Immer mehr Unternehmen betreiben ihre Anwendungen, Server und digitalen Arbeitsplätze in der Cloud. Statt eigene Hardware zu verwalten, nutzen sie IT-Ressourcen externer Dienstleister. Das ermöglicht flexible Arbeitsprozesse und reduziert den Aufwand für den Betrieb physischer Infrastruktur.
Doch mit der Auslagerung entstehen neue Sicherheitsfragen. Wer schützt sensible Unternehmensdaten? Wer installiert Sicherheitsupdates? Und wer ist verantwortlich, wenn Daten verloren gehen oder Anwendungen nicht mehr erreichbar sind?
Eine sichere Cloud-Umgebung erfordert mehr als einen zuverlässigen Anbieter. Entscheidend ist das Zusammenspiel aus technischen Schutzmaßnahmen, klaren Verantwortlichkeiten und einer funktionierenden Datensicherung.
Cloud-Sicherheit beginnt bei der Aufgabenverteilung
Ein verbreitetes Missverständnis besteht darin, dass mit dem Wechsel in die Cloud automatisch sämtliche Sicherheitsaufgaben auf den Anbieter übergehen.
Tatsächlich hängt die Verantwortung vom gewählten Servicemodell und den vertraglich vereinbarten Leistungen ab.
Bei Infrastructure as a Service (IaaS) stellt der Cloud-Anbieter beispielsweise virtuelle Server, Speicher und Netzwerkressourcen bereit. Während der Anbieter die zugrunde liegende Infrastruktur betreut, bleiben Unternehmen häufig selbst für Betriebssysteme, Anwendungen, Benutzerkonten und deren sichere Konfiguration zuständig.
Dieses Prinzip wird als Shared Responsibility Model bezeichnet, also als Modell geteilter Verantwortung.
Bei vollständig verwalteten Cloud-Diensten können zusätzliche Aufgaben vom Dienstleister übernommen werden. Deshalb sollte bereits vor Vertragsabschluss geklärt werden, wer welche Sicherheitsmaßnahmen umsetzt und kontrolliert.
Zugriffsschutz: Eine wichtige Verteidigungslinie
Nicht jeder Sicherheitsvorfall beginnt mit einem technischen Angriff auf die Serverinfrastruktur. Auch kompromittierte Benutzerkonten, schwache Passwörter oder falsch vergebene Zugriffsrechte können sensible Unternehmensdaten gefährden.
Besonders kritisch wird es, wenn Mitarbeitende über weitreichende Administratorrechte verfügen oder ehemalige Beschäftigte weiterhin auf Unternehmenssysteme zugreifen können.
Zu den grundlegenden Schutzmaßnahmen gehören deshalb:
- Multi-Faktor-Authentifizierung: Eine zusätzliche Bestätigung erschwert den Zugriff mit gestohlenen Passwörtern.
- Rollenbasierte Berechtigungen: Mitarbeitende erhalten nur die Zugriffsrechte, die für ihre Aufgaben erforderlich sind.
- Regelmäßige Zugriffskontrollen: Nicht mehr benötigte Benutzerkonten und Berechtigungen werden entfernt.
- Sichere Administration: Besonders sensible Verwaltungszugänge werden zusätzlich abgesichert und überwacht.
Diese Maßnahmen gelten unabhängig davon, ob Anwendungen auf eigenen Servern oder in einer Cloud-Umgebung betrieben werden.
Warum Backups trotz Cloud-Nutzung unverzichtbar bleiben
Eine hochverfügbare Cloud-Infrastruktur schützt nicht automatisch vor Datenverlust. Auch bei zuverlässigen Systemen können Dateien versehentlich gelöscht, Anwendungen falsch konfiguriert oder Daten durch Schadsoftware beschädigt werden.
Besonders Ransomware stellt ein Risiko dar. Dabei können Angreifer Daten verschlüsseln und deren Freigabe von einer Lösegeldzahlung abhängig machen.
Regelmäßige Backups ermöglichen es, Daten und Systeme nach bestimmten Vorfällen wiederherzustellen. Allerdings reicht es nicht aus, lediglich Sicherungskopien zu erstellen.
Ein wirksames Backup-Konzept sollte mehrere Fragen beantworten: Welche Daten müssen gesichert werden? Wie häufig erfolgen Sicherungen? Wo werden sie gespeichert? Und wie schnell müssen Anwendungen im Ernstfall wieder verfügbar sein?
Eine bewährte Orientierung bietet die 3-2-1-Regel: drei Datenkopien, auf zwei unterschiedlichen Speichermedien beziehungsweise Speicherarten, davon eine an einem getrennten Standort.
Zusätzlich sollten Sicherungen gegen unbefugtes Löschen und Manipulation geschützt und Wiederherstellungsverfahren regelmäßig getestet werden.
Sicherheitssoftware allein bietet keinen vollständigen Schutz
Antivirenprogramme, Firewalls und Systeme zur Erkennung verdächtiger Aktivitäten sind wichtige Bestandteile einer Sicherheitsstrategie. Sie können bekannte Bedrohungen erkennen, unerwünschte Verbindungen blockieren und ungewöhnliches Verhalten sichtbar machen.
Allerdings ersetzt keine einzelne Sicherheitslösung ein umfassendes Schutzkonzept.
Eine Firewall verhindert beispielsweise nicht automatisch, dass ein Mitarbeiter auf eine gefälschte Anmeldeseite hereinfällt. Ebenso wenig kann eine Antivirensoftware garantieren, dass sämtliche neuen Angriffsmethoden erkannt werden.
Deshalb empfiehlt sich ein mehrschichtiger Sicherheitsansatz. Dabei werden verschiedene Maßnahmen kombiniert, sodass eine einzelne überwundene Schutzbarriere nicht unmittelbar zum vollständigen Kontrollverlust führt.
Dazu zählen neben technischer Sicherheitssoftware auch regelmäßige Updates, sichere Konfigurationen, Mitarbeiterschulungen und dokumentierte Prozesse für Sicherheitsvorfälle.
Welche Rolle spielt der Cloud-Anbieter?
Die Wahl des Cloud-Dienstleisters beeinflusst, wie Sicherheitsmaßnahmen umgesetzt und betriebliche Risiken kontrolliert werden können. Neben technischen Funktionen sind insbesondere Verantwortlichkeiten und fachkundige Unterstützung wichtig. Bei der Auswahl eines Cloud- und Hosting-Anbieters sollten deshalb auch die angebotenen Sicherheitsleistungen und die Unterstützung bei technischen Problemen berücksichtigt werden.
Datenschutz und Serverstandort richtig bewerten
Für Unternehmen, die personenbezogene Daten verarbeiten, spielt neben der technischen Sicherheit auch die Datenschutz-Grundverordnung (DSGVO) eine wichtige Rolle.
Der Standort eines Rechenzentrums kann dabei relevant sein, insbesondere im Zusammenhang mit internationalen Datenübermittlungen und rechtlichen Anforderungen.
Ein Serverstandort in Deutschland bedeutet jedoch nicht automatisch, dass sämtliche Datenschutzpflichten erfüllt sind.
Unternehmen müssen unter anderem prüfen, welche personenbezogenen Daten verarbeitet werden, ob ein Auftragsverarbeitungsvertrag erforderlich ist und welche technischen und organisatorischen Maßnahmen der Anbieter bereitstellt.
Auch mögliche Unterauftragnehmer und Zugriffe aus Drittstaaten können für die datenschutzrechtliche Bewertung entscheidend sein.
Sicherheitsvorfälle: Vorbereitung ist entscheidend
Selbst umfangreiche Schutzmaßnahmen können Sicherheitsvorfälle nicht vollständig ausschließen. Deshalb gehört ein dokumentierter Notfallplan zu einer belastbaren IT-Sicherheitsstrategie.
Dieser sollte festlegen, wie verdächtige Aktivitäten erkannt und gemeldet werden, wer Entscheidungen trifft und welche Systeme im Ernstfall zuerst wiederhergestellt werden müssen.
Ebenso wichtig sind klare Kommunikationswege zwischen Unternehmen, IT-Verantwortlichen und externen Dienstleistern.
Regelmäßige Tests helfen dabei, Schwachstellen im Notfallkonzept frühzeitig zu erkennen. Besonders die Wiederherstellung aus Backups sollte nicht erst während eines tatsächlichen Ausfalls erprobt werden.
Cloud-Sicherheit ist eine gemeinsame Aufgabe
Cloud-Dienste können Unternehmen bei der Bereitstellung und Verwaltung ihrer IT-Infrastruktur entlasten. Die Verantwortung für den Schutz geschäftskritischer Daten und Anwendungen verschwindet dadurch jedoch nicht.
Entscheidend sind klar definierte Zuständigkeiten, sichere Benutzerzugänge, mehrschichtige Schutzmaßnahmen und eine zuverlässige Backup-Strategie.
Eine sichere Cloud-Umgebung entsteht nicht durch einzelne Produkte, sondern durch das koordinierte Zusammenspiel von Technologie, organisatorischen Prozessen und fachkundiger Betreuung.
