Hallo Herr Banse, ich habe kein allzu großes Vertrauen in viele der Clouds, die auch Privatanwendern offenstehen. Ich weiß beispielsweise nicht, wer auf meine Daten Zugriff hat. Mit Sicherheit ist das zumindest der Betreiber.

Diese Befürchtung haben auch Firmen. Und das zu Recht. Aber wir müssen uns auch fragen, was die Alternative für Unternehmen ist …

… ein eigenes kleines Rechenzentrum zu Beispiel.

Es wäre naiv anzunehmen, dass alles, was nicht in der Cloud ist, per se sicherer sei. Die Daten nur lokal zu speichern bedeutet zudem, für alle Aspekte der Sicherheit selbst verantwortlich zu sein. Vom Einspielen der Patches, über Firewalls bis zur operationellen Sicherheit. Insbesondere viele Unternehmen im Mittelstand können sich das nicht leisten. Es kann also sinnvoll sein, seine Daten in die geschützte Umgebung eines Cloud Providers zu geben – sofern Sie ihm ein berechtigtes Grundvertrauen entgegenbringen.

Was meinen Sie mit berechtigt?

Beispielsweise, weil er über Sicherheitszertifizierungen wie etwa nach der internationalen Norm ISO/IEC 27001 verfügt und sich vertraglich verpflichtet, die Daten nicht zu missbrauchen. Aber Sie haben Recht: Rein technisch kann man im Moment nicht komplett ausschließen, dass ein Cloud Provider auf Teile der Daten während der Verarbeitung zugreift.

Das soll sich jetzt ändern – durch Confidential Computing.

Die Technik dafür gibt es erst seit wenigen Jahren. Aber mit ihr gelingt es erstmals, dass selbst der Cloud Provider keinen Zugriff mehr auf Ihre Daten erlangen kann. Möglich wird das, weil die Daten während der Verarbeitung in einer speziellen, hardwarebasierten Ausführungsumgebung isoliert werden. Innerhalb der Hardware verfügen Sie als Cloud-Nutzer*in also über eine Art abgesicherten Container, der Verarbeitung und Speicher zuverlässig abschirmt.

Wie funktioniert das genau?

Die Cloud besteht aus physischen Rechnern. Diese sind in virtuelle Maschinen unterteilt. Diese virtuellen Maschinen können dann einem oder einer einzelnen Kund*in zugewiesen werden. Ohne Confidential Computing könnte der Cloud Provider den Inhalt der virtuellen Maschinen auslesen. Betroffen dabei ist vor allem der Arbeitsspeicher. Hier setzt die Technik des Confidential Computing an. Der Arbeitsspeicher, der normalerweise unverschlüsselt ist, wird nun verschlüsselt. Und das mit einem Schlüssel, den nur ich als Kund*in habe.

Aber diesen Schlüssel hat zunächst doch auch der Provider und könnte ihn also manipulieren.

Ohne zu sehr ins Detail zu gehen: Nein, auch der Provider hat ihn nicht. Der Schlüssel wird in den beteiligten Hardware-Systemen ohne menschliches Zutun ausgehandelt. Selbst der Cloud Provider kann den Schlüsselaustausch weder unterbrechen noch manipulieren.

Die Vorteile der Cloud, wie beispielsweise die Skalierbarkeit, professionelle Backups und die Pflege der Speichersysteme gibt es dann mit akzeptabler Sicherheit. Ist der heilige Gral des Cloud Computing nun gefunden?

Unternehmen steht nun eine geschützte Enklave in der Cloud zur Verfügung, auf die tatsächlich nur der oder die Besitzer*in zugreifen kann und sonst niemand. Die Kontrolle über die Daten sowie der Schutz und die Überprüfung der Integrität bleibt während ihrer gesamten Lebensdauer gewährleistet. Die Methoden des Confidential Computing stellen insbesondere sicher, dass die Daten und der Code des Cloud-Anwenders außerhalb der Sicht und des Zugriffs des Anbieters der Cloud-Plattform bleiben. Das ist ein Meilenstein in der Entwicklung. Insbesondere für Domänen, die einen sehr hohen Sicherheitsbedarf haben. Dazu gehören beispielsweise die Finanzbranche und das Gesundheitswesen. Aber das Interesse und der Wunsch nach Datensouveränität wächst auch in anderen Bereichen stark.

Voraussetzung ist allerdings der Nachweis, dass der Provider Confidential Computing tatsächlich nutzt und nichts verändert. Meines Wissens gibt es dafür aber noch keinerlei Zertifikate oder ähnliches.

Zumindest für Fachleute ist es kein Problem, das nachzuprüfen. Mit Hilfe einer Remote Attestation, also einer Fernattestierung, können Expert*innen nachprüfen, dass diese Enklave existiert und nicht manipuliert wurde.

Das Problem aber dürfte sein, dass ich dann genau das brauche, was ich als Mittelständler*in durch das Benutzen von Cloud-Funktionen eigentlich ein Stück weit verhindern wollte: Mir spezielle IT-Expertise aneignen zu müssen.

Das ist in der Tat ein Problem. Auf der anderen Seite aber bin ich der Überzeugung, dass selbst der Mittelstand ohne ein gewisses Grundverständnis von IT und insbesondere von IT-Sicherheit nicht bestehen kann. Auch deshalb haben wir im Fraunhofer Cluster of Excellence Cognitive Internet Technologies CCIT und am Fraunhofer-Institut für Angewandte und Integrierte Sicherheit AISEC neben Forschungen und wissenschaftlichen Veröffentlichungen zu diesem Thema eine Vielzahl an Beratungsangeboten ausgearbeitet. Das geht hin bis zur prototypischen Umsetzung einzelner Applikationen. Dazu gehören aber auch Fragen zu verfügbaren Technologien oder Auskünfte über die Qualitäten verschiedener Cloud Provider und deren Einsatz von Confidential Computing.

Wichtig scheint das auch deshalb zu sein, weil es nicht die eine Methode des Confidential Computing gibt.

Auch die Anwendungsfälle sind teils sehr unterschiedlich. Es gibt zum Beispiel Ansätze, bei denen die sichere Enklave nur für einzelne Applikationen genutzt wird. Dann kommt es aber zu Limitierungen hinsichtlich der Größe des Arbeitsspeichers oder der Rechenleistung. Ein anderer Ansatz hat zum Ziel, die gesamte Virtuelle Maschine zu verschlüsseln. Wir entwickeln deshalb auch Werkzeuge, um die Überprüfung verschiedenster Sicherheitsszenarien möglichst automatisiert durchführen zu können.

Sie haben als Leiter der Geschäftsstelle des Fraunhofer CCIT auch Unterstützungsleistungen entlang der Customer Journey bei der Digitalisierung entwickelt.

Der Fraunhofer Cluster of Excellence Cognitive Internet Technologies CCIT arbeitet in drei Forschungszentren an Schlüsseltechnologien für das kognitive, industrielle Internet. Unser Ziel ist die Einrichtung einer tragfähigen Infrastruktur für eine agile, flexible und digitalisierte Industrie. Deshalb gehört dazu auch eine umfassende Unterstützung und Wissensweitergabe – unter anderem im Bereich des Confidential Computing. Wir führen beispielsweise Workshops durch und zeigen, welche Technologien sich je nach Use Case für die jeweiligen Kund*innen am besten eigenen. Das gilt auch für den Bereich des Cloud Computing und der Cloud Provider. Dabei berücksichtigen wir insbesondere auch die Forschungsergebnisse von Projekten wie GAIA-X, der Initiative für ein europaweites digitales Ökosystem oder Angebote der International Data Spaces. In dieser von Fraunhofer gestarteten Initiative geht es um die Entwicklung eines Datenraumes für den vertrauenswürdigen Datenaustausch zwischen Unternehmen.

Das Fraunhofer-Institut für Angewandte und Integrierte Sicherheit AISEC, für das Sie forschen, hat dafür den Trusted Connector entwickelt.

Über diese Konnektoren wird unter anderem der Datentransfer geregelt. Konnektoren sorgen dafür, dass die Daten entsprechend vorgegebener Regeln aufbereitet werden. Der Trusted Connector bietet hier eine ausgesprochen hohe Sicherheitsgarantie.

Das Confidential Computing scheint eine fast finale Lösung zu sein, um die Cloud nachweislich sicher zu nutzen. Was kann also noch kommen?

Ein Problem wird die Software bleiben. Aber auch im Bereich Hardware stehen wir noch vor einer Reihe von Forschungsaufgaben. Denn die Hardware für das Confidential Computing ist auch deshalb so sicher, weil wir nach menschlichem Ermessen keinen Zugriff auf den Kern des Systems haben. Auf der anderen Seite bedeutet das, dass wir es mit einer Art Black Box zu tun haben, bei der nur der Hersteller weiß, was genau dort wie abläuft. Das ist nicht transparent genug. Ich kann mir gut vorstellen, dass wir das Problem lösen könnten, wenn auch für diese Hardware verstärkt Open-Source-Ansätze genutzt würden. Sicherheitsfeatures in Prozessoren könnten dann auch von Außenstehenden auf Herz und Nieren geprüft werden.

(hen)

Datenökosysteme werden in diversen gesellschaftlichen Bereichen immer wichtiger - ob Medizin, Handel, Industrie: Die Anwendungsmöglichkeiten sind fast unbegrenzt. Im Zuge des Tags der Datenökosysteme am 26. November haben wir einen tieferen Einblick in dieses Forschungs- und Anwendungsgebiet. Mehr Informationen zum Thema finden Sie hier.