Privater Cloudspeicher: BSI gibt Tipps zur Absicherung von Owncloud

Die wachsende Verbreitung von Owncloud hat das Bundesamt für Sicherheit in der Informationstechnik veranlasst, Vorschläge zur Absicherung für den privaten Cloudspeicher bereitzustellen.

Artikel veröffentlicht am 18. Juni 2015, 10:21 Uhr, Jörg Thoma

Das BSI gibt Tipps zur Absicherung des Cloudspeichers Owncloud. (Bild: Owncloud)

Unter dem Namen "Betrieb und Sicherheit von ownCloud" präsentiert das Bundesamt für Sicherheit in der Informationstechnik (BSI) ein Dokument mit zahlreichen Hinweisen zur Absicherung des privaten Cloudspeichers. Die Vorschläge richten sich in erster Linie an Unternehmen, die Owncloud einsetzen, sind aber auch für Privatanwender interessant.

Die Autoren weisen darauf hin, dass Owncloud grundsätzlich als Clouddienst zu betrachten und deshalb der Risikoanalyse nach dem IT-Grundschutz Cloudnutzung zu unterziehen ist. Außerdem sollte beachtet werden, dass der Owncloud-Server prinzipiell von außen erreichbar ist, was die Angriffsfläche erhöhen kann. Somit sind auch in die Infrastruktur eingebundene Serverdienste wie der Verzeichnisdienst oder Dateiserver gefährdet.

Mögliches Einfallstor für Schadsoftware

Auch unabsichtlich freigegebene Daten, etwa durch Fehlkonfiguration oder Schwachstellen in der Software, stellen laut Autoren ein Risiko dar. Der Austausch von Daten zwischen dem öffentlichen und internen Netz könnte als Einfallstor für Schadsoftware dienen. Das treffe vor allem dann zu, wenn nicht nur interne Mitarbeiter, sondern auch Organisationsfremde Zugriff auf Daten erhalten. Das erschwere die Benutzerverwaltung erheblich.

Daher setzt das Dokument zunächst seinen Schwerpunkt auf die Rechte- und Benutzerverwaltung, etwa das Einrichten von Gruppen mit besonderen Rechten, etwa über den Verzeichnisdienst LDAP. Nur in kleinen Umgebungen wird die standardmäßig implementierte lokale Authentifizierung empfohlen. Soll Owncloud über die Grenzen der eigenen Organisation heraus verwendet werden, empfehlen die Autoren den Einsatz von Federated-IDs mit Hilfe des Dienstes Shibboleth.

Verschlüsselung notwendig

Zudem legen die Autoren den Einsatz von TLS für den Webserver nahe, der für den Betrieb des PHP-basierten Owncloud-Servers eingesetzt wird. Kritisiert wird, dass die interne Verschlüsselung Ownclouds lediglich den Inhalt der Daten verschlüsselt, nicht aber den Dateinamen oder die Unterverzeichnisse, in denen diese abgelegt werden. Außerdem funktioniert die Verschlüsselung nicht in Kombination mit dem empfohlenen Einsatz der Federated-IDs.

Auch der Umgang mit den inzwischen zahlreichen Apps sollte beim Unternehmenseinsatz vorsichtig angegangen werden, schreiben die Autoren. Erst kürzlich hatte Projektgründer Frank Karlitschek erklärt, Owncloud sollte auch als App-Plattform ausgebaut werden.

Schließlich weist das Dokument auch auf die Unterschiede zwischen der Open-Source- und der Enterprise-Variante von Owncloud hin. Letztere enthält beispielsweise eine App für die sogenannte File Firewall, mit der die Weitergabe einzelner Dateien eingeschränkt werden kann. Mit einer weiteren App lassen sich Benutzeraktivitäten protokollieren und auswerten.