Vertrauliches Rechnen in der Cloud: Datensicherheit neu gedacht

Vertrauliches Rechnen in der Cloud ist für Unternehmen heute wichtiger denn je, da die Digitalisierung von Geschäftsprozessen neue Sicherheitsherausforderungen mit sich bringt. Während klassische Schutzmechanismen Daten beim Speichern oder Übertragen verschlüsseln, bleiben sie während der Verarbeitung verwundbar. Confidential Computing schließt diese Sicherheitslücke und schützt Unternehmensdaten auch im Moment der aktiven Nutzung.

Moderne Datensicherheit in der Cloud: Warum klassische Methoden nicht mehr ausreichen

Mit den traditionellen Sicherheitsmodellen, wie Firewalls, ist es in der heutigen Cloud-Infrastruktur nicht mehr getan. Unternehmen müssen Hosting-Anbietern, Rechenzentrums-Administratoren und Hypervisor-Betreibern vertrauen - und genau dieses blinde Vertrauen wird durch neue Technologien wie Confidential Computing überflüssig. Die Kontrolle über sensible Daten bleibt vollständig beim Unternehmen.

Confidential Computing: Was ist das und warum sind isolierte Berechnungen notwendig?

Um zu verstehen, was Confidential Computing ausmacht, lohnt sich ein Blick auf die drei Aggregatzustände digitaler Informationen: Daten im Ruhezustand (z.B. auf Festplatten), Daten in Bewegung (Übertragung über Netzwerke) und Daten während der Verarbeitung im Arbeitsspeicher oder in Prozessorregistern. Während die ersten beiden Zustände durch kryptografische Protokolle gut abgesichert sind, entsteht das Hauptproblem beim dritten Zustand: Genau dann, wenn Daten verarbeitet werden, sind sie für Angreifer besonders leicht zugänglich, wenn diese physischen Zugriff auf den Server oder hohe Systemrechte besitzen.

Confidential Computing schützt Daten direkt während der Ausführung von Programmen. Die Technologie isoliert kritische Prozesse vom restlichen Betriebssystem, was die Cloud-Umgebung sowohl gegen externe als auch interne Angriffe absichert. Die Zero Trust-Philosophie wird damit effektiv in der Praxis umgesetzt.

Gerade für Unternehmen, die mit Betriebsgeheimnissen, medizinischen Daten oder personenbezogenen Informationen arbeiten, ist dieser Ansatz unverzichtbar. Sogar bei einer Kompromittierung des Betriebssystems des Cloud-Servers bleiben Ihre sensiblen Daten geschützt.

Wie funktioniert Confidential Computing? Architektur und Hardware-Enklaven

Die Grundlage der Technologie ist eine strikte Speicherisolation auf Siliziumebene. Der Prozessor des Servers erstellt einen geschützten Bereich, den sogenannten Hardware Enclave. Alle Daten, die zur Verarbeitung in diese Enklave gelangen, werden automatisch verschlüsselt, während die Generierungsschlüssel niemals den Chip verlassen.

Selbst wenn ein Angreifer das Betriebssystem komplett kontrolliert, bleibt der Programmcode in der Enklave vor Zugriffen geschützt. Der Prozessor blockiert jeden Versuch, auf diesen Speicherbereich zuzugreifen, und gibt entweder eine Fehlermeldung oder nur leere Bytes zurück.

Trusted Execution Environment (TEE) vs. klassische Virtualisierung

Klassische Virtualisierung erzeugt separate virtuelle Maschinen, die jedoch vom Hypervisor verwaltet werden. Wird dieser oder das Konto des Hauptadministrators kompromittiert, sind alle Kundendaten gefährdet. Die Trusted Execution Environment (TEE) dagegen verlagert das Vertrauensmodell von der Software- auf die Hardwareebene. Dadurch ist selbst der Betreiber des Rechenzentrums nicht in der Lage, Daten während der Berechnung abzugreifen.

Datensicherheit in der Public Cloud: Welche Bedrohungen verhindern Secure Enclaves?

Die größte Gefahr in gemieteten Umgebungen ist der Faktor Mensch beim Provider: Systemadministratoren könnten theoretisch Speicherabbilder erstellen. Hardwarebasierte Isolierung eliminiert dieses Insider-Risiko, da hohe Berechtigungen keinen Zugriff mehr ermöglichen.

Ein weiteres Risiko sind Schwachstellen in der Virtualisierungssoftware, über die Angreifer aus ihrer eigenen virtuellen Maschine ausbrechen und andere Kunden attackieren könnten. Secure Enclaves machen solche Angriffe wirkungslos und schützen Daten auch gegenüber fortschrittlicher Malware, die sich im Host-Betriebssystem einnistet. Selbst bei einer Infektion mit Rootkits bleibt der geschützte Prozess isoliert und die Daten sicher.

Confidential Computing in Cloud-Services für Unternehmen

Die Isolation von Berechnungen wird zunehmend zum Standard in regulierten Branchen. Banken und Finanzdienstleister nutzen geschützte Enklaven, um gemeinsam Daten zu analysieren, ohne Bankgeheimnisse preiszugeben. Auch konkurrierende Unternehmen können so gemeinsam KI-Modelle trainieren, ohne Rohdaten auszutauschen.

Im Gesundheitswesen hilft die Technologie dabei, Patientendaten und Analyseergebnisse gesetzeskonform zu verarbeiten. Cloud-Plattformen bieten vollständige Privatsphäre, sodass sensible Diagnosen beim digitalen Handling nicht nach außen dringen.

Nationale und internationale Anbieter integrieren Confidential Computing in ihre Cloud-Produktpaletten, sodass sich vertrauliche virtuelle Maschinen per Mausklick aufsetzen lassen. Mehr zu den Entwicklungen rund um Cloud-Infrastrukturen erfahren Sie im Beitrag "Cloud-Technologien 2026: Zukunft, Sicherheit und Trends".

Durch den Einsatz geschützter Prozessoren können Unternehmen mit strengen Sicherheitsanforderungen problemlos in Public Clouds migrieren. Sie profitieren von der Skalierbarkeit der Cloud, ohne die Kontrolle über ihre digitalen Assets aufzugeben.

Fazit

Hardwarebasierte Isolation löst das zentrale Problem der Cloud-Sicherheit: die Verwundbarkeit von Daten während der Verarbeitung. Angesichts immer ausgefeilterer Cyberbedrohungen reicht klassische Verschlüsselung von Festplatten und Netzwerken allein nicht mehr aus.

Mit isolierten Enklaven können Unternehmen das Konzept des blinden Vertrauens in IT-Dienstleister hinter sich lassen. Dies schafft die Grundlage für sicheren Umgang mit personenbezogenen Daten und Geschäftsgeheimnissen - auch in externen Infrastrukturen.

Für die praktische Umsetzung empfiehlt es sich, die eigenen Anwendungen zu prüfen und jene Komponenten zu identifizieren, die mit kritischen Informationen arbeiten. Werden diese Module in vertrauliche Cloud-Container ausgelagert, sinkt das Risiko von Datenlecks drastisch - ohne die gesamte Systemarchitektur neu gestalten zu müssen.

FAQ

1. Beeinflusst Confidential Computing die Performance von Anwendungen?

   Ja, die hardwarebasierte Verschlüsselung des Arbeitsspeichers "on the fly" führt zu einem gewissen Mehraufwand. Moderne Prozessoren verursachen in der Regel eine Verlangsamung von 2 % bis 8 %, abhängig von der Intensität der Lese- und Schreibvorgänge. Für die meisten Geschäftsanwendungen bleibt dieser Leistungsverlust jedoch unbemerkt.

2. Was ist der Unterschied zwischen klassischer Datenverschlüsselung und Confidential Computing?

   Klassische Verschlüsselung schützt Dateien nur während sie auf der Festplatte liegen oder über das Netzwerk gesendet werden. Vor der Verarbeitung müssen sie jedoch im Arbeitsspeicher entschlüsselt werden - genau dort sind sie angreifbar. Confidential Computing schützt die Daten in diesem kritischen Moment, während sie vom Prozessor verarbeitet werden.

3. Welche Prozessoren unterstützen Hardware-Enklaven (Secure Enclaves)?

   Die Technologie wird von führenden Chipherstellern auf Hardwareebene implementiert: Intel nutzt die Software Guard Extensions (SGX) und Trust Domain Extensions (TDX), AMD bietet Secure Encrypted Virtualization (SEV) und bei ARM kommt die TrustZone-Technologie zum Einsatz. Cloud-Anbieter weisen in ihren Tarifen explizit darauf hin, wenn diese Prozessoren verfügbar sind.