Anzeige
Anzeige
Ratgeber
Artikel merken

Sicheres Hosting: Auf diese Aspekte müssen Admins achten

Ob Webspace-Paket, eigener Server oder Cloud-Lösung: Sicherheit spielt beim Webhosting eine große Rolle. Mit der Produktauswahl bestimmt der Hosting-Kunde wesentliche Aspekte. Auf die Sicherheit des Rechenzentrums hat er dagegen keinen Einfluss. Umso wichtiger ist es, einen zuverlässigen Hosting-Partner zu finden. Sven Hähle zeigt in unserer „Themenwoche Cloud und Hosting“ auf welche Aspekte Admins achten müssen.

10 Min. Lesezeit
Anzeige
Anzeige

Grafik: vasabii / iStock

Wer eine Hosting-Lösung für ein Internet-Projekt sucht, vergleicht oft zuerst Speicherplatz, Datenbank- und Programmierfunktionen. Das sind zwar wichtige Kriterien für die Produktauswahl, doch vielmehr bestimmen Sicherheitsaspekte, wie praxistauglich eine Hosting-Lösung ist. Der beste Server nützt gar nichts, wenn er nicht erreichbar ist, und die schnellste Festplatte ist rausgeschmissenes Geld, sollten Daten verloren gehen.

Überblick: Vier Sicherheitsbereiche

Anzeige
Anzeige

Sicherheit beim Webhosting betrifft vier Bereiche – man kann auch sagen: vier Ebenen. Ganz oben steht die Sicherheit der Rechenzentren, die der Hosting-Provider gewährleisten muss. Dazu gehören Gebäudesicherheit, ausfallsichere Stromversorgung und Klimatisierung, auf die der Hosting-Kunde keinen Einfluss hat. Der zweite Bereich ist die Sicherheit des Netzwerks beim Provider, etwa Firewalls und Intrusion-Prevention-Systeme – das Abwehrsystem gegen Cyber-Angriffe unterschiedlicher Art. Auch hier muss man dem Hoster vertrauen. Ebene drei ist die Produktsicherheit. Dazu zählen Backups, Betriebssystem- und Software-Updates und Maßnahmen der Systemüberwachung – als deren Folge auch Service und Support. Die Produktsicherheit ist vom Kunden steuerbar, indem er das richtige Produkt auswählt und fachgemäß nutzt. Deshalb steht sie im Mittelpunkt dieses Artikels. Mit dem vierten Bereich der Hosting-Sicherheit beschäftigen wir uns absichtlich nicht: Die administrative Projektsicherheit hängt allein vom Online-Projekt ab und muss durch dieses gewährleistet werden.

Schwerpunkt: Die Produktsicherheit

So unterschiedlich die Hosting-Produkte sind, so verschieden sind auch ihre Sicherheitsmerkmale. Shared Hosting bietet weniger vom Kunden steuerbare Sicherheitsoptionen als ein dedizierter Root-Server, die Sicherheitseigenschaften virtueller Server unterscheiden sich von denen in der Cloud. Doch es gibt auch Gemeinsamkeiten: Aspekte der Produktsicherheit, die für alle Hosting-Varianten gelten. Dazu zählen regelmäßige Backups, denn sie sind die beste Vorsorge für den Fall eines Datenverlusts.

Anzeige
Anzeige

Backups von Dateien und Datenbanken

Bei virtuellen und dedizierten Servern erfolgt das Backup von Dateien meist mittels File Transfer Protocol (FTP) auf einen vom Server unabhängigen Speicherplatz, den der Provider zur Verfügung stellt. Je nachdem, ob es sich um einen Managed-Server oder einen Root-Server handelt, obliegt die Einrichtung und Steuerung des FTP-Backups mehr oder weniger dem Hosting-Provider oder dem Kunden. Wie viel Speicherplatz nutzbar ist, hängt vom gewählten Hosting-Produkt ab. Oft sind mehrere Dutzend bis zu einigen hundert Gigabyte inklusive, mehr Backup-Space kostet extra. Doch es gibt auch Server-Angebote, bei denen der Kunde von Anfang an für Backups zahlen muss. Automatische Backups sind der Standard, zusätzliche manuelle Backups bietet dagegen nicht jede Hosting-Lösung. Diese sind allerdings notwendig, damit der Kunde bestimmte Daten zu bestimmten Zeiten sichern kann, ohne auf die Vorgaben des Hosters angewiesen zu sein.

Anzeige
Anzeige

Auch beim Shared Hosting sind Backups des Webspace-Inhalts möglich – zumindest bei professionellen Angeboten. „BackupControl“ von Strato etwa sichert die Webspace-Daten täglich um 8, 16 und 24 Uhr. Wenn nötig, kann der Kunde die Situation zu einem bestimmten Zeitpunkt der letzten drei Tage wiederherstellen oder auf ein wöchentliches Backup der letzten vier Wochen zurückgreifen. Ein ähnliches System bietet 1&1: „Webspace Recovery“ stellt die Backups der letzten sechs Tage wieder her.

Neben Datei-Backups sind Datenbank-Backups sehr wichtig, da sich Datenbankinhalte schnell ändern. Diese regelt jeder Hoster anders: Zum Beispiel lassen sie sich bei Hostnet über das Administrationstool „easyTECC“ steuern, während Goneo und andere Anbieter das kostenlose Tool „MySQLdumper“ empfehlen, das der Kunde auf seinem Webspace erst installieren muss.

Anzeige
Anzeige

Updates für System und Software

Wichtig für die Produktsicherheit sind regelmäßige Updates des Betriebssystems und der Software. Kritische Sicherheits-Updates sollten sofort erfolgen, um Cyber-Attacken aller Art zu verhindern. Beim Shared Hosting muss sich der Kunde darauf verlassen, dass der Hosting-Provider die Systeme pflegt. Wer dagegen einen dedizierten Root-Server mietet, ist für Updates des Betriebssystems und der Software selbst verantwortlich. Die Administration erfordert Fachwissen und kostet Zeit, weshalb viele Nutzer lieber zu einem Managed-Server greifen, bei dem sich der Hosting-Anbieter um die Systempflege kümmert. Doch aufgepasst: Welche Leistungen zum Server-Management gehören und welche nicht, regelt jeder Hoster anders. Daher sollte man sich genau informieren, bevor man sich für ein bestimmtes Angebot entscheidet.

Server-Festplatten im RAID-Verbund

Redundanz sorgt für mehr Sicherheit. Deshalb arbeiten Server-Festplatten in einem RAID-Verbund, sodass alle Daten automatisch zwei- oder mehrfach gespeichert werden. Das am häufigsten eingesetzte Verfahren ist RAID1, wobei die Daten auf zwei Festplatten gespiegelt werden. Je nach Angebot handelt es sich um ein Hardware- oder Software-RAID. Beim Hardware-RAID steuert eine Hardware den Festplatten-Verbund: der Controller. Beim Software-RAID kommt nicht etwa eine eigene Steuer-Software zum Einsatz, vielmehr hat der Server-Prozessor das Kommando über die Festplatten. Das kann, muss aber nicht zu Performance-Einbußen des Servers führen. Und in Sachen Sicherheit kann ein Hardware-RAID sogar mehr Probleme bereiten als Software-RAID, nämlich dann, wenn der Controller ausfällt.

Server-Überwachung rund um die Uhr

Trotz regelmäßig gewarteter Systeme und redundanter Hardware kann jede Hosting-Lösung versagen. Netzwerk-, Hardware- oder Software-Probleme können der Grund sein. Die Probleme möglichst schnell zu beheben, ist die wesentliche Aufgabe; die Ursachen zu erkennen, die schwierigere. Monitoring-Systeme helfen dabei. Sie überwachen Server-Systeme, idealerweise rund um die Uhr, und melden dem Kunden Auffälligkeiten. Je nach Anbieter wird der Kunde per E-Mail und/oder SMS benachrichtigt. Seltener ist die Benachrichtigung per Messenger, Twitter oder gar per Telefon möglich. In jedem Fall kann der Kunde selbst auf die Probleme reagieren oder den Hoster zurate ziehen. Kunden eines Managed-Servers haben dabei Vorteile gegenüber Root-Server-Nutzern.

Anzeige
Anzeige
Neben guter technischer Infrastruktur ist es auch wichtig, dass bei technischen Störungen rund um die Uhr Wartungspersonal zur Stelle ist, das technische Ausfälle sofort beheben kann.

Neben guter technischer Infrastruktur ist es auch wichtig, dass bei technischen Störungen rund um die Uhr Wartungspersonal zur Stelle ist, das technische Ausfälle sofort beheben kann.

Standard- oder 24/7-Support

Service und Support spielen für die Sicherheit beim Webhosting eine wesentliche Rolle. Denn alle technischen Maßnahmen nützen nichts, wenn im Ernstfall keine Hilfe vom Hoster zu erwarten ist. Fragt deshalb bei eurem Provider, welche Leistungen der Standard-Support per Telefon und E-Mail umfasst und welche Kosten dafür entstehen. Hilfe rund um die Uhr sollte eigentlich selbstverständlich sein, ist es aber keinesfalls: Einige Hosting-Provider bieten keinen 24/7-Support an oder verlangen für Hilfe außerhalb der Geschäftszeiten hohe Gebühren. In einem Service-Level-Agreement (SLA) legen manche Hoster ihre Leistungen genau fest. Oft machen sie darin auch Angaben zur Verfügbarkeit ihrer Angebote.

(Nicht-)Verfügbarkeit

Auf den ersten Blick scheint zwischen 99,0 und 99,99 Prozent Verfügbarkeit kein großer Unterschied zu sein. Was macht schon ein Prozent aus? Sehr viel! Denn ein Prozent vom Jahr sind etwa 3,5 Tage. Wenn Hoster „nur“ 99 Prozent Verfügbarkeit garantieren, bedeutet es also, dass das Hosting-Angebot bis zu 3,5 Tage im Jahr ausfallen kann, ohne dass der Provider dafür haften muss. Für viele Internet-Projekte hätte ein solcher Ausfall fatale Folgen.

Sicheres Cloud-Hosting und Datenschutz

Beim Cloud-Hosting wird zwischen Public Clouds, Private Clouds und Hybrid Clouds unterschieden. Geht es um die Sicherheit, ist diese Unterscheidung ganz besonders wichtig.

Anzeige
Anzeige

Public Clouds entsprechen der Grundidee des Cloud Computing: Die Hosting-Kunden teilen sich die vom Provider angebotenen Ressourcen. Die benötigten Hosting-Leistungen lassen sich jederzeit ändern, und zwar im laufenden Betrieb. Beim Autoscaling erfolgt diese Ressourcen-Anpassung sogar automatisch. Der Kunde zahlt nur für tatsächlich genutzte Leistungen. So fortschrittlich das auch sein mag, so unübersichtlich ist die Sicherheitslage: Möglicherweise sind die „Standorte“ von Public Clouds anonym über die ganze Welt verteilt. Die Nutzer können ihre Daten nicht räumlich lokalisieren. Sie wissen womöglich nicht, in welchen Ländern, in welchen Rechenzentren, auf welchen Servern und mit welcher Software ihre Daten gespeichert und verarbeitet werden. Gemäß der Philosophie des Cloud Computing erfährt der Kunde vermutlich nicht, ob der Hoster Outsourcing von Dienstleistungen vornimmt. So ist es auch denkbar, dass Provider einen Handel mit ihren Ressourcen betreiben.

Kritiker von Public Clouds sehen sogar eine zunehmende Gefahr des Datendiebstahls, weil immer mehr Personen Administrationsaufgaben erhalten und sich unter ihnen „schwarze Schafe“ befinden könnten. Auch das kürzliche Urteil des Europäischen Gerichtshofs bezüglich des
Safe-Harbor-Abkommens zeigt, wie schwierig aktuell die internationale
Rechtslage ist. Das Gericht hatte das Abkommen, das den Datenaustausch zwischen der EU und den USA regelt, für ungültig erklärt, weil es die persönlichen Daten europäischer Internetnutzer nicht ausreichend vor dem Zugriff der Behörden in den USA geschützt sieht.

Kein Wunder, dass viele Unternehmen Private Clouds bevorzugen. Das sind dedizierte Server-Umgebungen, in denen der Hosting-Kunde seine eigene, private Cloud betreiben kann. Er muss die Infrastruktur nicht mit anderen teilen. Das begrenzt die Skalierbarkeit der Hosting-Angebote, erhöht jedoch die Sicherheit.

Anzeige
Anzeige

Ein deutsches Unternehmen, das personenbezogene Daten zu einem Cloud-Anbieter auslagert, muss sicherstellen, dass dieser die deutschen Datenschutzgesetze einhält. Allerdings garantieren das nur Hosting-Provider mit Sitz in Deutschland. Allein ein Rechenzentrum in Deutschland ist keine Garantie dafür. Bestes Beispiel ist der Marktführer Amazon mit seinen Amazon Web Services (AWS), welche zum Beispiel die Public-Cloud-Lösung Amazon Elastic Compute Cloud (EC2) sowie die Amazon Virtual Private Cloud enthalten. Wer diese Dienste in Deutschland nutzt, um unter Datenschutzgesetze fallende Daten zu speichern, geht möglicherweise ein Risiko ein. Zwar hat Amazon seine Dienste in diesem Jahr stärker ans europäische Recht angelehnt, doch eine Garantie für die Einhaltung deutschen Rechts gibt es nicht. Ausländische Unternehmen unterliegen generell dem Recht des jeweiligen Landes und können deshalb verpflichtet werden, Daten herauszugeben.

Für Kunden eines deutschen Hosters könnte auch die Nutzung einer Hybrid Cloud interessant sein. Dabei werden datenschutzrelevante Daten in einer Private Cloud gespeichert, andere Daten in einer Public Cloud. Bei Lastspitzen kann der Kunde mehr Leistung aus der Public Cloud hinzubuchen.

Mehr Ausfallsicherheit in der Cloud

Wer individuelle Hosting-Lösungen für komplexe Internet-Projekte braucht, interessiert sich möglicherweise für Cluster-Hosting – eine Hosting-Variante, bei der mehrere reale Server oder Instanzen in der Cloud kombiniert werden, wie zum Beispiel beim System „FlexCluster“ von Profihost. Anstatt die Leistung eines Servers oder einer Cloud-Instanz weiter zu erhöhen und das System irgendwann voll auszuschöpfen, ist es häufig effektiver, mehrere Server oder Instanzen zu einem Cluster zu kombinieren. Das bringt nebenbei einen großen Vorteil für die Sicherheit: Die Cluster-Elemente sichern sich gegenseitig ab. Bei plötzlichen Störungen eines Systems springt ein anderes ein, während sich die Probleme ohne Ausfallzeiten des Internet-Projekts beheben lassen.

Anzeige
Anzeige

Noch mehr Ausfallsicherheit verspricht die Kombination von Load Balancing mit einer Cluster IP, wie sie zum Beispiel Host Europe und Strato anbieten. Über eine zusätzliche IP-Adresse lassen sich Web-Anfragen innerhalb weniger Minuten auf einen anderen Server umleiten. Ist der als Master konfigurierte Server nicht erreichbar, etwa wegen Wartungsarbeiten oder eines Software-Fehlers, springt in kürzester Zeit ein anderer Server ein. Außerdem gibt es eine Reihe weiterer Szenarien für die ClusterIP.

Load Balancing sorgt – wie hier beim Hoster Anexia – für ausgeglichene Leistungen beim Cluster-Hosting, was auch die Sicherheit erhöht.

Load Balancing sorgt – wie hier beim Hoster Anexia – für ausgeglichene Leistungen beim Cluster-Hosting, was auch die Sicherheit erhöht.

Systemsicherheit beim Hosting-Provider

Mit der Auswahl des bestmöglichen Hosting-Produkts und dessen richtiger Nutzung tragen Kunden wesentlich zur Sicherheit eines Internet-Projekts bei. Auf die Sicherheit des Netzwerks beim Provider haben sie dagegen null Einfluss. Dennoch lohnt ein Blick auf die Infrastruktur des Hosters, da sie je nach Anbieter mehr oder weniger sicher ist.

Wichtig ist etwa eine effektive Core-Firewall. Dieser vorgeschaltet ist ein Intrusion-Prevention-System (IPS). Ein solches System überwacht den gesamten Datenverkehr zwischen Internet und Rechenzentrum und ist darauf spezialisiert, Cyber-Attacken zu erkennen und abzuwehren. Praktisch alle namhaften Hoster setzen heute Intrusion-Prevention-Systeme oder ähnliche Technologien ein. Erkennt das IPS etwa eine Brute-Force-Attacke, unterbricht oder verändert es die Internetverbindung, wodurch der Angriff sofort gestoppt wird.

Anzeige
Anzeige

Sicherheit in den Rechenzentren

Mit der Entscheidung für einen bestimmten Hosting-Provider vertraut der Kunde voll und ganz auf dessen Kompetenz. Das betrifft auch die Ausstattung und den Betrieb der Rechenzentren. Die TÜV-Zertifizierung nach ISO 27001 zeigt, dass die Rechenzentren von Anexia, Claranet, Goneo, Mittwald, PlusServer, Strato und anderen Hostern besonders hohe Sicherheitsstandards erfüllen. Ein anerkanntes Zertifikat belegt die Erfüllung der Anforderungen sowohl des Gesetzgebers als auch der Kunden an ein modernes Informations- und Sicherheitsmanagement. Der Kunde, der personenbezogene Daten durch Dritte verarbeiten lässt, ist gemäß §11 BDSG verpflichtet, sich „regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen.“ Dank ISO 27001 werden dem Kunden diese aufwendigen Kontrollen erspart.

Doch was macht ein Rechenzentrum überhaupt sicher? An erster Stelle steht die Gebäudesicherheit. Sichere Rechenzentren sind baulich so angelegt, dass sie möglichst vielen unvorhersehbaren Ereignissen standhalten. Das betrifft beispielsweise höhere Gewalt durch Unwetter, Wasser oder Feuer, aber auch vorsätzliche Handlungen wie unbefugtes Eindringen ins Gebäude, Diebstähle, Vandalismus oder terroristische Anschläge. Daher verfügen sichere Rechenzentren nicht nur über ausgeklügelte Brandschutzsysteme, zumeist Gaslöschanlagen auf Basis von Stickstoff oder Argon, sondern auch über Türsicherungssysteme mit protokollierten Schließvorgängen, diverse (Video-)Überwachungseinrichtungen und Alarmsysteme. Die meisten Anlagen sind zwei- oder mehrfach vorhanden, sodass beim Ausfall eines Schutzmechanismus automatisch der Ersatzmechanismus in Kraft tritt.

Gut gerüstet gegen Stromausfälle: Ein solches Diesel-Aggregat gewährleistet die Stromversorgung auch im Ernstfall, wie hier bei 1&1.

Gut gerüstet gegen Stromausfälle: Ein solches Diesel-Aggregat gewährleistet die Stromversorgung auch im Ernstfall, wie hier bei 1&1.

Ein sicheres Gebäude allein garantiert aber noch kein sicheres Rechenzentrum. Die Ausfallsicherheit der Server und anderer Hardware wird durch eine mehrfach redundante Stromversorgung grundlegend sichergestellt. Idealerweise gibt es voneinander unabhängige Stromkreise sowie zwei Stufen der Notstromversorgung: Beim Ausfall des Hauptstromanschlusses übernimmt zuerst eine Unterbrechungsfreie Stromversorgung (USV), und im Notfall liefern Diesel-Aggregate für einige Tage Strom.

Ein Großteil des Stromverbrauchs geht zu Lasten der Klimatisierung, ohne die kein Rechenzentrum auskommt. Ein gleichbleibendes Raumklima garantiert den reibungslosen Betrieb, sodass eure Internet-Projekte mit Sicherheit gut gehostet sind.

Fazit: Lieber auf Nummer sicher gehen

Bevor ihr euer Internet-Projekt in fremde Hände gebt, prüft genau, ob ihr den richtigen Hosting-Partner und das beste Produkt für eure Zwecke gefunden habt. Achtet auf die genannten Sicherheitsaspekte und fragt besser einmal mehr als zu wenig beim Hosting-Provider nach, was euer Wunsch-Produkt bietet und wie sicher es ist. Bedenkt auch die hohen Ansprüche an den Datenschutz – am besten, ihr sucht euch einen Hoster mit Unternehmenssitz in Deutschland.

Mehr zu diesem Thema
Fast fertig!

Bitte klicke auf den Link in der Bestätigungsmail, um deine Anmeldung abzuschließen.

Du willst noch weitere Infos zum Newsletter? Jetzt mehr erfahren

Anzeige
Anzeige
4 Kommentare
Bitte beachte unsere Community-Richtlinien

Wir freuen uns über kontroverse Diskussionen, die gerne auch mal hitzig geführt werden dürfen. Beleidigende, grob anstößige, rassistische und strafrechtlich relevante Äußerungen und Beiträge tolerieren wir nicht. Bitte achte darauf, dass du keine Texte veröffentlichst, für die du keine ausdrückliche Erlaubnis des Urhebers hast. Ebenfalls nicht erlaubt ist der Missbrauch der Webangebote unter t3n.de als Werbeplattform. Die Nennung von Produktnamen, Herstellern, Dienstleistern und Websites ist nur dann zulässig, wenn damit nicht vorrangig der Zweck der Werbung verfolgt wird. Wir behalten uns vor, Beiträge, die diese Regeln verletzen, zu löschen und Accounts zeitweilig oder auf Dauer zu sperren.

Trotz all dieser notwendigen Regeln: Diskutiere kontrovers, sage anderen deine Meinung, trage mit weiterführenden Informationen zum Wissensaustausch bei, aber bleibe dabei fair und respektiere die Meinung anderer. Wir wünschen Dir viel Spaß mit den Webangeboten von t3n und freuen uns auf spannende Beiträge.

Dein t3n-Team

Uli Radespiel

Aus meiner Sicht ist das Thema Verfügbarkeit – wie im Beitrag beschrieben nicht unerheblich. Doch in dem Kontext sollte auch den SLA Aufmerksamkeit zukommen. Wenn diese nach rein kaufmännischen Gesichtspunkten des Hostinganbieters abgefasst sind, bleibt der Dienst dabei auf der Strecke. Die Fallstrocke und Risiken lassen sich in diesem Blogbeitrag entdecken. http://blog.adacor.com/sla_2373.html

Antworten
Sav

Mal ehrlich, wenn man von „Sicherheitsaspekten“ redet, sollte man nicht im gleichen Atemzug FTP erwaehnen. Ein moderner und angemessener Hoster sollte SSH anbieten.

Antworten
Matrix85

Der Artikel enthält leider einen Fehler. Die Rechenzentren von Mittwald sind leider nicht nach ISO 27001 zertifiziert. Die Rechenzentren von Mittwald sind nur als „Secure Data Center“ zertifiziert, welches ein Bestandteil der ISO 27001 ist. Aber für eine komplette ISO 27001 Zertifizierung fehlt noch einiges…

Antworten
RSven

Gerade Admins die nur wenige oder einzelne Server betreuen haben Probleme das System effizient zu sichern. Die professionellen Tools sind alle sehr teuer und auch nicht gerade Wartungsarm.
Mit dem von mit selbst eingesetzten Cloud Service https://cloud-ips.saas-secure.com habe ich endlich eine Lösung die mir sogar bis zu 5 Systeme kostenlos schützt. Es ist zwar „nur“ ein IDS aber aufgrund von Algorithmen des Anbieters profitiere ich von einem präventiven Schutz sobald ähnliche System wie meines angegriffen werden. Automatisch sperrt auch mein Server diese IP Adresse für mehrere Tage. Das erschwert massen Brute-Force Attacken bzw. verhindert diese gänzlich da auch mein System sofort solche Angriffe erkennt, meldet und sperrt.

Antworten

Melde dich mit deinem t3n Account an oder fülle die unteren Felder aus.

Bitte schalte deinen Adblocker für t3n.de aus!
Hallo und herzlich willkommen bei t3n!

Bitte schalte deinen Adblocker für t3n.de aus, um diesen Artikel zu lesen.

Wir sind ein unabhängiger Publisher mit einem Team von mehr als 75 fantastischen Menschen, aber ohne riesigen Konzern im Rücken. Banner und ähnliche Werbemittel sind für unsere Finanzierung sehr wichtig.

Schon jetzt und im Namen der gesamten t3n-Crew: vielen Dank für deine Unterstützung! 🙌

Deine t3n-Crew

Anleitung zur Deaktivierung
Artikel merken

Bitte melde dich an, um diesen Artikel in deiner persönlichen Merkliste auf t3n zu speichern.

Jetzt registrieren und merken

Du hast schon einen t3n-Account? Hier anmelden

oder
Auf Mastodon teilen

Gib die URL deiner Mastodon-Instanz ein, um den Artikel zu teilen.

Anzeige
Anzeige