Die Marktforscher sind sich einig: Die meisten Unternehmen wollen die hybride Cloud, die Mischung aus lokaler IT-Infrastruktur und Diensten aus der Wolke. So besagt es zum Beispiel der RightScale State of the Cloud Report 2013, die Studie "Hybrid Cloud Market by Delivery Models, Market Forecasts & Analysis (2013 - 2018)" von MarketsandMarkets oder die Studie "Best Practices for Managing Integration in a Hybrid Cloud and On-Premises ERP World" von Wakefield Research im Auftrag von SAP.

Die zuvor genannte SAP-Studie beispielsweise weist aber auch auf die Sicherheitsbedenken der befragten CIOs hin: 52 Prozent sind der Meinung, dass ihre On-Premise-Lösungen sicherer sind als die Cloud-Dienste. Doch hybride Clouds haben zwei Seiten aus Sicht der IT-Sicherheit.

Neue Sicherheitskonzepte durch und für hybride Clouds

So hat eine internationale Umfrage von B2B International im Auftrag von Kaspersky ergeben, dass bereits ein Fünftel (21 Prozent) der befragten Unternehmen hybride Sicherheitslösungen nutzen. Solche Security-Lösungen setzen sich aus verteilten Komponenten oder Funktionen zusammen, die teils lokal im Unternehmen betrieben und zum Teil als Cloud-Dienst bezogen werden. Ein typisches Beispiel ist eine lokal betriebene Anti-Malware-Lösung, die Bedrohungsdaten in Echtzeit aus der Cloud erhält.

Bevor sich Unternehmen also für einen Hybriden-Cloud-Ansatz entscheiden, sollten sie genau prüfen, was dies für ihre IT-Sicherheit bedeuten kann, ob sich also neue Risiken ergeben oder aber neue Sicherheitsfunktionen möglich werden.

Anforderungen an hybride Clouds

Betrachtet man die Sicherheitsanforderungen, die an eine hybride Cloud gestellt werden müssen, setzen sich diese genauso zusammen wie die Hybrid Clouds auch: Eine sichere Hybrid Cloud erfordert eine sichere interne IT-Infrastruktur und eine sichere Cloud.

Daraus folgen erhöhte Anforderungen an zahlreiche Sicherheitsbereiche, wie Datenschutz, Identitätsmanagement, Zugangskontrolle, Schnittstellen, Datenspeicherung, Datenübertragung und Datenverfügbarkeit.

Datenschutz

Werden hybride Clouds zur Verarbeitung personenbezogener Daten genutzt und können dabei personenbezogene Daten in den Cloud-Bereich gelangen, muss vorab geprüft werden, ob die gesetzlichen Anforderungen an eine Auftragsdatenverarbeitung erfüllt sind.

Besonders kritisch ist die Situation, wenn die Cloud außerhalb Deutschlands bzw. des EU-Raumes betrieben wird. Dann kann nicht mehr von einer Auftragsdatenverarbeitung ausgegangen werden. Vielmehr kann eine Datenübermittlung in Drittstaaten vorliegen, mit allen erforderlichen Einwilligungen und Prüfungen.

Zugangskontrolle und Identitäten

Die Daten in den Cloud-Bereichen und in den lokalen Bereichen der hybriden Datenverarbeitung müssen nicht nur durchgehend geschützt sein, sondern sollten für die Nutzer auch möglichst einheitlich erreichbar sein. Dazu gehören digitale Identitäten, die in der Cloud und in der lokalen IT genutzt werden können. Single-Sign-On-Lösungen (SSO) sollten sowohl die interne IT als auch die Cloud unterstützen.

Gleichzeitig sollte die Zugangskontrolle aber berücksichtigen, dass im Cloud-Bereich ein erhöhtes Risiko für unbefugte Zugänge bestehen kann, so dass zum Beispiel eine starke Authentifizierung möglich sein sollte. Hierfür kann unter anderem die Hybrid-Cloud-Lösung CloudPassage Halo sorgen.

Lösungen wie die IBM Hybrid Cloud Solution helfen, die Identitäten zwischen lokaler IT und Cloud-Diensten abzugleichen und zu vereinheitlichen. Für einheitliche Administrator-Identitäten und -Berechtigungen in der hybriden Cloud kann zum Beispiel Xsuite sorgen.

Sichere Schnittstellen

Die Verknüpfung von Cloud und lokaler IT bedeutet auch, dass von Fall zu Fall Anwendungen aus der Cloud mit internen Applikationen verbunden sein sollen. Dies setzt entsprechende Schnittstellen zwischen den Anwendungen voraus, aber auch eine Schnittstellensicherheit, damit die Datenübergabe zwischen den Anwendungen nicht zur Hintertür ins lokale Rechenzentrum oder umgekehrt in die Cloud wird.

Sichere Verknüpfungen werden zum Beispiel möglich durch spezielle VPN-Verbindungen (Virtual Private Networks) zwischen lokalem Rechenzentrum und Cloud-Service, wie bei VMware vCloud Hybrid Service mit der Direct-Connect-Funktion.

Sichere Datentransfers und -speicher

Hybrides Cloud Computing bedeutet in aller Regel, fortlaufend Daten zwischen der lokalen IT und der Cloud auszutauschen. Es kann zudem sein, dass Daten sowohl lokal als auch in der Cloud gespeichert werden. Die Forderung nach Vertraulichkeit und Integrität muss deshalb bei hybriden Clouds in beiden Speicherbereichen und bei der Übertragung zwischen lokalem Rechenzentrum und Cloud sichergestellt sein.

Ein Ansatz, die Datenspeicherung und die Datentransfers für die hybride Cloud-Nutzung abzusichern, kommt zum Beispiel von Afore Solutions. Die Lösung CypherX packt die Daten in verschlüsselte Container, regelt die autorisierte Entschlüsselung und protokolliert die Datenzugriffe und -änderungen sowohl im lokalen Rechenzentrum als auch in der Cloud.

Verfügbarkeit

Auch hinsichtlich Datenverfügbarkeit entstehen neue Anforderungen: Die lokalen Daten und die Daten in der Cloud müssen bei der Datensicherung und bei der Archivierung berücksichtigt werden. Es reicht also zum Beispiel nicht, die Cloud als Backup für die lokalen Daten zu nutzen, wenn in der Cloud ebenfalls Daten vorgehalten werden, die in einem Backup enthalten sein sollten. Die Backup-Strategie muss sämtliche Datenspeicherorte berücksichtigen und einbeziehen, dass auch in Clouds Datenverluste möglich sind.