Software-as-a-Service (SaaS)-Lösungen bieten Unternehmen beispiellose Flexibilität. Sie sind jederzeit und überall über die Cloud zugänglich. Hardwarekosten lassen sich minimieren, und die Ressourcen können je nach Bedarf skaliert werden. Zudem lassen sie sich problemlos in bestehende Arbeitsabläufe integrieren. Trotz der zunehmenden Verbreitung cloudbasierter Softwareprodukte bestehen jedoch weiterhin Sicherheitsbedenken im Zusammenhang mit SaaS. Eine Studie aus dem Jahr 2021 ergab, dass 98 % der befragten Unternehmen in den vorangegangenen 18 Monaten mindestens einen Sicherheitsvorfall erlebt hatten.
Heißt das also, dass all die Behauptungen zur Sicherheit von SaaS-Produkten nichts weiter als leere Versprechungen sind? Ganz so einfach ist es nicht. Dieser Artikel vermittelt Ihnen ein grundlegendes Verständnis der Natur von SaaS-Sicherheitsrisiken und zeigt Ihnen, wie Sie diese vermeiden können.
Die wichtigsten Sicherheitsherausforderungen für Cloud-SaaS
Heutige SaaS-Umgebungen umfassen durchschnittlich 42 Drittanbieteranwendungen. Einerseits bietet die Auslagerung der meisten Daten und Prozesse Unternehmen enorme Freiheiten. Andererseits stellt die Kontrolle so vieler Anwendungen eine echte Herausforderung dar. Genau hier liegen die Ursachen für zwei zentrale Probleme der SaaS-Datensicherheit: mangelnde Transparenz und unzureichendes Zugriffsmanagement.
Der Mangel an Sichtbarkeit
Umfrage zufolge sehen sechs von zehn Geschäftsinhabern die mangelnde Transparenz ihrer SaaS-Umgebungen als eine ihrer größten Herausforderungen im Bereich Cybersicherheit. Dies liegt nicht nur an der Vielzahl der zu überwachenden Anwendungen. Jede dieser Anwendungen verfügt über individuelle Sicherheitsmerkmale, Zugriffseinstellungen und Datenschutzrichtlinien, die sich mit den Produktaktualisierungen der Anbieter ständig ändern. Hinzu kommt die Vielfalt der Geräte, von denen aus auf die einzelnen SaaS-Anwendungen zugegriffen werden kann. Daher haben Sicherheitsteams nur wenig Einblick in die tatsächlichen Risiken für die Unternehmensdaten.
Unzureichendes Zugriffsmanagement
Da Unternehmen mit der Vielzahl an Drittanbieter-Apps in ihren Cloud-Umgebungen völlig überfordert sind, führen nur 12 % der Unternehmen mit 50 bis 99 Apps in ihrem SaaS-Stack wöchentliche Überprüfungen auf Fehlkonfigurationen durch. Hinzu kommt die weit verbreitete Abhängigkeit von SaaS-App-Anbietern in puncto Sicherheit – und es wird deutlich, warum unzureichendes Zugriffsmanagement angesehen : Viele Sicherheitsteams haben keinen vollständigen Überblick darüber, wer auf die Unternehmensdaten zugreift, wie und auf welche Art von Daten zugegriffen wird.
Diese beiden Kontrollprobleme bergen gemeinsam das Potenzial für massive Datenlecks und machen Ihre Systeme anfälliger für diverse Cyberbedrohungen wie Kontoübernahmen, Ransomware-Angriffe, Phishing-Kampagnen und Insider-Bedrohungen. Betrachten wir nun einige Fallbeispiele und die daraus zu ziehenden Lehren.
SaaS-Sicherheitsvorfälle und ihre möglichen Folgen
Seien wir ehrlich: Für viele von uns sind all diese statistischen Ergebnisse nur eine Reihe von Symbolen, und die Warnungen von Cybersicherheitsexperten scheinen nichts mit unserer eigenen Situation zu tun zu haben. Trotzdem – ob wir es wahrhaben wollen oder nicht – Datenlecks und Cyberangriffe sind real. Im Folgenden stellen wir drei Cybersicherheitsvorfälle vor, die SaaS-Anwendungen betreffen (oder zumindest damit in Verbindung stehen), die Sie kennen und möglicherweise nutzen.
Globales Datenleck bei Jira
entdeckte ein Sicherheitsforscher, dass Tausende von Unternehmen, darunter auch die NASA, aufgrund einer einzigen Fehlkonfiguration in Jira .
Jira beim Erstellen von Dashboards und Filtern verschiedene Berechtigungseinstellungen bietet, um festzulegen, wer diese Details sehen darf. Und genau hier beginnen die Probleme. Manche Administratoren gehen fälschlicherweise davon aus, dass „Alle Benutzer“ oder „Jeder“ bedeutet, dass die Daten für alle Mitarbeiter im Unternehmen sichtbar sind. Tatsächlich sind sie jedoch öffentlich einsehbar und werden von Suchmaschinen indexiert. Schlimmer noch: Diese Optionen sind standardmäßig voreingestellt.
Die Sicherheitsforscher von Varonis haben aufgedeckt, dass bis zu 3.774 Dashboards, 244 Projekte und 75.629 Tickets öffentlich zugänglich sind. Die meisten dieser Daten gelangten versehentlich ins offene Internet. Projektnamen, Avatare, Inhaber, Status und E-Mail-Adressen von Nutzern gehören zu den am häufigsten auf diese Weise offengelegten Daten. Mithilfe dieser Informationen können Angreifer Phishing-Kampagnen starten, Passwort-Spraying- oder Credential-Stuffing-Angriffe durchführen oder sogar noch sensiblere Systeme ins Visier nehmen.
SolarWinds Lieferkettenangriff
meldete der Sicherheitsanbieter FireEye einen massiven Cyberangriff auf SolarWinds , einen führenden US-amerikanischen Anbieter von Software für das Management von IT-Infrastrukturen. Laut CEO Sudhakar Ramakrishna drangen die Angreifer in das Office-365-Konto des Unternehmens ein, erlangten Zugriff auf SolarWinds und nutzten diese, um Schadcode in das Software-Update „Orion“ einzuschleusen. Dieses Update wurde anschließend an rund 18.000 Kunden verteilt. Interessanterweise entdeckten SolarWinds noch Microsoft Schwachstellen im Office-365-Code, die von den Hackern hätten ausgenutzt werden können. Beide gehen von einem Diebstahl der Zugangsdaten aus, nicht von einer Sicherheitslücke.
Der Vorfall ereignete sich 2019 und betraf laut Sicherheitsforschern über 100 US-amerikanische Privatunternehmen sowie die Netzwerke von neun Bundesbehörden. Zu den Betroffenen zählten Microsoft, Cisco und Deloitte sowie das Pentagon, das Ministerium für Innere Sicherheit und weitere Institutionen. Einem Bericht verloren die betroffenen Unternehmen durchschnittlich 11 % ihres Jahresumsatzes.
Tausende Aufzeichnungen von Zoom-Meetings online verfügbar
Mit dem Ausbruch der Pandemie erlebte Zoom einen beispiellosen Popularitätsanstieg, von 90 Millionen täglichen Nutzern im Dezember 2019 auf 200 Millionen im März 2020. Neben dem Anstieg des Aktienkurses des Unternehmens hat dies eine Welle von Bedenken hinsichtlich des Datenschutzes .
Beispielsweise entdeckten Tausende privater Zoom-Meeting-Aufzeichnungen im offenen Internet, die jeder ansehen und sogar herunterladen konnte. War das das Ergebnis eines massiven Datenlecks? Keineswegs. Der Trick besteht darin, dass Zoom es Nutzern ermöglicht, ihre aufgezeichneten Meetings ohne Passwort am gewünschten Speicherort zu speichern. Verschärft wird dies dadurch, dass man die Aufzeichnung mit dem Standardtitel speichern kann, der mit dem Thema des Meetings übereinstimmt. Speichert man das Video beispielsweise in einem Amazon Web Services (AWS) S3-Bucket, kann es jeder über eine einfache Cloud-Speichersuche finden.
SaaS-Sicherheit – Bewährte Verfahren
Laut dem SaaS-Sicherheitsbericht 2021 gaben 89 % der befragten Unternehmen Fehlkonfigurationen von SaaS-Lösungen als eine der drei größten Cybersicherheitsbedrohungen an. Die Forscher stellten fest, dass dies die Hauptursache für die im Bericht dargestellten Cybersicherheitsprobleme ist.
Anders ausgedrückt: SaaS-Anwendungen weisen keine inhärenten Sicherheitslücken auf, sondern die Art und Weise, wie wir sie nutzen, ist die Hauptursache für Sicherheitsvorfälle. Ein Artikel zur Cloud-Sicherheit prognostiziert, dass bis 2025 bis zu 99 % aller Cybersicherheitsvorfälle auf das Verschulden der Kunden zurückzuführen sein werden. Wie können Sie also die Sicherheit Ihrer SaaS-Anwendungen gewährleisten? Hier sind unsere Empfehlungen.
Schätzen Sie alle Ihre Risiken ein
In Cloud-basierten Umgebungen sind die meisten (wenn nicht alle) Anwendungen in ein einziges Ökosystem integriert. Dennoch sollten Sie jede Anwendung regelmäßig hinsichtlich Compliance, Zugriffsbeschränkungen, Schutz vor Hackerangriffen usw. überprüfen. So können Sie alle Risiken, die jede Anwendung für Ihre Cloud-Umgebung darstellt, definieren und bewerten.
Automatisieren Sie so viel wie möglich
Die kontinuierliche Überwachung einer Vielzahl von Drittanbieter-Apps ist zweifellos eine gewaltige Aufgabe – ein Grund, warum viele Unternehmen den Überblick über ihre Apps verlieren und Probleme nicht rechtzeitig erkennen. Um sicherzustellen, dass nichts übersehen wird, empfehlen wir Ihnen dringend, Automatisierungstools wie SaaS Security Posture Management (SSPM)-Lösungen genauer unter die Lupe zu nehmen. Sie können Ihnen diese Aufgabe abnehmen.
Vermeiden Sie Fehlkonfigurationen
Viele Forscher sind sich einig, dass Fehlkonfigurationen – insbesondere mangelhaftes Zugriffsmanagement – ein ernstzunehmendes Cybersicherheitsrisiko für SaaS-Anwendungen darstellen. Um diesem Risiko entgegenzuwirken, sollten Sie die Sicherheitseinstellungen jeder Anwendung optimal nutzen. Verfügt Ihre Anwendung über eine Multi-Faktor-Authentifizierung? Aktivieren Sie diese. Unterstützt Ihre Anwendung verschiedene Benutzerzugriffsebenen? Analysieren Sie, wer das Tool nutzen wird, und richten Sie die Berechtigungen entsprechend ein.
Das Prinzip des minimalen Zugangs anwenden
Beschränken Sie den Zugriff auf Ihre Unternehmensdaten so weit wie möglich. Beachten Sie folgende Faustregel: Wenn eine bestimmte Zugriffsbeschränkung Ihren Workflow nicht beeinträchtigt, behalten Sie sie bei. So vermeiden Sie Vorfälle wie den, mit dem Jira -Nutzer konfrontiert waren.
Standards implementieren
Im Umgang mit Unternehmensdaten gehen viele Menschen sorglos vor. DoControl fand heraus, dass 20 % aller SaaS-Ressourcen intern per Link und 18 % extern geteilt werden, wodurch Daten unbefugten Nutzern zugänglich gemacht werden. Die Entwicklung von Nutzungsrichtlinien für die Anwendung, die Ihre Mitarbeiter anleiten, trägt dazu bei, solche Datenlecks zu minimieren.
Schulen Sie Ihre Mitarbeiter
Die lasche Haltung gegenüber Firmeneigentum könnte auch darauf zurückzuführen sein, dass manche Mitarbeiter nicht im verantwortungsvollen Umgang mit Daten geschult sind oder sich der Notwendigkeit dessen nicht bewusst sind. Ein formelles Sicherheitsschulungsprogramm mit regelmäßigen Trainingseinheiten kann hier Abhilfe schaffen. Es reduziert zudem das Risiko von Angriffen mithilfe von Social-Engineering-Techniken.
Überversorgung vermeiden
Moderne SaaS-Umgebungen sind überbelegt. Studien zeigen, dass über die Hälfte der Anwendungen in einem durchschnittlichen SaaS-Stack seit über sechs Monaten nicht mehr genutzt wurden. So viele Anwendungen, die möglicherweise sensible Daten enthalten, stellen ein unvertretbares Risiko dar. Entfernen Sie daher überflüssige Anwendungen, sobald Sie diese erkennen.
Prüfen Sie jede App sorgfältig, bevor Sie sie in Ihren Stack aufnehmen
Je mehr Apps Sie nutzen, desto größer sind die Cybersicherheitsrisiken, denen Ihre Daten ausgesetzt sind. Prüfen Sie daher jede einzelne App, die Sie für Ihr Unternehmen einsetzen möchten, sorgfältig. Die folgenden Fragen helfen Ihnen, unzuverlässige Anbieter auszusortieren:
- Lässt die Konzeption des Zugriffskontrollsystems die Vermeidung von Netzwerksicherheitsproblemen zu?
- Enthalten die Zugriffseinstellungen verschiedene Stufen von Benutzerzugriffsbeschränkungen?
- Müssen Sie Vorschriften wie GDPR oder HIPAA (oder andere für Ihren Fall relevante Vorschriften) einhalten?
- Sind Sie bereit, externe Cybersicherheitsprüfungen durchzuführen?
- Besitzen Sie Zertifizierungen im Bereich Cybersicherheit, wie beispielsweise ISO-Zertifizierungen?
- Können Ihre Kunden kontrollieren, wo ihre Daten gespeichert werden?
- Wo speichern Sie die App-Daten? Bei einem bekannten Cloud-Anbieter wie AWS oder in einem privaten Rechenzentrum?
- Verschlüsseln Sie Daten während der Übertragung und im Ruhezustand?
- Wie lange bewahren Sie Daten in Ihrer App auf, bevor Sie sie löschen?
- Wie kann man verhindern, dass Benutzerdaten bei einer Naturkatastrophe verloren gehen?
Dies ist die grundlegende Checkliste für SaaS-Sicherheit. Für Ihr Unternehmen können weitere Aspekte relevant sein. Doch nun zur nächsten Herausforderung: Angenommen, Sie haben festgestellt, dass Ihre aktuelle Kundensupport-Plattform zahlreiche Sicherheitslücken aufweist und Sie zu einer sichereren Alternative wechseln möchten. Gibt es also eine sichere Möglichkeit, Ihre Daten einfach von einer Plattform auf die andere zu migrieren? Die Antwort finden Sie weiter unten.
Wie Help Desk Migration Cybersicherheitsrisiken vermeidet
Wenn Sie Ihre Helpdesk-Daten sicher migrieren möchten, müssen Sie nicht lange im Internet nach einem vertrauenswürdigen Anbieter suchen. Unsere – Help Desk Migration – erledigt das sicher für Sie. Wir halten uns an folgende SaaS-Sicherheitsstandards, um Ihre Daten zu schützen.
Technische Maßnahmen
Wir bei Help Desk Migrationsind der festen Überzeugung, dass die Sicherheit einer Anwendung hinsichtlich ihres Designs ausschließlich in der Verantwortung des Anbieters liegt. Die Migration von Helpdesk-Daten mit unserem Service ist dank folgender Maßnahmen sicher:
- Zugriffsschutz für Mitarbeiter. Alle Geräte, mit denen unsere Mitarbeiter auf unseren Service zugreifen, sind verschlüsselt (sodass kein Dritter die Daten lesen kann). Die Anmeldung bei unseren Webanwendungen ist nur mit Zwei-Faktor-Authentifizierung möglich. Darüber hinaus nutzen die Help Desk Migration Migrationsplattform sowie die Remote-Mitarbeiter ein Cloudflare WARP. Nur autorisierte Techniker haben Zugriff auf den Quellcode, können benutzerdefinierte Migrationen implementieren und technische Probleme auf Anfrage des Support-Teams beheben.
- Datenaufbewahrungsrichtlinie. Wir löschen alle Migrationsdaten zehn Tage nach der Demo-Migration und fünf Tage nach der vollständigen Migration (die Aufbewahrungsfrist kann auf Wunsch verkürzt oder verlängert werden). Kundenpasswörter werden nicht gespeichert.
- Schutz der Produktionsumgebung. Wir setzen alles daran, dass unser Entwicklungsteam in einer geschützten Umgebung an unserem Service arbeiten kann. Dazu gehören zahlreiche Maßnahmen, wie beispielsweise der Austausch öffentlicher/privater Schlüssel anstelle von Passwörtern für den Serverzugriff, die Zwei-Faktor-Authentifizierung für das Admin-Panel, eine strenge Firewall-Konfiguration und vieles mehr.
- Infrastruktur. Unsere gesamte Infrastruktur befindet sich in Deutschland und wird von AWS gehostet. Wir installieren und verwalten alle Datensilos innerhalb dieser Infrastruktur, mit Ausnahme der in AWS S3 gespeicherten Backups. Darüber hinaus legen wir größten Wert auf die physische Sicherheit unserer Server und Dienste.
- Schutz von Daten während der Übertragung und im Ruhezustand. Unser privates Netzwerk ist umfassend gesichert durch Firewalls, DDoS-Schutzmaßnahmen und regelmäßige Netzwerk-Sicherheitsüberprüfungen. SSL-Verschlüsselung schützt die Daten, die über das Internet übertragen werden. Zusätzlich verwenden wir Festplattenverschlüsselung, um statische Daten zu schützen, sodass nur autorisierte Benutzer darauf zugreifen können.
Organisatorische Maßnahmen
Obwohl unser Service von Grund auf sicher konzipiert ist, ergreifen wir eine Vielzahl organisatorischer Maßnahmen, um selbst das geringste Risiko eines Datenlecks auszuschließen. Dazu gehören:
- Vertraulichkeit. Vor Arbeitsbeginn unterzeichnen alle unsere Mitarbeiter eine spezielle Klausel im Arbeitsvertrag, die sie dazu verpflichtet, keine vertraulichen Informationen im Zusammenhang mit dem Help Desk Migration .
- Geschäftskontinuität.
- Wir verpflichten uns, unsere Dienstleistungen für mindestens sechs Monate anzubieten.
- Sicherheitsüberprüfungen. Wir scannen unsere Systeme regelmäßig auf Schwachstellen und führen bei Bedarf Aktualisierungen durch.
- Notfallwiederherstellung. Wir ergreifen alle notwendigen Maßnahmen, um sicherzustellen, dass Ihre Daten nach einer Naturkatastrophe intakt bleiben.
- Funktionstrennung. Um Risiken zu minimieren, halten wir uns an die Richtlinien zur Funktionstrennung. Das bedeutet, dass wir die volle Kontrolle über einen bestimmten Prozess nicht einem einzelnen Mitarbeiter übertragen, sondern diese Funktion auf mehrere Teammitglieder verteilen.
Sicherheitsmerkmale
Und natürlich ist keine zuverlässige SaaS-Lösung vollständig ohne vielfältige Sicherheitseinstellungen, die den Nutzern umfassenden Schutz bieten. Im Bereich Help Desk Migrationumfassen diese unter anderem:
- Zwei-Faktor-Authentifizierung. Unser Anmeldeverfahren beschränkt sich nicht auf die herkömmliche Kombination aus Passwort und E-Mail-Adresse. Wir empfehlen, die Zwei-Faktor-Authentifizierung für erhöhte Sicherheit zu aktivieren.
- Zugriffsüberwachung. Im Migrationsassistenten – unserem Tool zur Anpassung Ihrer Datenstruktur – wird die gesamte Benutzeraktivität gespeichert. Sie können die IP-Adresse, Gerätedaten und den Zeitpunkt der Anmeldung einsehen.
Wir empfehlen unseren Nutzern außerdem, fünf Tage nach der Migration ihre Passwörter zu ändern und die uns erteilten Zugriffsrechte für die Datenübertragung einzuschränken. Sollten Sie eine Sicherheitslücke entdeckt haben, sprechen Sie uns gerne an.
Einhaltung
Wir sind stolz auf unser umfangreiches Portfolio an Compliance-Zertifizierungen, das wir stets aktualisieren und regelmäßig erweitern. Aktuell erfüllen wir die Standards von HIPAA, der EU- GDPR, ISO/IEC 27001:2013 und PCI DSS.
Sicherheitsrichtlinien einsehen , sich mit unserer Servicevereinbarung oder uns bitten, einen Sicherheitsfragebogen auszufüllen.
