Eine bessere SaaS-Sicherheitsstrategie für 2021:

Eine neue ESG-Umfrage zeigt, dass 15 % der Unternehmen bei ihren geschäftskritischen Anwendungen keinerlei Ausfallzeiten tolerieren können. Weitere 42 % geben gegenüber ESG an, dass ihre geschäftskritischen Anwendungen innerhalb einer Stunde oder weniger wieder online sein müssen.¹

Was den Standort dieser geschäftskritischen Workloads betrifft (siehe Abbildung 1), ist es äußerst wichtig zu erkennen, in welch hybrider Welt wir heute leben. Der Großteil der geschäftskritischen Workloads befindet sich mittlerweile nicht mehr im eigenen Rechenzentrum, sondern extern in der Cloud.²

Eine ähnliche Entwicklung betrifft nicht nur geschäftskritische Daten, sondern auch die geschäftskritischen Mitarbeiter, die auf diese Daten angewiesen sind. In diesem Jahr hat sich die Lage zweifellos verändert, da Millionen von Wissensarbeitern begonnen haben, vollzeitlich von zu Hause aus zu arbeiten. Untersuchungen von ESG zeigen, dass Ende 2020 56 % der Wissensarbeiter von zu Hause aus tätig waren. Und die überwiegende Mehrheit der Unternehmen scheint damit einverstanden zu sein, dass ihre Belegschaft auf absehbare Zeit nicht ins Büro zurückkehrt. Darüber hinaus sind der breitere Einsatz von Tools für die Zusammenarbeit und die verstärkte Nutzung von Cloud-Anwendungen die beiden wichtigsten dauerhaften geschäftlichen Auswirkungen der jüngsten Gesundheitskrise auf die langfristige IT-Strategie.³

Diese Organisationen sehen sich mit der Notwendigkeit konfrontiert, ihre Notfallpläne zu aktualisieren, um neuen Prozessen und Protokollen Rechnung zu tragen, die mit aktuellen und künftigen Vorschriften zum flächendeckenden Homeoffice verbunden sind. Für viele Unternehmen könnte das Homeoffice dauerhaft zur Normalität werden. Cloud-Anwendungen sind bereits weit verbreitet – und nehmen weiter zu –, und der Schutz dieser Daten ist ebenso wichtig wie der Schutz von Daten vor Ort.

Auf dem Markt besteht eine große Diskrepanz, wenn es um den Datenschutz bei SaaS-Lösungen geht. Eine ESG-Studie zeigt, dass 33 % der befragten IT-Entscheidungsträger der Meinung sind, dass SaaS-Daten nicht gesichert werden müssen. Jeder Vierte gibt an, seine Microsoft 365-Daten nicht zu schützen^.⁴Dies ist eine potenziell gefährliche Fehlannahme. Für Unternehmen ist es wichtig zu wissen, dass ihre Daten stets ihr Eigentum sind und nicht dem des Dienstanbieters gehören, auch wenn diese Daten als Teil einer SaaS-Anwendung im Cloud-Dienst gespeichert sind. Die jüngsten Ausfälle bei zwei großen Cloud-Anbietern werfen zudem die Frage auf, wie sinnvoll es wirklich ist, sich beim Schutz geschäftskritischer Workloads ausschließlich auf den Cloud-Dienstanbieter zu verlassen.

Speziell im Hinblick auf Datensicherung und -wiederherstellung bedeutet dies, dass Unternehmen für alle ihre Plattformen – sowohl vor Ort als auch in der Cloud – eine Schutzlösung eines Drittanbieters implementieren müssen. Sie ziehen es vielleicht vor, einen MSP zu beauftragen, der ihnen bei der Bereitstellung von Datensicherung, Wiederherstellung sowie Business Continuity und Disaster Recovery als Dienstleistung hilft, doch die letztendliche Verantwortung liegt bei ihnen. Das darf man keinesfalls vergessen. Schließlich ist Datenverlust ein unternehmensweites Problem und nicht nur eine Angelegenheit der IT-Abteilung.

Die Folgen von Ausfallzeiten können für ein Unternehmen sehr negativ sein. Sie können sich direkt auf die betriebliche Effizienz, die Arbeitsmoral der Mitarbeiter und das Vertrauen der Kunden auswirken. Und es gibt viele Möglichkeiten, Daten zu verlieren, darunter auch einige, die weitaus alltäglichere Vorkommnisse sind als ein externer Cyberangriff. So geben beispielsweise 20 % der Befragten einer ESG-Umfrage an, dass versehentliches Löschen die Hauptursache für Datenverluste im Zusammenhang mit ihren SaaS-basierten Anwendungen ist. Die ESG-Studie zeigt ferner, dass die geschätzte durchschnittliche Ausfallzeit von SaaS-Anwendungen bei einer Stunde liegt.⁶

Darüber hinaus müssen viele Unternehmen aus Compliance-Sicht nachweisen, dass sie Daten gemäß den gesetzlichen Vorschriften und Datenschutzbestimmungen ordnungsgemäß schützen, aufbewahren und löschen.

Für ein kleines oder mittleres Unternehmen ist es durchaus sinnvoll, einen Managed-Service-Provider (MSP) zu beauftragen, um die oft komplexen und hohe Fachkompetenz erfordernden Aufgaben im Zusammenhang mit Hardware, Software, Netzwerken, Stromausfallrisiken und physischem Schutz zu bewältigen. Was jedoch den Schutz der Daten selbst betrifft, so leistet der MSP die primäre Unterstützung bei der Wiederherstellung nach menschlichen Fehlern, Programmfehlern, böswilligen Aktivitäten und praktisch allen anderen Problemen im Bereich des Datenschutzes.