Ein Cloud-Dienst kann funktional überzeugen, wirtschaftlich erscheinen und sich einfach integrieren lassen. Wenn sicherheitsrelevante Aktivitäten nicht nachvollziehbar sind, ist er für den geschäftlichen Einsatz dennoch ungeeignet.
Auditierbarkeit ist keine Zusatzfunktion. Sie ist eine grundlegende Voraussetzung dafür, Verantwortung tatsächlich wahrnehmen zu können.
Accountability braucht Nachweise
Unternehmen bleiben auch beim Einsatz eines Cloud-Dienstes dafür verantwortlich, dass Daten geschützt, Berechtigungen kontrolliert und Sicherheitsvorfälle untersucht werden können.
Diese Verantwortung lässt sich jedoch nur wahrnehmen, wenn der Anbieter die dafür notwendigen Informationen bereitstellt. Es muss unter anderem nachvollziehbar sein:
- wer sich angemeldet oder einen Anmeldeversuch durchgeführt hat,
- wer Rollen und Berechtigungen verändert hat,
- welche administrativen oder besonders privilegierten Aktionen ausgeführt wurden,
- ob Daten exportiert, verändert oder gelöscht wurden,
- wann Schnittstellen, Integrationen oder Zugriffsschlüssel eingerichtet wurden,
- und ob Mitarbeiter des Anbieters auf Kundendaten oder Systeme zugegriffen haben.
Fehlen diese Informationen, kann ein Unternehmen seiner Verantwortung nur noch formal, aber nicht praktisch nachkommen. Ohne belastbare Protokolle bleiben bei einer Prüfung oder einem Sicherheitsvorfall Vermutungen anstelle von Nachweisen.
Wenn Accountability zum Produkt wird
Bei einigen SaaS-Angeboten sind grundlegende Audit-Logs nur in höheren Tarifen oder als kostenpflichtige Zusatzoption verfügbar. Das betrifft nicht nur kleinere Anbieter, sondern auch etablierte Unternehmen und große Plattformen.
Damit wird Accountability faktisch zu einem Produktmerkmal, das zusätzlich gekauft werden muss.
Das ist problematisch. Ein Anbieter ermöglicht im günstigeren Tarif weiterhin administrative Änderungen, Datenexporte, die Vergabe weitreichender Berechtigungen oder die Einrichtung von Schnittstellen. Er stellt aber nicht die notwendigen Protokolle bereit, um diese Vorgänge später nachvollziehen zu können.
Der Tarif ist damit nicht direkt funktional eingeschränkt, aber ihm fehlt eine grundlegende Voraussetzung für den kontrollierten Betrieb.
Die Lücke fällt häufig zu spät auf
Im laufenden Betrieb bleibt die fehlende Auditierbarkeit oft unbemerkt. Der Dienst funktioniert, Benutzer können arbeiten und alle vorgesehenen Funktionen stehen zur Verfügung.
Sichtbar wird die Lücke möglicherweise erst, wenn:
- ein Sicherheitsvorfall untersucht werden muss,
- eine Datenschutzverletzung bewertet werden soll,
- eine interne oder externe Prüfung stattfindet,
- ein Kunde belastbare Nachweise verlangt,
- oder Unregelmäßigkeiten bei Berechtigungen und Datenzugriffen auftreten.
Dann kommt ein nachträgliches Tarif-Upgrade zu spät. Ereignisse, die zuvor nicht protokolliert wurden lassen sich nicht rückwirkend rekonstruieren.
Der Kunde befindet sich damit in einer Sackgasse: Die Nachweise werden benötigt, wurden aber nie erzeugt und stehen nicht zur Verfügung.
Audit-Logs müssen eine Basisfunktion sein
Zusätzliche Leistungen dürfen kostenpflichtig sein. Dazu können eine längere Aufbewahrung, erweiterte Auswertungen, Echtzeitwarnungen, die automatische Übertragung an ein zentrales Sicherheitsmonitoring oder besonders leistungsfähige Programmierschnittstellen gehören.
Die grundlegende Protokollierung sicherheitsrelevanter Aktivitäten gehört jedoch in jeden Tarif, der für den geschäftlichen Einsatz angeboten wird. Sie muss ohne Zusatzmodul und ohne nachträgliches Upgrade verfügbar sein.
Der Grundsatz ist einfach:
Was ein Cloud-Dienst ermöglicht, muss er auch nachvollziehbar protokollieren.
Dazu gehören ein ausreichender Ereignisumfang, eindeutige Zeitpunkte und Benutzerzuordnungen, eine angemessene Aufbewahrung sowie die Möglichkeit, die Protokolle einzusehen und zu exportieren.
Fehlende Auditierbarkeit ist ein Ausschlusskriterium
Die Frage nach Audit-Logs gehört an den Anfang jeder Produktauswahl. Nicht erst in die Betriebseinführung und schon gar nicht erst in die Vorbereitung auf eine Prüfung.
Vor einer Entscheidung muss eindeutig geklärt sein:
- Welche sicherheitsrelevanten Ereignisse werden protokolliert?
- Sind die Protokolle im vorgesehenen Tarif vollständig enthalten?
- Wie lange werden sie aufbewahrt?
- Lassen sie sich einsehen und exportieren?
- Werden auch privilegierte Aktionen und Zugriffe des Anbieters erfasst?
- Können Protokolle nachträglich verändert oder gelöscht werden?
Kann ein Anbieter diese Anforderungen im vorgesehenen Tarif nicht erfüllen, darf der Tarif nicht als günstigere Alternative bewertet werden. Er muss aus der Auswahl ausscheiden.
Werden grundlegende Audit-Logs generell nur gegen Aufpreis angeboten, ist auch der Anbieter selbst bewusst auszusortieren. Denn er verkauft nicht nur zusätzliche Funktionen. Er verkauft die Voraussetzung dafür, dass der Kunde seine eigene Verantwortung wahrnehmen kann.
Die Konsequenz muss eindeutig sein
Accountability darf nicht davon abhängen, ob ein zusätzlicher Tarifbaustein gebucht wurde. Sie muss technisch möglich sein, sobald ein Cloud-Dienst geschäftlich genutzt wird.
Ein Angebot ohne grundlegende Audit-Logs ist deshalb nicht nur unvollständig. Es ist für einen kontrollierten Unternehmenseinsatz ungeeignet.
Cloud-Services ohne grundlegende Auditierbarkeit gehören nicht in den produktiven Einsatz.