Der Schutz eines Rechenzentrums vor Cyber-Kriminalität ist Illusion Datacenter-Sicherheit muss neu gedacht werden

Ein Gastbeitrag von Marc Lueck*

Anbieter zum Thema

Cloud ersetzt Rechenzentren, Edge ersetzt Cloud und Rechenzentren ..... das ist ein wenig wahr und auch wiederum nicht. Marc Lueck, CISO EMEA bei Zscaler, ist auf der Suche nach einer neuen Definition oder auch nach einem besseren Begriff. Denn derzeit gaukelt der Begriff Sicherheit vor, die es so in der IT nicht mehr gibt.

Ein Wolkenkuckucksschloss? Eine Fotomontage? Eine geschickte, vielleicht nachbearbeitete Aufnahme? Eins ist sicher: Das Schloss Neuschwanstein steht auf einem Berg und schwebt nicht in den Wolken und: Ein Rechenzentrum ist auch kein Gebilde der Cloud.
Ein Wolkenkuckucksschloss? Eine Fotomontage? Eine geschickte, vielleicht nachbearbeitete Aufnahme? Eins ist sicher: Das Schloss Neuschwanstein steht auf einem Berg und schwebt nicht in den Wolken und: Ein Rechenzentrum ist auch kein Gebilde der Cloud.
(Bild: gemeinfrei: Sarah Richter / Pixabay)

Sprache besitzt ihre eigene Macht. Obwohl sich Wörter, die zur Beschreibung von Dingen oder Sachverhalten verwendet werden, im Laufe der Zeit ändern, beeinflussen sie unser Handeln und Denken oftmals stark – und wirken noch lange nach der Einführung des Wortes nach. Im Gegensatz dazu hat die rasante Entwicklung der IT-Technologie zu einer extremen Veränderung verschiedener Begrifflichkeiten geführt.

Wo Ausdrücke beibehalten werden, geschieht das nicht immer aus den richtigen Gründen. Ein gutes Beispiel ist der Begriff Rechenzentrum. Er beruht auf der Vorstellung, dass Daten zentral gespeichert und geschützt werden. Mit dem Aufkommen der Cloud müssen sowohl der Begriff als auch die von ihm geprägte Denkweise korrigiert werden.

Ein falsches Gefühl der Sicherheit

Seit Beginn der Cloud-Revolution kann beobachtet werden, wie das klassische Rechenzentrum an Bedeutung verloren hat, da immer mehr Anwendungen und Dienste in Cloud-Umgebungen verlagert werden. Daten werden somit nicht mehr in diesem Relikt der Vergangenheit zentral aufbewahrt.

Die Speicher- und Sicherheitspraktiken rund um Rechenzentren verleiten allerdings zu der Annahme, dass all diese Daten für den Schutz und Zugriff darauf als Einheit behandelt werden können. Aufbauend auf diesem Denkmodell des umzäunten Bereichs schützte die IT-Abteilung alles, was sich innerhalb eines definierten Perimeters befand. Im Zeitalter der Cloud existiert dieses Konzept nicht mehr.

Das Wort Rechenzentrum wird jedoch weiterhin in der alltäglichen IT-Kommunikation verwendet und damit einhergehend wird der Schutz eines umgrenzten Bereichs nach wie vor als sinnvoller Sicherheitsansatz betrachtet. Ein solches Vorgehen vermittelt ein falsches Gefühl der Sicherheit und kann zum Scheitern von Projekten führen, denn der gesicherte Zugriff auf Daten in Cloud-Umgebungen muss an die neuen Gegebenheiten angepasst werden.

Der Megatrend

Der Trend zur Cloud wird durch einen weiteren Faktor beeinflusst: Die anhaltende Pandemie hat als Katalysator der beschleunigten Verlagerung von Anwendungen in die Cloud gewirkt. Viele Unternehmen haben sich dadurch diese Technologie schneller als zuvor zu eigen gemacht. Seit das Arbeiten in dem Firmenbüro zur Ausnahme geworden ist, waren zahlreiche Organisationen in den unterschiedlichsten Bereichen gezwungen, ihren Mitarbeitern den Zugriff aus dem Homeoffice zu ermöglichen.

Ursprüngliche Planungen wurden über den Haufen geworfen und Cloud-Initiativen vorgezogen. Anwendungen und Daten wurden in immer schnellerem Tempo als kritischer Faktor für die Fortsetzung des Geschäftsbetriebs aus dem zentral gesicherten Perimeter verlagert. Die Terminologie und die damit verbundene Denkweise blieben jedoch erhalten.

Viele Unternehmen weltweit durchlaufen derzeit umfangreiche Transformationsprojekte, indem sie den Trend zur Digitalisierung aufgreifen und sich von ihren Rechenzentren verabschieden. Doch die Sicherheitsinfrastruktur wird oft beibehalten, obwohl sie ineffektiv geworden ist.

So mancher stellt sich selbst ein Bein

Unternehmen verlassen sich weiterhin auf ihren bestehenden, auf den Schutz von Rechenzentren ausgelegten Hardwarestapel an Sicherheitsmodulen, um den Zugang zu neuen Cloud-Architekturen zu schützen. Damit behindern sie sich selbst, das volle Potenzial der Cloud auszuschöpfen.

Eine kombinierte Infrastruktur, die aus einem Multicloud-Setup neben traditionellen Rechenzentren besteht, ist ein unglaublich komplexes Konstrukt und kostspielig in der Verwaltung. Darüber hinaus kann ein althergebrachter Sicherheitsansatz ein Hindernis für jegliche Innovation darstellen.

Ein Hub-and-Spoke-Ansatz zwingt den Datenverkehr durch dieselben langen Wege, die er vor der Einführung der Cloud nehmen musste. Dennoch entscheiden sich viele Unternehmen immer noch dafür, ihre traditionelle Infrastruktur neben innovativen Technologien weiterhin zu betreiben. Zumindest so lange, bis sie volles Vertrauen in die Cloud-basierten Möglichkeiten gewonnen haben. Manchmal findet dieser vollständige Wechsel in die moderne Zeit nie statt.

Transformation in Sachen Sicherheit

Obwohl die digitale Transformation an sich unvermeidlich ist, beeinflusst die Art und Weise, wie Unternehmen sich dem Wandel stellen, ob der Übergang reibunglos verläuft. Das Aufkommen der Cloud bedeutet, dass es keinen zentralen Ort mehr gibt, an dem alle Daten zur Sicherheitsprüfung vorgehalten werden. Unternehmen müssen die Bedrohungslage und Risiko-Bewertung von Grund auf neu konzipieren.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu RZ- und Server-Technik

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung.

Aufklappen für Details zu Ihrer Einwilligung

Rund um Cloud-Umgebungen besteht allerdings eine Unsicherheit über die Implementierung von Sicherheits- und Zugangskontrollfunktionen. Im Kern muss sich eine erfolgreiche Cloud-Transformation nicht nur um die Verlagerung von Daten in Cloud-Umgebungen drehen, sondern ebenfalls eine perimeterlose Sicherheitsarchitektur berücksichtigen. Es gilt, einen gleichstarken Schutz der Daten für Cloud-Umgebungen durch andere Mittel zu erzielen, die an die neuen flexiblen Arbeitsweisen angepasst sind.

Unabhängig davon, wo sich Daten und Nutzer befinden und welches Netzwerk sie für den Zugriff auf ihre Anwendungen und Dienste nutzen, muss die IT-Abteilung die Hoheit über die Kontrollfunktion aller Datenströme zurückerhalten. Eine Cloud-basierte Management-Konsole, die alle Regeln und Zugriffsrechte verwaltet, kann dabei helfen. Damit können Unternehmen in die Welt von Zero Trust eintauchen. Ein solcher umfassender Ansatz hilft, die Herausforderung dezentralisierter IT-Umgebungen, mobile Mitarbeiter und verschiedenste Workloads wieder in den Griff zu bekommen.

Die Rolle von Zero Trust

Ohne Zero Trust erhält eine bekannte Identität – sei es ein Mitarbeiter, eine Workload oder ein vertrauenswürdiges Gerät – vollständigen Zugriff auf ein Netzwerk und nicht nur auf die Anwendung oder die Daten, mit denen sie arbeiten muss. Dadurch werden sowohl das Netzwerk als auch alle anderen Anwendungen und Geräte einem höheren Risiko ausgesetzt. Mit diesem Problem sehen sich Unternehmen konfrontiert, seit ihre Mitarbeiter verstärkt von zu Hause aus arbeiten.

Die klassische Überlegung des Schutzwalls rund um das Rechenzentrum hat den Mitarbeiter mit seinem Gerät automatisch als vertrauenswürdig eingestuft. Ist das Rechenzentrum nur noch einer der Orte neben Multicloud-Umgebungen, auf den Mitarbeiter zugreifen, dann verliert das Netzwerk an Bedeutung.

Darum benötigen Unternehmen ein System, das ihre Mitarbeiter beim Zugriff auf das Internet oder auf Anwendungen innerhalb des Unternehmensnetzes nicht mehr als vertrauenswürdig einstuft. Dieses Vertrauen muss auf der Grundlage von Identität und Kontext hergestellt werden.

Privilegien

Dabei hilft das Prinzip des least privileged access (am wenigsten privilegierter Zugang), um die Veränderung des Blickwinkels herbeizuführen. Die Authentifizierung eines Benutzers auf der Grundlage seiner Zugriffsrechte erhöht die Sicherheit und zeitgleich die Benutzerfreundlichkeit erheblich. Durch die Durchsetzung des Zugriffs für jede einzelne Transaktion oder Verbindung lässt sich die Sicherheit sogar exponentiell steigern.

Letztendlich bedeutet dies, dass Software-definierte Richtlinien den richtigen Benutzer sicher mit der benötigten Anwendung oder dem richtigen Dienst verbinden – und nicht mehr mit dem gesamten Netzwerk. Eine einzige sichere Cloud-Plattform sitzt zwischen den Benutzern und dem Internet und prüft den gesamten Datenverkehr zum Gerät, statt das gesamte Netzwerk dem Internet zu öffnen.

Zero Trust ersetzt auf diese Weise das herkömmliche Netzwerksicherheitsmodell und sorgt dafür, dass jeder Mitarbeiter und jedes Gerät nur noch sehen und erreichen kann, was den zugewiesenen Rechten entspricht. IT-Abteilungen haben nämlich nach der Einführung von Zero Trust erkannt, wie sich der direkte und damit schnelle Zugriff auf Anwendungen positiv auf die Zufriedenheit der Mitarbeiter auswirkt.

Marc Lueck: „Es bleibt abzuwarten, wie lange der Begriff ´Rechenzentrum` in den Köpfen der Verantwortlichen für moderne IT-Architekturen noch verhaftet bleibt.“.
Marc Lueck: „Es bleibt abzuwarten, wie lange der Begriff ´Rechenzentrum` in den Köpfen der Verantwortlichen für moderne IT-Architekturen noch verhaftet bleibt.“.
(Bild: Zscaler)

Die fortschreitende Einführung von Zero Trust und einer Cloud-Infrastruktur sprechen für die sinkende Bedeutung des Begriffs Rechenzentrum. Die Cloud ermöglicht es Unternehmen, innovative Dienste zu nutzen, die gleichzeitig Risiken schwächen und die Agilität wie auch Effizienz erhöhen. Es ist davon auszugehen, dass die Cloud-Umgebungen und Kollaboration-Tools, auf die Unternehmen in der Zeit des großen Bedarfs an Heimarbeit zurückgegriffen haben, auch zukünftig in hybriden Arbeitsmodellen beibehalten werden.

Abzuwarten bleibt allerdings, wie lange der Begriff Rechenzentrum in den Köpfen der Verantwortlichen für moderne IT-Architekturen noch verhaftet bleiben wird. Vielleicht sollte man beginnen, nach einem neuen Begriff Ausschau zu halten.

* Marc Lueck nimmt die Position des CISO EMEA bei Zscaler ein.

(ID:48490069)