Strategien für mehr Cloud-Sicherheit – fünf effektive Ansätze für Unternehmen

Cloud, aber sicher, und in welche Fällen Unternehmen weiter auf On-Prem setzen

Cloud-Computing ist heute Tagesgeschäft und ein fester Bestandteil moderner IT-Strategien. Unternehmen und öffentliche Verwaltungen jeder Größe nutzen Cloud-Services, um ihre Infrastruktur skalierbarer, flexibler und kosteneffizienter zu gestalten. Doch je intensiver die Cloud-Nutzung, desto größer sind auch die potenziellen Sicherheitsrisiken und mögliche existenzielle Folgen nach einem Angriff. Denn Cyberkriminelle zielen zunehmend auf die Schwachstellen von Cloud-Plattformen und Cloud-Services ab. Die Investitionen großer Cloud-Anbieter in die Sicherheit und Verfügbarkeit ihrer Systeme gehen jährlich in die Milliarden. Auch auf Kundenseite wächst der Bedarf an Sicherheitslösungen rasant. Allein in Deutschland investierten die Unternehmen laut Branchenverband Bitcom im Jahr 2024 über 10 Milliarden Euro in ihre Cyber- und Cloud-Sicherheit – Tendenz steigend.

In diesem Blog-Beitrag zeigen wir, mit welchen grundlegenden Ansätzen Unternehmen und öffentliche Verwaltungen ihre Cloud-Sicherheit effektiv steigern. Dazu gehen wir darauf ein, in welchen Fällen es nicht nur aus Sicherheitsgründen sinnvoll sein kann, bestimmte Workloads erst gar nicht in die Cloud zu verlagern oder wieder zurückzuholen und diese auch weiterhin On-Premises zu betreiben.

Fünf Ansätze für eine effektivere Cloud-Sicherheitsstrategie

Erst kürzlich musste das mittelständische Recycling-Unternehmen Eu-Rec aus Rheinland-Pfalz (D) nach einem Cyberangriff Insolvenz anmelden. Wiederkehrende Schlagzeilen machten alleine in den vergangenen 2 Jahren auch diverse systemische Ausfälle bei Energieversorgern, Gesundheitseinrichtungen oder öffentlichen Verwaltungen. Doch auch wenn Unternehmen und Organisationen der kritischen Infrastruktur  besonders gefährdet sind, sollten alle Unternehmen ihre Sicherheitsstrategien regelmäßig überprüfen und dem aktuellen Bedarf auf Basis potenzieller Bedrohungsszenarien anpassen. Diese fünf Ansätze steigern die Cloud-Sicherheit:

1. Identitäts- und Zugriffsmanagement (IAM)

Ein robuster IAM-Ansatz ist die erste Verteidigungslinie gegen einen unbefugten Zugriff. Da Cloud-Dienste in der Regel von überall aus erreichbar sind, sind sie zwangsläufig angreifbarer, wenn Identitäten nicht zuverlässig geschützt werden. Unternehmen sollten deshalb konsequent auf mehrstufige Authentifizierungsverfahren (MFA), rollenbasierte Zugriffskontrollen (RBAC) und regelmäßige Berechtigungsüberprüfungen einsetzen. Die Einhaltung des Least-Privilege-Grundsatzes, also das Prinzip, jedem Nutzer nur die minimal notwendigen Rechte zu gewähren, ist dabei essenziell.

2. Datenverschlüsselung

Sowohl bei der Übertragung als auch bei der Speicherung sollten sämtliche Daten verschlüsselt werden. Moderne Cloud-Plattformen bieten dazu in der Regel native Verschlüsselungsfunktionen an, doch oft verbleibt die Verantwortung für deren Aktivierung und Verwaltung beim Nutzer. IT-Verantwortliche sollten auf eine durchgängige End-to-End-Verschlüsselung achten und darüber hinaus beispielsweise bei sensiblen oder personenbezogenen Daten, sogenannte Key Management Systeme, kurz KMS, einsetzen.

3. Monitoring und Erkennung von Anomalien

Ein kontinuierliches KI-basiertes Monitoring der Cloud-Umgebung ermöglicht es, ungewöhnliche Aktivitäten frühzeitig zu erkennen und unmittelbar darauf zu reagieren. Hierbei kommen sogenannte SIEM-Systeme (Security Information and Event Management) sowie Tools für das Cloud-Security-Posture-Management, kurz CSPM, zum Einsatz. Sie liefern die größtmögliche Transparenz über Konfigurationen, Zugriffe und Bedrohungen und helfen Unternehmen dabei, Sicherheitsverletzungen oder Fehlkonfigurationen proaktiv zu verhindern.

4. Absicherung von APIs und Schnittstellen

APIs bilden das Rückgrat vieler Cloud-Anwendungen. Systemische Schnittstellen sind jedoch oft auch ein beliebtes Angriffsziel. Um Sicherheitslücken zu vermeiden, sollten APIs stets authentifiziert, verschlüsselt und regelmäßig auf Schwachstellen geprüft werden. Auch Ratenbegrenzungen und eine erweiterte Protokollierung helfen, Missbrauch zu verhindern und die Integrität der Dienste zu gewährleisten.

5. Regelmäßige Sicherheitsaudits und Compliance-Checks

Compliance-Anforderungen wie DSGVO, ISO 27001 oder branchenspezifische Vorgaben verlangen den Nachweis einer sicheren Cloud-Nutzung. Durch regelmäßige Audits und Penetrationstests können Sicherheitslücken identifiziert und die Einhaltung von gesetzlichen, branchen- oder unternehmensspezifischen Standards sichergestellt werden. Cloud-Anbieter stellen hierfür oft eigene Tools und Berichte bereit. Diese sollten jedoch durch unabhängige Prüfungen sinnvoll ergänzt werden.

Für mehr Cloud-Sicherheit - erweiterte Protokollfunktionen bei Microsoft

Wie notwendig erhöhte Cloud-Sicherheitsmaßnahmen sind, musste auch Microsoft im Jahr 2023 schmerzlich erfahren, als es der chinesischen Hackergruppe Storm-0558 gelang, einen Master-Signature-Key zu erbeuten und sich damit Zugriff auf tausende Kundendaten über Azure, Exchange und Outlook zu verschaffen. Konsequenz: Das Microsoft Purview Audit erhöht nun mit den erweiterten Protokollierungsfunktionen das Sicherheitsniveau deutlich. Die aktuellen Protokolle erlauben Unternehmen und Behörden einen tieferen Einblick in die Aktivitäten von Benutzern und Administratoren und bieten die Möglichkeit, Tausende von Events in Exchange, SharePoint und Teams jederzeit zu überwachen. Mit dem Microsoft Expanded Cloud Logs Implementation Playbook gibt es dazu sogar einen abgestimmten Anwendungsleitfaden der amerikanischen Cyber Security Agency, kurz CISA.

Nicht alles muss in die Cloud - Sicherheitsfaktor On-Premises

Trotz aller Cloud-Vorteile und weiterentwickelter Sicherheitsmaßnahmen tendieren immer mehr Unternehmen, insbesondere der kritischen Infrastruktur sowie staatliche Institutionen und öffentliche Verwaltungen, auch aus Sicherheitsgründen dazu, bestimmte Workloads im eigenen Rechenzentrum zu belassen oder wieder aus der Cloud zurückzuholen. Dies geschieht insbesondere, wenn

• besonders sensible Daten verarbeitet werden, etwa in den Branchen Energie, Gesundheit, Logistik, Finanzen oder im Verteidigungs- und Rüstungssektor. Der vollständige Kontrollverlust über die IT-Infrastruktur und Datenhaltung stellt nicht nur ein existenzielles, sondern gegebenenfalls auch ein strafbares Risiko dar, etwa wenn rechtliche Rahmenbedingungen oder Zertifizierungen spezielle Anforderungen an Datenschutz und Transparenz stellen.
  
  
• eigene Sicherheitsstandards oder Architekturen nicht ohne Weiteres auf Cloud-Plattformen übertragbar sind. Komplexe Legacy-Systeme oder proprietäre Anwendungen lassen sich nicht immer sicher oder effizient migrieren.
  
  
• regulatorische oder vertragliche Vorgaben, die Datenhaltung im eigenen Land oder unter bestimmten Bedingungen vorschreiben. Manche Unternehmen unterliegen etwa Exportbeschränkungen oder besonderen Geheimhaltungsverpflichtungen.
  
  
• niedrigere Latenzzeiten oder hohe Verfügbarkeitsanforderungen bestehen, die sich mit Cloud-Angeboten nicht zuverlässig garantieren lassen – etwa in Produktionsumgebungen oder im Edge-Computing.
  
  
• Kosten- oder Kontrollgründe gegen eine vollständige Abhängigkeit von Drittanbietern sprechen. Unternehmen, die ihre IT-Infrastruktur selbst betreiben, bleiben Herr über ihre Daten und Systeme. Das kann bei Sicherheitsvorfällen entscheidende Vorteile bringen.
  
  

Strategisches Ziel: Cloud-Computing und Sicherheit gehen Hand in Hand

Mit einer ganzheitlichen und bedarfsgerechten Sicherheitsstrategie – vom Identitätsmanagement über Verschlüsselung bis hin zur tiefgehenden kontinuierlichen Überwachung – können Unternehmen von sämtlichen Cloud-Vorteilen profitieren, ohne die Kontrolle über ihre Daten, Workloads und Systeme zu verlieren. Dennoch ist es für die meisten Unternehmen wohl am zielführendsten, einerseits die Cloud-Vorteile zu nutzen und dabei die potenziellen Risiken konsequent im Blick zu behalten, und andererseits für besonders schützenswerte oder kritische Workloads weiterhin auf On-Premises-Lösungen zu setzen. Nicht umsonst werden hybride Cloud-Architekturen, die beide Welten miteinander kombinieren, aktuell mehrheitlich präferiert.

Darüber hinaus eröffnen sich im On-Prem-Betrieb weitere Vorteile, beispielsweise durch ein effizienteres Software-Asset-Management. So verschaffen sich immer mehr IT-Verantwortliche mit dem legalen Kauf oder Verkauf von gebrauchten Softwarelizenzen neue finanzielle Handlungsspielräume durch eine nachhaltige Senkung ihrer laufenden Lizenzkosten.

Überzeugende Vorteile – Gebrauchtsoftware von PREO für den On-Prem-Betrieb

Als einer der Pioniere im europäischen Handel mit gebrauchter Software und bieten wir Unternehmen, Organisationen und öffentlichen Verwaltungen jederzeit eine große Auswahl an gebrauchten Volumenlizenzen für den On-Prem-Betrieb. Der Fokus liegt dabei auf weit verbreiteter Standardsoftware marktführender Hersteller, wie Microsoft, Adobe, VMware oder Oracle. Mit ihnen können Unternehmen ihre Lizenzkosten nachhaltig optimieren und dabei von folgenden Vorteilen profitieren:

• hohen Einsparungen bei den laufenden Lizenzkosten von bis zu 70 Prozent gegenüber der jeweiligen Neuversion
     
  
• 100 Prozent rechts- und auditsicherer Lizenzerwerb mit höchster Transparenz in allen Abwicklungsschritten inklusive kompletter Dokumentation im PREO-Lizenzportal “Easy Compliance“
  
  
• persönlicher Beratung zu allen Fragen rund um Lizenztransaktionen oder der Integration von gebrauchten Softwarelizenzen in klassische Netzwerkstrukturen oder hybride Cloud-Modelle
  
  
• bestehenden Kapazitäten zum Software-Lizenzmanagement bei großen IT-Infrastrukturprojekten mit tausenden Arbeitsplätzen und länderübergreifenden Standorten
  
  
• mehr Nachhaltigkeit im IT-Bereich durch die Förderung einer aktiven Kreislaufwirtschaft und die Senkung des unternehmerischen CO2-Fußabdrucks
  
  
• der Expertise aus zahlreichen Referenzprojekten, die PREO in den vergangenen Jahren bereits für namhafte Unternehmen aus verschiedenen Branchen und Sektoren erfolgreich realisiert hat

Jetzt kostenfrei anfragen