Der Markt für Cloud-Sicherheit boomt - was auch damit zusammenhängt, dass er innerhalb des gesamten Public-Cloud-Marktes noch einiges aufzuholen hat. Gartner schätzt dessen Gesamtvolumen auf 207 Milliarden Dollar bis 2016, was nicht zuletzt dem rasanten Wachstum der Security-Startups geschuldet ist. Im Folgenden präsentieren wir zehn frische Startups - fast alle aus den USA und die meisten aus Kalifornien -, die dem Einzug der Cloud in die Unternehmen demnächst gehörig unter die Arme greifen könnten.
Bitium
Service: Cloud Application Management, Single-Sign-on, Analytics
Gründung: 2012
Kapital: 2,4 Millionen Dollar von Resolute VC, Double M Partners, Social Leverage und Karlin Ventures
Sitz: Santa Monica, Kalifornien, USA
CEO: Scott Kriz, vormals Produktchef von Fastpoint Games (Sport- und Unterhaltungsspiele-Anbieter, der 2012 an Weplay verkauft wurde)
Große Kunden: Prialto, OpenTable, Act-On, Media Temple
Wettbewerb: Okta, OneLogin, Ping Identity, Symplified
Beschreibung: Unternehmen müssen sich daran gewöhnen, dass ihre Mitarbeiter mit allen möglichen Geräten und Apps ins Firmennetz kommen. Ob Enterprise Apps, Social Apps oder Mobile Apps. Bitium sieht die Trends "Bring your own device" und "Bring your own app" immer mehr zusammenwachsen. Dürfen Unternehmensanwendungen nicht auf Privatgeräten genutzt werden, wechseln die Mitarbeiter kurzerhand die Anwendung. Dürfen Anwendungen hingegen nicht auf Unternehmensgeräten genutzt werden, greifen die Mitarbeiter von ihren Privatgeräten darauf zu. Das führt dazu, dass Unternehmen keinen Überblick mehr haben, welche Apps wo genutzt werden und welche möglicherweise kritischen Unternehmensdaten wo im Umlauf sind.
Viele App-Management-Tools, die diese Situation adressieren, wälzen den Verwaltungsaufwand auf den Anwender ab und erfordern wegen ihrer Komplexität eine gründliche Einarbeitung. Bitium hingegen behauptet, dass seine Lösungen sicher sind, ohne die Benutzbarkeit hinten anzustellen. Nutzer können auf mehr als 1000 Cloud-basierte Anwendungen mit einem einzigen Login zugreifen. Die IT-Abteilung verwaltet die Zugriffsrechte für Mitarbeiter und Unternehmenspartner mit nur einem Klick - ohne Passwörter hin- und herzuschieben.
Was Bitium von anderen Single-Sign-on-Lösungen unterscheidet, ist die zusätzliche Analytics-Funktionalität. Dadurch bekommen die IT-Manager im Unternehmen zusätzlich einen Einblick darin, welche Apps und Accounts regelmäßig benutzt werden und welche wegen ihrer Kaum- oder Nicht-Benutzung ein potenzielles Risiko darstellen und abgeschaltet werden könnten. Die Art und Weise, wie Bitium diese Reportings in Nachrichten und Mitteilungen zusammenstellt, ist ebenfalls nutzerfreundlich: Alles läuft in einem zentralen Infostream zusammen.
BitSight Technologies
Service: Security Rating, mit dem Risiken in der Zusammenarbeit mit Partnern, Zulieferern oder Outsourcern bewertet werden können
Gründung: 2011
Kapital: 24 Millionen Dollar (im Rahmen eines "Series A round"-Fundings im Silicon Valley im Juni 2013)
Sitz: Cambridge, Massachusetts, USA
CEO: Shaun McConnon, vormals CEO von Q1 Labs
Wettbewerb: CloudeAssurance bietet einen ähnlichen Dienst, ist aber spezialisiert auf Cloud Service Provider
Beschreibung: Unternehmen tauschen ihre Daten mit hunderten von Partnern und Lieferanten aus. Hat einer von denen ein Sicherheitsproblem, hat es häufig gleich das ganze Partnernetz. Eine Vielzahl von Cyberangriffen hat ihren Ursprung in Schwachstellen bei einem Drittunternehmen und bisher gibt es kaum Möglichkeiten, die Risiken nachzuhalten, die ein Geschäftspartner eingeht. Die BitSight-Plattform will Abhilfe schaffen, indem sie terabyteweise Security-Metadaten sammelt, analysiert und Unternehmen nach ihrer Sicherheits-Effizienz bewertet. Ähnlich der Bewertung der Kreditwürdigkeit von Privatleuten, sind die BitSight Security Ratings automatisiert und ausschließlich aus von extern erhältlichen Daten erstellt.
Unternehmen sollen so einen Überblick ihres gesamten Ökosystems bekommen, um mögliche Risiken weit im Voraus zu erkennen. Dafür erhalten sie tägliche Updates über die Ratings ihrer Partner, in denen verdächtige Aktivitäten wie ein DDoS-Angriffsversuch oder die Kommunikation mit einem bekannten Botnetz aufgeführt sind. Diese Aktivitäten werden ihrer Gefährlichkeit, Häufigkeit, Dauer und Glaubwürdigkeit nach geprüft, um ein Gesamtrating über den derzeitige "Security-Gesundheitszustand" zu erzielen.
CipherCloud
Service: All-in-one-Plattform für Cloud-Sicherheit
Gründung: 2010
Kapital: 30 Millionen Dollar von Andreessen Horowitz
Sitz: San Jose, Kalifornien, USA
CEO: Pravin Kothari, vormals Mitgründer von ArcSight (wurde für 1,5 Milliarden von HP gekauft)
Große Kunden: Mitsubishi UFJ Global Custody, Novati Technologies, Carribean Credit Bureau
Wettbewerb: Gazzang, Perspecsys, Porticor, Vormetric, Voltage Security
Beschreibung: Gerade, wenn es darum geht, Daten sicher in der Cloud zu speichern und gleichzeitig alle gesetzlichen und industriellen Compliance-Vorgaben zu erfüllen, stoßen Unternehmen an ihre Grenzen. CipherCloud will den CIOs diese Sorgen abnehmen und bietet über eine zentrale Plattform Verschlüsselung, token-basierten Zugriff, DLP, Malware-Erkennung und Verhaltungsüberwachung an. Varianten der Lösung sind bei Salesforce.com, Office 365, Box, Gmail und Amazon Web Services bereits im Einsatz. Eigenen Angaben zufolge hat das Unternehmen über zwei Millionen Nutzer und schützt mehr als 200 Millionen Datensätze für einige der weltgrößten Banken, Versicherungen, Healthcare-Anbieter und Regierungsbehörden.
HyTrust
Service: Tools für Virtualisierungs-Sicherheit, mit denen zentrale Policies über virtuelle oder Cloud-Infrastrukturen durchgesetzt werden können
Gründung: 2009
Kapital: 34,5 Millionen Dollar von Venture-Capital-Investmentfirmen wie Trident Capital, Granite Ventures und Epic Ventures und von strategischen Unternehmensinvestoren wie Cisco, VMware, Intel Capital und Fortinet. Auch In-Q-Tel, der Investment-Bereich der US-Geheimdienste, hat eingezahlt.
Sitz: Mountain View, Kalifornien, USA
CEO: John De Santis, vormals Chairman und CEO beim Software-Security-Infrastruktur-Anbieter TriCipher (wurde 2010 von VMware gekauft). Mitgründer und President ist Eric Chiu, vormals Verkaufschef bei Cemaphore Systems.
Große Kunden: AIG, US Army, Northrop Grumman, Pepsi, McKesson, Home Shopping Network, Federal Reserve Bank of Chicago, UC Berkeley, State of New Mexico, Denver Museum of Nature & Science
Wettbewerb: Altor Networks (gehört mittlerweile zu Juniper), Catbird
Beschreibung: Virtualisierte und Cloud-basierte Infrastrukturen erzeugen neue IT-Herausforderungen in den Bereichen Sicherheit, Kontrolle, Verwaltung und Compliance. Wenn kritische Applikationen und Informationen nicht vernünftig geschützt sind, gehen Unternehmen Risiken ein. Die HyTrust-Appliance bringt Zugriffskontrolle, Policy-Enforcement in virtuellen Umgebungen, Hypervisor-Härtung und Audit-erprobtes Logging unter einen Hut. Anwender sind in der Lage, Tier-1-Anwendungen zu virtualisieren, Compliance-Standards zu erfüllen und gleichzeitig Ausfallzeiten zu vermeiden.
ForgeRock
Service: Identity Management
Gründung: 2010
Kapital: 22 Millionen Dollar von Foundation Capital und Accel Partners
Sitz: San Francisco, Kalifornien, USA
CEO: Mike Ellis, vormals Managerposten bei SAP, i2 Technologies, Oracle und Apple
Große Kunden: Deloitte, Thomson Reuters, Aberdeen Asset Management, Reuters
Wettbewerb: Oracle, CA Technologies, OneLogin, Okta, SecureAuth
Beschreibung: Die Verwaltung von Identitäten und des Zugangs zu Anwendungen ist im Cloud-Mobile-Social-Zeitalter zentraler Bestandteil jeder Security-Strategie. Die meisten Produkte in diesem Bereich decken jedoch nur Einzelprobleme ab und tun wenig dafür, dass das gesamte Identitäts-Management vereinheitlicht wird. ForgeRock hingegen bietet einen zentralen "Open Identity" Stack, der über eine Open-Source-API die Zugänge zu Unternehmensanwendungen genauso wie zu Cloud-, Social- und Mobile-Apps verwalten kann. Mit dem Anwender im Mittelpunkt werden Identitäten über verschiedene Netze hinweg geregelt. Unter dem Namen "Salesfoce Identity" hat beispielsweise Salesforce vor einigen Monaten eine Erweiterung seiner Plattform gestartet, das über eine Entwicklungspartnerschaft mit ForgeRock auf diesem Open Identity Stack beruht und der Einschätzung von Analysten nach den IAM-Markt noch gehörig aufmischen wird.
MyPermissions
Service: Management, Kontrolle und Überwachung der Apps und Websites, die Zugang zu den persönlichen Daten des Anwenders haben
Gründung: 2012
Kapital: 1 Million Dollar von 500 Startups, lool Ventures und 2B Angels (Beteiligung durch Plus Ventures und Robby Hilkowitz)
Sitz: Tel Aviv, Israel
CEO: Olivier Amar, vormals Marketingchef von GetTaxi und Toyga Financial
Große Kunden: Vod.io, EQuala.fm, Stylemarks, Any.DO
Wettbewerb: Secure.me, Privacy Choice
Beschreibung: Jede neue Registrierung bei einem Online-Dienst erfordert die Preisgabe persönlicher Informationen - Informationen, die für Identitätsdiebe Geld wert sind. Facebook beispielsweise gab kürzlich bekannt, dass über 850 Millionen Online-Verbindungen mit Login-Prozess allein per Facebook Connect abgewickelt werden. Darüber hinaus nutzen 82 der beliebtesten iOS- und 63 der beliebtesten Android-Apps eine Form des Social-Connect-Prinzips, um Nutzer zu autorisieren.
MyPermissions überwacht deshalb alle mobilen und web-basierten Dienste, auf denen ein Anwender persönliche Informationen hinterlässt und informiert, sobald einer der Dienste auf diese Daten zugreift (wie Fotos, Finanzdaten, Geodaten etc.). Der Service zeigt ebenfalls an, welche Berechtigungen welche Dienste besitzen - sodass der Anwender diese im Einzelfall einschränken oder erweitern kann.
Netskope
Service: Cloud Application Analytics und Policy-Werkzeuge
Gründung: 2012
Kapital: 21,4 Millionen Dollar von Lightspeed Ventures und The Social+Capital Partnership
Sitz: Los Altos, Kalifornien, USA
CEO: Sanjay Beri, vormals General Manager des Geschäftsbereichs "Secure Access and Mobile Business" bei Juniper Networks sowie dessen Büroleiter in Indien. Davor Mitgründer von Ingrian Networks, das von SafeNet übernommen wurde.
Beschreibung: Bei Public-Cloud-Angeboten geht es vorrangig um die Frage, ob ihnen zu trauen ist. Sobald das Thema Cloud Security dem traditionellen Thema IT-Security gleichgestellt ist, wird die Nutzung von Cloud-Angeboten dramatisch zunehmen. Netskope argumentiert, dass der Einsatz von Cloud-Anwendungen in den Unternehmen seinen kritischen Punkt bereits erreicht hat. Denn während die IT-Abteilung nur auf wenigen Applikationen "den Finger drauf" hat, sind die Mitarbeiter mehr denn je dazu bereit, Anwendungen außerhalb ihrer Kontrolle zu implementieren. Die "Schatten-IT" in den Griff zu bekommen, bedeutet zunächst, diese Services überhaupt zu entdecken. Netskope stellt dafür einen Analyse-Dienst bereit, der die Nutzung von Enterprise-Cloud-Apps aufzeigt und durchsetzbare Policys aufstellt. Alles in Echtzeit und skalierbar.
Prevoty
Service: kontextabhängiger Schutz von Web-Anwendungen
Gründung: 2013
Kapital: 2,4 Millionen Dollar via Seed Funding
Sitz: Los Angeles, Kalifornien, USA
CEO: Julien Bellanger, vormals Gründer von Personagraph, das die Privatsphäre mobiler Nutzer schützt. Davor bei Intertrust tätig.
Wettbewerb: Citrix, F5, Radware, A10 Networks
Beschreibung: Web Applications und die ihn ihnen gespeicherten Inhalte zu schützen, ist wegen der sich ständig wandelnden Web-Landschaft kompliziert. Durch offene Programmierschnittstellen, unkontrollierte Nutzerzugänge und die ständige Weitergabe von Inhalten, sind sowohl Webentwickler als auch Sicherheitsexperten mit diesem Thema häufig überfordert. Prevoty schützt die Web-Anwendungen nebst Inhalt über einen Cloud-basierten Service, indem es "kontextabhängige Sicherheit bietet, die auf das Verhalten von Inhalten innerhalb der Web-Anwendung Rücksicht nimmt".
Die Lösung analysiert und interpretiert alle Inhalte auf OWASP-Bedrohungen, Cross-Site Scripting (XSS), SQL Injections (SQLi) und Cross-Site Request Forgeries (XSRF). Es unterscheidet real-time zwischen "guten" und "schlechten" Inhalten, um Gefahren, die durch nutzergenerierte Inhalte entstehen, einzudämmen. Anwender können eigene Geschäftslogiken implementieren, um den Service den eigenen Bedürfnissen anzupassen.
Das Prevoty-System umfasst darüber hinaus starke Authentifizierungsdienste, dauerhafte Bedrohungsanalyse, Alarmfunktionen und Möglichkeiten, die Performance der eigenen Web-Anwendungen zu optimieren.
Skyhigh Networks
Service: Cloud Lifecycle und Security Suite
Gründung: 2011
Kapital: 26,5 Millionen Dollar - darunter ein 20-Millionen-Investment durch Sequoia Capital und Greylock Partners (im Rahmen eines "Series B round"-Fundings im Mai 2013)
Sitz: Cupertino, Kalifornien, USA
CEO: Rajiv Gupta, vormals Gründer und CEO von Securenet. Nach dessen Übernahme durch Cisco im Jahr 2007 (für 100 Millionen Dollar), war Gupta dort als Leiter der Policy Management Business Unit tätig.
Große Kunden: Cisco, Diebold, Equinix, Torrance Memorial Medical Center
Wettbewerb: Netskope
Beschreibung: Skyhigh Networks bietet ein kostenloses Risikobewertungs-Tool für die Cloud an, das die Cloud-Nutzug im Unternehmen quantifiziert. Dabei werden alle IaaS-, PaaS- und SaaS-Dienste unter die Lupe genommen, die die Mitarbeiter nutzen. Anschließend errechnet der Dienst mittels 30 Messwerten in den Kategorien Daten, Nutzer, Gerät, Service und Business einen Risikoreport. Damit können Unternehmen dann ihre potenziellen Sicherheitslücken finden und die Stellen in ihrer Cloud-Landschaft auftun, an denen sie nötige Compliance-Vorgaben nicht oder nur unzureichend erfüllen.
Alle erhobenen Informationen fließen in die Suite "Skyhigh Secure" ein, die den Lifecycle der Cloud absichert und verwaltet - mittels kontextabhängiger Zugangsverwaltung, Application Auditing, Verschlüsselung, DLP und Cloud-to-Cloud-Zugangskontrolle.
SnoopWall
Service: Anti-Spyware/Anti-Malware
Gründung: 2013
Kapital: nicht veröffentlicht
Sitz: Nashua, New Hampshire, USA
CEO: Gary Miliefsky, vormals CTO bei NetClarity
Beschreibung: Das Eindringen in fremde Systeme ist längst nicht nur Cyberkriminellen aus dem Untergrund vorbehalten - auch die Geheimdienste dieser Welt sind munter und aktiv am "Schnüffeln". Ein weiteres Ärgernis ist die Zero-Day-Malware, die oft dann auftaucht, wenn Nutzer vorgeblich vertrauenswürdige Anwendungen installieren, und die von den meisten Security-Services nicht erkannt wird. SnoopWall sieht sich als "Portzugangs-Wächter", der den Zugriff auf risikobehaftete Datenports unterbindet - darunter die Schnittstellen für Webcams, Mikrofone, GPS oder USB.
Abschließend noch einmal alle vorgestellten Startups in der Übersicht zum Durchklicken:
Dieser Beitrag erschien ursprünglich bei unserer US-Schwesterpublikation CIO.com.