Internet: Cloud: Sicherheit

Datensicherung über das Internet

Eine „Cloud“ (sprich „Klaud“) ist ein digitaler Speicher, auf den Sie über das Internet zugreifen können. Wie praktisch, wenn man überall auf der Welt Zugriff auf seine Daten, Fotos und Musik hat! „Cloud“ wird mit „Wolke“ übersetzt. Wie in einer undurchsichtigen Wolke ist nicht zu sehen, wo sich Ihre Daten befinden – in welchem Rechenzentrum auf welchem Kontinent. Sie haben keine Kontrolle mehr über Ihre Daten. Doch der Speicherplatz in der Wolke ist kostenlos oder billig und erspart Ihnen vielleicht die Anschaffung einer externen Festplatte.

Vorteile und Nachteile

Bei einem sogenannten „Online-Backup“ oder „Web-Backup“ können Sie Ihre Daten im Internet hinterlegen. Auf http://de.wikipedia.org/wiki/Online-Datensicherung#Anbieter finden Sie einige Provider. Bei manchen davon kostet es nicht einmal etwas, eine Kopie seiner privaten Daten im Internet zu speichern, allerdings werden Sie im Gegenzug wahrscheinlich mit Werbung belästigt. Je nach Anbieter sind 5 GB bis 50 GB Speicherplatz für private Verwendung kostenlos. Wer mehr Platz braucht, muss zahlen. Wenn Sie eine externe Festplatte oder ein Antivirenprogramm kaufen, hat der Hersteller manchmal ein kostenloses Angebot für Online-Backup beigelegt.

Achten Sie auf die Merkmale der Backup-Software, wenn Sie nicht nur gelegentlich Daten sichern wollen. Die Sicherung sollte nach Zeitplan erfolgen können und ein Protokoll erzeugen.

Weitere Probleme:

Übertragungsgeschwindigkeit

Ein Problem ist die geringe Datenübertragungsrate. In der Upstream-Richtung (vom Computer zum Internet) ist die Datenübertragung erheblich langsamer als beim Download. Ein typischer DSL-6000-Vertrag bietet in der Upstream-Richtung „bis zu“ 512 kbit/s. Das sind theoretisch 230 MByte pro Stunde, weniger als 2 GByte in einer langen Nacht. Etwas besser schneidet DSL-16 000 ab, mit bis zu 1000 kbit/s beim Upload. Erst bei DSL-50 000 (VDSL-50) erreicht die Upload-Geschwindigkeit von typisch 10 000 kbit/s eine brauchbare Größe, damit könnte man pro Stunde bis zu 3,6 GByte sichern. Doch das sind theoretische Werte, die realen Übertragungsraten sind niedriger und sie schwanken stark. Außerdem hängt die Übertragungsgeschwindigkeit von der Dateigröße ab. Wenn die zu sichernden Dateien relativ klein sind, läuft die Übertragung langsam, bei großen Dateien geht der Upload schneller. Bei kostenlosen Angeboten fällt die Übertragungsrate in Spitzenzeiten stark ab oder sie wird ständig gedrosselt, weil die zahlenden Kunden bevorzugt werden.

• Trotz der geringen Upload-Rate eines DSL-Anschlusses können sich im Verlauf von Monaten größere Datenmengen auf dem Server des Providers ansammeln. Bei einem Experiment mit DSL 6000 dauerte es 30 Nächte zu je 6 Stunden, 35 GB über das Internet zu sichern. Wie lange würde es im Schadensfall dauern, den gesamten Datenbestand zurückzukopieren?
• Für die Rücksicherung steht zwar die höhere Downloadrate zur Verfügung, trotzdem hätte die Rücksicherung selbst im 24-Stunden-Betrieb mehrere Tage gedauert. Können Sie sich im Notfall derart lange Wartezeiten leisten? Bevorzugen Sie einen lokalen Anbieter, bei dem Sie Ihre Daten notfalls mit einer externen Festplatte abholen können.
• Die Telekom trennt jede Nacht die DSL-Verbindung für einige Sekunden, und auch bei anderen Anbietern können kurze Unterbrechungen auftreten. Wenn Sie keine Spezialsoftware haben, welche die Verbindung automatisch wiederherstellt, war's das für diese Nacht.
• Wenn eine VPN-Verbindung (eine verschlüsselte Verbindung) benutzt wird, muss sie sich automatisch aufbauen lassen. Die Übertragung muss automatisch starten. Dazu ist vermutlich Spezialsoftware nötig.
• Die Backup-Software darf tagsüber nur einen kleinen Teil der verfügbaren DSL-Bandbreite nutzen, um die Arbeit nicht zu sehr zu behindern. Wenn Sie größere Datenmengen sichern müssen, können Sie das nicht während der Hauptarbeitszeit machen, sie müssen den PC zum Arbeitsschluss eingeschaltet lassen. Beachten Sie, dass nur wenige Festplatten einen Dauerbetrieb zulassen. Eigentlich sollte die Festplatte über Nacht abkühlen können. Eine gute Software fährt den PC nach Abschluss des Backups herunter. Sie können auch das Herunterfahren mit „shutdown“ selbst programmieren für einen Zeitpunkt, wann die Datensicherung erfahrungsgemäß längst beendet ist.
• Möglicherweise sind einige Dateien so groß, dass sie sich nicht in einer Nacht übertragen lassen. Dann müssen Sie ein Backup-Programm benutzen, welches den sogenannten „Restartable Mode“ beherrscht: Nach einem Abbruch muss das Kopieren der „angefangenen“ Datei in der nächsten Nacht an der unterbrochenen Stelle fortgesetzt werden können.

Dienstabschaltung

Was geschieht mit Ihren Daten, wenn der Provider finanzielle Probleme hat? Werden Ihre Daten gewinnbringend verhökert? Was wird, wenn die Firma ihr Geschäftsmodell ändert, von der Konkurrenz übernommen wird oder pleite geht? In keiner anderen Branche werden Firmen schneller gegründet, umbenannt, aufgespalten, geschluckt, verkauft oder umgestaltet.

In welchen Fällen ist die Sicherung über das Internet sinnvoll? Die geringe Datenmenge, die sich in einer Nacht übertragen lässt, passt locker auf einen USB-Stick. Bei Bedarf eine (mehrfach beschreibbare) DVD zu brennen, geht schneller. Eine externe Festplatte ist bequemer zu benutzen. Den PC am Abend bzw. die ganze Nacht eingeschaltet zu lassen, kostet Sie eine Menge Energie, und der Verschleiß des Computers steigt. Die Festplatte bekommt nie Zeit zum Abkühlen.

Natürlich hat die Internet-Datensicherung auch Vorteile:

• Bei einigen Anbietern können Sie Ihre Daten mit Freunden teilen oder gemeinsam daran arbeiten.
• Sie können auch auf Reisen und mit Mobilgeräten Unterwegs auf Ihre Daten zugreifen.
• Sie stehen nach einem Einbruch oder Feuer nicht ohne Daten da.
• Sie brauchen nicht daran zu denken, die letzte Datensicherung der Firma nach Hause mitzunehmen. Sie brauchen niemanden zu belästigen, wenn Sie eine Kopie Ihrer privaten Daten außerhalb Ihrer Wohnung deponieren wollen.

Am sinnvollsten scheint die Internetsicherung zu sein,

• wenn eine Sicherheitskopie der wichtigsten Daten außer Haus gelagert werden soll und sich niemand die Mühe machen will, täglich einen Datenträger nach Hause mitzunehmen oder in den Keller bzw. den Safe zu schaffen,
• als ergänzende Sicherungskopie zu lokal gespeicherten Daten,
• wenn die Sicherung erst in der Nacht erfolgen darf, weil einzelne Mitarbeiter länger arbeiten als der Datensicherungsbeauftragte,
• wenn eine Energieersparnis nicht eintritt, weil der PC ohnehin nie abgeschaltet wird,
• wenn es nicht wünschenswert ist, dass jeden Abend der letzte Mitarbeiter einen Datenträger mitnehmen muss, denn
  • der Datenträger könnte auf dem Weg verloren gehen und in falsche Hände geraten,
  • der jeweils letzte Mitarbeiter soll vertrauliche Daten nicht in die Hände bekommen.
  • es könnte vergessen werden

Datensicherheit

In den Rechenzentren der großen Anbieter werden hochwertige RAID-Systeme eingesetzt, so dass auch bei Ausfall mehrerer Festplatten keine Daten verloren gehen. Gespiegelte Server werden eingesetzt oder ein räumlich entferntes Zweitrechenzentrum, so dass auch bei Ausfall eines Servers oder des ganzen Rechenzentrums Ihre Daten verfügbar bleiben. Außerdem werden regelmäßig Backups durchgeführt. Ihre Daten sind also sehr sicher. So steht es jedenfalls in der Reklame.

Allerdings sind Zweifel angebracht. Wie oft wird ein Backup durchgeführt? Auch die ausgereifteste Infrastruktur kann nicht vor allen menschlichen und technischen Fehlern schützen. Nehmen wir Microsoft, Gentoo und Amazon als Beispiel.

Als Normalverbraucher nimmt man an, dass es Microsoft weder an Geld fehlt noch an Know-how, um ein Rechenzentrum sicher zu betreiben. Im Jahr 2009 startete T-Mobile den Verkauf eines Smartphones „Sidekick“ in den USA. Es hatte eine attraktive Besonderheit: Kontakte, Termine und Daten wurden nicht auf dem Gerät, sondern im Rechenzentrum eines Tochterunternehmens von Microsoft gespeichert. Das Rechenzentrum funktionierte wie eine riesige Speichererweiterung für das Smartphone. Auf 10 GB kostenlosem Speicherplatz konnte man eine Menge Daten unterbringen und einfach mit dem PC und weiteren Geräte synchronisieren − oder auf einem neuen Smartphone wiederherstellen, wenn das Smartphone verloren oder kaputt geht. Doch plötzlich konnten eine Million Käufer des „Sidekick“ zeitweilig nicht mehr auf ihre Daten zugreifen, ein Teil der Daten war endgültig verloren.

Das Projekt „gentoo linux“ hatte seine Wiki-Datenbank bei einem preiswerten Anbieter gehostet. Als dieser seine Energierechnung nicht mehr bezahlen konnte, wurde der Strom abgedreht − für immer. Leider hatten die Admins des Gentoo-Projekts sich nicht die Mühe gemacht, ein Backup zu erstellen, weil sie an die Professionalität und die Zusicherungen des Providers geglaubt hatten. Zum Glück fand sich ein Anwender, der vom deutschen Teil der Datenbank ein älteres Backup hatte. Die Daten in den anderen Sprachen mussten neu erstellt werden.

Amazon ist ein bedeutender Anbieter von Online-Speicherplatz und Computerkapazitäten. Manche Firmen verzichten auf ein eigenes Rechenzentrum und mieten Computerkapazität bei Internet-Anbietern. Es ist deutlich preiswerter, Rechner- und Speicherkapazität zu mieten, als ein eigenes Rechenzentrum aufzubauen und zu unterhalten. Im April 2011 verloren zahlreiche Kunden ihre auf den Amazon-Servern gespeicherten Daten. Der Analyst Henry Blodget meint dazu, dass Amazon (so wie andere Cloud-Anbieter auch) seine Kunden mit dem Versprechen regelmässiger Backups in falscher Sicherheit wiege. Oft würden die zu sichernden Dateien bei genauerem Hinsehen nur irgendwo auf dem gleichen Server oder im gleichen Server-Raum kopiert – mit einer echten Disaster-Recovery-Strategie habe das wenig gemein.

Doch Amazon traf es am 7. August 2011 erneut. Der Strom fiel aus und die Notstromgeneratoren konnten wegen eines Fehlers in ihrer Steuerungssoftware nicht anspringen. Die Sicherheitskopien waren teilweise unbrauchbar, weil sich auch die Backup-Software als fehlerhaft erwies. Nach 68 Stunden hatten 85 % der Kunden ihre Daten zurück, am vierten Tag 98 %. Kunden, die ihre Daten mehrere Tage nicht benutzen konnten, durften den Amazon-Service 10 Tage lang gratis nutzen. 30 Tage Gutschrift erhielten die Kunden, deren Daten nicht wiederhergestellt werden konnten. Welch unglaubliche Großzügigkeit! Wie hoch waren wohl die Verluste für die betroffenen Firmen, die tagelang nicht arbeiten konnten oder gar ihre Daten neu eingeben mussten?

Es ist vorbildlich, dass Amazon einen Bericht über den Vorfall im Internet veröffentlicht hat, damit die Branche daraus lernen kann.

The human checks in this process failed to detect the error. ... We learned a number of lessons from this event. (Deutsch, sinngemäß: „Die Qualitätskontrolle hat dabei versagt, den Fehler zu finden. Aus diesem Vorfall haben wir einige Lektionen gelernt.“)

Es soll hier auf gar keinen Fall der Eindruck erweckt werden, Amazon hätte schlimmere Probleme als der Rest der Branche. Wer zehntausende Server zusammenschaltet, betritt technologisches Neuland und muss mit unerwarteten Problemen rechnen.

Früher einmal baute man „gespiegelte Rechenzentren“: Zwei identische Rechenzentren an weit voneinander entfernten Orten bearbeiteten alle Programme und Daten gleichzeitig. Wenn eins der Rechenzentren durch Erdbeben oder andere Probleme ausfiel, war ja noch das zweite da. Das ist ein über Jahrzehnte ausgereiftes, aber teures Konzept. Um Kosten zu sparen, muss heute oft ein einziges Rechenzentrum als Reserve für mehrere Zentren ausreichen, ähnlich wie bei einem RAID-5-Festplattensystem. Es ist ein überaus komplexes Zusammenwirken von Hard- und Software notwendig, um die Verteilung und Duplizierung der Daten und Prozesse zwischen den Rechenzentren zu organisieren. Bei der benötigten Hardware handelt es sich oft um Prototypen, und die Sicherheitssoftware enthält Fehler wie jede andere Software auch. Wenn es zu einem Problem kommt, ist dieses meist so komplex, dass es zu mehrtägigen Ausfällen kommt.

Ganz gefährlich wird es, wenn Sie das Internet nicht nur für Backups nutzen, sondern Ihre Originaldaten im Internet speichern. Selbst wenn Sie Ihre Daten nicht verlieren: Wie schlimm wäre es, wenn die Internetverbindung ausfällt? DSL-Verträge für Privatnutzer sichern im Kleingedruckten 99,9 % Verfügbarkeit zu. 0,1 % Ausfallzeit (8 Stunden pro Jahr) sind nicht viel, doch hatte ich bedrückend viele Kunden, bei denen es Wochen dauerte, bis das Internet wieder funktionierte. Ihren DSL-Anbieter deswegen zu verklagen ist keinem von ihnen eingefallen. Meine Computerwerkstatt musste einmal drei Wochen ohne Internet auskommen! Die Umsatzausfälle hat mir die Telekom nicht erstattet. Sie sollten also besser alle Daten auf dem eigenen PC lassen und den Internet-Speicherplatz nur für eine Datensicherung verwenden. Wenn das Internet ausfällt, können Sie einige Tage keine Backups durchführen. Das ist nicht schlimm – solange nicht Ihre lokale Festplatte zeitgleich ausfällt.

Datenschutz

• Sie wissen nicht, in welchem Land die Server mit Ihren Daten stehen und welche Datenschutzgesetze dort anwendbar sind. Und was die Provider mit Ihren Daten machen, erfahren Sie nicht.
  • In den USA behalten sich einige Anbieter vor, Ihre Daten zu sichten, um Raubkopien oder "anstößige" Daten zu entfernen.
  • In vielen Ländern haben Geheimdienste und Polizei Zugriff.
  • Google durchsucht E-Mails, Dokumente und Tabellen, z. B. um passende Werbung einblenden zu können.

Das deutsche Datenschutzgesetz verpflichtet Firmen,

• personenbezogene Daten nur innerhalb der EU zu speichern,
• ihren Kunden jederzeit Auskunft geben zu können, wo ihre Daten gespeichert sind.

Gegenmaßnahmen:

• Die Daten sollten über eine sichere, verschlüsselte Verbindung (über ein VPN = virtuelles privates Netzwerk) übertragen werden, damit niemand die Verbindung abhören kann.
• Kontodaten und jegliche Passwörter sollte man nicht im PC speichern, und irgendwohin übertragen sollte man sie schon gar nicht!
• Deshalb sollten wichtige Daten bereits vor der Übertragung verschlüsselt werden, denn es ist bedenklich, seine wichtigsten, vertraulichen Daten einer unbekannten Firma anzuvertrauen. Es sollte eine exzellente Verschlüsselung mit einem sicheren Passwort sein, denn der Empfänger Ihrer Daten (oder deren Dieb) hat alle Zeit der Welt, den Code zu entschlüsseln.

Es gibt auch positive Ausnahmen.

• Die beiden Rechenzentren von Strato stehen in Deutschland und unterliegen den strengen deutschen Datenschutzgesetzen. Strato sichert zu, die Daten niemals weiterzugeben. Die Rechenzentren sind auf klassische Art gespiegelt und vermutlich sicherer als bei Konkurrenten mit unüberschaubarer Serverlandschaft.
• Weitere Anbieter haben den Bedarf nach Speicherkapazität erkannt, die den deutschen Datenschutzbestimmungen unterliegt. Für 1,99 € kann man bei mobilcom-debitel 25 GB Kapazität in der Cloud dazubuchen.

Identitätsdiebstahl

Haben Sie „Das Netz“ mit Sandra Bullock gesehen? Dem US-Journalisten Mat Honan erging es ähnlich, wenn auch nicht ganz so schlimm. Angreifer hatten sich beim Apple-Support erfolgreich als Mat Honan ausgegeben und Zugriff auf sein iCloud-Konto erhalten. Sie meldeten das MacBook als gestohlen und lösten eine Fernlöschung der Festplatte und aller angesteckten Speicher ein. Das E-Mail-Konto wurde missbraucht und 415 000 Twitter-Follower wurden mit anstößigen Inhalten eingedeckt.

Die Zeitschrift ChannelPartner 3/2011 berichtete, dass der Chef von Interpol Opfer eines Identitätsdiebstahls geworden sei. Hohen Beamten war es verboten, einen Facebook-Account zu haben. Kriminelle richteten auf Facebook einen Account unter seinem Namen ein, mit korrekten Angaben zur Person. Einige Kollegen und Freunde des Polizeichefs fielen auf die Facebook-Freundschaftsangebote herein und gaben teilweise berufliche Informationen preis. So gelangten die Kriminellen an interne Daten über Fahndungen nach Schwerverbrechern.

Stellen Sie sich vor, jemand versendet mit Ihrem Absender beleidigende E-Mails an alle Ihre Bekannten! Und hört erst auf, nachdem Sie ein „Schutzgeld“ gezahlt haben!

Datendiebstahl

Die Server der großen Firmen und der Internetprovider sind bevorzugtes Angriffsziel von Hackern. Ein erfolgreicher Einbruch in ein Rechenzentrum hebt das Prestige eines Hackers unter seinen Kumpeln, außerdem kann es finanziell sehr lukrativ sein, die gefundenen Daten zu verwerten. Es vergeht kein Monat, ohne dass einige namhafte Firmen gezwungen sind zuzugeben, dass Daten gestohlen wurden, z. B. Amazon, Ashampoo, Sony Playstation, Mindfactory, Planet4one, Lockheed Martin, Adcell, Citibank, Acer, Sony Pictures, Neckermann, Google Mail, Nintendo.

Selbst die Sicherheitsspezialisten sind nicht sicher.

• Die US-Sicherheitsfirma Barracuda Networks wurde im April 2011 gehackt.
• Im Juni 2011 wurde die Firma RSA gehackt. RSA verwaltet die Sicherheitsschlüssel von Regierungen, Rüstungsfirmen, Geheimdiensten und Großkonzernen. Die gestohlenen Schlüssel wurden u. a. benutzt, um der Rüstungsfirma Lockheed Martin Konstruktionsunterlagen zu entwenden. RSA musste etwa 40 Millionen Kunden empfehlen, ihre Passwörter zu wechseln .

Wenn Sie eine Suchmaschine nach "Datendiebstahl 2016" fragen, finden Sie aktuelle Beispiele.

Aber das ist nur die Spitze eines riesigen Eisberges. Fragen Sie sich einmal:

• Wie viele Firmen haben nicht gemerkt, dass Daten gestohlen wurden?
• Wie viele Firmen haben zwar es gemerkt, aber geben es aus Angst vor Imageschaden nicht zu (bzw. geben es erst zu, wenn die Beweise unübersehbar sind?)

Es vergeht kein Monat, ohne dass einige namhafte Firmen gezwungen sind zuzugeben, dass Daten gestohlen wurden.

Verstoß gegen Nutzungsbedingungen

In den Nutzungsbedingungen der Microsoft-Cloud steht u. a., dass Sie sich verpflichten, kein pornografisches oder terroristisches Material einzustellen. Auch andere Datendienste in den USA behalten sich vor, die Daten ihrer Kunden auf „pornografisches“ und terroristisches Material und Raubkopien zu prüfen.

Ein professioneller Fotograf hielt es für eine gute Idee, seine Fotos in der MS-Cloud zu lagern. Darunter waren auch einige Aktaufnahmen. Microsoft sah darin eine Vertragsverletzung und löschte das Konto, einschließlich aller Fotos, Kundenadressen und anderer Daten. Auch die E-Mail-Adresse wurde gesperrt.

Die beanstandeten Fotos befanden sich im privaten Bereich der Cloud, sie waren also für niemanden außer den Fotografen sichtbar. Wieso fühlt sich Microsoft berechtigt, die Privatsphäre ihrer Kunden zu überwachen?

Dass der Fotograf die bestellten Fotos nicht ausliefern konnte, war das kleinere Problem. Der Fotograf hatte jahrelang Visitenkarten und Prospekte verteilt, und nun war die darauf angegebene E-Mail-Adresse für immer ungültig. Wie viele Aufträge mögen deshalb nicht zustande gekommen sein?

Eine kurze Recherche zeigte: Ein Einzelfall ist das nicht.

• Einem niederländischen Journalisten mit dem Nicknamen „WingsOfFury“ passierte etwa das Gleiche. In seinem Blog fragt er, wie viele Quadratzentimeter Stoff ein Bikini mindestens haben muss, damit er in den USA nicht als anstößig gilt.
• Dem deutschen Fotojournalisten Dirk Salm wurde der Zugang gesperrt: Vier Fotos hätten gegen die Nutzungsbedingungen verstoßen – wegen „Nacktheit“.

Es trifft natürlich nicht nur Journalisten, aber im Unterschied zu „Normalos“ wissen die, wie und wo man sich öffentlichkeitswirksam äußern kann.

Und es betrifft nicht nur Microsoft. Auch andere Datendienste in den USA behalten sich vor, die Daten ihrer Kunden auf „pornografisches“ und terroristisches Material zu prüfen.