Wie Salesforce zum Verhängnis wird

"Unternehmen legen enorm wertvolle Daten in Salesforce ab", weiß Jeff Pollard, Vice President und Principal Analyst bei Forrester: "Das CRM macht aus Chancen Umsatz und Interessenten zu Kunden. Für Eindringlinge ist Salesforce ist ein einladendes Ziel." Zwar sind sich Experten einig, dass die Plattform selbst einigermaßen sicher ist - "angesichts des robusten Defense-in-Depth-Ansatzes, den Salesforce intern anwendet", wie Brian Olearczyk, Chief Revenue Officer beim Sicherheitsanbieter RevCult, sagt. Dennoch böten Salesforce-Systeme eine große Angriffsfläche: "Um Sicherheits- und Datenschutzschwachstellen zu vermeiden, müssen Unternehmen Salesforce sicher implementieren, konfigurieren und entwickeln."

Wie es zugehen kann, wenn das nicht passiert zeigt zum Beispiel die Salesforce-Datenpanne des US-Einzelhändlers Hanna Andersson aus dem Jahr 2019. Dabei wurden Daten offengelegt - angeblich soll der Grund Malware gewesen sein, die das Salesforce-System selbst infiziert habe. Es folgte eine Reihe von Gerichtsprozessen. Das Ende vom Lied: Hanna Andersson muss wegen der Datenschutzverletzung eine Strafe von 400.000 Dollar bezahlen. Damit Ihnen eine solche Bußgeld-Katastrophe erspart bleibt, sollten Sie die folgenden sieben Salesforce-Security-Todsünden um jeden Preis vermeiden.

1. "Salesforce kümmert sich schon"

Erfahrene Sicherheitsprofis werden nicht in diese Falle tappen und sich darauf verlassen, dass Salesforce alles für sie regelt. Einige kleinere Unternehmen oder IT-Abteilungen ohne tieferes Security-Knowhow aber eventuell schon. Dieses Problem sei jedoch nicht Salesforce-exklusiv, sondern betreffe sämtliche SaaS-Anwendungen, wie Andy Ognenoff, Managing Director und North America Chief Technologist der Salesforce Business Group bei Accenture, sagt: "Unserer Erfahrung nach sind die meisten Schwachstellen in SaaS-Plattformen darauf zurückzuführen, dass die Kunden das Shared-Responsibility-Modell nicht verstehen."

Cloud-Kunden müssten sich im Vorfeld und dann vor allem auch kontinuierlich um die Sicherheit ihrer Anwendungen bemühen, meint der Chefberater: "Schwachstellen manifestieren sich unter anderem in risikobehafteten Nutzerberechtigungen, freizügig konfigurierten Datenzugriffsrechten und Drittanbieter-Anwendungen, die ohne Genehmigung auf Unternehmensdaten zugreifen."

Laut Olearczyk neigen Salesforce-Benutzer dazu, selbst Schwachstellen zu schaffen, wenn die Entwicklungsteams ihre Salesforce-Instanzen auf ihre speziellen Anwendungsfälle und Geschäftsprozesse anpassen: "Davor kann Salesforce selbst Sie niemals vollständig schützen."

2. Weder Security-Plan noch -Owner

Das Modell der Shared Responsibility anzuerkennen und zu verinnerlichen, ist der erste Schritt - danach muss ein Verantwortlicher bestimmt werden. Laut der RevCult-Studie "2020 State of Salesforce Security Report" mangelt es in vielen Unternehmen nach wie vor an:

• klar strukturierten Security-Programmen für die Salesforce-Plattform,

• den zur Unterstützung erforderlichen ToolsTools und Alles zu Tools auf CIO.de

• Salesforce-Sicherheitsexpertise.

Diese Aufgabe kann den Marketing-, Vertriebs- oder IT-Teams zufallen, die mit Salesforce arbeiten. Laut RevCult-CRO Olearczyk fehle diesen Salesforce-Teams jedoch oft Detailwissen über Sicherheitsrichtlinien und Compliance-Anforderungen: "Leider stellen wir oft fest, dass sich niemand darum kümmert. Die Risiken bleiben bestehen, trotz sensibler Kundendaten."

Salesforce selbst stellt in Bezug auf seine eigenen Security-Bemühungen umfängliche Informationen sowie eine Compliance-Dokumentation zur Verfügung. Um Salesforce-spezifische Sicherheitskompetenzen aufzubauen, bietet das Unternehmen auch eine Zertifizierung an. Diese fokussiert speziell das Identity und Access Management in Salesforce-Systemen. Adressiert werden sollen damit diejenigen Nutzer, "die die Architekturumgebung und die Anforderungen bewerten und solide, skalierbare und leistungsstarke Lösungen auf der Plattform entwerfen, die die Single-Sign-On-Anforderungen erfüllen". Einen dedizierten Verantwortlichen für die IT-Sicherheit einzusetzen und dessen Weiterbildung und Wissensaufbau zu fördern, könne viele Sicherheitsprobleme verhindern, so der Manager.

3. Keine Datenklassifizierung

Nicht alle Daten sind gleich - verschiedene Arten von Informationen bedürfen unterschiedlicher Sicherheitsmaßnahmen. Dieser wichtige Grundsatz ist beispielsweise Teil des Zero-Trust-Modells.

Eine zentrale Erkenntnis der vorgenannten RevCult-Studie: Nur wenige Salesforce-Benutzer haben ihre Daten klassifiziert und wissen daher gar nicht, welche Daten wie zu schützen sind. Darüber hinaus sollten Unternehmen ein explizites und validiertes Verständnis über die Daten in ihrem Salesforce-System erlangen - idealerweise in Echtzeit: "Überprüfen Sie alle Daten und weisen Sie ihnen einen Wert zu, der auf der internen Klassifizierung der zutreffenden Compliance-Kategorien basiert", empfiehlt Olearczyk. "Ohne diesen Wert werden Sie Schutzmaßnahmen und Prozesse implementieren, die verrauscht sind, zu viele falsche Alarmmeldungen aufwerfen und nicht so umsetzbar sind wie gedacht."

Diese Datenklassifizierung sei eine wichtige, grundlegende Aufgabe für den Sicherheitsverantwortlichen beziehungsweise das Sicherheitsteam.

4. Keine Ahnung von Prozessen

Vor allem aus cross-funktionaler Perspektive entstehen immer wieder blinde Flecken, wenn es darum geht, wie Salesforce in Unternehmen tatsächlich genutzt wird. Bei Salesforce handelt es sich um eine anpassbare Plattform, auf der Arbeitsabläufe in benutzerdefinierte Konfigurationen und Einstellungen umgewandelt werden. Diejenigen, die die Konfiguration vornehmen, sind oft in verschiedenen Fachabteilungen angesiedelt.

"Entwicklungsteams sind oft auf bestimmte Geschäftsbereiche ausgerichtet - Vertrieb, Marketing, Finanzen, Kundendienst, Support oder sogar HR - und nicht auf die Informationssicherheit. So kann es passieren, dass die Plattform weiterentwickelt wird, ohne dabei die Datensicherheit zu berücksichtigen", weiß Olearczyk. Das Ergebnis sei regelmäßig "zu viel Zugriff". Administratoren und Entwickler gingen manchmal davon aus, dass die nominellen Basisrollen und Berechtigungssätze ausreichend seien und eröffneten Benutzern unbeabsichtigt Zugang zu sensiblen Daten: "Wir sehen bei unseren Kunden regelmäßig, dass fast immer eine Diskrepanz zwischen der Implementierung sowie Konfiguration und den Anforderungen des Unternehmenssicherheitsprogramms herrscht."

5. Falsch konfigurierte APIs

Sicherheitsprobleme können auch in Zusammenhang mit Salesforce-APIs stehen. Bedenkt man die Datenmengen, die Salesforce-Systeme verarbeiten, um eine Vielzahl von Geschäftsprozessen zu unterstützen, wird dieser Punkt umso wichtiger.

Auch dieser Security-Fallstrick ist nicht Salesforce-exklusiv: Laut einer Untersuchung des SANS Institute nehmen Angriffe auf Schnittstellen generell zu und die befragten Sicherheitsexperten befürchten, dass Fehler bei der API-Konfiguration die Gefahr von Datenverlusten nach sich ziehen könnten.

"Sicherheitsteams müssen Integrationen und die angemessene Konfiguration und Verwaltung der Zugriffsrechte überprüfen", warnt Olearczyk. "Vom Zeitpunkt der Bereitstellung an muss ein kontinuierliches Management erfolgen."

6. Sonstige Fehlkonfigurationen

Salesforce ist eine umfassende Plattform mit vielen verschiedenen Elementen, Optionen und Funktionen. Jedes dieser Elemente kann potenziell falsch oder schlecht konfiguriert werden. Die RevCult-Studie sieht häufige Schwachstellen bei:

• Zugriffskontrollen,

• Benutzern mit zu umfassenden Berechtigungen,

• schlecht kontrollierten Integrationsimplementierungen und

• schlecht oder unvollständig implementierten Premium-Funktionen wie "Salesforce Shield Event Monitoring".

Erst vor kurzem konnte ein Sicherheitsforscher eine Fehlkonfiguration in Salesforce-Communities identifizieren, über die ungewollt sensible Daten offengelegt werden können.

7. "Einmal reicht doch"

Klare Verantwortlichkeiten in Sachen Security tragen wie bereits geschrieben dazu bei, grundlegende Fehler zu verhindern. Weil Salesforce-Implementierungen jedoch im Laufe der Zeit ausgebaut werden, dürfen die Sicherheitsbemühungen nicht irgendwann im Sand verlaufen. Da immer mehr Administratoren, Entwickler und Endbenutzer mit der Salesforce-Plattform in Berührung kommen, wird es dabei von entscheidender Bedeutung sein, das Sicherheitsbewusstsein und -knowhow auch außerhalb des Kernteams weiter auszubauen. Das biete laut Ognenoff eine gute Möglichkeit, eine starkes Band zwischen dem Salesforce-Implementierungsteam, den Geschäftsbereichsverantwortlichen und den Sicherheitsteams zu knüpfen, um etwaige Diskrepanzen zu beseitigen: "Sicherheit kann Unternehmen Agilität verleihen. Wenn Sicherheit aber als nachrangig oder hinderlich gesehen wird, wird das schwer."

Um das Risiko von SaaS-Anwendungen wie Salesforce zu managen, brauchen Sicherheitsteams Transparenz, so der Accenture-Manager: "Von daher ist die Integration von Salesforce in bestehende Monitoring- und Response-Pläne entscheidend." Accenture empfehle Salesforce-Benutzern, Salesforce Shield und die verschiedenen Protokollierungsfunktionen der Plattform in Kombination mit SIEM Tools und Incident-Response-Prozessen zu nutzen.

Salesforce selbst will der Sicherheit seiner Plattform weiterhin Priorität einräumen: "Nichts ist wichtiger als die Gewissheit für unsere Kunden, dass ihre Daten sicher sind - damit sie darauf zugreifen können, wann, wo und wie sie wollen", versichert Trey Ford, Vice President of Strategy and Trust bei Salesforce. Drei Security Services sollen helfen, die Sicherheit zu verbessern:

• Security Center vereinfacht für Administratoren das Security Management und ermöglicht es, Bedrohungen schneller zu erkennen;

• Shield bietet verschiedene Tools, um sämtliche Salesforce-Anwendungen in Sachen Transparenz, Trust, ComplianceCompliance und Governance zu verbessern; Alles zu Compliance auf CIO.de

• das Tool Data Mask unterstützt Kunden dabei, ihr Salesforce-System anzupassen, weiterzuentwickeln und zu testen und dabei persönliche Daten zu schützen.

"Uns ist bewusst, dass Cyberkriminelle immer raffinierter werden", sagt Ford. "Unsere Produkt- und Sicherheitsteams arbeiten kontinuierlich an Innovationen, um ihnen einen Schritt voraus zu sein. Natürlich bleibt die Sicherheit eine gemeinsame Verantwortung von Salesforce und unseren Kunden. Ein Teil der übergreifenden Sicherheitsstrategie eines verantwortungsbewussten Unternehmens besteht darin, seine Risiken in Probleme einzuteilen, die für das Unternehmen verwaltet werden müssen. Dann gilt es zu entscheiden, welche davon an Salesforce übergeben werden können." (fm)

Dieser Beitrag basiert auf einem Artikel unserer US-Schwesterpublikation CSO Online.