Betriebliches Kontinuitätsmanagement durch Datenwiederherstellung – Wie die Cloud dabei hilft, Unternehmensdaten zu schützen
Ein Erdbeben der Stärke 8,4 verwüstete 1906 den Großraum San Francisco. Amadeo Giannini, der Gründer der Bank of America, hat nach diesem außergewöhnlichen Krisenfall als einer der Ersten darüber nachgedacht, wie seine Bank handlungsfähig bleiben kann. Er rettete deshalb unmittelbar nach dem Erdbeben alle Gelder, um sie dann, wenige Tage später, an seine Kunden zu verleihen. Er hatte durch diese Maßnahme einen enormen wirtschaftlichen Vorteil gegenüber anderen Bankhäusern, die durch die Zerstörung ihrer Geschäftsräume nicht in der Lage waren, ihre Geschäftsprozesse wiederherzustellen. Gianninis Strategie stellte sich als hervorragendes Kontinuitätsmanagement heraus.
Heute sind Strategien für betriebliche Kontinuität für Unternehmen auf der ganzen Welt von integraler Bedeutung – oder sollten es zumindest sein. Schließlich hat die zuverlässige Verfügbarkeit von Unternehmensdaten nach einer Ransomware- Attacke heutzutage eine ähnlich zentrale Bedeutung, wie es der Zugang zu Geldmitteln einer Bank nach einem Erdbeben zu Beginn des vergangenen Jahrhunderts. Aus diesem Grund möchte ich Ihnen einige Anregungen für Ihr betriebliches Kontinuitätsmanagement (kurz BKM) geben und Ihnen zeigen, wie ein Desaster Recovery Plan aussehen könnte, der Sie gegen eine hohe Zahl unterschiedlicher Risiken absichert.
Inhalt
Was ist betriebliches Kontinuitätsmanagement?
Betriebliches Kontinuitätsmanagement ist in Fachkreisen eher unter dem englischen Term Business Continuity Management (BCM) geläufig. Man versteht darunter ein Gerüst aus Analysen und Notfallplänen, das dabei hilft, im Ernstfall die richtigen Entscheidungen zu treffen.
Analysen: Die Gefährdung eines Unternehmens durch interne und externe Katastrophenfälle wird durch Analysen abgeschätzt. Bedrohungsszenarien werden Entworfen.
Notfallpläne: Aus den möglichen Bedrohungsszenarien werden Notfallpläne abgeleitet, die zur Wiederaufnahme kritischer Geschäftsprozesse notwendig sind.
Ziele: Das Ziel ist eine möglichst schnelle Wiederherstellung aller Geschäftsprozesse. BKM erarbeitet effektive Reaktionsmöglichkeiten auf Krisenfälle.
Denkbare Krisenfälle sind Ereignisse höherer Gewalt (z.B. Erdbeben) oder digitale Vorkommnisse (wie Datenlecks). Business Continuity Management und Desaster Recovery sind zwei entscheidende Bausteine der Notfallwiederherstellung von Geschäftsprozessen, bzw. der strategischen Planung unternehmerischer Reaktion auf Risiken, welche den Ausfall von Geschäftsprozessen zur Folge haben können.
Warum ist Business Continuity Management wichtig?
Wie aus dem Beispiel der Bank of America hervorgeht, kann es zu Situationen kommen, in denen das Scheitern oder Fortbestehen eines Unternehmens einzig und allein vom Business Continuity Plan abhängt. Demzufolge müssen sich alle Unternehmen mit dieser Disziplin befassen, die das Kerngeschäft im Krisenfall fortführen möchten.
Aus der langen Reihe an Disziplinen, die auf den Continuity-Management-Plan einwirken, geht es hier vor allem um den Teilbereich der Datenspeicherung. Wir zeigen, wie Betriebe Datenverlust vermeiden und sicherstellen können, dass ihre Dateien auch bei einem Notfall sicher gespeichert und zuverlässig verfügbar sind.
Datensicherung als Element von BKM
Damit ein Backup im Ernstfall eingespielt werden kann, muss es an einem anderen Ort gespeichert werden, als die Produktivdaten. Anderer Ort ist durchaus wörtlich gemeint, denn die Daten müssen so weit weg sein, dass sie auch bei einem Brand oder Erdbeben am Hauptstandort noch verfügbar sind. Ein Backup-Server im Keller des Firmengebäudes erfüllt diese Anforderung nicht.
Der zweite Standort ist üblicherweise mit den wichtigsten Systemen und Applikationen ausgestattet. Besonders wichtig: Die Dateien des Unternehmens werden hierhin dupliziert und (manchmal in komprimierter Form) gesichert.
Die Doppelung der Applikationen und die Sicherungskopien an einem anderen Ort zuverlässig zu verwalten ist vor allem für kleinere Unternehmen in der Praxis kaum umsetzbar.
Die größte Herausforderung für die Business-Continuity-Strategie im Hinblick auf Daten ist der Aufwand, den Unternehmen betreiben müssen, um Datenverlust zu vermeiden:
- Aufbau eines (Backup-) Datencenters
- Set-up und Pflege von Netzwerken und Systemen
- Pflege von Daten-Zyklen für die Erstellung von Backups
Manche Kernprozesse erfordern spezielle Hardware, und da ein Ausfall dieser Prozesse besonders schwerwiegende Auswirkungen hätte, muss solche Hardware in doppelter Ausführung vorhanden sein (und gepflegt werden).
Die Lösung: Die meisten dieser Funktionen können im Rahmen einer hybriden Cloud-Infrastruktur abgebildet werden.
Cloud-Services gewinnen für die Backup-Strategie von Unternehmen unter anderem deshalb an Bedeutung, weil sie beinahe unabhängig von der Hardware sind. Virtualisierungssoftware ermöglicht einfache Sicherungskopien von Daten, Applikationen und ganzen Betriebssystemen auf Server an anderen Standorten. In Kombination mit zunehmender Bandbreite für Up- und Downloads ermöglicht die Cloud deshalb eine zuverlässige und schnelle Wiederherstellung von Daten, sollte es zu einem – wie auch immer bedingten – Datenverlust kommen.
Welche Risiken müssen bei einer Cloud-Backup-Strategie bedacht werden?
Nach Auflistung all dieser Vorteile der Cloud für die Notfallwiederherstellung von Daten könnte man meinen, dass alle Unternehmen ihre Daten in die Cloud auslagern und ihre Backup-Strategie so anpassen, dass die Cloud integraler Bestandteil des Business-Continuity-Plans wird. Tatsächlich zögern viele Unternehmen. Woran liegt das? Es gibt Vorbehalte: Die Cloud sei nicht sicher genug für sensible Unternehmensdaten
Obwohl die Cloud eine hervorragende Lösung zum Sichern von Daten an dezentralen Standorten ist, sind viele genau aus diesem Grund skeptisch: Besteht die Gefahr, die Kontrolle über die Daten zu verlieren, sobald sie in die Cloud hochgeladen werden?
Es gibt mehrere Punkte, an denen es zu möglichem Kontrollverlust kommt.
Der Schlüssel für Verschlüsselung liegt beim Cloud-Provider
Die Daten, die in eine Cloud hochgeladen werden, werden üblicherweise vom Cloud-Provider verschlüsselt, sowohl im Ruhezustand als auch während der Übertragung. Soweit so gut, doch diese Art der Verschlüsselung bringt den Cloud-Provider in eine Machtposition, die keinem Unternehmen recht sein kann. Denn derjenige, der die Verschlüsselung durchführt, besitzt die kryptografischen Schlüssel dafür. Deshalb hat der Cloud-Provider die Möglichkeit, alle bei ihm gespeicherten Daten jederzeit lesbar zu machen. Dies wird zum Beispiel dann relevant, wenn amerikanische Behörden unter Berufung auf den CLOUD Act Datenzugriff anfordern.
Grundlegende Sicherheitsfunktionen fehlen
Die Tatsache, dass eine Verbindung durch ein SSL-Zertifikat geschützt wird, dürfte für die meisten Unternehmen nicht ausreichend sein. URLs lassen sich manipulieren und werden dadurch zum Werkzeug von Cyberkriminellen, die Phishing-Attacken durchführen oder Ransomware einschleusen wollen. Um Unternehmensdaten wirklich zu schützen, fehlen den meisten Cloud-Anbietern zwei grundlegende Sicherheitsfunktionen:
- Die Sperrung des Accounts nach einer bestimmten Anzahl von fehlgeschlagenen Anmeldeversuchen
- Der Zwang, ein sicheres Passwort zu verwenden
Fehlende Transparenz bei der Datenlöschung
Ein weiterer Punkt, der viele Unternehmen misstrauisch macht, ist die Wiederherstellung. Durch die Versionierung und das Bereithalten von Sicherungskopien der Daten in der Cloud können Nutzerinnen und Nutzer zuvor gespeicherte Versionen einer Datei und ganze Ordner wiederherstellen. Dies ist insbesondere dann von Nutzen, wenn es um die Wiederherstellung der Daten nach einem Ransomware-Angriff geht.
Erfahren Sie mehr darüber, wie die Cloud bei einem Ransomware-Angriff die BKM unterstützt in unserem Fachartikel Ransomware – Wie eine sichere Cloud-Strategie helfen kann
Mag diese Lösung in manchen Situationen extrem sinnvoll sein, führt sie jedoch genauso zu der berechtigten Frage, ob Daten überhaupt jemals wirklich und vollständig wieder aus der Cloud gelöscht werden können. Denn auch das sichere Löschen von Daten stellt einen wichtigen Prozess in jedem Unternehmen dar und sollte in jedem IT-System vorgesehen sein.
Unter dem Stichwort Declouding, machte kürzlich eine von Netwrix durchgeführte Studie Schlagzeilen. Darin kam man zu dem Schluss, dass 46 % der Unternehmen, die personenbezogene Daten in einer Cloud speichern, aus Sicherheitsgründen einen Rückzug aus der Cloud in Betracht ziehen.
Verschlüsselte Backups für die sichere Integration der Cloud in die Unternehmens-IT-Infrastruktur
Mit der zunehmenden Bedeutung von Daten für Geschäftsprozesse steigt auch die Bedeutung von Datensicherungen. In Krisensituationen entscheiden Sie über das Wohl und Wehe des Unternehmens und sind deshalb ein essenzieller Faktor für das betriebliche Kontinuitätsmanagement. Die Cloud ist die billigste, schnellste und flexibelste Möglichkeit, Daten im Notfall zu sichern und wiederherzustellen. Sie birgt jedoch einige ernsthafte Bedrohungen für die Datenintegrität.
Die Lösung ist eine sichere Ende-zu-Ende-Verschlüsselung, die unabhängig von dem Anbieter ist, der den Speicherort der Dateien (also die Cloud) zur Verfügung stellt. Unternehmen erhalten durch unabhängige Verschlüsselungssoftware die Möglichkeit, Daten zu speichern und in der Cloud zu sichern.
Die Vorteile zusammengefasst:
- Die Cloud sorgt für durchgehende Verfügbarkeit der Daten und automatische Sicherungskopien.
- Die Verschlüsselung sorgt für maximale Datensouveränität.
Boxcryptor bietet genau das – eine benutzerfreundliche Verschlüsselungslösung für in der Cloud gespeicherte Daten. Die Software integriert sich nahtlos in den Workflow aller Mitarbeiterinnen und Mitarbeiter. Sie ist mit allen gängigen Cloud-Anbietern kombinierbar und läuft auf Smartphones ebenso wie auf den beiden Betriebssystemen Apple und Windows. Für Microsoft Teams gibt es eine Integration, die den verschlüsselten Versand von Dateien und Chat-Nachrichten ermöglicht.
