Sichere Datenverwaltung: fünf Säulen statt Versprechen

WebDisk-Blog · Kategorie: Über uns · Lesezeit: ~5 Minuten

Kurz gefasst:- Statt zu versichern, dass wir „sicher“ sind, zeigen wir fünf überprüfbare Säulen: Verschlüsselung nach Wahl, Kopien mit Löschsperre, Rund-um-die-Uhr-Monitoring, Support auf Polnisch und Datenverarbeitung in Polen.- Jede Säule verweist auf Material, in dem wir sie vertiefen – dieser Text ist eine Landkarte, kein Werbeprospekt.- Wir sagen auch ehrlich, was wir nicht versprechen – und welcher Teil der Sicherheit immer auf Ihrer Seite bleibt.

„Sichere Cloud“ ist die billigste Erklärung der Branche – das schreibt jeder Anbieter, das Wort allein bedeutet also nichts mehr. Wenn Sie jemandem die Daten Ihres Unternehmens anvertrauen, haben Sie das Recht zu fragen: Was konkret steht hinter diesem Adjektiv? Welche Mechanismen, welche Kopien, wer schaut auf das Monitoring – und was passiert, wenn doch etwas schiefgeht?

Dieser Artikel ist unsere Antwort: eine Landkarte der fünf Säulen, aus denen sich die sichere Datenverwaltung bei WebDisk zusammensetzt. Bewusst gibt es hier keine Superlative – sondern Mechanismen, ihre Grenzen und Verweise auf Texte, in denen wir jede Säule im Detail beschreiben. Wenn Sie gerade Cloud-Anbieter vergleichen, betrachten Sie diese Liste als Satz von Kontrollfragen und stellen Sie sie jedem von ihnen, nicht nur uns.

Säule 1. Verschlüsselung – als Wahlmöglichkeit, nicht als Werbeslogan

Die Kommunikation mit unseren Diensten – Panel, API, Anwendungen – ist mit TLS verschlüsselt, derselben Technologie, die hinter dem Schloss im Browser steht. Diese Schicht ist obligatorisch und steht nicht zur Diskussion. Interessanter ist, was mit den ruhenden Daten auf den Festplatten geschieht: Hier legen wir die Entscheidung in Ihre Hände. Auf unserer Dateiplattform können Sie beim Anlegen eines Speichers eine dauerhafte – unumkehrbare – Vollverschlüsselung im Ruhezustand wählen, und Ihre Organisation kann ausgewählte Dateien und Ordner zusätzlich mit einer Verschlüsselung mit separatem Organisationsschlüssel versehen – von der Plattform verwaltet und getrennt aufbewahrt, sodass die Object-Storage-Schicht den Schlüssel niemals neben den Daten speichert. Über die Verschlüsselungsvarianten in der S3-Welt und darüber, wer in jeder von ihnen den Schlüssel hält, schreiben wir ausführlich im Artikel zur Verschlüsselung in S3 – SSE-S3, SSE-KMS und SSE-C.

Eine ehrliche Grenze: Verschlüsselung im Ruhezustand schützt Datenträger und Kopien – nicht das Konto. Ein gestohlenes Passwort ist eine andere Problemklasse. Genau deshalb gibt es fünf Säulen und nicht nur eine.

Säule 2. Kopien, die nicht einmal ein Administrator löschen kann

Festplattenausfall, menschliches Versagen und Ransomware haben einen gemeinsamen Nenner: Vor ihnen rettet ein Backup – aber nur eines, das ein Angreifer weder überschreiben noch löschen kann. Deshalb bieten wir – neben dem klassischen Backup, das Sie ohnehin nach der 3-2-1-Regel anlegen sollten (drei Kopien, zwei verschiedene Datenträger, eine außerhalb des Firmensitzes – mehr dazu im Artikel über das Backup als Fundament der IT-Sicherheit) – auf unserer Dateiplattform Dateiversionierung sowie einen Anti-Ransomware-Modus auf Basis von S3 Object Lock an: eine Kopie, die vor Ablauf der festgelegten Frist niemand durch irgendeine Operation auf dem Speicher löschen kann – weder ein Eindringling mit erbeuteten Schlüsseln noch der Kontoadministrator. Das ist eine Konstruktionseigenschaft, die von der Object-Storage-Schicht selbst durchgesetzt wird, kein Versprechen aus den AGB. Die Details dieses Mechanismus zerlegen wir im Artikel über S3 Object Lock und den WORM-Modus.

Säule 3. Monitoring, das arbeitet, wenn niemand hinschaut

Hinter unseren Diensten steht ein mehrschichtiges Detektionssystem, aufgebaut aus bewährten Open-Source-Projekten – unter anderem die Web Application Firewall open-appsec, die Netzwerksonde Suricata, Falco-Sensoren, die innerhalb der Systeme arbeiten, sowie das SIEM Wazuh (ein System, das Ereignisse aus der gesamten Plattform sammelt und einzelne Signale zu einem Angriffsbild zusammensetzt). Die Alarmierung funktioniert automatisch zu jeder Tages- und Nachtzeit, und das Monitoring selbst wird von einem unabhängigen Wächter außerhalb unserer Infrastruktur überwacht – denn „Wer bewacht den Wächter?“ ist eine Frage, die man auch sich selbst stellen muss.

Einen Teil dieser Sichtbarkeit geben wir an Sie weiter: Die öffentliche Seite status.webdisk.io zeigt die Verfügbarkeit unserer Dienste live – gemessen mit Sonden aus dem Internet, also aus der Perspektive des Kunden, ohne Beschönigung. Und wie Sie den Zustand Ihrer eigenen virtuellen Maschinen in der Cloud selbst überwachen, zeigen wir im Artikel über den Watchdog.

Säule 4. Support auf Polnisch – von den Menschen, die diese Plattform betreiben

Wenn etwas nicht funktioniert, ist das Letzte, was Sie brauchen, das Erklären des Problems im Formular eines globalen Helpdesks. Bei uns landet die Meldung beim Team, das diese Plattform tagtäglich baut und betreibt – auf Polnisch, ohne Zwischenstellen und ohne Gesprächsskripte. Sie kaufen keine „Support-Stufe“ aus der Preisliste; Sie sprechen mit einem Ingenieur, der die Antwort kennt oder weiß, wer sie kennt. Wie das in der Praxis aussieht, beschreiben wir in einem eigenen Text über den WebDisk-Support.

Säule 5. Daten in Polen, im Rechtsrahmen der EU

Ihre Daten werden in Polen verarbeitet, auf einer Infrastruktur, die wir selbst aufbauen und kontrollieren – im Rechtsrahmen der Europäischen Union. In der Praxis bedeutet das die DSGVO als Standard der Verarbeitung, polnische Jurisdiktion statt Rätselraten, wessen Recht an Ihre Dateien heranreicht, sowie einen Partner, mit dem Sie über den Auftragsverarbeitungsvertrag in Ihrer Sprache sprechen können. Warum der Datenstandort und technologische Souveränität mehr bedeuten als das Logo auf der Rechnung, beschreiben wir ausführlicher im Artikel über die polnische Cloud.

Was kann Ihnen ein Cloud-Anbieter nicht versprechen?

Begriffe wie „völlig sicher“ oder „unhackbar“ werden Sie bei uns nicht finden. In der Sicherheit geht man von der Fehlbarkeit der Schutzmaßnahmen aus, nicht von ihrer Perfektion – jede der Säulen existiert genau deshalb, weil eine andere irgendwann versagen kann. Verschlüsselung stoppt keine Ransomware, ein Backup erkennt keinen Einbruch, Monitoring macht gelöschte Dateien nicht rückgängig. Sicherheit ist die Summe von Schichten und der Prozess ihrer Feinabstimmung – kein Zustand, den man einmal erreicht und in einer Broschüre verkündet.

Eine zweite ehrliche Anmerkung: Ein Teil der Verantwortung bleibt immer auf Ihrer Seite. Starke Passwörter, die umsichtige Vergabe von Berechtigungen an Mitarbeiter, die Hygiene der Zugriffsschlüssel – das übernimmt kein Anbieter für Sie, auch wir nicht. Das ist das Modell der geteilten Verantwortung: Wir sind für die Plattform und ihre Schutzschichten verantwortlich, Sie – für den Zugang zu Ihrem Konto und dafür, wem Sie ihn gewähren. Ein Anbieter, der verspricht, Ihnen auch diesen Teil abzunehmen, verspricht zu viel.

Häufige Fragen

Schützt die Verschlüsselung von Daten in der Cloud vor einer Kontoübernahme?

Nein. Verschlüsselung im Ruhezustand schützt Datenträger und Datenkopien – nicht das Konto selbst. Ein gestohlenes Passwort ist eine andere Problemklasse, deshalb muss Sicherheit aus vielen Schichten bestehen, und ein Teil davon – starke Passwörter, umsichtige Berechtigungen, die Hygiene der Zugriffsschlüssel – bleibt immer auf der Seite des Nutzers.

Kann ein Administrator oder ein Eindringling ein durch S3 Object Lock geschütztes Backup löschen?

Nein. Eine im Anti-Ransomware-Modus auf Basis von S3 Object Lock gespeicherte Kopie kann vor Ablauf der festgelegten Frist niemand durch irgendeine Operation auf dem Speicher löschen – weder ein Eindringling mit erbeuteten Schlüsseln noch der Kontoadministrator. Diese Sperre wird von der Object-Storage-Schicht selbst durchgesetzt, nicht von einer Klausel in den AGB.

Was besagt die 3-2-1-Backup-Regel?

Das ist die klassische Regel der Backup-Planung: Bewahren Sie drei Kopien Ihrer Daten auf, auf zwei verschiedenen Datenträgern, davon eine außerhalb des Firmensitzes. Daneben lohnt es sich, eine Kopie zu haben, die ein Angreifer weder überschreiben noch löschen kann – genau diese Rolle erfüllt der Anti-Ransomware-Modus auf unserer Dateiplattform.

Wo werden die Daten der WebDisk-Kunden verarbeitet und welches Recht gilt für sie?

Die Daten werden in Polen verarbeitet, auf einer Infrastruktur, die wir selbst aufbauen und kontrollieren, im Rechtsrahmen der Europäischen Union. In der Praxis bedeutet das die DSGVO als Standard der Verarbeitung, polnische Jurisdiktion sowie einen Auftragsverarbeitungsvertrag, über den Sie in Ihrer Sprache sprechen können.

Wofür ist der Cloud-Anbieter verantwortlich und wofür der Kunde?

Das ist das Modell der geteilten Verantwortung: Der Anbieter ist für die Plattform und ihre Schutzschichten verantwortlich, der Kunde – für den Zugang zu seinem Konto und dafür, wem er ihn gewährt. Starke Passwörter, die umsichtige Vergabe von Berechtigungen und die Hygiene der Zugriffsschlüssel kann kein Anbieter für Sie übernehmen.

Was bedeutet „Partner für sichere Datenverwaltung“ wirklich?

„Partner für sichere Datenverwaltung“ ist kein Titel, den man sich einfach selbst verleihen kann. Es ist die Summe überprüfbarer Mechanismen, klar benannter Grenzen und der Menschen auf der anderen Seite einer Meldung. Die fünf Säulen aus diesem Text sind unsere Version der Antwort – und die Artikel der Sicherheitsreihe, die bei jeder Säule verlinkt sind, nehmen sie im Detail auseinander.

Sie wählen einen Cloud-Anbieter für Ihr Unternehmen? Stellen Sie ihm diese fünf Fragen. Und wenn Sie mit uns darüber sprechen möchten – schreiben Sie uns.