Thomas_Herrguth.JPG

Thomas Herrguth ist seit Februar 2019 Director Financial Services bei VMware Deutschland. In dieser Position ist er für die Markt- und Strategieentwicklung des Geschäftsbereichs Banken und Versicherungen bei VMware verantwortlich. Ziel ist es, gemeinsam mit Technologiepartnern aus dem VMware-Ökosystem Kunden in diesem Bereich auf dem Weg der digitalen Transformation zu begleiten und mit Lösungen aus den Bereichen Rechenzentrum, Cloud, Mobility, Netzwerk und Security zu unterstützen.

Zero-Trust im Rechenzentrum und in der Cloud

Ein Artikel von Thomas Herrguth, Director Financial Services bei VMware Deutschland | 21.09.2021 - 11:43

Versicherungen und Banken sind von Sicherheitslücken und Cyberangriffen besonders betroffen. Zugleich sieht sich aber auch kaum eine andere Branche dem digitalen Wandel so ausgesetzt wie der Finanz- und Versicherungssektor; der Druck zu Innovationen ist immens. Grund genug für die Redaktion der vb Versicherungsbetriebe, mit dem für den Finance-Bereich verantwortlichen VMware-Manager, Thomas Herrguth, über Herausforderungen und Chancen in diesen disruptiven Zeiten zu sprechen.

Herr Herrguth, die durch die Pandemie beschleunigte digitale Transformation hat dazu geführt, dass sich IT-Teams mit ständig neuen Bedrohungen konfrontiert sehen. Es mehren sich Meldungen über global erfolgreiche Cyber-Attacken, insbesondere mit Ransomware. Was ist Ihre Antwort als Software-Unternehmen dazu?

Thomas Herrguth: Es ist richtig, dass der Finanzsektor zunehmend im Visier von Cyberkriminellen ist. Die Spielregeln haben sich geändert. Der bloße Überweisungsbetrug ist nicht mehr das oberste Ziel der Kriminellen. Es geht ihnen viel mehr darum, das digitale Herz einer Bank oder Versicherung zu kapern. Unternehmen müssen ihre bestehende Security-Strategie neu ausrichten. Es geht nur noch mit einem Zero-Trust-Modell, es darf keinem Gerät, Nutzer oder Dienst – sei es außerhalb oder innerhalb des eigenen Netzwerks – mehr blind vertraut werden.

Das klingt sehr radikal…

Herrguth: Es ist weniger radikal als unumgänglich. Herkömmliche Sicherheitskonzepte stufen lediglich externen Datenverkehr als gefährlich ein. Dabei hat unser Security-Report gezeigt, dass nahezu 71 Prozent der befragten Unternehmen Cyberangriffe aufgrund zunehmender Tätigkeit von zuhause verzeichneten – ein Hinweis auf interne Schwachstellen in Sicherheitstechnologien.

Also fungierte die Pandemie mit den vielen Mitarbeitern im Home Office als Brandbeschleuniger?

Herrguth: In gewisser Weise ja. Die Pandemie traf uns Anfang 2020 ja sehr überraschend und viele Unternehmen mussten quasi über Nacht ihre Mitarbeiter in’s Home Office schicken. Das war gerade für Organisationen und Unternehmen konservativer Branchen eine immense Herausforderung. Kein Wunder also, wenn sich die Cyberkriminellen nun verstärkt auf diese stürzen. Zero-Trust als Security-Konzept erfordert umfangreiche Maßnahmen zur Authentifizierung sämtlicher Anwender und Dienste sowie zur Prüfung des Netzwerkverkehrs. Dafür müssen vormals isolierte Teams, Prozesse und Technologien miteinander verbunden und aufeinander abgestimmt werden. Aber auch die IT-Mitarbeiter selbst haben schnell dazu gelernt und die häufigsten Schwachstellen in ihrer Infrastruktur identifiziert.

Diese wären?

Herrguth: Als größte Schwachstelle wurden Anwendungen genannt. In unserer Befragung wird deutlich, dass dieser Aspekt der Workloads schon seit einiger Zeit Besorgnis erregt.

Was also können die Security-Teams von Versicherungen und Banken tun?

Herrguth: Fast alle Befragten haben schon die entscheidenden Weichen gestellt und angegeben, dass sie auf eine Cloud First-Strategie setzen. Das heißt, dass sie bei jedem IT-Projekt zuerst prüfen, ob sich dieses mithilfe von Cloud-Lösungen verwirklichen lässt. Erst danach werden traditionelle Methoden wie On-Premise ins Auge gefasst. Gerade bei den Finanzdienstleistern ist Cloud First weit verbreitet, hier verfolgen inzwischen 71 Prozent den Cloud First-Grundsatz. Das ist nicht nur pragmatisch, sondern auch inhaltlich sinnvoll, wenn man bedenkt, wie starr teilweise die über Jahrzehnte gewachsenen IT-Systeme so manch ehrwürdiger Institution sind.

Und in einer Cloud sind Daten und Workloads wirklich sicherer?

Herrguth: Tatsächlich sind die hervorstechendsten Vorteile der Cloud die Flexibilität im Betrieb und die Beschleunigung von Innovationen. Doch schließlich ist es so, dass ja die Cloud-Anbieter die geballte Kompetenz in sich vereinen und ihr ganzes Tun darauf ausrichten, dem Kunden eine sichere Umgebung zur Verfügung zu stellen. Wie ein Stromanbieter, der eine unterbrechungsfreie Energieversorgung garantieren muss, hat auch ein Cloud-Provider die Verpflichtung zum Schutz der Daten.

Weil Sie selbst gerade dieses Bild heranziehen: Meinen Stromanbieter kann ich jederzeit wechseln, bei einem Cloud-Anbieter geht das ja nicht so einfach, oder?

Herrguth: Aber doch! Da kommt es nur auf die richtige digitale Plattform an! Mit einer Software-Defined-Grundlage für Private, Hybrid und Public Clouds, die eine einheitliche Unterstützung für VMs und Container bietet, müssen sich Assekuranzen und Finanzinstitute nicht an einen Cloud-Anbieter binden, sondern können jederzeit wechseln. Technisch ist das mit der VMware Cloud Foundation möglich, weil diese als standardisierte Full-Stack-HCI  Lösung und offenen Schnittstellen mit den gängigen IT-Service Providern kompatibel ist und sowohl herkömmliche Unternehmensanwendungen als auch moderne Anwendungen unterstützt.

Interessant! Aber mit der Entscheidung für VMware binde ich mich doch dann auch wieder an einen Anbieter, oder etwa nicht?

Herrguth: Mit einer digitalen Virtualisierungsgrundlage sind Unternehmen für alle Konzepte offen – ob Cloud, On-Premise oder eine Mischform. Sie können sich für einen der großen Cloud-Provider wie AWS, Google, Microsoft Azure, IBM, Oracle oder für einen kleineren, lokalen Anbieter entscheiden – und ihre Entscheidung jederzeit wieder rückgängig machen. Das ist ja gerade der einzigartige Vorteil! Die Hybridität von Multi-Cloud liefert überall eine konsistente Infrastruktur, die sich weiterentwickelt und eine moderne Cloud-Infrastruktur auf tausende Cloud-Partner erweitert. Außerdem wird die betriebliche Konsistenz durch eine einheitliche Verwaltung und Security sichergestellt, was die Flexibilität erhöht und gleichzeitig die Komplexität reduziert.

Das klingt ja in der Tat gut, dass ein „Cloud Lock-in“ verhindert wird…

Herrguth: …was ja unter anderem auch eine Vorgabe der BaFin ist!

Kommen wir noch einmal zurück zum so wichtigen Thema Sicherheit: Wie genau sind meine Daten in einer externen Cloud denn tatsächlich geschützt?

Herrguth: Security muss ein integrativer Bestandteil bei der Instanziierung werden. Innerhalb der Plattform lassen sich verschiedene Sicherheitskontrollen einbauen, die sich „mitnehmen“ lassen, wenn es in die Cloud geht. Intrinsische Sicherheit stellt Security-Funktionen innerhalb von Virtualisierungssoftware nativ zur Verfügung, ist also bereits im Hypervisor integriert. Mit einer verteilten, internen Layer 7 Stateful Firewall auf Basis eines virtualisierten Netzwerks lässt sich der Rechenzentrumsdatenverkehr über virtuelle, physische, containerbasierte und Cloud-Workloads hinweg schützen. Dadurch lassen sich auch Richtlinien auf Workloads anwenden, die über Rechenzentrums-, Hybrid Cloud- und Edge-Infrastruktur hinweg verschoben werden. Mittels spezieller Funktionen zur Bedrohungsprävention wie IDS/IPS, Netzwerk-Sandbox sowie Endpoint und Netzwerkerkennung und -reaktion lässt sich der Schutz vor einer lateralen Ausbreitung von Malware verbessern. Was bei der Positionierung einer Service-Defined Firewall innerhalb des Hypervisors sehr charmant ist, sind die Einblicke in Netzwerk sowie in die Applikationen und Workloads selbst…

… also in der Tat eine ganze Menge an Möglichkeiten. Wohin können sich Interessierte denn wenden, um hier nicht den Überblick zu verlieren?

Herrguth: Am besten an den IT-Service Provider ihres Vertrauens. Es darf mir aber auch gerne eine E-Mail schreiben (lacht).

therrguth@vmware.com