bezeichnet.

„Wenn wir eine Reihe von Angriffen auf einen einzelnen (oder auf einige wenige) Mandanten feststellen, können wir die entsprechenden Informationen zusammenfassen und die gewonnenen Erkenntnisse zum Schutz aller anderen Mandanten nutzen“, so Shah. „Das ist der Cloud-Effekt. Wir lernen. Wir reagieren. Wir aktivieren etwas und schützen alle anderen.“

Mark Russinovich, Chief Technology Officer für Microsoft Azure, erinnert sich da beispielsweise an einen Fall, in dem ein Kunde von einem besonders heimtückischen E-Mail-Phishing-Angriff betroffen war und alle anderen in dem Netzwerk davon profitierten, dass Microsoft diesem Betrug einen Riegel vorschieben konnte.

„Die Kunden kamen ganz automatisch in den Genuss dieses zusätzlichen Schutzes“, erläutert Russinovich.

Intelligent Security Graph
Microsoft erfasst Angriffsversuche auf die eigene Cloud zusammen mit Milliarden anderer Daten in einem riesigen System: dem so genannten Microsoft Intelligent Security Graph.

Diese unzähligen Einzeldaten werden daraufhin mithilfe von Machine Learning (maschinelles Lernen) analysiert, um die Bewältigung und Vorbeugung von Angriffen zu verbessern. Machine Learning ist hier besonders hilfreich, da es dank des Datenzuflusses ständig lernt, neue Anzeichen für Angriffe zu erkennen, und Algorithmen mit jeder weiteren Information verbessern kann.

Ein großes Problem in der Sicherheitsbranche sind so genannte „False Positive False Negatives (FPFN)“. Und gerade in diesem Bereich (den Shah als „FPFN-Schlachten“ bezeichnet) erweist sich Machine Learning als besonders revolutionär.

Jeder Haustierbesitzer, dessen Haustier schon einmal einen Sicherheitsalarm ausgelöst hat, kennt das Problem eines falsch-positiven Ergebnisses: Wenn regelmäßig mitten in der Nacht Alarm ausgelöst wird, weil die Katze durch den Erfassungsbereich des Bewegungsmelders läuft, wird er den Alarm wahrscheinlich bald deaktivieren oder ihn bei einem tatsächlichen Einbruchsversuch nicht mehr beachten.

Bei der Cybersicherheit stellen falsch-positive Ergebnisse eine der größten Belastungen für das System dar: Sie vergeuden wertvolle Zeit und lenken Sicherheitsexperten von ihrer Suche nach der sprichwörtlichen Nadel im Heuhaufen ab.

„Wenn Sie 1.000 Warnungen erhalten, 999 davon falsch-positive Ergebnisse sind und lediglich eine einzige echte Bedrohung vorliegt, muss der Mensch herausfinden, welches Ergebnis relevant ist.  Das kostet Zeit und erfordert Urteilsvermögen“, so Russinovich. „Wenn Ihnen jedoch derart viele Ergebnisse vorliegen, sehen Sie sich häufig nicht jeden einzelnen Fall genau an, sodass Ihnen womöglich die eine echte Bedrohung entgeht.“

Mit Machine Learning wird ein Teil dieser ersten Überprüfung automatisiert, damit sich Sicherheitsexperten auf Fälle konzentrieren können, die sie als echte Bedrohung erkennen.

Bei falsch-negativen Ergebnissen wird es sogar noch etwas kniffliger: Ein falsch-negatives Ergebnis liegt vor, wenn ein Klassifikator ein Ereignis nicht erkennt, das in der Realität jedoch auftritt. Laut Shah unterstützt Machine Learning die Arbeit der Sicherheitsexperten, indem es selbst komplexere Anomalien aufspürt, die zu falsch-negativen Ergebnissen führen können.

Identitätsbasierte Sicherheit und mehr
Angriffs- und Verteidigungsmethoden werden zwar immer ausgefeilter, dennoch setzen Angreifer laut Shah in den meisten Fällen immer noch auf eine relativ altmodische Methode: Sie versuchen, die Kennwörter von Benutzern herauszufinden oder die Benutzer dazu zu bringen, ihre Kennwörter preiszugeben.

„Der einfachste Angriff sieht immer noch so aus: Einem Benutzer werden auf irgendeine Weise seine Anmeldeinformationen gestohlen, und der Dieb gibt sich dann als der entsprechende Benutzer aus“, erklärt Shah.

Das wirft eine komplexe Frage auf: Welche Möglichkeiten hat ein System abgesehen von Kennwörtern noch, um Ihre Identität zu überprüfen? Um Angriffe dieser Art zu verhindern, untersucht Microsoft das Verhalten von Benutzern mithilfe von Machine Learning und anderen Analysen auf Anomalien – etwa auf eine Anmeldung an einem anderen Ort oder auf die Durchführung ungewöhnlicher Aktionen im System nach der Anmeldung.

Zum Schutz vor solchen Angriffen hat das Unternehmen außerdem die Benutzerfreundlichkeit von Systemen verbessert und  verschiedene Tools zur Authentifizierung entwickelt. Bei der 2-Faktor-Authentifizierung werden bspw. zwei verschiedene Identifikationsarten verwendet: ein Kennwort und eine weitere Kontaktmethode (auch als Sicherheitsinformationen bezeichnet), z. B. eine E-Mail-Adresse oder Telefonnummer, über die eine zweite Identifikation erforderlich ist. Windows Hello bietet zudem die Möglichkeit, sich per Fingerabdruck-, Gesichts- oder Iriserkennung bei Windows 10-Geräten anzumelden.

Auch der Zugriff und die Verwendung von Daten können sehr genau gesteuert werden: So besteht etwa die Möglichkeit, nur für kurze Zeit Zugriff auf bestimmte Daten zu gewähren. Es kann auch festgelegt werden, dass besonders kritische Aktionen von mehreren Benutzern abgesegnet werden müssen.

Diese identitätsbasierten Sicherheitsangebote sind nur einige der Tools, die Microsoft zum Schutz der Daten seiner Kunden einsetzt. Das Unternehmen unternimmt weitere Schritte wie etwa die Verstärkung der Schutzmaßnahmen für E-Mails, um zu verhindern, dass Mitarbeiter versehentlich auf gefährliche Links klicken.

In Kombination mit anderen Vorteilen, wie etwa dem Cloud-Effekt, bieten diese Tools laut Shah genügend Sicherheit für nahezu jeden Kunden – und in vielen Fällen ein höheres Maß als noch vor der Nutzung der Public Cloud.

Nach Ansicht des Sicherheitsanalysten Doug Cahill ist es für viele Unternehmen problematisch, mit den zeitaufwendigen Sicherheitsmaßnahmen des alltäglichen Geschäftsbetriebs Schritt zu halten: zum Beispiel eine regelmäßige Überprüfung auf Schwachstellen, das Patchen sicherheitsrelevanter Fehler oder Maßnahmen zur Sicherstellung, dass nur geeignete Benutzer auf Informationen zugreifen können.

„All das sind Dinge, die für Anbieter von Cloud-Diensten zum Tagesgeschäft gehören“, sagt er.

Gelegentlich hören Shah und andere von einem Kunden, der sich Sorgen um komplexere Bedrohungen macht oder dessen Daten besonders sensibel sind. Für solche Fälle bietet Microsoft z. B. abgeschirmte virtuelle Computer. Mit diesem Windows-Server-2016-Feature lassen sich Daten vor seltenen Angriffsarten schützen, zu denen etwa Angriffe durch nicht autorisierte Mitarbeiter oder Administratoren gehören. Eine weitere Option ist Always Encrypted für SQL Server: Diese bietet zusätzlichen Schutz für besonders sensible Daten wie Sozialversicherungsnummern oder Kreditkarteninformationen.

Durch die Interaktion zwischen Forschungs- und Produktgruppen entsteht eine symbiotische Beziehung, von der sowohl die Forscher als auch die Entwickler profitieren. Kryptografen und Informatiker, die an neuen Sicherheitstechnologien arbeiten, können ihre Ideen von den Entwicklern auf Praxistauglichkeit untersuchen lassen und die Entwickler können sich mit verschiedensten Projekten an die Forscher wenden – von breit angelegten Technologieframeworks bis hin zu einmaligen Lösungen.

Kontrolle in der Cloud – ein Blick in die Zukunft mit dem Forschungsprojekt VC3
Einer dieser Forscher ist Manuel Costa. Er ist einer der leitenden Forscher in Microsofts Forschungseinrichtung in Cambridge. Zurzeit beschäftigt er sich hauptsächlich mit der Entwicklung modernster Methoden zur Verbesserung der Cloud-Sicherheit.

Costa ist allerdings nicht an einer Lösung interessiert, die nur im engen Rahmen einer Forschungseinrichtung funktioniert. Er möchte eine praxistaugliche Lösung für echte Kunden entwickeln, denen Datenschutz und Sicherheit ebenso wichtig wie ihm selbst sind.

Für ihn steht dabei die Kontrolle im Mittelpunkt.

„Wir möchten, dass unsere Kunden die Kontrolle haben“, sagt Costa. „Sie müssen bewusst entscheiden können, welche Inhalte sie teilen und welche sie schützen möchten. Als Techniker und Forscher müssen wir mithilfe äußerst sicherer Techniken sicherstellen, dass die Erwartungen unserer Kunden in diesem Bereich erfüllt werden.“

Costa ist eine der zentralen Figuren des Forschungsprojekts VC3, das es Nutzern erlaubt, MapReduce-Berechnungen in der Cloud vorzunehmen und gleichzeitig sensible Daten und Code zu isolieren und zu sichern.

Laut Sriram Rajamani, Leiter der Microsoft-Forschungseinrichtung in Bangalore (Indien) und eine weitere Schlüsselfigur des Projekts, sind Cloud-Anbieter inzwischen fähig, die Verschlüsselung ruhender (oder gespeicherter) Daten zu gewährleisten. Das bedeutet: Selbst, wenn eine böswillige Person den physischen Datenträger mit privaten Bankinformationen in die Finger bekommt, kann sie die Daten nicht lesen.

Cloud-Anbieter können außerdem die Verschlüsselung von Daten während der Übertragung sicherzustellen, sodass sich z. B. Bankdaten auf dem Weg zwischen dem Server und dem Computer nur schwer abfangen lassen.

Die Herausforderung bestand bislang jedoch darin, die Verschlüsselung von Daten aufrecht zu erhalten, während sie für Berechnungen verwendet werden. Mit dem neuen System können Unternehmen, die Finanzhandelsdaten analysieren oder Krankenakten auf Marker für Erkrankungen untersuchen, diese Arbeiten in der Cloud durchführen und sich darauf verlassen, dass die Daten nur für die Personen zugänglich sind, die Zugriff haben sollen. Keine anderen Benutzer – nicht einmal die Mitarbeiter des Rechenzentrums – können auf die Daten zugreifen oder Dritten Zugang zu den Daten verschaffen.

„Dank dieser wichtigen Technologie können wir – wenn VC3 zukünftig zum Einsatz kommt – unseren Kunden versprechen, dass wir ihre Daten speichern und sie ihre Daten nutzen können, ohne dass wir Zugriff darauf haben“, erklärt Rajamani. „Sollte unser Rechenzentrum Opfer eines Hackerangriffs werden, können die Hacker trotzdem nicht auf die Daten zugreifen. Die Vertraulichkeit der Kundendaten ist unabhängig von ihrem Vertrauen in uns oder unsere Mitarbeiter gewährleistet.“

Für die meisten ist das vielleicht keine große Sache. Laut Experten für Cloud-Sicherheit sind es solche Verbesserungen, die Kunden überzeugen, persönliche Daten wie etwa Krankenakten in der Cloud zu speichern und dort zu analysieren.

„Wir befinden uns in der Anfangsphase eines Projekts, das meiner Ansicht nach die Zukunft der gesamten Branche verändern wird“, sagt Russinovich, der leitende Azure-Mitarbeiter, der von dem Projekt so fasziniert war, dass er sich dem Forschungsteam angeschlossen hat.

Noch handelt es sich um ein Forschungsprojekt. Costa, Rajamani und andere arbeiten jedoch an der Verbesserung der Effizienz, um eine praktische Nutzung zu ermöglichen.

Seit kurzem beschäftigen sie sich mit der Frage, wie sich der Umfang des Codes verringern lässt, der ein Höchstmaß an Sicherheit erfordert und in der sicheren Hardware gespeichert werden muss. Das würde die Angriffsfläche, die vor jeglichen Angriffsarten geschützt werden muss, erheblich verkleinern und das System deutlich effizienter machen.

Von Würmern zur cloudbasierten Sicherheit
Costas Interesse für das Thema Sicherheit wurde in der Anfangszeit des Internets geweckt. Damals las er eine der ersten Forschungsarbeiten über Internetwürmer – einen Angriffstyp, bei dem sich bösartiger Code repliziert und automatisch von Computer zu Computer verbreitet.

Zunächst wollte Costa alles verstehen, was das Thema Würmer beinhaltete. Danach wollte er alles dafür tun, um Computer vor ihnen zu schützen.

„Ich dachte mir, dass wir immer mehr Computer verwenden und eine sehr viel höhere Sicherheit benötigen, um Angriffe zu verhindern“, erzählt er.

Ein paar Jahrzehnte später: Die Technologie mag sich verändert haben (und ist, wie Costa vermutete, inzwischen weit verbreitet), das Hauptziel ist jedoch gleichgeblieben.

„Ich denke, dass wir uns unbedingt sehr genau mit dem Schutz der Systeme auseinandersetzen müssen, die das Fundament unserer Gesellschaft bilden“, sagt er.

Das hardwarebasierte Projekt ist laut Costa zwar eine geeignete Lösung, um die Sicherheit von Daten zu gewährleisten, für ihn liegt der Reiz der Forschung – insbesondere in diesem Bereich – jedoch darin, dass verschiedene Ansätze verfolgt werden müssen und es immer Möglichkeiten für Verbesserungen gibt.

„Sicherheit ist ein breites und komplexes Feld“, so Costa. „Wir möchten zahlreiche Barrieren errichten und vielfältigen Schutz bieten.“

Richtlinien, Datenschutz und Regulierung
Zum besseren Verständnis der breit angelegten Cloud-Sicherheit-Strategie von Microsoft ist es hilfreich, etwa 15 Jahre in der Geschichte des Internets zurückzugehen. Das war die Zeit, zu der Costa erstmals auf Würmer aufmerksam wurde. Auch viele Mitarbeiter von Microsoft interessierten sich für diese Sicherheitsbedrohungen – einschließlich Mitbegründer Bill Gates.

Um zu verhindern, dass das Aushängeschild des Unternehmens (das Windows-Betriebssystem) von Sicherheitsbedrohungen überflutet wird, startete Gates die Trustworthy-Computing-Initiative auf spektakuläre Weise: Er wies tausende Entwickler an, die Arbeit an Produkten ruhen zu lassen und sich stattdessen voll und ganz auf die Verbesserung der Sicherheit von Microsoft-Produkten zu konzentrieren. Diese Maßnahme dauerte etwa 60 Tage und kostete das Unternehmen mehr als 100 Millionen US-Dollar.

Von da an wurde Sicherheit bei Microsoft zu einem integralen Bestandteil des Entwicklungsprozesses der Produkte und Dienste. Außerdem verpflichtete sich das Unternehmen zur Zusammenarbeit mit der gesamten Branche sowie zur Weitergabe sicherheitsrelevanter Ergebnisse.

Scott Charney fungiert als Corporate Vice President für Trustworthy Computing und leitet Programme, die sicherstellen sollen, dass Sicherheit weiterhin einen hohen Stellenwert hat. Nach seiner Aussage zieht sich das Konzept bis zu Produkten wie Azure durch. Mit Systemen wie dem Intelligent Security Graph wurde es außerdem an ein Umfeld der agilen Softwareentwicklung angepasst: Produkte werden kontinuierlich aktualisiert und nicht mehr alle paar Jahre physisch in einer Schachtel ausgeliefert.

Nun geht Microsoft noch einen Schritt weiter und integriert Sicherheitstools direkt in seine Entwicklungsumgebung Visual Studio. Dadurch wird Code bereits vor der Veröffentlichung auf natürlichere Weise auf Sicherheitslücken überprüft.

„Sicherheit wird so einfach in den normalen Arbeitsablauf integriert“, erläutert Charney. „Es geht nicht mehr darum, auf Angriffe zu reagieren. Sie ist einfach Teil des Entwicklungsprozesses.“

Dennoch gibt Charney zu, dass der Umstieg in die Cloud für Kunden bisweilen nervenaufreibend sein kann.

„Kunden möchten die Cloud nutzen, weil sie das Potenzial, die Produktivität und die Kostenvorteile erkennen“, erklärt er. „Aber die Cloud ist dieses mysteriöse Gebilde. Woher weiß ich denn, was in der Cloud vor sich geht, wenn ich mich für die Nutzung der Cloud entscheide?“

Diese Frage beantwortet Microsoft wie folgt: Sorgen Sie für Transparenz und geben Sie den Kunden Kontrolle über ihre Daten. Hierzu gehört laut Charney z. B., Kunden über Angriffsversuche zu informieren und ihnen die Möglichkeit zu geben, bestimmte Aufgaben oder Informationsanforderungen zu genehmigen.

Kunden müssen aber auch die Möglichkeit haben, ihre Verschlüsselungsschlüssel zu verwalten und den Zugriff auf ihre Daten zu steuern. „Letztendlich möchten Kunden mehr Kontrolle“, so Charney, „Und Microsoft muss einen Weg finden, wie Kunden diese Kontrolle ermöglicht werden kann, ohne die Sicherheit ihrer Daten zu beeinträchtigen.“

Eine digitale Genfer Konvention und die Datenschutz-Grundverordnung
Wenn Sie sich mit Microsoft-Präsident Brad Smith über Cybersicherheit unterhalten, wird er unter anderem anmerken, dass es sich bei Cyberkriminalität genau um das handelt, was der Name vermuten lässt: kriminelle Handlungen. Das bedeutet, dass jedes Unternehmen, das sich mit dieser Problematik beschäftigt, eng mit staatlichen Stellen zusammenarbeiten muss, da sie letztlich diejenigen sind, die den Tätern echte oder virtuelle Handschellen anlegen können.

Smith weist aber darauf hin, dass sich Cyberkriminalität von den meisten anderen Formen der Kriminalität unterscheidet: Zum einen befinden sich die Cloud-Computing-Rechenzentren, die sich zur Spielwiese der Kriminellen entwickelt haben, größtenteils im Besitz des privaten Sektors und werden in verschiedenen Ländern auf der ganzen Welt betrieben. Zum anderen werden manche Nationalstaaten selbst zum Täter und begehen teilweise Straftaten zur Schädigung von Privatpersonen oder Infrastruktur.

„Cyberkriminalität und Sicherheitsbedrohungen gehen auf Benutzer zurück, die das alles eher als Hobby oder als sportliche Herausforderung betrachtet haben“, erklärt Smith. „Leider entwickelte sich das Ganze sehr schnell zu finanziell motivierter, organisierter Kriminalität. Und inzwischen befinden wir uns in einer dritten Phase, in der selbst Nationalstaaten Angriffe durchführen.“

Anfang 2017 rief Smith die Regierungen in einer Grundsatzrede bei der RSA-Sicherheitskonferenz dazu auf, mit Technologieunternehmen zusammenzuarbeiten und von Angriffen auf den privaten Sektor sowie von der Anhäufung von Sicherheitslücken gegen sie abzusehen. Außerdem forderte er die Regierungen auf, keine Angriffe auf zivile Infrastruktur durchzuführen.

Smith vergleicht diese Forderung nach neuen Regeln mit Rüstungsbeschränkungen sowie mit der Genfer Konvention von 1949, in der sich Regierungen auf den Schutz von Zivilisten in Kriegszeiten verständigt haben. Diese neue Initiative würde ein Technologieabkommen zwischen Branchenmitgliedern mit gemeinsamen Prinzipien und Werten beinhalten.

„Was wir jetzt brauchen, ist eine digitale Genfer Konvention“, sagt er.

In anderen Bereichen der Cyberkriminalität arbeitet Microsoft bereits eng mit den Strafverfolgungsbehörden zusammen. Im Mai 2017 gab beispielsweise die Federal Trade Commission (FTC) bekannt, dass sie bei der Verfolgung von Betrügern mit der Digital Crimes Unit von Microsoft zusammengearbeitet hat. Betrüger geben sich als Mitarbeiter des technischen Supports aus, um an persönliche Informationen von Benutzern zu gelangen.

Microsofts Konzept für Cloud-Sicherheit und Datenschutz wird auch zunehmend durch die Entwicklungen der behördlichen Richtlinien im Zusammenhang mit persönlichen Daten bestimmt. Ein Beispiel ist etwa die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union. Diese behördlichen Richtlinien sind ein wichtiger Faktor für viele Kunden, die von den Vorteilen der Cloud profitieren möchten und gleichzeitig sicherstellen müssen, dass sie gegen keine Regeln zum Schutz von Privatsphäre und persönlichen Daten verstoßen.

Der Stratege und der Professor: Brant Zwiefel und Frank Loge
Ein rechtliches Dilemma brachte Brant Zwiefel dazu, sich Gedanken über den Datenschutz und die Sicherheit in der Cloud zu machen.

Im Jahr 2014 befand sich Kalifornien mitten in einer extremen Dürreperiode. Frank Loge, Professor für Bauingenieurwesen und Umwelttechnik an der University of California in Davis, hatte eine Idee, die seiner Meinung nach hilfreich sein könnte.

Loge, der zugleich Direktor des Zentrums für Wasserenergieeffizienz der Universität ist, wollte Millionen von Kundendaten aus Wasserbezirken im gesamten Bundesstaat analysieren, um herauszufinden, mit welchen Maßnahmen sich die Bewohner wirksam dazu bringen lassen, ihren Wasserverbrauch zu senken.

„Der Plan war, alle Wasserdaten von Kalifornien bei uns zu sammeln und mit anderen zu teilen“, erzählte Loge vor Kurzem während eines Besuchs bei Microsoft in Redmond (Washington).

Die Reaktionen waren nicht gerade ermutigend.

„Die Leute sagten: Das geht nicht. Es ist unmöglich“, erinnerte sich Loge.

Zu seinem Glück traf er auf eine Gruppe von Leuten, die „Das geht nicht.“ nicht als Hinderungsgrund, sondern als Herausforderung betrachteten.

Einer davon war Zwiefel. Er ist als Branchenstratege in Microsofts Abteilung für den öffentlichen Sektor tätig. Die Geschichte von Loge hat bei ihm einen Nerv getroffen.

Zwiefel hatte kürzlich ein Softballspiel seiner Tochter besucht und sich dort mit einer Mutter unterhalten, die ehrenamtlich für das Sozialamt des Bezirks arbeitet. Sie stand vor einem ähnlichen Problem: Kinder fielen durch das Raster, weil Sozialamt, Schulen und Polizeidienststellen untereinander keine Daten austauschen konnten. Das führte dazu, dass Kinder mit Problemen in der Schule und mit Eltern, die mit dem Gesetz in Konflikt sind, vom Sozialamt nicht immer die nötige Unterstützung erhielten.
„Eine gegenseitige Abstimmung fand erst statt, wenn etwas wirklich Schlimmes passiert war, und dann wurde schnell ersichtlich, dass eigentlich genügend Anzeichen vorhanden gewesen wären und sie früher hätten eingreifen müssen“, so Zwiefel. „Da wurde mir klar, dass wir den Datenaustausch verbessern müssen.“
Vor zehn Jahren hätte kaum jemand gedacht, dass wir über die Rechenleistung, Algorithmen und cloudbasierten Speichermöglichkeiten verfügen würden, die für den Datenaustausch und für die Durchführung von Analysen nötig sind, mit denen sich Trends erkennen lassen.

Das hat sich in den letzten Jahren dramatisch verändert und nicht nur für Beschäftige im öffentlichen Sektor interessante Möglichkeiten eröffnet. So ist es für ein Krankenhaus z. B. möglich, Daten aus zahlreichen anderen Krankenhäusern zu analysieren und so die Suche nach besseren Behandlungsmöglichkeiten für bestimmte Krebsarten zu beschleunigen.

Wenn diese Organisationen auf eigene Faust ein System entwickeln müssten, das alle ihre behördlichen, logistischen und datenschutzbezogenen Anforderungen für den Austausch persönlicher Daten wie Vorstrafen oder Wasserrechnungen erfüllt, wäre das komplex, zeitaufwendig und teuer. Zwiefel dachte sich jedoch, dass Microsoft über das Know-how verfügen müsste, das für die Entwicklung sogenannter Trusted Data Collaboratives (also vertrauenswürdiger Datenverbünde) erforderlich ist.

Zur gleichen Zeit waren einige hochrangige Mitglieder der Cloud- und Forschungsabteilungen von Microsoft auf der Suche nach einer ähnlichen Lösung für Benutzer, die zwar Daten austauschen möchten, sich gegenseitig aber nicht uneingeschränkt vertrauen. So begann eine Zusammenarbeit mit Mitarbeitern aus den Bereichen Recht, Forschung, Technik, Vertrieb und Service.

Genau wie Zwiefel und Loge ließen auch sie sich nicht von Leuten beirren, die es nicht für möglich hielten.
Dieses Frühjahr sagte Zwiefel, dass die Gruppe hofft, zusammen mit Loge die Pilotphase des Datentresors mit Wasser- und Energiedaten sowie eine Reihe von Trusted Data Collaboratives für die Forschung starten zu können. Und Loge meinte, dass er dank der gemeinsamen Arbeit an dem System bereits Daten analysieren konnte und nun besser nachvollziehen kann, wie der Bundesstaat große Mengen an Wasser und Energie einsparen kann.

Zusätzlich wurden unter anderem Bereiche aufgedeckt, in denen Bezirke ihre Preise fairer und angemessener gestalten können.

Zwiefel und das Team hoffen bei dem Projekt auf zwei wesentliche Vorteile: Es soll zur Lösung einiger schwieriger gesellschaftlicher Probleme beitragen und es soll Kunden eine innovative Lösung bieten, die zuvor unmöglich schien.

Laut Ramarathnam „Venkie“ Venkatesan, leitender Forscher bei Microsoft in den Bereichen Kryptografie und Sicherheit und einer der wichtigsten Projektbeteiligten, wäre ein solches Projekt ohne die breite Unterstützung zahlreicher Mitwirkender zum Scheitern verurteilt.

„Man braucht Forscher. Man braucht Produktexperten. Man braucht die Zusammenarbeit mit Experten für öffentliche Richtlinien und vor allem die Unterstützung der Vertriebsabteilung, da die Mitarbeiter dort mit dem Problem vertraut sind“, so Venkatesan.

Teil II: Die Zukunft gehört der Cloud, und das ist gut so.
Venkatesan und Zwiefel sind nicht die einzigen Microsoft-Mitarbeiter, die nach Mitteln und Wegen suchen, mit denen Unternehmen und Organisationen Daten sicher und vertraulich über die Cloud austauschen können. Das Team von Costa untersucht, wie die von seinem Team entwickelte hardwarebasierte Verschlüsselungslösung zu diesem Zweck verwendet werden kann. Die Mathematikerin Kristin Lauter versucht, eine kryptografische Lösung für das Problem zu finden:

Nach Aussage von Lauter, Leiterin der Microsoft Cryptography Research Group, geht Microsoft das Problem von verschiedenen Seiten an, da es beim Thema Sicherheit selten eine Einheitslösung gibt. Ein Finanzdienstleister, der Investmentanalysen durchführen möchte, ein Krebsforscher, der Hunderte von Krankenakten vergleichen möchte, und jemand, der seine Genominformationen schützen möchte – all diese Benutzer benötigen vermutlich jeweils unterschiedliche Sicherheitsmethoden.

Forscher von Microsoft arbeiten zudem an verschiedenen anderen Cloud-Sicherheit-Tools, die auf die Erfüllung künftiger Sicherheits- und Datenschutzanforderungen ausgerichtet sind. Einige Forscher entwickeln Methoden zum Schutz neuer Technologien wie künstliche Intelligenz und Quantencomputing. Andere suchen nach besseren Sicherheitsmaßnahmen für bestehende Dienste.

Ein Forschungsprojekt von Srinath Setty und Doktorand Sebastian Angel zielt auf die Bereitstellung eines Systems zur Verschlüsselung der Metadaten ab, durch die sich nachvollziehen lässt, mit wem eine Person Textnachrichten ausgetauscht oder anderweitig kommuniziert hat. Nach aktuellem Stand werden zwar die Nachrichten selbst verschlüsselt, nicht aber die Daten darüber, dass das Gespräch stattgefunden hat.

„Das sind eigentlich äußerst sensible Informationen“, so Setty.

Setty und andere Forscher arbeiten auch an verschiedenen Projekten, die darauf abzielen, die Blockchain (ein System für den Datenaustausch) sicherer zu machen. Blockchain wurde ursprünglich für Transaktionen mit der alternativen Währung Bitcoin entwickelt.

Die Kryptografin Kristin Lauter und Quantencomputing
Kristin Lauter ist Mathematikerin und begann ihre berufliche Laufbahn in der Mathematik. Das änderte sich, als sie die Gelegenheit bekam, für das Windows-Betriebssystem an der Integration der Sicherheitsmaßnahme „Elliptische-Kurven-Kryptografie“ mitzuwirken.

Sie war begeistert. Von da an konzentrierte sich Lauter bei ihrer Forschung auf Kryptografielösungen für praxisbezogene Datenschutz- und Sicherheitsprobleme.

Ihr gefällt die Vorstellung, dass Kunden vielleicht irgendwann von ihrer Forschung profitieren, und sie liebt die Herausforderung.

„Wenn uns ein Kunde direkt mitteilen kann, vor welchem Problem er steht oder welche Szenarien für ihn wichtig sind, haben wir sofort ein ganz neues Ziel – und damit auch eine neue Problemquelle, um die wir uns kümmern müssen. Das ist wirklich interessant“, so Lauter.

In letzter Zeit hat sich Lauter darauf konzentriert, wie sich Genominformationen in der Cloud mithilfe der homomorphen Verschlüsselung langfristig schützen lassen. Dabei handelt es sich um eine softwarebasierte Lösung, die es Benutzern ermöglicht, Daten für Berechnungen und Analysen zu verwenden, ohne sie zu entschlüsseln. Lauter argumentiert, dass dies bei Genomdaten besonders wichtig ist, da es sich dabei wahrscheinlich um die persönlichsten Daten überhaupt handelt.

„Ich glaube, meine Begeisterung für diese spezielle Forschungsrichtung ist unter anderem darin begründet, dass ich einen echten Zusammenhang mit dem Nutzen für die Gesellschaft und der Bedeutung des Datenschutzes sehe“, sagt sie.

Zusammen mit ihren Kolleginnen und Kollegen hat Lauter homomorphe Verschlüsselungstools entwickelt, die in einer Forschungseinrichtung funktionieren. Nun arbeitet sie daran, das Forschungsprojekt so praxistauglich zu machen, dass es im alltäglichen Betrieb eines Cloud-Computing-Rechenzentrums eingesetzt werden kann.

Das Team beschäftigt sich auch mit der Frage, wie sich der Schutz anderer innovativer Forschungsbereiche durch Anwendung der entwickelten Sicherheitsmaßnahmen mit homomorpher Verschlüsselung verbessern lässt.

So arbeiten sie beispielsweise mit Forschern aus dem Bereich der künstlichen Intelligenz zusammen, um Tools zu entwickeln, mit denen Benutzer Machine Learning für Daten verwenden können, die durch homomorphe Verschlüsselung geschützt sind. Das würde der Forschung auf dem Gebiet der künstlichen Intelligenz zu einer ganz neuen zusätzlichen Datenschutz- und Sicherheitsebene verhelfen.

Darüber hinaus beschäftigt sie sich mit der Entwicklung von Tools, die auf der gleichen Kryptografie basieren wie die homomorphe Verschlüsselung, um Daten zu schützen, sobald ein Quantencomputer entwickelt wurde. Viele Experten glauben, dass ein Quantencomputer leistungsstark genug wäre, um die komplexen mathematischen Aufgaben zu lösen, die derzeit in der herkömmlichen Kryptografie eingesetzt werden. Nach Aussage von Lauter lässt sich mit dieser neuen, als gitterbasierte Kryptografie bezeichneten Methode unter Umständen eine Verschlüsselung bereitstellen, die selbst von einem Quantencomputer nicht geknackt werden könnte.

Lauter sieht einen der zentralen Vorteile bei ihrer Kryptografiearbeit darin, dass sie überall auf der Welt einsetzbar ist und somit auch einen grenzübergreifenden Datenaustausch ermöglicht.

„Kryptografie ist ein äußerst wirkungsvolles Werkzeug, das überall auf der Welt gleich gut funktioniert“, so Lauter. „Für die Mathematik spielt die Herkunft keine Rolle.“

Die Bezwingung eines Sicherheitsbergs: Project Everest
Während sich Sicherheitsexperten wie Lauter Gedanken darüber machen, wie sich Daten innerhalb der Cloud schützen lassen, beschäftigt sich Cédric Fournet mit der Frage, wie Daten geschützt werden können, die an das bzw. aus dem Rechenzentrum übertragen werden, in dem die cloudbasierten Systeme untergebracht sind.

Unter dem Namen Project Everest wird dabei ein einfaches langfristiges Ziel verfolgt: „Das übergeordnete Ziel besteht darin, sichere und diskrete Verbindungen zwischen Clients und Servern bereitzustellen“, sagt Fournet, einer der leitenden Forscher in Microsofts Forschungseinrichtung in Cambridge.

„Standardmäßig müssen Sie nicht einmal darüber nachdenken. Ihre Kommunikation wird vertraulich behandelt und authentifiziert.“

Der Weg dorthin ist allerdings nicht ganz so einfach: Die Tools, die Kryptografen entwickelt haben, um Ihre Daten zu schützen, wenn Sie auf Ihre Kontoauszüge zugreifen oder online ein Geschenk für ein Baby kaufen, basieren auf abstrakten mathematischen Eigenschaften, die sich nur sehr schwer entschlüsseln lassen.

Nach der Implementierung in eine Software sind diese abstrakten Algorithmen jedoch den Fehlern und Unzulänglichkeiten ihres Codes sowie des Codes ausgesetzt, der zur Verwendung der Algorithmen geschrieben wurde. Und genau dort setzen potenzielle Angreifer an.

Sicherheitsexperten arbeiten intensiv an der Abwehr solcher Angriffe, indem sie aktiv nach Schwachstellen suchen und auf Bedrohungen reagieren. Das ist besonders schwierig, da man nicht so recht weiß, wonach man eigentlich suchen soll. Sicherheit wird erst wahrgenommen, wenn sie verletzt wird. Der Vorgang muss dann nachvollzogen werden. Es muss ermittelt werden, wie es zu der Verletzung gekommen ist.

Mit Project Everest möchten Fournet und sein Team ein System entwickeln, in dem sie mathematisch nachweisen können, dass es keine Schwachstellen gibt, die die beiden gängigsten Internetsicherheitsprotokolle HTTPS und TLS beeinträchtigen. Das Team überprüft jede einzelne Codezeile in diesen Protokollen mit einer Mischung aus Automatisierung und manuellen Überprüfungen.

Dadurch soll es möglich werden, Nutzern, die diese Protokolle in der Praxis verwenden, die gleichen Garantien zu geben, die Kryptografen für die Algorithmen unter Laborbedingungen geben können. Ziel ist es, ein verifiziertes, sicheres, einfaches, effizientes und praxistaugliches System zu entwickeln.

Es ist ein ehrgeiziges Projekt, aber Fournet und sein Team sind von den Vorteilen überzeugt. Zum einen hat Fournet intensiv daran mitgewirkt, die neueste Version der TLS-Protokolle widerstandsfähiger zu machen, und ist daher bestens mit den Protokollen vertraut. Zum anderen steht er mit System- und Produktteams von Microsoft in Verbindung, deren Aufgabe darin besteht, diese Systeme in der Praxis zu verwenden.

„Ohne die Möglichkeit zur Zusammenarbeit mit praktischen Anwendern, die tatsächlich Protokolle bereitstellen oder diese Protokolle pflegen, würde uns ein großer Teil des Kontexts fehlen“, sagt er.

Eine langfristige Strategie
Für die Cloud-Sicherheit bedarf es einer langfristigen Strategie. Wirksame Cloud-Sicherheit erfordert kontinuierliche Investitionen – sowohl in Sicherheitsmaßnahmen, die die Benutzer jetzt benötigen, als auch in Maßnahmen, die sicherstellen, dass Benutzer auch im nächsten Jahr oder sogar im nächsten Jahrzehnt geschützt sind.

Dazu muss identifiziert werden, welche neuen Technologien oder Funktionen die Kunden in der Cloud voraussichtlich verwenden werden und mit welchen neuen Exploits Kriminelle versuchen könnten, sich Zugang zu den Daten der Kunden zu verschaffen.

Cloud-Sicherheit ist ein Thema, das uns kontinuierlich beschäftigen wird – da sind sich Anwälte, Techniker, Forscher und Sicherheitsexperten einig. Für jeden böswilligen Nutzer, der aufgespürt wird, steht ein weiterer parat, der auf seine Chance wartet. Darüber hinaus machen sie sich die gleichen technologischen Vorteile zunutze, die auch von den Sicherheitsexperten verwendet werden.

„Auch böswillige Personen – hierbei insbesondere Cyberkriminelle – sind sich der Vorteile bewusst, die die Cloud bietet“, sagt Sicherheitsanalyst Cahill.

Der Sicherheitsforscher Costa meinte einmal, dass Beschäftigte im Sicherheitsbereich nur selten davon überzeugt sind, dass etwas wirklich sicher ist. Aus diesem Grund führen beispielsweise Unternehmen wie Microsoft regelmäßig Angriffsversuche auf die eigenen Systeme durch, um nach jeder noch so kleinen Sicherheitslücke zu suchen, die potenziellen Angreifern bislang verborgen geblieben ist.

Das mag einigen als frustrierendes Unterfangen erscheinen, für die Beschäftigten in der Sicherheitsbranche ist es laut Costa jedoch die Grundlage ihrer Tätigkeit.

„Ich denke, wir können uns immer noch weiter verbessern. Das ist es, was uns antreibt“, sagt er. „Es gibt immer und überall noch Optimierungspotenzial.“