Datensicherung: Vier Fragen, die sich jeder IT-Entscheider stellen sollte

Jeden Tag berichten die Medien über neue Datenpannen und Cyberangriffen, wie etwa der Angriff auf das US-Softwareunternehmen Kaseya, der in Deutschland mehrere Unternehmen betraf und in Schweden eine Supermarktkette dazu zwang, kurzfristig fast alle Filialen zu schließen. Diese Angriffe und Ausfälle können Unternehmen Millionen von Euro kosten und erhebliche Imageschäden verursachen. Datenschutz und Datensicherung sind daher zu einem entscheidenden Faktor geworden, wenn es darum geht, das Vertrauen von Kunden zu bewahren und gleichzeitig finanzielle Verluste zu vermeiden. Entsprechend hoch ist der Druck auf IT-Entscheider, die Sicherheit ihrer Daten zu gewährleisten.

Aus diesem Grund ist es besonders wichtig, dass IT-Entscheider sich die Zeit nehmen, die Sicherheit ihrer aktuellen Systeme auf Herz und Nieren zu prüfen, um sicherzustellen, dass ihre Daten vor Angriffen, wie Ransomware-Attacken, oder auch unerwarteten Ausfällen geschützt sind. Jeder IT-Entscheider sollte daher bei der Planung einer Strategie für die Datensicherung folgende vier Anforderungen klären.

1. Wie lassen sich Daten unveränderbar machen

Das BSI hat Ransomware als eine der am schnellsten wachsenden Bedrohung eingestuft, die zu Umsatzeinbußen und betrieblichen Ausfallzeiten führen und der Reputation eines Unternehmens erheblich schaden kann. Ransomware verschlüsselt die Daten auf der Speicherebene, weshalb Backups verstärkt zum Ziel von Angriffen werden. Unternehmen sollten sicherstellen, dass sie über unveränderliche Sicherheitskopien ihrer Daten verfügen. Nur so können sie vermeiden, Lösegeld zahlen zu müssen, da diese Kopien im Falle eines Angriffes einfach wiederhergestellt werden können. Tape-Lösungen ermöglichen eine physische Trennung des Backups vom Netzwerk, sodass die Kopien für Angreifer nicht erreichbar sind. Diese Methode ist zwar effektiv, doch das Wiederherstellen von Tapespeichern ist langsam und das Management ist zeit- und ressourcenaufwändig.

Eine weitere, effektivere Option stellen Objektspeicher dar. So bieten ausgewählte Objektspeichersysteme eine Funktion namens Object Lock an. Diese nutzt die WORM-Technologie (Write Once Read Many), um Sicherungskopien von Daten für einen bestimmten Zeitraum unveränderbar zu machen – ohne lange Wiederherstellungszeiten oder großen vorausgehenden Verwaltungsaufwand. Das Ergebnis: Hacker können die Daten nicht verschlüsseln und im Falle eines Angriffs oder Ausfalls steht eine saubere Kopie für eine schnelle und einfache Wiederherstellung zur Verfügung. Object Lock kann sowohl On-Premise, in der Private Cloud als auch in der Public Cloud genutzt werden.

2. Datensicherung: Schutz der Daten im Ruhezustand

Datendiebstahl stellt eine immer größer werdende Bedrohung für Unternehmen dar. Im Falle eines Angriffs drohen Hacker damit, firmeneigene Daten preiszugeben, wenn kein Lösegeld gezahlt wird. Erst kürzlich landeten Kundendaten der Supermarktkette Tegut im Darknet, nachdem sich das Unternehmen weigerte, Lösegeld zu zahlen. Zum Schutz der Daten ist es wichtig, dass diese auf dem Speichergerät verschlüsselt werden.

IT-Entscheider sind gut beraten, eine AES-256-Verschlüsselung einzusetzen – eine Spezifikation, die vom U.S. National Institute of Standards and Technology (NIST) festgelegt wurde. Dabei sollte ein systemgenerierter Kodierungsschlüssel (reguläre SSE) oder einen vom Kunden bereitgestellter und verwalteter Kodierungsschlüssel (SSE-C) verwendet werden. Dadurch können die Upload- und Download-Anfragen sicher über HTTPS übermittelt werden. Gleichzeitig wird sichergestellt, dass keine Kopie des Schlüssels auf dem System gespeichert wird.

3. Wie lassen sich Daten während der Übertragung schützen

Wenn umgangssprachlich von Datenklau oder Diebstahl die Rede ist, ist eigentlich das unbefugte Ausspähen und unerlaubte Kopieren und Übertragen von Daten gemeint. Dabei verschaffen sich Angreifer unbefugten Zugang zu Daten, indem die Datenkommunikation „abgehört“ und nach Passwörtern oder anderen Informationen durchsucht wird, die im Klartext übermittelt werden. Aus diesem Grund ist es entscheidend für IT-Entscheider sicherzustellen, dass ihre Daten auch während der Übertragung und in ihrem Speichersystem geschützt sind. 

Der beste Schutz vor Abhörmaßnahmen stellt dabei der Einsatz von Datenverschlüsselung und sicheren Transportprotokollen dar. IT-Entscheider sollten sicherstellen, dass ihr Speichersystem folgende Funktionen unterstützt:

• Serverseitige Verschlüsselung (SSE)
• Amazon Web Services Key Management Service (AWS KMS)
• OASIS Key Management Interoperability Protocol (KMIP)
• Transport Layer Security/Secure Socket Layer (TLS/SSL)

4. Speicherinfrastruktur auf Branchenkonformität überprüfen

Wie IT-Entscheider wissen, müssen Speichersysteme mit den Branchenvorschriften konform sein. IT-Entscheider sollten deshalb sichergehen, dass ihre Speicherinfrastruktur über die wichtigsten Sicherheitszertifizierungen und -Validierungen verfügt. So können sie schneller entscheiden, ob ein Speichersystem die notwendigen Branchenanforderungen erfüllt:

• Common Criteria (CC): Die Common Criteria for Information Technology Security Evaluation – besser bekannt als Common Criteria – sind ein international entwickelter Standard (ISO/IEC 15408) für Computersicherheit, der die Manipulationssicherheit von Speichersystemen bescheinigt.
• Federal Information Processing Standard (FIPS): FIPS ist ein US-amerikanischer Standard, der vom NIST entwickelt wurde. Er legt eine Reihe von Anforderungen für Technologielösungen fest und wird von US-Regierungsbehörden bei der Bewertung von Produkten und Lösungen verwendet.
• SEC Rule 17a-4: Dies ist eine von der U.S. Securities and Exchange Commission herausgegebene Vorschrift, die (u.a.) Anforderungen an eine WORM-Klassifizierung des Speichersystems festlegt.
• IDW PS 880: Dies ist eine Zertifizierung, welche von den Wirtschaftsprüfern der KPMG durchgeführt wurde.

Speicherhersteller müssen viel Zeit und Ressourcen investieren, um die gängigen Sicherheitsvalidierungen von Drittanbietern zu bestehen. Verfügt also ein Speichersystem über diese Zertifizierungen, ist dies eine Bestätigung der Sicherheitsstandards.

Datensicherung im Ruhezustand oder während der Übertragung

Die Beantwortung dieser vier Fragen ist ein entscheidender erster Schritt, den IT-Entscheider bei der Entwicklung ihrer Datenschutzstrategie gehen sollten. So können sie die empfohlenen und notwendigen Maßnahmen ergreifen, um zum einen sicherzustellen, dass ihre Daten – egal ob während der Übertragung oder im Ruhezustand – sicher sind. Zum anderen können sie so garantieren, dass das Speichersystem die strengen Sicherheitsanforderungen ihrer Branche erfüllt und selbst Backups unveränderlich gespeichert werden.

Über den Autor: Sascha Uhl ist Object Storage Technologist bei Cloudian.

Lesen Sie auch: Datensicherung: ADN unterstützt Reseller beim Start mit der Backup-Lösung Metallic