Der Trugschluss der Multi-Cloud Security

Eine durchdachte Multi-Cloud-Strategie erhöht die Business-Resilienz und ermöglicht das Beste aus mehreren Cloud-Welten. Aber sie erhöht auch das Risiko für technische Konflikte und menschliche Fehler. Wie kann das klappen?

Vorteil Nummer Eins der Multi-Cloud: Die Verteilung von Workloads auf verschiedene Clouds reduziert das Risiko einer Anbieterbindung und ermöglicht es Unternehmen, die Stärken einzelner Cloud-Plattformen zu nutzen und sie entsprechend den Anforderungen ihrer Anwendungen, ihrer Workloads und des Geschäfts zu kombinieren und anzupassen. Großunternehmen stellen oftmals fest, dass ein Cloud-Service für einen bestimmten Geschäftsprozess geeignet ist, für andere jedoch weniger oder gar nicht – sie benötigen also verschiedene Cloud-Services für unterschiedliche Prozesse. Und auch multinationale Organisationen sehen sich oftmals mit der Herausforderung konfrontiert, dass ein Cloud-Service, der für eine geografische Region optimal ist, eventuell für einen anderen Markt nicht passend ist. Gleichzeitig können sie die Vorteile von Geschäfts- oder Anwendungsfunktionen, Best-of-Breed-Features wie .NET-Applikationen auf Azure oder Daten/Analytik auf Google nutzen.

Auch aus wirtschaftlicher Sicht bietet eine Multi-Cloud-Strategie maximale Flexibilität: Unternehmen profitieren von den sich ändernden Preisen verschiedener Plattformen, anstatt sich mit einer geringeren Leistung und/oder höheren Preisen eines einzelnen Cloud-Dienstes zufriedengeben zu müssen. Anforderungen an Regularien und die Geschäftskontinuität beeinflussen ebenfalls die Multi-Cloud-Strategie einer Organisation, denn die Wiederherstellbarkeit von Daten und Services wäre beim Ausfall eines einzelnen Cloud-Anbieters signifikant beeinträchtigt. Ein solcher Einsatz geht jedoch mit einer sorgfältigen Planung und einem entsprechenden Aufbau der Anwendungen und der Infrastruktur einher.

Chancen der Multi-Cloud

Doch sobald eine geeignete und durchdachte Strategie etabliert wurde, bieten die Redundanz und Ausfallsicherheit eines Multi-Cloud-Ansatzes eine höhere Resilienz als bei der Nutzung einer einzelnen Cloud. Darüber hinaus ermöglicht eine Multi-Cloud-Strategie die Nutzung der fortschrittlichsten Services unterschiedlicher Provider und bietet dadurch das was alle wollen: Die Nutzung von neuesten Technologien, welche man On-premises nicht oder nur mit großem Aufwand bereitstellen kann, die aber komfortabel aus der Cloud gebucht werden können. Beispiele sind hier Services des Edge Computing, IoT oder ML, generell Analytics, welche Ressourcen bedürfen, die sich ein Mittelständler kaum im eigenen Rechenzentrum bevorraten will. 

Herausforderungen der Multi-Cloud

Der Einsatz mehrerer Cloud-Plattformen macht das Management der IT-Sicherheit über mehrere Plattformen und Anwendungen hinweg äußerst komplex. Dies bedeutet, dass IT-Teams mehr Zeit für die Planung und Sicherung von Daten aufwenden müssen, die über mehrere Standorte und Plattformen verteilt sind. 

Ein Team aus hochqualifizierten Cloud-Sicherheitsexpert*innen ist für die Konfiguration, Sicherung und Verwaltung verschiedener Cloud-Plattformen unerlässlich. Der Kampf um die wenigen Top-Talente erhöht die Komplexität des Multi-Cloud-Ansatzes allerdings zusätzlich. Natürlich gibt es All-in-One-Managementsysteme, aber für die erfolgreiche Implementierung und den Betrieb eines Multi-Cloud-Ansatzes ist eine Kombination aus fertigen Tools und individueller Strategien erforderlich. 

Zusammenfassend kann man also sagen, dass die Nutzung von mehr als einer Public Cloud ohne weitere Maßnahmen sogar zu einer Reduzierung der Sicherheit und Verfügbarkeit bzw.  der Resilienz führen kann. Ist es schon schwer, mit der Weiterentwicklung der Services nur eines Cloud-Providers Schritt zu halten – mit zweien wird’s nicht einfacher und damit steigt das Risiko, dass Cloud-Services von den Architekten und Administratoren eben nicht optimal hinsichtlich Sicherheit und Verfügbarkeit konfiguriert werden. Dem kann z. B. durch die Wahl eines Anbieter-agnostischen externen Partners entgegengetreten werden.

Ruhig schlafen, trotz Multi-Cloud

Wie aber lässt sich aber den erwähnten Herausforderungen begegnen? Im folgenden einige Punkte, die die Geschäftsführung und die IT-Abteilung bei der Umsetzung einer Multi-Cloudstrategie bedenken und mit ihren IT-Dienstleistern besprechen sollten:

Setzen Sie auf eine Anbieter-agnostische Cloudstrategie: Für eine sichere Multi-Cloud-Strategie sollte die IT so aufgestellt sein, dass ein Anbieterwechsel jederzeit möglich ist, z. B. mithilfe von sogenannter Container-Technologie oder einer Mikro-Services-Architektur, die unabhängig von der unterliegenden Cloud funktionieren.

Setzen Sie klare Governance-Regeln: Übergeordnete Richtlinien für alle Clouds, etwa zur Kostenkontrolle, zu den Sicherheitsanforderungen und der Bereitstellung sowie der Servicelevels helfen Wildwuchs zu verhindern und die Performance zu evaluieren.

Etablieren Sie ein übergreifendes Identity & Access-Management (IAM): Jeder Cloudprovider bringt sein eigenes Identitätsmanagement mit. Besser ist es, ein übergreifendes Identity & Access-Management (IAM) zu etablieren. Es sorgt dafür, dass es unternehmensweit einheitliche Zugriffsrechte auf alle IT-Ressourcen gibt, inklusive der Cloud.

Nutzen Sie ein Security Information & Event Management (SIEM) für das übergeordnete Management: IT-Teams müssen in die Lage versetzt werden, die gesamte IT-Infrastruktur zentral zu überwachen. Hier helfen sogenannten SIEM-Lösungen, die eine ganzheitliche Sicht auf die IT-Sicherheit erlaubt und die auch bei regelmäßigen Überprüfungen des Sicherheitsstatus helfen. Da IT Sicherheit ein 24/7 Job ist und sich erfahrungsgemäß bestenfalls 80 % automatisieren lassen, kann das Thema SIEM und IT Sicherheit auch an einen entsprechend fokussierter Dienstleister vergeben werden, was die schwierige Suche nach entsprechend ausgebildetem Personal überflüssig macht.

Fazit: Testen, testen, testen

Wie bei jedem Ansatz helfen ausführliche Tests mit simulierten Workloads für Security und Management vor der Inbetriebnahme dabei, den Bedarf und die Eignung zu verstehen. Sicherlich ist ein Multi-Cloud-Ansatz nichts für schwache Nerven. Wenn ein Unternehmen die Überzeugung, die Strategie und die Tools hat, sich auf Multi-Cloud einzulassen, überwiegt der Nutzen die Komplexität aber deutlich. In vielen Fällen kann es den Unterschied zwischen Führung und Überleben bedeuten.