E-Mails liegen in Microsoft 365, die Buchhaltung läuft als Webanwendung, Kundendaten im CRM aus der Cloud, und die neue Fachanwendung wird gleich bei einem großen Anbieter betrieben. Für die meisten Unternehmen ist die Cloud längst keine Zukunftsfrage mehr, sondern Alltag. Damit verschiebt sich auch die IT-Sicherheit: Die wichtigsten Daten liegen nicht mehr im eigenen Serverraum, sondern in Rechenzentren, die man nie gesehen hat.
Viele verlassen sich darauf, dass der Anbieter sich schon um die Sicherheit kümmert. Das stimmt aber nur zum Teil. In diesem Beitrag erfahren Sie, was Cloud Security bedeutet, wer wofür verantwortlich ist, welche Risiken in der Praxis am häufigsten sind, was BSI, DSGVO und NIS2 verlangen und wie Sie Ihre Cloud-Nutzung absichern.
Was ist Cloud Security?
Cloud Security, auf Deutsch Cloud-Sicherheit, umfasst alle technischen und organisatorischen Maßnahmen, die Daten, Anwendungen, Identitäten und Infrastruktur in der Cloud schützen. Dazu gehören die Absicherung von Zugängen, die richtige Konfiguration der Dienste, Verschlüsselung, Überwachung, Datensicherung und die vertragliche Absicherung gegenüber dem Anbieter.
Die Ziele sind dieselben wie in jeder IT-Sicherheit: Vertraulichkeit, Integrität und Verfügbarkeit der Daten. Was sich ändert, sind die Wege dorthin. Es gibt keinen Netzwerkrand mehr, hinter dem alles sicher ist. Die Dienste sind aus dem Internet erreichbar, und die Sicherheit hängt vor allem an Identitäten und Konfigurationen.
Wer ist verantwortlich? Das Modell der geteilten Verantwortung
Der wichtigste Grundsatz der Cloud Security lautet: Die Verantwortung ist geteilt. Der Anbieter sichert seine Rechenzentren, Hardware und Basisdienste. Für alles, was der Kunde darin einrichtet, speichert und freigibt, bleibt der Kunde verantwortlich. Wie die Grenze verläuft, hängt vom Servicemodell ab:
| Bereich | IaaS (Infrastruktur) | PaaS (Plattform) | SaaS (Software) |
|---|---|---|---|
| Rechenzentrum, Hardware, Netz | Anbieter | Anbieter | Anbieter |
| Betriebssystem und Updates | Kunde | Anbieter | Anbieter |
| Anwendung | Kunde | Kunde | Anbieter |
| Konfiguration und Freigaben | Kunde | Kunde | Kunde |
| Identitäten und Zugriffsrechte | Kunde | Kunde | Kunde |
| Daten | Kunde | Kunde | Kunde |
| Endgeräte der Nutzer | Kunde | Kunde | Kunde |
Selbst bei reiner Software aus der Cloud wie Microsoft 365 bleiben drei Dinge immer beim Kunden: wer zugreifen darf, wie der Dienst eingestellt ist und was mit den Daten passiert. Wird ein Konto ohne Multi-Faktor-Authentifizierung übernommen oder ein Ordner versehentlich öffentlich freigegeben, ist das kein Fehler des Anbieters.
Public, Private und Hybrid Cloud
Neben dem Servicemodell spielt auch die Art der Cloud eine Rolle. In der Public Cloud teilen sich viele Kunden die Infrastruktur eines großen Anbieters, getrennt durch Software. Eine Private Cloud wird nur für ein Unternehmen betrieben, im eigenen Rechenzentrum oder bei einem Dienstleister. Die meisten Unternehmen arbeiten heute hybrid: Ein Teil läuft im eigenen Haus, ein Teil in der Public Cloud, und beide Welten sind miteinander verbunden.
Gerade diese Verbindungen sind sicherheitskritisch. Wird etwa das lokale Benutzerverzeichnis mit der Cloud synchronisiert, kann ein Angreifer, der im Firmennetz Administratorrechte erlangt, oft auch die Cloud übernehmen und umgekehrt. Cloud Security endet deshalb nicht an der Grenze des Cloud-Dienstes, sondern muss die Übergänge zur eigenen IT mitdenken.
Die größten Risiken in der Cloud
| Risiko | Was passiert | Typische Ursache |
|---|---|---|
| Fehlkonfiguration | Daten oder Dienste sind öffentlich erreichbar | Standardeinstellungen, fehlende Prüfung, Zeitdruck |
| Übernommene Konten | Angreifer melden sich mit echten Zugangsdaten an | Phishing, fehlende Multi-Faktor-Authentifizierung |
| Zu viele Rechte | ein einzelnes Konto kann alles lesen oder löschen | gewachsene Berechtigungen, keine Überprüfung |
| Datenverlust | Daten werden gelöscht, verschlüsselt oder sind nicht wiederherstellbar | Ransomware, Bedienfehler, fehlendes eigenes Backup |
| Unsichere Schnittstellen | Daten fließen über schlecht gesicherte APIs ab | fehlende Authentifizierung, zu weitreichende Token |
| Schatten-IT | Abteilungen nutzen Cloud-Dienste ohne Wissen der IT | fehlende Regeln, unkomplizierte Anmeldung |
| Abhängigkeit vom Anbieter | Ausfall, Preiserhöhung oder Insolvenz trifft den Betrieb | fehlende Ausstiegsstrategie |
Fehlkonfigurationen und Identitäten im Fokus
In der Praxis entstehen die meisten Probleme nicht durch Angriffe auf die Technik der Anbieter, sondern durch Einstellungen auf Kundenseite. Cloud-Dienste haben Hunderte Optionen, viele davon sind ab Werk großzügig. Gleichzeitig ist die Anmeldung der wichtigste Schutzwall: Wer Benutzername und Passwort hat, kommt von überall auf der Welt an die Daten. Deshalb rät auch das BSI ausdrücklich zur Zwei-Faktor-Authentisierung für Cloud-Zugänge. Mehr dazu im Beitrag Was ist Multi-Faktor-Authentifizierung?.
Das unterschätzte Backup-Problem
Viele Unternehmen gehen davon aus, dass Daten in der Cloud automatisch gesichert sind. Die Anbieter sorgen zwar dafür, dass ihre Dienste bei Hardwareausfällen weiterlaufen. Werden Daten aber durch einen Angreifer, einen Fehler oder eine Synchronisation gelöscht oder verschlüsselt, wird diese Änderung genauso zuverlässig übernommen. Papierkörbe und Versionsstände helfen nur begrenzt und nur für eine gewisse Zeit. Ein eigenes, vom Cloud-Dienst getrenntes Backup gehört deshalb zur Cloud Security dazu.
So läuft ein typischer Angriff auf eine Cloud-Umgebung ab
- Phishing: Eine Mitarbeiterin erhält eine täuschend echte Anmeldeseite und gibt dort ihre Zugangsdaten ein. Moderne Phishing-Seiten fangen dabei auch die Sitzung nach der Anmeldung ab.
- Anmeldung: Der Angreifer meldet sich mit den echten Daten an. Für den Cloud-Dienst sieht das aus wie ein normaler Zugriff.
- Festsetzen: Er richtet Weiterleitungsregeln ein, registriert eigene Anmeldemethoden oder erteilt einer bösartigen App Zugriff auf das Postfach.
- Ausspähen: Wochenlang liest er E-Mails mit, sucht nach Rechnungen, Zugangsdaten und Kontakten.
- Ausnutzen: Er verschickt gefälschte Zahlungsaufforderungen aus dem echten Postfach, zieht Daten ab oder löscht und verschlüsselt Dateien.
Fast jeder dieser Schritte hinterlässt Spuren in den Protokollen. Wer Anmeldungen, neue Regeln und ungewöhnliche Datenzugriffe auswertet, kann den Angriff früh stoppen. Wie Sie gefälschte Anmeldeseiten erkennen, beschreiben wir im Beitrag Woran erkenne ich Phishing-Mails?.
Was BSI, DSGVO und NIS2 verlangen
BSI-Kriterienkatalog C5
Mit dem Kriterienkatalog C5 beschreibt das BSI Mindestanforderungen an die Informationssicherheit von Cloud-Diensten. Anbieter lassen sich die Einhaltung von Wirtschaftsprüfern bestätigen und erhalten ein C5-Testat. Für Kunden ist C5 ein wertvolles Werkzeug bei der Auswahl: Der Prüfbericht zeigt, welche Kontrollen der Anbieter umsetzt und welche Aufgaben beim Kunden verbleiben. Das BSI empfiehlt Kunden, zunächst den eigenen Schutzbedarf festzustellen und dann zu prüfen, ob die C5-Kriterien dafür ausreichen. Ein ISO-27001-Zertifikat ersetzt ein C5-Testat nicht.
Darüber hinaus rät das BSI allen Unternehmen zu einer Cloud-Nutzungsstrategie. Ein ungeplanter, überstürzter Einstieg in die Cloud ist nach Einschätzung des BSI eine der größten Gefahrenquellen.
DSGVO
Werden personenbezogene Daten in der Cloud verarbeitet, ist der Anbieter in der Regel Auftragsverarbeiter. Dann braucht es einen Vertrag nach Art. 28 DSGVO. Zusätzlich verlangt Art. 32 angemessene technische und organisatorische Maßnahmen, etwa Verschlüsselung, Zugriffskontrolle und die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen. Bei Anbietern außerhalb der EU muss die Übermittlung nach Kapitel V der DSGVO abgesichert sein. Klären Sie, wo die Daten gespeichert werden und welche Garantien gelten.
NIS2 und DORA
Für Unternehmen, die unter NIS2 fallen, verlangt § 30 BSIG unter anderem die Sicherheit der Lieferkette. Cloud-Anbieter gehören zu den wichtigsten Dienstleistern, ihre Auswahl und Überwachung muss deshalb Teil des Risikomanagements sein. Welche Pflichten insgesamt gelten, zeigt unsere NIS2-Checkliste. Finanzunternehmen müssen nach DORA zusätzlich ein Informationsregister ihrer IKT-Drittdienstleister führen und Ausstiegsstrategien festlegen. Mehr dazu im Beitrag Was ist DORA-Compliance?.
Die wichtigsten Schutzmaßnahmen im Überblick
| Bereich | Maßnahmen |
|---|---|
| Identitäten | Multi-Faktor-Authentifizierung für alle, getrennte Administratorkonten, Rechte nach Bedarf, regelmäßige Überprüfung |
| Zugriff | bedingter Zugriff nur von verwalteten Geräten, veraltete Anmeldeverfahren abschalten |
| Konfiguration | sichere Grundeinstellungen, regelmäßige Prüfung auf Abweichungen, Freigaben nach außen kontrollieren |
| Daten | Verschlüsselung bei Speicherung und Übertragung, Klassifizierung sensibler Daten |
| Backup | eigenes, vom Cloud-Dienst getrenntes und unveränderbares Backup mit getesteter Wiederherstellung |
| Überwachung | Protokolle zentral auswerten, Alarme bei ungewöhnlichen Anmeldungen und Massenänderungen |
| Endgeräte | Zugriff nur von geschützten Geräten, siehe Endpoint Security |
| Verträge | Auftragsverarbeitung, Datenstandort, Meldepflichten, Prüfrechte, Ausstieg |
Diese Maßnahmen folgen dem Gedanken von Zero Trust: Kein Zugriff wird automatisch erlaubt, jeder wird anhand von Identität und Gerät geprüft. Wie Sie die Maßnahmen Schritt für Schritt umsetzen, beschreiben wir ausführlich im Beitrag Cloud Security Best Practices.
Cloud Security in Microsoft 365
Für die meisten mittelständischen Unternehmen ist Microsoft 365 der wichtigste Cloud-Dienst. E-Mail, Dateien, Teams und Benutzerkonten liegen dort. Entsprechend häufig ist Microsoft 365 das Ziel von Angriffen. Diese Punkte sollten Sie prüfen:
- Multi-Faktor-Authentifizierung für alle Konten, ohne Ausnahmen für die Geschäftsleitung oder Dienstkonten.
- Administratorrechte auf wenige, getrennte Konten beschränkt und regelmäßig überprüft.
- Veraltete Protokolle abgeschaltet, die keine Multi-Faktor-Authentifizierung unterstützen.
- Externe Freigaben in SharePoint, OneDrive und Teams kontrolliert und begrenzt.
- Weiterleitungsregeln nach außen überwacht, denn Angreifer nutzen sie, um E-Mails unbemerkt mitzulesen.
- Anmeldeprotokolle ausgewertet, etwa auf Anmeldungen aus ungewöhnlichen Ländern.
- Eigenes Backup von E-Mails, Dateien, Teams und dem Benutzerverzeichnis außerhalb der Microsoft-Umgebung.
Cloud Security nach Unternehmensgröße
| Unternehmen | Sinnvoller Schwerpunkt |
|---|---|
| Kleine Unternehmen mit SaaS-Diensten | Multi-Faktor-Authentifizierung, sichere Grundeinstellungen, eigenes Backup, Übersicht über alle genutzten Dienste |
| Mittelstand mit Microsoft 365 und Cloud-Servern | zusätzlich bedingter Zugriff, zentrale Überwachung, regelmäßige Konfigurationsprüfung, Verträge mit Dienstleistern |
| Unternehmen mit eigenen Cloud-Plattformen | zusätzlich Schutz der Workloads, automatisierte Prüfung der Konfiguration, Segmentierung, Sicherheitstests der Anwendungen |
| Regulierte Unternehmen | zusätzlich C5-Prüfberichte der Anbieter, Lieferantenmanagement, Ausstiegsstrategie, Nachweisführung |
Worauf Sie bei der Auswahl eines Cloud-Anbieters achten sollten
| Kriterium | Prüffrage |
|---|---|
| Nachweise | Gibt es ein C5-Testat oder eine ISO-27001-Zertifizierung für genau den Dienst, den Sie nutzen? |
| Datenstandort | In welchem Land werden Daten gespeichert und verarbeitet, auch Sicherungen und Supportzugriffe? |
| Auftragsverarbeitung | Liegt ein Vertrag nach Art. 28 DSGVO vor, sind Unterauftragnehmer benannt? |
| Sicherheitsfunktionen | Werden Multi-Faktor-Authentifizierung, Protokollierung und Verschlüsselung angeboten, und sind sie in Ihrer Lizenz enthalten? |
| Meldungen | Informiert der Anbieter Sie zeitnah über Sicherheitsvorfälle, die Ihre Daten betreffen? |
| Verfügbarkeit | Welche Verfügbarkeit wird zugesagt, was passiert bei Ausfällen? |
| Ausstieg | Können Sie Ihre Daten jederzeit in einem gängigen Format exportieren? Wie und wann werden sie nach Vertragsende gelöscht? |
Typische Fehler bei der Cloud-Nutzung
- Sicherheit dem Anbieter überlassen: Der Anbieter schützt seine Plattform, nicht Ihre Konten und Einstellungen.
- Ausnahmen bei der Anmeldung: Ein einziges Konto ohne Multi-Faktor-Authentifizierung genügt als Einfallstor.
- Kein eigenes Backup: Papierkorb und Versionsverlauf ersetzen keine unabhängige Sicherung.
- Protokolle nicht auswerten: Die Daten sind da, aber niemand schaut hinein.
- Schatten-IT dulden: Dienste, die die IT nicht kennt, kann sie auch nicht absichern.
- Einmal einrichten, nie prüfen: Cloud-Dienste ändern sich ständig, neue Funktionen bringen neue Einstellungen mit.
In sechs Schritten zur sicheren Cloud-Nutzung
- Bestand erfassen: Welche Cloud-Dienste werden genutzt, von wem, mit welchen Daten? Auch die, die einzelne Abteilungen selbst gebucht haben.
- Schutzbedarf festlegen: Welche Daten sind besonders sensibel, welche Dienste sind für den Betrieb unverzichtbar?
- Identitäten absichern: Multi-Faktor-Authentifizierung, Rechte prüfen, Administratorkonten trennen.
- Konfiguration härten: Einstellungen nach Herstellerempfehlungen und BSI-Vorgaben prüfen, Freigaben bereinigen.
- Backup und Überwachung einrichten: Eigenes Backup außerhalb des Dienstes, Alarme für verdächtige Aktivitäten.
- Verträge und Ausstieg regeln: Auftragsverarbeitung, Datenstandort, Prüfrechte, Meldepflichten und ein Plan für den Anbieterwechsel.
Praxisbeispiel: Ein Steuerberatungsbüro mit 40 Beschäftigten
Ein Steuerberatungsbüro hat seine Server abgeschafft und arbeitet vollständig mit Microsoft 365 und einer Fachanwendung aus der Cloud. Multi-Faktor-Authentifizierung ist für die meisten Konten aktiv, aber nicht für zwei ältere Konten, die für einen Scanner und einen Dienstleister genutzt werden.
Über eines dieser Konten verschaffen sich Angreifer nach einem Phishing-Angriff Zugang. Sie richten eine Weiterleitungsregel ein und lesen wochenlang mit, dann löschen sie Dateien in mehreren SharePoint-Bibliotheken. Ohne eigenes Backup wären die Daten verloren gewesen, weil der Papierkorb bereits geleert war. Nach dem Vorfall führt das Büro Multi-Faktor-Authentifizierung ohne Ausnahmen ein, überwacht Weiterleitungen und Anmeldungen und sichert alle Daten in einem unabhängigen Backup. Ein halbes Jahr später schlägt ein ähnlicher Versuch bereits bei der Anmeldung fehl.
Cloud Security mit der Deutschen Cyberkom
Wir prüfen Ihre Cloud-Umgebung, insbesondere Microsoft 365, auf Fehlkonfigurationen, Rechte und Zugänge und setzen die nötigen Maßnahmen gemeinsam mit Ihnen um. Für die Sicherung von Cloud-Daten setzen wir als Partner auf Keepit. Keepit legt die Sicherungen von Microsoft 365, Entra ID, Google Workspace, Salesforce und weiteren Diensten nach Herstellerangaben in einer eigenen, unabhängigen Cloud ab, unveränderbar und mit wählbarem Datenstandort, auch in der EU. So bleiben Ihre Daten auch dann verfügbar, wenn der eigene Mandant kompromittiert ist. Mehr dazu im Beitrag Keepit Backup für Microsoft 365 und auf unserer Seite zu Datensicherung und Backup. Für die Überwachung rund um die Uhr unterstützt Sie unser Security Monitoring.
Fazit: Die Cloud ist sicher, wenn Sie Ihren Teil tun
Cloud-Anbieter investieren enorm in die Sicherheit ihrer Rechenzentren. Doch Zugänge, Einstellungen und Daten bleiben in Ihrer Verantwortung. Die meisten Vorfälle entstehen genau dort: durch fehlende Multi-Faktor-Authentifizierung, zu großzügige Freigaben und fehlende eigene Backups. Wer das Modell der geteilten Verantwortung kennt, Identitäten absichert, Konfigurationen prüft, unabhängig sichert und die Anbieter sorgfältig auswählt, nutzt die Vorteile der Cloud ohne unnötiges Risiko.
Sie möchten wissen, wie sicher Ihre Cloud-Umgebung ist? Wir prüfen Ihre Microsoft-365- und Cloud-Konfiguration und zeigen, wo Handlungsbedarf besteht. Jetzt kostenlose Erstberatung buchen.
