Der Einsatz von SaaS-Lösungen (Software as a Service) wird immer häufiger, vor allem weil sie kostengünstig und benutzerfreundlich sind – da Betrieb und Wartung vom Anbieter übernommen werden – und ein hohes Maß an Sicherheit bieten können, da es zu Problemen kommen kann, wenn man nicht vorsichtig ist und die Sicherheit vor dem Kauf nicht sicherstellt. Allzu viele Menschen kaufen eine SaaS-Lösung mit derselben Einstellung wie beim Autokauf: Sie gehen davon aus, dass der Hersteller des Autos dafür gesorgt hat, dass es sicher und einwandfrei ist.
Machen Sie sich zunächst klar, wer für was verantwortlich ist, um sich einen guten Überblick über die Lösung zu verschaffen. In der Cloud gibt es viele verschiedene Modelle: die Private Cloud, bei der Sie Ihre eigene Umgebung einrichten, betreiben und Ihre eigenen Server verwalten; Infrastructure as a Service, bei der Sie als Kunde für bestimmte Teile verantwortlich sind und der Anbieter für andere; dann gibt es Platform as a Service, bei der der Anbieter den Großteil übernimmt, und Software as a Service, um die es in diesem Artikel geht.
Es liegt in Ihrer Verantwortung, sicherzustellen, dass Sie ein Produkt erwerben, das den Sicherheitsanforderungen der Daten entspricht, die von der Lösung verarbeitet werden sollen. Es ist wie beim Autokauf: Volvo ist dafür verantwortlich, dass Sie das Auto sicher fahren können und es nicht zu einem Unfall kommt, aber sollten Sie einen Unfall haben und sich dabei verletzen, ist das Ihr Problem.
Bei der Bewertung von Anbietern und während des Kaufs ist es wichtig, dass Sie klare Sicherheitsanforderungen haben, damit Sie sicherstellen können, dass Ihre Daten bei dem von Ihnen gewählten Anbieter vollkommen sicher sind.
Was ein Anforderungsprofil enthalten sollte, ist individuell. Gehen Sie bei der Erstellung Ihres Anforderungsprofils immer davon aus, welche Art von Daten in der Lösung verarbeitet werden. Wenn Sie beispielsweise Kreditkartendaten haben, muss die Lösung PCI-DSS-konform sein, und wenn Sie personenbezogene Daten haben, muss die Lösung die DSGVO einhalten.
Auch wenn die Anforderungen individuell sind, wird in den allermeisten Fällen sichergestellt, dass Penetrationstests durchgeführt werden. Dies wird in der Regel vom Anbieter übernommen. Ein Tipp ist, darauf zu achten, dass der Anbieter einen Pentester von einer unabhängigen Stelle hinzuzieht. Um ganz auf Nummer sicher zu gehen, sollten Sie beim Kauf einer Lösung auch verlangen, eigene unabhängige Tester einzusetzen, was fast immer möglich ist. Am Ende dieses Artikels finden Sie eine Liste der wichtigsten allgemeinen Punkte, die Sie in eine Sicherheitserklärung aufnehmen sollten.
Die Anbieter stehen der Hinzuziehung einer externen Stelle und der Übernahme der Kosten für die Sicherheitstests in der Regel sehr positiv gegenüber, aber ich denke, Sie sollten darauf bestehen, dass der Anbieter diese Kosten trägt. Schließlich sind Sie der Kunde und bezahlen für das Produkt. Es ist so, als würden Sie ein Auto kaufen und es dann in eine Werkstatt bringen, um zu prüfen, ob es sicher ist – das tun Sie doch auch nicht.
Je nach SaaS-Lösung nehmen Sie möglicherweise individuelle Konfigurationen und Integrationen vor. In diesem Fall führen Sie die Tests auf eigene Kosten durch.
Meistens ist es ratsam, Ihre Anforderungen bereits während der Evaluierung bzw. vor dem Kauf mit dem Anbieter abzustimmen, doch leider stellen viele dies erst zu spät fest. Dadurch geraten Sie in eine Situation ohne maßgeschneiderte Datenanforderungen, was das Ganze noch komplexer macht. Als Erstes sollten Sie sich die Lösung ansehen, beurteilen, wie wichtig sie für Ihre Daten ist, und prüfen, ob es etwas gibt, das Sie ändern müssen oder können. Zweitens sollten Sie herausfinden, ob der Anbieter bereit ist, diese Änderungen vorzunehmen – was in der Regel der Fall ist. Darauf aufbauend erarbeiten Sie gemeinsam eine Liste von Anforderungen, wobei Sie prüfen, was derzeit vorhanden ist und was angepasst werden muss.
Die SaaS-Anbieter sind fast immer bereit, Anpassungen vorzunehmen, aber Sie müssen sich darüber im Klaren sein, dass dies nicht über Nacht geschieht, sondern Zeit braucht. Sollten Sie eine Absage erhalten, müssen Sie einfach entscheiden, ob Sie mit dem Risiko leben können oder sich nach einer neuen Plattform umsehen.
Vor dem Kauf ist es außerdem wichtig, sich darüber zu informieren, wie der Testprozess des Anbieters aussieht und wie dieser mit dem Thema Sicherheit umgeht. Sie möchten keinen Produktverantwortlichen haben, der anderen Dingen Vorrang vor der Sicherheit und den entsprechenden Maßnahmen einräumt.
Finden Sie heraus, ob Sicherheitstests durchgeführt werden und, falls ja, welche Art von Sicherheitstests das sind. Erkundigen Sie sich, wie die Tests ablaufen, wer sie durchführt, wie oft sie stattfinden und wie der Prozess zur Behebung von Schwachstellen aussieht, sollten diese auftreten. Zögern Sie nicht, Nachweise anzufordern, um zu überprüfen, wie die Berichte aussehen und wie frühere Sicherheitslücken (falls vorhanden) behoben wurden.
Die Sicherheitsarbeit sollte kontinuierlich erfolgen; Tests sollten nicht nur durchgeführt werden, wenn jemand danach fragt oder alle drei Jahre.
Da immer mehr Unternehmen auf verschiedene SaaS-Lösungen umsteigen, ist das Angebot auf der Anbieterseite regelrecht explodiert. Unabhängig davon, ob Sie sich für den Betrieb eigener Systeme oder für SaaS-Lösungen entscheiden, ist es äußerst wichtig, sicherzustellen, dass die Anwendung, die Infrastruktur und die Daten angemessen geschützt sind. Das Problem ist, dass wir oft davon ausgehen, dass Sicherheitsmaßnahmen vorhanden sind, ohne diese beim Kauf zu überprüfen oder entsprechende Anforderungen zu stellen – was im Falle eines Angriffs fatale Folgen haben kann.
Wir haben daher eine Checkliste zusammengestellt, welche Anforderungen Sie in der Kaufphase einer SaaS-Lösung berücksichtigen sollten. Die Checkliste finden Sie hier.