Cloud Security

Wie die Studie „IT- & Cloud-Security 2027“ von CIO und COMPUTERWOCHE zeigt, nutzen 69,4 Prozent der befragten Unternehmen bereits Cloud-Services. Der Einsatz von Cloud-Diensten ist im Unternehmenskontext heute oft unverzichtbar. Gleichzeitig bleibt die Überwachung meist lückenhaft: Nur 29,8 Prozent der Befragten aus Unternehmen mit bestehender oder geplanter Cloud-Nutzung bezeichnen die Kontrolle ihrer Cloud-Konfiguration, Cloud-Inhalte und SaaS-Dienste als sehr detailliert und vollständig.
 

Eine gefährliche Annahme: Der Cloud-Anbieter kümmert sich schon

Große Cloud-Plattformen können Sicherheitsfunktionen bereitstellen, deren Aufbau für einzelne Unternehmen aufwendig wäre. Daraus folgt jedoch keine automatische Absicherung der eigenen Nutzung.
 

Bezeichnet wird dieses Prinzip als Shared Responsibility Model: Bei Infrastructure as a Service verwaltet der Kunde unter anderem virtuelle Maschinen, Betriebssysteme und Anwendungen. Bei Platform as a Service übernimmt der Anbieter mehr Betriebsaufgaben. Software as a Service stellt fertige Anwendungen bereit. Die Verantwortung für eigene Daten, Identitäten und die Steuerung von Zugriffen verschwindet dadurch nicht. Die konkrete Aufteilung muss für jeden Dienst geprüft werden.
 

In der Studie nennen 42,2 Prozent der Befragten, die Cloud-Services nutzen oder deren Nutzung planen, unautorisierten Datenzugriff beziehungsweise Datenabfluss als eines ihrer größten Sicherheitsbedenken. 39 Prozent nennen fehlende Kontrolle über die IT-Infrastruktur.
 

Deshalb muss klar sein, wer hier einen kompromittierten Zugang sperrt, eine riskante Freigabe erkennt oder nach einem Vorfall den Geschäftsbetrieb wiederherstellt. Genau hier muss eine kritische Bewertung des Cloud-Einsatzes ansetzen: bei der Frage, ob 
 

Cloud Security umfasst den Schutz von Daten, Identitäten, Anwendungen und Infrastruktur in Cloud-Umgebungen. Welche Aufgaben der Anbieter übernimmt, hängt vom jeweiligen Dienst ab. Für Unternehmen bleibt deshalb eine anspruchsvolle Aufgabe: Sie müssen Sicherheitsverantwortung in konkrete Zuständigkeiten, technische Kontrollen und überprüfbare Abläufe übersetzen.
 

Die Managementfrage lautet deshalb: Welche Sicherheitsaufgaben bleiben nach der Migration bei uns, und wer erledigt sie?

Eine pauschale Zuständigkeit der IT reicht dafür nicht aus. Fachbereiche bestimmen, welche Daten verarbeitet und mit wem sie geteilt werden. Administrationsteams setzen Berechtigungen um. Und Sicherheitsverantwortliche benötigen Einblick in verdächtige Aktivitäten, um die kritischen Sicherheitsprozesse und die Steuerung und Weiterentwicklung der Sicherheitsstrategie im Blick zu behalten. Umso erschreckender die Erkenntnis der „IT- & Cloud-Security 2027“-Studie: Selbst in beratender Funktion sind CISOs und andere mit der Security betraute Management-Kräfte mehrheitlich nicht beteiligt. Nur bei 19 Prozent der Befragten haben CISO & Co. eine Berater-Rolle bei Security-Entscheidungen.
 

Der Einkauf muss wiederum dafür sorgen, dass notwendige Funktionen und Unterstützungsleistungen im Vertrag enthalten sind. Eine Migration ist sicherheitstechnisch erst dann abgeschlossen, wenn diese Aufgaben im laufenden Betrieb funktionieren.
 

In Cloud-Umgebungen verdient die Steuerung von Identitäten besondere Aufmerksamkeit. Dazu gehören neben Beschäftigten auch technische Konten und Anwendungen, die über Schnittstellen auf Daten zugreifen.
 

Ein typisches Risikoszenario lässt sich ohne spektakuläre Sicherheitslücke beschreiben: Eine Anwendung erhält für eine Integration weitreichende Berechtigungen. Nach Projektende bleiben Zugriff und Zugangsdaten bestehen. Werden diese später missbraucht, kann der Schaden über den ursprünglichen Anwendungszweck hinausgehen.
 

Das Szenario macht deutlich, warum eine Prüfung menschlicher Benutzerkonten allein zu kurz greift. Unternehmen sollten für jeden privilegierten Zugriff festhalten, welchem Zweck er dient, wer ihn verantwortet und wann er endet. Besonders weitreichende Rechte sollten zeitlich begrenzt und regelmäßig überprüft werden. Technische Identitäten gehören in dieselbe Bestandsaufnahme. Für menschliche Zugänge ist eine starke, möglichst phishing-resistente Mehrfaktor-Authentifizierung sinnvoll.
 

Fehlkonfigurationen lassen sich nicht mit einer Richtlinie beseitigen

Öffentlich erreichbare Speicher, ungeschützte Verwaltungsschnittstellen und zu großzügige Berechtigungsregeln zählen zu den häufig beschriebenen Cloud-Risiken. Werkzeuge für Cloud Security Posture Management können solche Konfigurationsprobleme erkennen.
 

Ihr Nutzen hängt allerdings davon ab, was anschließend geschieht. Ein Befund ohne verantwortliche Person, Priorität und Frist bleibt ein offenes Risiko.
 

Für Unternehmen empfiehlt sich deshalb ein verbindlicher Prozess: Sichere Konfigurationen werden als Ausgangspunkt vorgegeben, besonders riskante Einstellungen technisch eingeschränkt und Abweichungen fortlaufend überprüft. Ausnahmen benötigen eine Begründung und ein Ablaufdatum.
 

Das betrifft auch die Geschwindigkeit von Änderungen. Wenn neue Ressourcen automatisiert entstehen, müssen Sicherheitsprüfungen in diesen Ablauf integriert werden. Eine gelegentliche manuelle Kontrolle kann nicht zuverlässig jede Änderung begleiten.
 

Mehr Cloud-Dienste bedeuten zudem mehr Einstellungen und Abhängigkeiten. Wer zusätzliche Plattformen einführt, sollte den dafür notwendigen Sicherheitsbetrieb bereits in der Entscheidung berücksichtigen.
 

Protokolle schaffen erst dann Sicherheit, wenn jemand handeln kann

Eine Cloud-Umgebung kann umfangreiche Ereignisdaten erzeugen. Ob diese für eine Untersuchung ausreichen, hängt unter anderem davon ab, welche Protokolle verfügbar sind, wie lange sie gespeichert werden und wer darauf zugreifen kann.
 

Vor der Einführung eines Dienstes sollten Unternehmen deshalb konkrete Situationen durchspielen:

• Würden wir eine unerwartete Vergabe von Administrationsrechten erkennen?
• Könnten wir nachvollziehen, welche Daten ein kompromittiertes Konto abgerufen hat
• Wer dürfte den Zugang sperren?

Dazu gehören organisatorische Entscheidungen. Ein Security Operations Center benötigt geeignete Datenquellen, abgestimmte Erkennungsregeln und einen klaren Eskalationsweg. Für Eingriffe müssen Befugnisse und mögliche Folgen bekannt sein.
 

Wer die Überwachung an einen Dienstleister übergibt, sollte den Umfang präzise vereinbaren:

• Welche Cloud-Dienste und Mandanten sind eingebunden?
• Welche Ereignisse werden ausgewertet?
• Welche Maßnahmen darf der Dienstleister selbst ausführen?

Die Antworten auf diese Fragen bestimmen, welche Unterstützung im Ernstfall tatsächlich verfügbar ist.
 

Aufrechterhaltung des Geschäftsbetriebs und Wiederherstellungsfähigkeit

Cloud-Abhängigkeiten reichen bis in den Geschäftsbetrieb. In einer im Juli 2026 veröffentlichten Bitkom-Befragung erklärten 46 Prozent der befragten Unternehmen, dass sie bei einem Cloud-Ausfall früher oder später ihren Betrieb einstellen müssten. Die Befragung umfasste 603 Unternehmen ab 20 Beschäftigten in Deutschland, darunter 517 Cloud-Nutzer.
 

Für die eigene Planung zählt, welche Prozesse wie lange unterbrochen sein dürfen. Daraus ergeben sich Anforderungen an Datensicherung, Notbetrieb und Wiederanlauf.
 

Unternehmen sollten praktisch prüfen, ob sie Daten nach einer versehentlichen Löschung oder einem Angriff zurückholen können. Ebenso wichtig ist der Zugang zur Sicherung: Ein Wiederherstellungsverfahren, das vollständig vom ausgefallenen oder kompromittierten Identitätsdienst abhängt, braucht einen gesonderten Notfallweg.
 

Auch eine zweite Cloud ist nur dann hilfreich, wenn Anwendungen, Daten und Zugänge dort im benötigten Zeitfenster nutzbar sind. Diese Fähigkeit muss geplant und getestet werden.
 

Prüfberichte ersetzen keine Prüfung der eigenen Nutzung

Nachweise des Cloud-Anbieters sind eine wichtige Grundlage für die Auswahl. Ihr Geltungsbereich muss jedoch zum eingesetzten Dienst passen.
 

Der BSI-Kriterienkatalog C5 beschreibt Mindestanforderungen an sicheres Cloud Computing. Bereits C5:2020 führt zudem korrespondierende Kriterien auf, die Cloud-Kunden an der Schnittstelle zum Dienst selbst erfüllen müssen. Ein Prüfbericht des Anbieters entbindet damit nicht von der Prüfung der eigenen Aufgaben.
 

Für die Beschaffung bedeutet das: Verantwortliche sollten klären, welche Dienste und Zeiträume ein Bericht abdeckt, welche Einschränkungen er enthält und welche Kontrollen auf Kundenseite vorausgesetzt werden.
 

Dasselbe gilt für Kosten. Zur Wirtschaftlichkeitsrechnung gehören nicht nur den reinen Betrieb betreffende Aufwendungen. Auch Identitätsverwaltung, Sicherheitsüberwachung, Protokollspeicherung, Wiederherstellungstests und die Bearbeitung von Befunden müssen umfassend berücksichtigt und eingepreist sein. Werden diese Aufgaben aus der Kalkulation ausgeblendet, bleibt der Vergleich mit dem bisherigen Betrieb unvollständig.
 

Wie sich die Überwachung von Endgeräten auf Identitäten, auf die Cloud und auf weitere Systeme erweitern lässt, erfahren Sie auch im Webinar „SOC verstehen: Wo fängt guter Schutz an – und wie weit muss er gehen?“.

Zur Studie „IT- & Cloud-Security 2027“ von CIO und COMPUTERWOCHE: Die Magazine befragten vom 9. bis 16. Juli 2026 insgesamt 307 IT- und Unternehmensverantwortliche in der DACH-Region online. Befragt wurden 282 Verantwortliche aus Unternehmen, die Cloud-Services nutzen oder deren Nutzung planen. Die Ergebnisse beruhen auf Selbstauskünften.