Sicherheit ist seit der Unternehmensgründung ein integraler Bestandteil der Plattform von Snowflake. Mit den kundenkonfigurierbaren Sicherheitsfunktionen des Snowflake Horizon Catalog ermöglichen wir es Sicherheitsadmins und Chief Information Security Officers (CISOs), ihre Umgebungen besser zu schützen und Bedrohungsüberwachung und rollenbasierte Zugriffskontrollen über verschiedene Clouds hinweg zu zentralisieren. Vor Kurzem haben wir unser Engagement für eine noch sicherere Nutzung von Snowflake durch die Unterzeichnung des Cybersecurity and Infrastructure Security Agency (CISA) Secure by Design Pledge bekräftigt. Dieses Pledge verpflichtet sich zu spezifischen, messbaren Maßnahmen im Einklang mit den CISA-Prinzipien für Unternehmenssoftwareprodukte und -services. 

Im Einklang mit dieser Zusage verlagern wir unser Shared-Responsibility-Modell für Sicherheit auf ein Shared-Destiny-Modell. In diesem Modell übernehmen wir eine proaktivere Rolle, um Kundenunternehmen beim Sichern ihrer Konten zu helfen. Dieser überarbeitete Ansatz wird sich deutlich auf unsere Prioritäten in diesem Jahr auswirken:

• Weitere Optionen für die Multi-Faktor-Authentifizierung: Unsere Kunden nutzen eine breite Palette von Authentifikatoren und erwarten, dass diese in Snowflake verfügbar sind. Wir streben an, zusätzlich zu unseren bestehenden Duo SMS- und Push-Authentifizierungstools Unterstützung für Passkeys (WebAuthn) und Authenticator-Apps (TOTP) zu entwickeln, um eine sicherere, Phishing-resistentere und reibungslosere Anmeldeerfahrung für die Benutzer:innen zu ermöglichen.

• Weitere Optionen für sicheren programmatischen Zugriff: Programmatische Anwendungsfälle machen einen erheblichen Anteil des Traffics auf Snowflake aus. Ausgehend von programmatischen Zugriffstoken (PATs; in Private Preview) wollen wir entwicklerfreundlichere Möglichkeiten für Workloads zur sicheren Authentifizierung bei Snowflake anbieten. PATs bieten einen sicheren, ergonomischen Drop-in-Ersatz für Passwörter, OAuth-Client-Anmeldedatenflüsse und mehr. Über PATs hinaus wollen wir unsere OAuth/OIDC-Funktionen erweitern, um Workload-Identitäten der Plattform direkt zu authentifizieren und so das Anmeldedatenmanagement vollständig überflüssig zu machen.  

• Sicherere Standardauthentifizierung: Wir haben kürzlich angekündigt, dass Snowflake Single-Faktor-Anmeldungen mit Passwörtern ab November 2025 blockieren wird. Die in den vorherigen Punkten beschriebenen erweiterten Authentifizierungsfunktionen werden Kundenunternehmen dabei helfen, von der reinen Passwortauthentifizierung zu sichereren Lösungen zu migrieren.

• Umfassendere Cloud-Monitoring-Services: Eine stärkere Authentifizierung reduziert zwar die Angriffsfläche, ersetzt aber nicht die Überwachungsdienste, die Angriffe erkennen und auf diese reagieren. Unser Ziel ist es, unsere ständig verfügbaren Bedrohungserkennungsfunktionen zu erweitern, um Kunden über anomale Logins und verdächtiges Kontoverhalten zu informieren. 

Das Shared-Destiny-Modell basiert auf den bestehenden Sicherheitsgrundlagen von Snowflake:

• Cloudübergreifend: Snowflake bietet benutzerfreundliche Sicherheitskontrollen für Identitäts- und Zugriffsmanagement, Netzwerk und Verschlüsselung über verschiedene Cloud Service Provider (CSPs) hinweg. So können unsere Kunden eine nahtlose Multi-Cloud-Strategie mit einheitlichen Kontrollen für ihren CSP-Fußabdruck einführen, was dann ihre Gesamtbetriebskosten erheblich senkt. 

• Benutzerfreundlich: Snowflake bietet standardmäßig integrierte Sicherheitskontrollen und eine einfache Konfigurierbarkeit, um zusätzliche Sicherheitskontrollen für die individuellen Anwendungsfälle der Kunden hinzuzufügen. Das Trust Center hilft Kunden außerdem, die richtige Richtung zu finden, indem es Sicherheitsfehlkonfigurationen und Bereiche mit Bedenken und Risiken identifiziert. 

• Datenzentriert: Mit Snowflake können Kunden Daten ab dem Eingang in Snowflake und während des gesamten Lebenszyklus speicher- und rechenübergreifend sichern und so Analytics, Einblicke, generative KI/LLM-Erfahrungen und mehr fördern.

• Umfassend: Kunden können ihr gesamtes Daten-Ökosystem innerhalb von Snowflake sichern, einschließlich Apps, Services und ML-Modelle.

Es gibt drei Kategorien von Sicherheitskontrollen, die der Snowflake Horizon Catalog bietet: Identitäts- und Zugriffsmanagement, Networking und Verschlüsselung.

Identitäts- und Zugriffsmanagement

Snowflake bietet ausgefeilte Authentifizierungs- und Autorisierungskontrollen. Snowflake bietet beispielsweise große Flexibilität bei der Erstellung und Verwaltung von Benutzer:innen, entweder direkt mit Snowflake oder synchronisiert von einem anderen Identitätsanbieter (IDP) über SCIM. In ähnlicher Weise bietet Snowflake mehrere Anmeldedatenoptionen für Benutzer:innen:

• Bereitgestellt von einem Drittanbieter-IDP (Single Sign-On, SSO): Dies ist der von Snowflake empfohlene Anmeldedatentyp, bei dem eine oder mehrere externe Stellen eine unabhängige Authentifizierung der Benutzeranmeldedaten bereitstellen. Snowflake unterstützt Branchenstandards mit SAML oder OAuth zur Konfiguration derVerbundauthentifizierung. 

• Von Snowflake bereitgestellt (statische Anmeldedaten): Snowflake zielt hauptsächlich auf Break-Glass-Zugriff, temporären Zugriff oder Zugriff für Kunden ohne eigenen IDP ab und bietet statische Anmeldedaten (Schlüsselpaar, Passwörter mit Duo-Multifaktorauthentifizierung (MFA) und PATs, wobei wie bereits erwähnt weitere Authentifikatoren kommen. 

Snowflake bietet Kundenunternehmen intuitive Möglichkeiten, zwischen menschlichen und Service-Nutzenden zu unterscheiden. Dies ist angesichts der grundlegenden Unterschiede beim Zugriff dieser Benutzer:innen auf Snowflake von entscheidender Bedeutung. Snowflake setzt beispielsweise durch, dass nur menschliche Benutzer:innen MFA aktivieren können oder dass Service-Nutzende keine Passwörter verwenden können, um sich bei Snowflake anzumelden oder auf die Snowflake-Benutzeroberfläche zuzugreifen. 

Für die Zugriffsverwaltung unterstützt Snowflake die rollenbasierte Zugriffskontrolle (Role-Based Access Control, RBAC). Was Snowflakes RBAC so einzigartig macht, ist die enge Integration mit unseren Data-Governance-Kontrollen, die eine präzise Kontrolle über den Datenzugriff bieten (zum Beispiel Zeilenzugriffsrichtlinien in Tabellen). Die gesamte Suite der Snowflake-Funktionen ist RBAC-integriert und ermöglicht ein einheitliches Sicherheitsmodell im gesamten Daten-Ökosystem (zum Beispiel Snowflake Model Registry, Snowflake Cortex AI, in externen Tabellen gehostete Daten zum Trainieren von Modellen oder für Analysen, Snowpark Container Services, Image Repository und Services usw.). Diese allgegenwärtige cloudübergreifende Unterstützung für Snowflake RBAC vereinfacht Governance, Compliance und Audit mit Snowflake.  

Zusätzlich zu RBAC wird Snowflake demnächst benutzerbasierte Grants anbieten (demnächst in Private Preview verfügbar), sodass Berechtigungen für sichere Objekte direkt an Benutzer:innen vergeben werden können. Dieser Ansatz vereinfacht die gemeinsame Nutzung analytischer Produkte, wie z. B. Streamlit-Apps, indem AI und Data Scientists ihre Arbeit direkt mit ihrer vorgesehenen Zielgruppe teilen können, ohne auf vordefinierte Rollen angewiesen zu sein. In Kombination mit dem Personal Database Concept (verfügbar in Public Preview), das die nutzungsbasierte Kontrolle über sichere Objekte unterstützt, optimiert Snowflake die Erstellung und den Austausch analytischer Produkte und macht den Prozess intuitiver und vertrauter.

Networking

Für mehr Datenschutz können Sie die private Verbindung zu den Snowflake-Diensten, Streamlit und internen Stages so konfigurieren, dass Ihr Datenverkehr zu Snowflake niemals über das öffentliche Internet geleitet wird. In ähnlicher Weise können Sie für die ausgehende Konnektivität private Endpunkte in Snowflake erstellen, um über die private Konnektivitätslösung der Plattform auf die Cloudplattform zuzugreifen, anstatt das öffentliche Internet zu durchqueren. Mit Snowflake ist es ein Kinderspiel, diese privaten Verbindungen zu konfigurieren.

Snowflake bietet auch Netzwerkrichtlinien zur Kontrolle des eingehenden/ausgehenden Zugriffs auf die Snowflake-Dienste und interne Stages, wie z. B. die Beschränkung von Usern auf bestimmte IP-Bereiche. Diese Richtlinien sind cloudübergreifend konfiguriert und können an ein ganzes Konto oder an einzelne Benutzer:innen oder Integrationen angehängt werden, was Administrator:innen eine große Flexibilität bei der Festlegung der richtigen Richtlinie auf der Grundlage des Benutzer- oder Kontoverhaltens gibt.

Verschlüsselung

Alle Daten, die in internen Snowflake-Stages gespeichert sind, werden standardmäßig mit einem hierarchischen Schlüsselmodell verschlüsselt, das in einem Hardware-Sicherheitsmodul verwurzelt ist. Verschlüsselungsschlüssel werden automatisch alle 30 Tage gewechselt. Optional bietet Snowflake Tri-Secret Secure, mit dem Kundenunternehmen einen Kontostammschlüssel (zur Verschlüsselung aller Schlüssel in der Hierarchie) aus einer Kombination eines von Snowflake gepflegten Schlüssels und eines von Kunden verwalteten Schlüssels zusammenstellen können. Diese Funktion gibt Kunden die Kontrolle über den Zugriff von Snowflake auf ihre Daten und die Möglichkeit, diesen Zugriff zu widerrufen, wenn sie sich dazu entscheiden.

Mehr erfahren

• Überprüfen Sie die Sicherheitslage Ihres Kontos mit dem Snowflake CIS Benchmark. 

• Überprüfen Sie Ihre Compliance auf programmatische Weise mithilfe des Trust Center CIS Scannerpakets.

• Lesen Sie dieses Whitepaper und sehen Sie sich unser Begleitvideo zur Migration zu sicheren Anmeldedaten an.  

• Besuchen Sie den Snowflake CISO Hub, um die neuesten Sicherheitsupdates zu erhalten. 

Zukunftsgerichtete Aussagen

Dieser Beitrag enthält explizite und implizite Aussagen über die Zukunft, einschließlich Aussagen über (i) die Geschäftsstrategie von Snowflake, (ii) die Produkte, Dienste und Technologieangebote von Snowflake, einschließlich derjenigen, die sich in der Entwicklung befinden oder noch nicht allgemein verfügbar sind, (iii) Marktwachstum, Trends und Wettbewerbsüberlegungen und (iv) die Integration, Interoperabilität und Verfügbarkeit der Produkte von Snowflake mit und auf Plattformen Dritter. Diese zukunftsgerichteten Aussagen stehen unter dem Vorbehalt verschiedener Risiken, Unsicherheiten und Annahmen, insbesondere den unter der Überschrift „Risk Factors“ („Risikofaktoren“) und an anderer Stelle in den Jahresberichten im Formular 10-K und den Quartalsberichten im Formular 10-Q, die Snowflake bei der US-amerikanischen Securities and Exchange Commission einreicht, beschriebenen. Angesichts dieser Risiken, Unsicherheiten und Annahmen kann es sein, dass die tatsächlichen Ergebnisse erheblich und in nachteiliger Weise von den Erwartungen bzw. Implikationen der zukunftsgerichteten Aussagen abweichen. Daher sollten Sie sich nicht auf zukunftsgerichtete Aussagen als Prognosen zukünftiger Ereignisse verlassen.