Cloud-Datenbanken: So werden diese vor Cyberbangriffen abgesichert

Laut dem aktuellen Allianz-Risikobarometer zählten Cyberangriffe im letzten Jahr zu den Top-Risiken für die Wirtschaft. Und die Gefahr ist durch den Ukraine-Krieg noch größer geworden. Ein besonders exponierter Teil der IT-Infrastruktur sind dabei Cloud-Datenbanken. Unternehmen müssen ihre Sicherheitskonzepte auch auf sie ausdehnen. Dabei gilt eine geteilte Verantwortung. Datenbankanbieter garantieren die Verfügbarkeit und Aktualität der Datenbank und stellen Sicherheits-Tools zur Verfügung.

Für den Einsatz dieser Werkzeuge sind die nutzenden Unternehmen selbst verantwortlich. Dafür müssen Unternehmen drei zentrale Sicherheitsmaßnahmen umsetzen: starke Benutzer-Authentifizierung, Verschlüsselung und Backups. Cloud-Datenbanken gibt es in zwei verschiedenen Darreichungsformen: Bei Infrastruktruranbietern läuft die Datenbank auf einem virtuellen Server. Dabei ist das nutzende Unternehmen vollständig für ihn verantwortlich, während der Provider den störungsfreien Betrieb sichert.

Cloud-Datenbanken: Geteilte Verantwortung für Sicherheit

Bei Plattformdiensten, also Database as a Service (DBaaS), teilen sich Unternehmen und Provider die Verantwortung, wodurch die Administratoren entlastet werden. Vereinfacht ausgedrückt kümmert sich der Betreiber darum, dass das Datenbanksystem jederzeit aktuell und mit den notwendigen Sicherheitsaktualisierungen ausgerüstet ist und stellt grundlegende Sicherheitsfunktionen zur Verfügung. Die Nutzer und Nutzerinnen tragen die Verantwortung für alle weiteren Aspekte der Datenbank-Sicherheit in Eigenregie. Dabei haben sie die Wahl zwischen zahlreichen Sicherheitsoptionen, die teilweise aktiviert werden müssen.

Erste Sicherheitsmaßnahme: Rechte für Benutzer von Cloud-Datenbanken

Bei der Authentifizierung der Nutzer von Cloud-Datenbanken sollte gelten, dass alle Benutzer ausschließlich über genau definierte Rollen und Rechte auf die Datenbank zugreifen dürfen. So sollten reine Anwender und Anwenderinnen stark eingeschränkt werden, sodass sie weder die Konfiguration noch die Struktur der Datenbank verändern können. Die entsprechenden Benutzeridentitäten werden mit Software-Lösungen für Identity & Access Management (IAM) zugewiesen und verwaltet.

Dadurch ist es zum Beispiel möglich, Nutzer aus einem Fachbereich des Unternehmens ausschließlich Zugriff auf die von ihnen benötigten Anwendungen und Daten im Datenbanksystem zu geben und alle anderen Arten auszuschließen. Einen besonderen Schutzbedarf haben dabei die Konten von Administratoren: Es ist sinnvoll, für sie zusätzliche Konten anzulegen, die nicht in ein Single-Sign-On (SSO)-Verfahren integriert sind. Sie erlauben den Zugriff, falls das SSO durch eine Störung oder einen Cyberangriff nicht verfügbar ist.

Allerdings reicht die als Standard für Anwendungen vorgegebene Anmeldung per Benutzername und Passwort für einen ausreichenden Schutz nicht aus. Deshalb sollten Unternehmen für die Anwendungen, die auf ihre Cloud-Datenbanken zugreifen, die Multi-Faktor-Authentifizierung aktivieren. Das bedeutet: Ein Anwender meldet sich mit mindestens zwei Identifikationsmerkmalen an einer Datenbank an. Das ist beispielsweise ein Passwort (1. Faktor) und ein Bestätigungscode (2. Faktor). Der Nutzer findet ihn als SMS oder in einer Authentifizierungsapp auf dem Smartphone.

Zweite Sicherheitsmaßnahme: Daten und Verbindungen verschlüsseln

Um Cyberattacken aller Art abzuwehren, reicht jedoch die sichere Benutzerauthentifizierung nicht aus und muss mit Verschlüsselung ergänzt werden. Dabei sollten Daten- und Transportverschlüsselungen eingesetzt werden. Bei der Konfiguration der Verschlüsselung ist besonders wichtig, ausschließlich aktuelle und als sicher geltende Verschlüsselungsverfahren einzusetzen, etwa AES128 für die Daten- und mindestens TLS 1.2 für die Transportverschlüsselung. Die Datenverschlüsselung richtet sich auf die in den Tabellen gespeicherten Daten. Sie werden auf Anwendungsebene mit den entsprechenden Funktionen des Datenbanksystems verschlüsselt und erst dann in die Datenbank geschrieben. Bei dieser Form der Verschlüsselung können Hacker die Daten nicht lesen, da sie nur „kryptische“ Zeichen sehen. Die Verschlüsselung ist bei der Erstkonfiguration der Datenbank eventuell noch nicht aktiv, da zunächst ein Schlüssel erzeugt werden muss. Unternehmen sollten nicht vergessen, sie einzuschalten.

Auch bei aktiver Verschlüsselung müssen die Daten für den Transport zwischen dem Datenbanksystem und einer Anwendung entschlüsselt werden. Deshalb ist eine ergänzende Transportverschlüsselung notwendig. Dabei handelt es sich um ein Übertragungsprotokoll wie TLS, das einen verschlüsselten Tunnel zwischen zwei Endpunkten aufbaut – der Datenbank und der Anwendung. Es schützt die Verbindung der Anwendungen zum Datenbanksystem vor dem Abhorchen durch Cyberkriminelle.

Dritte Sicherheitsmaßnahme: Backups nutzen und verschlüsseln

Durch die beschriebene strenge Authentifizierung und mittels Verschlüsselung ist die Datenbank bereits gut geschützt. Trotzdem sollten Unternehmen Vorkehrungen für die Notfallwiederherstellung treffen und die Backup-Funktion aktivieren. Die meisten Anbieter sichern dann die Datenbank einmal am Tag und bewahren die Kopien auf. Sie befinden sich in Speicherbereichen der Anbieter, sodass nur die Backup-Funktion auf die Sicherungskopien zugreifen kann. Für eine erhöhte Sicherheit ist es sinnvoll, Datenbankkopien auch an anderer Stelle zu speichern – bei einem Hyperscaler etwa in einer anderen Region. Einige Anbieter erlauben auch eine externe Speicherung, zudem gibt es spezialisierte Cloudservices, die das Backup übernehmen.

Für die Verschlüsselung der Sicherungskopien gibt es integrierte Funktionen, die häufig zunächst nicht aktiv sind. Die nutzenden Unternehmen sollten sie auf jeden Fall einschalten – sonst sind die Backups offen für jeden lesbar, der sich Zugang zu den Daten verschafft. Diese grundsätzlichen Sicherheitsmaßnahmen stellen sicher, dass Unternehmen einen der wichtigsten Vorteile von Cloud-Datenbanken nutzen können: den problemlosen und sicheren Zugriff von jedem Ort der Welt aus.

Über den Autor

Max Mether, Co-Founder und Vice President Product Management bei MariaDB. Er ist ein Gründungsmitglied und Vice President Product Management der MariaDB Corporation. In dieser Position ist er für die Weiterentwicklung des MariaDB Servers und der umliegenden Technologien verantwortlich. Davor baute er das Professional-Services-Team bei MariaDB auf. Max begann seine Karriere als Berater und Trainer für Unternehmen wie MySQL und Sun Microsystems. Der gebürtige Finne erwarb seinen Master of Science in Physik und Mathematik an der Helsinki University of Technology.

MariaDB will Unternehmen von den Kosten, Einschränkungen und der Komplexität proprietärer Datenbanken befreien und es ermöglichen, in das Wesentliche zu investieren – die schnelle Entwicklung innovativer, kundenorientierter Anwendungen. MariaDB verwendet modulare, Speicher-Engines zur Unterstützung von Arbeitslasten, für die bislang eine Vielzahl spezialisierter Datenbanken erforderlich waren. (sg)

Lesen Sie auch: Hybrid-IT und Multi-Cloud: Warum diese Ansätze sichere Datenbanken benötigen