Du hast deinen AdBlocker an?

Es wäre ein Traum, wenn du ihn für t3n.de deaktivierst. Wir zeigen dir gerne, wie das geht. Und natürlich erklären wir dir auch, warum uns das so wichtig ist. Digitales High-five, deine t3n-Redaktion

t3n 42

Sicheres Hosting: Auf diese Aspekte müssen Admins achten

    Sicheres Hosting: Auf diese Aspekte müssen Admins achten

Grafik: vasabii / iStock

Ob Webspace-Paket, eigener Server oder Cloud-Lösung: Sicherheit spielt beim Webhosting eine große Rolle. Mit der Produktauswahl bestimmt der Hosting-Kunde wesentliche Aspekte. Auf die Sicherheit des Rechenzentrums hat er dagegen keinen Einfluss. Umso wichtiger ist es, einen zuverlässigen Hosting-Partner zu finden. Sven Hähle zeigt in unserer „Themenwoche Cloud und Hosting“ auf welche Aspekte Admins achten müssen.

Themenwoche Cloud und Hosting

Wer eine Hosting-Lösung für ein Internet-Projekt sucht, vergleicht oft zuerst Speicherplatz, Datenbank- und Programmierfunktionen. Das sind zwar wichtige Kriterien für die Produktauswahl, doch vielmehr bestimmen Sicherheitsaspekte, wie praxistauglich eine Hosting-Lösung ist. Der beste Server nützt gar nichts, wenn er nicht erreichbar ist, und die schnellste Festplatte ist rausgeschmissenes Geld, sollten Daten verloren gehen.

Überblick: Vier Sicherheitsbereiche

Sicherheit beim Webhosting betrifft vier Bereiche – man kann auch sagen: vier Ebenen. Ganz oben steht die Sicherheit der Rechenzentren, die der Hosting-Provider gewährleisten muss. Dazu gehören Gebäudesicherheit, ausfallsichere Stromversorgung und Klimatisierung, auf die der Hosting-Kunde keinen Einfluss hat. Der zweite Bereich ist die Sicherheit des Netzwerks beim Provider, etwa Firewalls und Intrusion-Prevention-Systeme – das Abwehrsystem gegen Cyber-Angriffe unterschiedlicher Art. Auch hier muss man dem Hoster vertrauen. Ebene drei ist die Produktsicherheit. Dazu zählen Backups, Betriebssystem- und Software-Updates und Maßnahmen der Systemüberwachung – als deren Folge auch Service und Support. Die Produktsicherheit ist vom Kunden steuerbar, indem er das richtige Produkt auswählt und fachgemäß nutzt. Deshalb steht sie im Mittelpunkt dieses Artikels. Mit dem vierten Bereich der Hosting-Sicherheit beschäftigen wir uns absichtlich nicht: Die administrative Projektsicherheit hängt allein vom Online-Projekt ab und muss durch dieses gewährleistet werden.

Schwerpunkt: Die Produktsicherheit

So unterschiedlich die Hosting-Produkte sind, so verschieden sind auch ihre Sicherheitsmerkmale. Shared Hosting bietet weniger vom Kunden steuerbare Sicherheitsoptionen als ein dedizierter Root-Server, die Sicherheitseigenschaften virtueller Server unterscheiden sich von denen in der Cloud. Doch es gibt auch Gemeinsamkeiten: Aspekte der Produktsicherheit, die für alle Hosting-Varianten gelten. Dazu zählen regelmäßige Backups, denn sie sind die beste Vorsorge für den Fall eines Datenverlusts.

Backups von Dateien und Datenbanken

Bei virtuellen und dedizierten Servern erfolgt das Backup von Dateien meist mittels File Transfer Protocol (FTP) auf einen vom Server unabhängigen Speicherplatz, den der Provider zur Verfügung stellt. Je nachdem, ob es sich um einen Managed-Server oder einen Root-Server handelt, obliegt die Einrichtung und Steuerung des FTP-Backups mehr oder weniger dem Hosting-Provider oder dem Kunden. Wie viel Speicherplatz nutzbar ist, hängt vom gewählten Hosting-Produkt ab. Oft sind mehrere Dutzend bis zu einigen hundert Gigabyte inklusive, mehr Backup-Space kostet extra. Doch es gibt auch Server-Angebote, bei denen der Kunde von Anfang an für Backups zahlen muss. Automatische Backups sind der Standard, zusätzliche manuelle Backups bietet dagegen nicht jede Hosting-Lösung. Diese sind allerdings notwendig, damit der Kunde bestimmte Daten zu bestimmten Zeiten sichern kann, ohne auf die Vorgaben des Hosters angewiesen zu sein.

Auch beim Shared Hosting sind Backups des Webspace-Inhalts möglich – zumindest bei professionellen Angeboten. „BackupControl“ von Strato etwa sichert die Webspace-Daten täglich um 8, 16 und 24 Uhr. Wenn nötig, kann der Kunde die Situation zu einem bestimmten Zeitpunkt der letzten drei Tage wiederherstellen oder auf ein wöchentliches Backup der letzten vier Wochen zurückgreifen. Ein ähnliches System bietet 1&1: „Webspace Recovery“ stellt die Backups der letzten sechs Tage wieder her.

Neben Datei-Backups sind Datenbank-Backups sehr wichtig, da sich Datenbankinhalte schnell ändern. Diese regelt jeder Hoster anders: Zum Beispiel lassen sie sich bei Hostnet über das Administrationstool „easyTECC“ steuern, während Goneo und andere Anbieter das kostenlose Tool „MySQLdumper“ empfehlen, das der Kunde auf seinem Webspace erst installieren muss.

Updates für System und Software

Wichtig für die Produktsicherheit sind regelmäßige Updates des Betriebssystems und der Software. Kritische Sicherheits-Updates sollten sofort erfolgen, um Cyber-Attacken aller Art zu verhindern. Beim Shared Hosting muss sich der Kunde darauf verlassen, dass der Hosting-Provider die Systeme pflegt. Wer dagegen einen dedizierten Root-Server mietet, ist für Updates des Betriebssystems und der Software selbst verantwortlich. Die Administration erfordert Fachwissen und kostet Zeit, weshalb viele Nutzer lieber zu einem Managed-Server greifen, bei dem sich der Hosting-Anbieter um die Systempflege kümmert. Doch aufgepasst: Welche Leistungen zum Server-Management gehören und welche nicht, regelt jeder Hoster anders. Daher sollte man sich genau informieren, bevor man sich für ein bestimmtes Angebot entscheidet.

Server-Festplatten im RAID-Verbund

Redundanz sorgt für mehr Sicherheit. Deshalb arbeiten Server-Festplatten in einem RAID-Verbund, sodass alle Daten automatisch zwei- oder mehrfach gespeichert werden. Das am häufigsten eingesetzte Verfahren ist RAID1, wobei die Daten auf zwei Festplatten gespiegelt werden. Je nach Angebot handelt es sich um ein Hardware- oder Software-RAID. Beim Hardware-RAID steuert eine Hardware den Festplatten-Verbund: der Controller. Beim Software-RAID kommt nicht etwa eine eigene Steuer-Software zum Einsatz, vielmehr hat der Server-Prozessor das Kommando über die Festplatten. Das kann, muss aber nicht zu Performance-Einbußen des Servers führen. Und in Sachen Sicherheit kann ein Hardware-RAID sogar mehr Probleme bereiten als Software-RAID, nämlich dann, wenn der Controller ausfällt.

Server-Überwachung rund um die Uhr

Trotz regelmäßig gewarteter Systeme und redundanter Hardware kann jede Hosting-Lösung versagen. Netzwerk-, Hardware- oder Software-Probleme können der Grund sein. Die Probleme möglichst schnell zu beheben, ist die wesentliche Aufgabe; die Ursachen zu erkennen, die schwierigere. Monitoring-Systeme helfen dabei. Sie überwachen Server-Systeme, idealerweise rund um die Uhr, und melden dem Kunden Auffälligkeiten. Je nach Anbieter wird der Kunde per E-Mail und/oder SMS benachrichtigt. Seltener ist die Benachrichtigung per Messenger, Twitter oder gar per Telefon möglich. In jedem Fall kann der Kunde selbst auf die Probleme reagieren oder den Hoster zurate ziehen. Kunden eines Managed-Servers haben dabei Vorteile gegenüber Root-Server-Nutzern.

Neben guter technischer Infrastruktur ist es auch wichtig, dass bei technischen Störungen rund um die Uhr Wartungspersonal zur Stelle ist, das technische Ausfälle sofort beheben kann.
Neben guter technischer Infrastruktur ist es auch wichtig, dass bei technischen Störungen rund um die Uhr Wartungspersonal zur Stelle ist, das technische Ausfälle sofort beheben kann.

Standard- oder 24/7-Support

Service und Support spielen für die Sicherheit beim Webhosting eine wesentliche Rolle. Denn alle technischen Maßnahmen nützen nichts, wenn im Ernstfall keine Hilfe vom Hoster zu erwarten ist. Fragt deshalb bei eurem Provider, welche Leistungen der Standard-Support per Telefon und E-Mail umfasst und welche Kosten dafür entstehen. Hilfe rund um die Uhr sollte eigentlich selbstverständlich sein, ist es aber keinesfalls: Einige Hosting-Provider bieten keinen 24/7-Support an oder verlangen für Hilfe außerhalb der Geschäftszeiten hohe Gebühren. In einem Service-Level-Agreement (SLA) legen manche Hoster ihre Leistungen genau fest. Oft machen sie darin auch Angaben zur Verfügbarkeit ihrer Angebote.

(Nicht-)Verfügbarkeit

Auf den ersten Blick scheint zwischen 99,0 und 99,99 Prozent Verfügbarkeit kein großer Unterschied zu sein. Was macht schon ein Prozent aus? Sehr viel! Denn ein Prozent vom Jahr sind etwa 3,5 Tage. Wenn Hoster „nur“ 99 Prozent Verfügbarkeit garantieren, bedeutet es also, dass das Hosting-Angebot bis zu 3,5 Tage im Jahr ausfallen kann, ohne dass der Provider dafür haften muss. Für viele Internet-Projekte hätte ein solcher Ausfall fatale Folgen.

Sicheres Cloud-Hosting und Datenschutz

Beim Cloud-Hosting wird zwischen Public Clouds, Private Clouds und Hybrid Clouds unterschieden. Geht es um die Sicherheit, ist diese Unterscheidung ganz besonders wichtig.

Public Clouds entsprechen der Grundidee des Cloud Computing: Die Hosting-Kunden teilen sich die vom Provider angebotenen Ressourcen. Die benötigten Hosting-Leistungen lassen sich jederzeit ändern, und zwar im laufenden Betrieb. Beim Autoscaling erfolgt diese Ressourcen-Anpassung sogar automatisch. Der Kunde zahlt nur für tatsächlich genutzte Leistungen. So fortschrittlich das auch sein mag, so unübersichtlich ist die Sicherheitslage: Möglicherweise sind die „Standorte“ von Public Clouds anonym über die ganze Welt verteilt. Die Nutzer können ihre Daten nicht räumlich lokalisieren. Sie wissen womöglich nicht, in welchen Ländern, in welchen Rechenzentren, auf welchen Servern und mit welcher Software ihre Daten gespeichert und verarbeitet werden. Gemäß der Philosophie des Cloud Computing erfährt der Kunde vermutlich nicht, ob der Hoster Outsourcing von Dienstleistungen vornimmt. So ist es auch denkbar, dass Provider einen Handel mit ihren Ressourcen betreiben.

Kritiker von Public Clouds sehen sogar eine zunehmende Gefahr des Datendiebstahls, weil immer mehr Personen Administrationsaufgaben erhalten und sich unter ihnen „schwarze Schafe“ befinden könnten. Auch das kürzliche Urteil des Europäischen Gerichtshofs bezüglich des Safe-Harbor-Abkommens zeigt, wie schwierig aktuell die internationale Rechtslage ist. Das Gericht hatte das Abkommen, das den Datenaustausch zwischen der EU und den USA regelt, für ungültig erklärt, weil es die persönlichen Daten europäischer Internetnutzer nicht ausreichend vor dem Zugriff der Behörden in den USA geschützt sieht.

Kein Wunder, dass viele Unternehmen Private Clouds bevorzugen. Das sind dedizierte Server-Umgebungen, in denen der Hosting-Kunde seine eigene, private Cloud betreiben kann. Er muss die Infrastruktur nicht mit anderen teilen. Das begrenzt die Skalierbarkeit der Hosting-Angebote, erhöht jedoch die Sicherheit.

Ein deutsches Unternehmen, das personenbezogene Daten zu einem Cloud-Anbieter auslagert, muss sicherstellen, dass dieser die deutschen Datenschutzgesetze einhält. Allerdings garantieren das nur Hosting-Provider mit Sitz in Deutschland. Allein ein Rechenzentrum in Deutschland ist keine Garantie dafür. Bestes Beispiel ist der Marktführer Amazon mit seinen Amazon Web Services (AWS), welche zum Beispiel die Public-Cloud-Lösung Amazon Elastic Compute Cloud (EC2) sowie die Amazon Virtual Private Cloud enthalten. Wer diese Dienste in Deutschland nutzt, um unter Datenschutzgesetze fallende Daten zu speichern, geht möglicherweise ein Risiko ein. Zwar hat Amazon seine Dienste in diesem Jahr stärker ans europäische Recht angelehnt, doch eine Garantie für die Einhaltung deutschen Rechts gibt es nicht. Ausländische Unternehmen unterliegen generell dem Recht des jeweiligen Landes und können deshalb verpflichtet werden, Daten herauszugeben.

Für Kunden eines deutschen Hosters könnte auch die Nutzung einer Hybrid Cloud interessant sein. Dabei werden datenschutzrelevante Daten in einer Private Cloud gespeichert, andere Daten in einer Public Cloud. Bei Lastspitzen kann der Kunde mehr Leistung aus der Public Cloud hinzubuchen.

Mehr Ausfallsicherheit in der Cloud

Wer individuelle Hosting-Lösungen für komplexe Internet-Projekte braucht, interessiert sich möglicherweise für Cluster-Hosting – eine Hosting-Variante, bei der mehrere reale Server oder Instanzen in der Cloud kombiniert werden, wie zum Beispiel beim System „FlexCluster“ von Profihost. Anstatt die Leistung eines Servers oder einer Cloud-Instanz weiter zu erhöhen und das System irgendwann voll auszuschöpfen, ist es häufig effektiver, mehrere Server oder Instanzen zu einem Cluster zu kombinieren. Das bringt nebenbei einen großen Vorteil für die Sicherheit: Die Cluster-Elemente sichern sich gegenseitig ab. Bei plötzlichen Störungen eines Systems springt ein anderes ein, während sich die Probleme ohne Ausfallzeiten des Internet-Projekts beheben lassen.

Noch mehr Ausfallsicherheit verspricht die Kombination von Load Balancing mit einer Cluster IP, wie sie zum Beispiel Host Europe und Strato anbieten. Über eine zusätzliche IP-Adresse lassen sich Web-Anfragen innerhalb weniger Minuten auf einen anderen Server umleiten. Ist der als Master konfigurierte Server nicht erreichbar, etwa wegen Wartungsarbeiten oder eines Software-Fehlers, springt in kürzester Zeit ein anderer Server ein. Außerdem gibt es eine Reihe weiterer Szenarien für die ClusterIP.

Load Balancing sorgt – wie hier beim Hoster Anexia – für ausgeglichene Leistungen beim Cluster-Hosting, was auch die Sicherheit erhöht.
Load Balancing sorgt – wie hier beim Hoster Anexia – für ausgeglichene Leistungen beim Cluster-Hosting, was auch die Sicherheit erhöht.

Systemsicherheit beim Hosting-Provider

Mit der Auswahl des bestmöglichen Hosting-Produkts und dessen richtiger Nutzung tragen Kunden wesentlich zur Sicherheit eines Internet-Projekts bei. Auf die Sicherheit des Netzwerks beim Provider haben sie dagegen null Einfluss. Dennoch lohnt ein Blick auf die Infrastruktur des Hosters, da sie je nach Anbieter mehr oder weniger sicher ist.

Wichtig ist etwa eine effektive Core-Firewall. Dieser vorgeschaltet ist ein Intrusion-Prevention-System (IPS). Ein solches System überwacht den gesamten Datenverkehr zwischen Internet und Rechenzentrum und ist darauf spezialisiert, Cyber-Attacken zu erkennen und abzuwehren. Praktisch alle namhaften Hoster setzen heute Intrusion-Prevention-Systeme oder ähnliche Technologien ein. Erkennt das IPS etwa eine Brute-Force-Attacke, unterbricht oder verändert es die Internetverbindung, wodurch der Angriff sofort gestoppt wird.

Sicherheit in den Rechenzentren

Mit der Entscheidung für einen bestimmten Hosting-Provider vertraut der Kunde voll und ganz auf dessen Kompetenz. Das betrifft auch die Ausstattung und den Betrieb der Rechenzentren. Die TÜV-Zertifizierung nach ISO 27001 zeigt, dass die Rechenzentren von Anexia, Claranet, Goneo, Mittwald, PlusServer, Strato und anderen Hostern besonders hohe Sicherheitsstandards erfüllen. Ein anerkanntes Zertifikat belegt die Erfüllung der Anforderungen sowohl des Gesetzgebers als auch der Kunden an ein modernes Informations- und Sicherheitsmanagement. Der Kunde, der personenbezogene Daten durch Dritte verarbeiten lässt, ist gemäß §11 BDSG verpflichtet, sich „regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen.“ Dank ISO 27001 werden dem Kunden diese aufwendigen Kontrollen erspart.

Doch was macht ein Rechenzentrum überhaupt sicher? An erster Stelle steht die Gebäudesicherheit. Sichere Rechenzentren sind baulich so angelegt, dass sie möglichst vielen unvorhersehbaren Ereignissen standhalten. Das betrifft beispielsweise höhere Gewalt durch Unwetter, Wasser oder Feuer, aber auch vorsätzliche Handlungen wie unbefugtes Eindringen ins Gebäude, Diebstähle, Vandalismus oder terroristische Anschläge. Daher verfügen sichere Rechenzentren nicht nur über ausgeklügelte Brandschutzsysteme, zumeist Gaslöschanlagen auf Basis von Stickstoff oder Argon, sondern auch über Türsicherungssysteme mit protokollierten Schließvorgängen, diverse (Video-)Überwachungseinrichtungen und Alarmsysteme. Die meisten Anlagen sind zwei- oder mehrfach vorhanden, sodass beim Ausfall eines Schutzmechanismus automatisch der Ersatzmechanismus in Kraft tritt.

Gut gerüstet gegen Stromausfälle: Ein solches Diesel-Aggregat gewährleistet die Stromversorgung auch im Ernstfall, wie hier bei 1&1.
Gut gerüstet gegen Stromausfälle: Ein solches Diesel-Aggregat gewährleistet die Stromversorgung auch im Ernstfall, wie hier bei 1&1.

Ein sicheres Gebäude allein garantiert aber noch kein sicheres Rechenzentrum. Die Ausfallsicherheit der Server und anderer Hardware wird durch eine mehrfach redundante Stromversorgung grundlegend sichergestellt. Idealerweise gibt es voneinander unabhängige Stromkreise sowie zwei Stufen der Notstromversorgung: Beim Ausfall des Hauptstromanschlusses übernimmt zuerst eine Unterbrechungsfreie Stromversorgung (USV), und im Notfall liefern Diesel-Aggregate für einige Tage Strom.

Ein Großteil des Stromverbrauchs geht zu Lasten der Klimatisierung, ohne die kein Rechenzentrum auskommt. Ein gleichbleibendes Raumklima garantiert den reibungslosen Betrieb, sodass eure Internet-Projekte mit Sicherheit gut gehostet sind.

Fazit: Lieber auf Nummer sicher gehen

Bevor ihr euer Internet-Projekt in fremde Hände gebt, prüft genau, ob ihr den richtigen Hosting-Partner und das beste Produkt für eure Zwecke gefunden habt. Achtet auf die genannten Sicherheitsaspekte und fragt besser einmal mehr als zu wenig beim Hosting-Provider nach, was euer Wunsch-Produkt bietet und wie sicher es ist. Bedenkt auch die hohen Ansprüche an den Datenschutz – am besten, ihr sucht euch einen Hoster mit Unternehmenssitz in Deutschland.

Finde einen Job, den du liebst

2 Reaktionen
Sav
Sav

Mal ehrlich, wenn man von "Sicherheitsaspekten" redet, sollte man nicht im gleichen Atemzug FTP erwaehnen. Ein moderner und angemessener Hoster sollte SSH anbieten.

Antworten
UliR
UliR

Aus meiner Sicht ist das Thema Verfügbarkeit - wie im Beitrag beschrieben nicht unerheblich. Doch in dem Kontext sollte auch den SLA Aufmerksamkeit zukommen. Wenn diese nach rein kaufmännischen Gesichtspunkten des Hostinganbieters abgefasst sind, bleibt der Dienst dabei auf der Strecke. Die Fallstrocke und Risiken lassen sich in diesem Blogbeitrag entdecken. http://blog.adacor.com/sla_2373.html

Antworten

Melde dich mit deinem t3n-Account an oder fülle die unteren Felder aus.

Abbrechen