Cloud-Sicherheit: Verantwortung im Unternehmen

Viele Betriebe glauben, mit dem Umzug in die Cloud sei die Sicherheit erledigt. Genau hier beginnt das Missverständnis. Denn Cloud-Sicherheit ist keine Ware, die Sie mit dem Abo mitkaufen. Vielmehr teilen Sie sich die Aufgabe mit dem Anbieter. Er schützt die Technik im Rechenzentrum. Sie hingegen schützen Ihre Daten, Zugriffe und Einstellungen. Deshalb lässt Türen offen, wer diese Grenze nicht kennt.

Dieser Beitrag erklärt das Thema für kleine und mittlere Unternehmen. Zunächst geht es um das Modell der geteilten Verantwortung. Danach folgen typische Fehlkonfigurationen, die Daten preisgeben. Zudem klären wir den Bezug zur DSGVO und zur Auftragsverarbeitung. Zum Schluss zeigen wir konkrete Schutzmaßnahmen mit klarer Reihenfolge. Somit erhalten Sie eine Cloud, die für Sie arbeitet und nicht gegen Sie.

Was Cloud-Sicherheit bedeutet

Cloud-Sicherheit umfasst alle Maßnahmen, die Ihre Daten und Dienste in der Cloud schützen. Dazu zählen Zugriffskontrolle, Verschlüsselung, Protokollierung und Datensicherung. Der Begriff klingt technisch, meint aber eine klare Frage. Nämlich: Wer kommt an Ihre Daten, und unter welchen Bedingungen? Ein Alltagsbeispiel hilft dabei. Ein Bankschließfach steht in einem gut gesicherten Gebäude. Doch den Schlüssel verwahren Sie selbst. Genauso liegt Ihre Cloud in einem sicheren Rechenzentrum. Den Zugang aber steuern Sie. Somit hängt der Schutz an Ihrer Hand, nicht nur am Anbieter.

Drei Ebenen der Cloud

Die Cloud gibt es in mehreren Formen. Zunächst Software as a Service. Dabei nutzen Sie eine fertige Anwendung. Ein Beispiel ist Microsoft 365 oder Google Workspace. Danach Platform as a Service. Hier mieten Sie eine Umgebung für eigene Software. Schließlich Infrastructure as a Service. Dabei betreiben Sie eigene Server im fremden Rechenzentrum. Je tiefer die Ebene, desto mehr sichern Sie selbst. Deshalb ändert sich Ihre Rolle mit dem Modell. Für die meisten KMU zählt vor allem Software as a Service. Somit tragen sie dort die volle Last für Konten und Freigaben.

Warum das Thema jetzt zählt

Die Zahlen sind eindeutig. Rund 81 Prozent der Unternehmen im deutschsprachigen Raum nutzen Cloud-Dienste. Doch nur wenige haben ihre Absicherung je systematisch geprüft. Das BSI stuft kleine Betriebe als besonders gefährdet ein. Der Grund liegt in fehlenden Ressourcen und unklaren Zuständigkeiten. Zudem fehlt oft das Wissen, welche Einstellung was bewirkt. Genau dagegen hilft ein klares Verständnis der Cloud-Sicherheit. Wie sich das ins Gesamtbild fügt, zeigt unser Beitrag zu den Grundlagen der Cybersicherheit.

Ein häufiges Missverständnis

Viele Chefs sehen die Cloud als Rundum-sorglos-Paket. Sie glauben, mit dem Abo sei die Sicherheit erledigt. Dieser Irrtum ist gefährlich. Denn dann prüft niemand die Einstellungen. Ein Beispiel zeigt das Problem. Ein Betrieb wechselt zu Microsoft 365. Er ist froh über die neue Technik. Der zweite Faktor bleibt jedoch abgeschaltet. Monate später steht ein Konto offen wie eine offene Tür. Somit entsteht das Risiko nicht durch die Cloud. Es entsteht durch die Annahme, sie regle alles von selbst.

Geteilte Verantwortung: wer schützt was

Cloud-Sicherheit folgt einem festen Prinzip. Es heißt Modell der geteilten Verantwortung, auf Englisch Shared Responsibility. Dabei sichert der Anbieter die Cloud selbst. Also Rechenzentrum, Hardware, Netzwerk und die Trennung der Kunden. Sie hingegen sichern Ihre Nutzung in der Cloud. Also Konten, Berechtigungen, Konfiguration und die Daten. Somit trennt diese Linie zwei Welten. Deshalb verlässt sich auf einen Schutz, den es nicht gibt, wer sie übersieht.

Die Grenze in der Praxis

Ein Beispiel macht die Aufteilung greifbar. Microsoft betreibt die Server für Microsoft 365 und hält sie aktuell. Das ist seine Aufgabe. Doch ob Sie die Zwei-Faktor-Authentifizierung aktivieren, entscheiden Sie. Zudem liegt es bei Ihnen, ob ein ausgeschiedener Mitarbeiter noch Zugriff hat. Ebenso steuert Ihre Einstellung, ob eine Datei öffentlich geteilt wird. Somit endet die Verantwortung des Anbieters an der Tür zu Ihren Daten. Deshalb beginnt genau dort Ihre eigene Aufgabe.

Die klare Aufteilung auf einen Blick

Die Folge dieser Aufteilung ist deutlich. Gartner schätzt, dass bis 2026 fast alle Sicherheitsvorfälle in der Cloud auf den Kunden zurückgehen. Die Ursache liegt selten beim Anbieter. Vielmehr entstehen die Lücken durch eigene Fehler in der Konfiguration. Deshalb verschiebt das Modell die Arbeit, es schafft sie nicht ab. Eine solide Zugriffskontrolle im Unternehmen ist dabei die halbe Miete. Ebenso wichtig ist eine saubere Datenverschlüsselung für sensible Inhalte.

Je nach Modell verschiebt sich die Grenze

Die Linie liegt nicht immer gleich. Bei Software as a Service übernimmt der Anbieter am meisten. Sie kümmern sich um Konten, Rechte und Daten. Bei Infrastructure as a Service kehrt sich das Bild um. Dann verantworten Sie auch das Betriebssystem. Ebenso die Updates und die Firewall der Server. Somit wächst Ihre Aufgabe mit der Kontrolle. Deshalb klären Sie vor jedem Projekt, welches Modell Sie nutzen. Andernfalls bleibt offen, wer eine Einstellung vornehmen muss. Genau diese Lücke nutzen Angreifer gern aus.

Typische Fehlkonfigurationen im Betrieb

Fehlkonfigurationen sind die häufigste Ursache für Datenpannen in der Cloud. Nicht der raffinierte Hackerangriff, sondern die falsche Einstellung. Denn rund 23 Prozent aller Cloud-Vorfälle gehen darauf zurück. Zudem sind über 80 Prozent dieser Fehler menschlich verursacht. Dabei wiederholt sich das Muster in vielen Betrieben. Deshalb lohnt der Blick auf die häufigsten Fälle. Denn wer sie kennt, vermeidet sie leichter.

Die fünf häufigsten Fehler

• Offene Freigaben: Ein Ordner wird per Link geteilt. Dann ist er für jeden im Netz erreichbar. So gelangen Daten ungewollt nach außen.
• Kein zweiter Faktor: Ein gestohlenes Passwort genügt für den Zugriff. Ohne zweiten Faktor fehlt die Bremse.
• Zu weite Rechte: Alle dürfen alles. Ein gekapertes Konto öffnet dann das ganze Haus.
• Verwaiste Konten: Ein alter Zugang bleibt bestehen. Niemand merkt es, bis etwas passiert.
• Kein Logging: Fehlt die Protokollierung, bleibt ein Angriff unsichtbar. Sie sehen den Schaden erst spät.

Warum diese Fehler so oft passieren

Solche Fehler entstehen selten aus Böswilligkeit. Vielmehr wächst die Cloud mit dem Alltag. Ein Ordner wird schnell geteilt. Ein Recht wird schnell vergeben. Danach denkt niemand mehr daran. Zudem sind die Standardeinstellungen oft bequem, nicht sicher. Deshalb summieren sich kleine Fehler über Monate. Ein weiterer Grund ist fehlende Übersicht. Wer nutzt welche Dienste? Welche Konten sind noch aktiv? Ohne klare Antworten bleibt die Cloud ein blinder Fleck. Genau hier setzt eine feste Kontrolle an.

Ein Vorfall aus der Praxis

Ein Handelsbetrieb speichert Angebote in der Cloud. Ein Mitarbeiter teilt einen Ordner per offenem Link. Der Link wandert weiter und landet in einer Suchmaschine. Monate später ist er noch offen. Somit liegen Preise, Margen und Kontakte frei. Niemand hat es bemerkt, denn das Logging fehlte. Genau solche Lücken findet ein Blick von außen. Ein IT-Security-Audit deckt offene Freigaben und schwache Einstellungen auf. Zudem zeigt es, welche Konten längst hätten gesperrt werden müssen. Wie Angreifer solche Wege gezielt suchen, erklärt unser Beitrag zur Schwachstellenanalyse. Ein wachsendes Risiko ist zudem Schatten-KI im Unternehmen, wenn Beschäftigte Cloud-Tools ohne Freigabe nutzen.

Cloud-Sicherheit und DSGVO für KMU

Cloud-Sicherheit ist auch eine Frage des Datenschutzes. Denn sobald Sie personenbezogene Daten in der Cloud verarbeiten, greift die DSGVO. Dabei wird der Anbieter zum Auftragsverarbeiter nach Artikel 28. Sie selbst bleiben jedoch verantwortlich für die Daten. Deshalb brauchen Sie einen Auftragsverarbeitungsvertrag mit dem Anbieter. Andernfalls ist die Nutzung rechtswidrig. Details dazu lesen Sie in unserem Beitrag zum Auftragsverarbeitungsvertrag.

Der Datenstandort ist entscheidend

Wo Ihre Daten liegen, ist keine Nebensache. Denn bei einer Übertragung in ein Drittland außerhalb der EU gelten strenge Regeln. Deshalb reagieren große Anbieter mit einer EU-Datengrenze. Seit Februar 2025 ist sie für neue Kunden der Standard. Somit werden bei Microsoft 365 E-Mails, Dateien und Chats im EU-Raum gespeichert. Bestehende Kunden müssen die Einstellung jedoch aktiv prüfen. Denn eine Voreinstellung ersetzt keine bewusste Entscheidung. Die österreichische Datenschutzbehörde nennt dazu die maßgeblichen Vorgaben.

Ihre Pflichten im Überblick

Aus der Cloud-Nutzung folgen konkrete Aufgaben. Zunächst der Vertrag zur Auftragsverarbeitung. Danach die Aufnahme der Verarbeitung ins Verzeichnis nach Artikel 30. Zudem die Prüfung der technischen und organisatorischen Maßnahmen des Anbieters. Bei sensiblen Daten kann eine Datenschutz-Folgenabschätzung nötig sein. Wie Sie ein solches Verzeichnis erstellen, zeigt unser Ratgeber zum Verarbeitungsverzeichnis. Bei der gesamten Umsetzung unterstützt Sie unsere Datenschutz-Beratung. Praxishilfen für den Cloud-Einsatz bietet zudem die Initiative onlinesicherheit.gv.at.

Wenn KI-Funktionen dazukommen

Viele Cloud-Dienste bringen heute KI-Assistenten mit. Diese greifen auf Ihre Dokumente, Mails und Chats zu. Deshalb entsteht eine neue Frage zum Datenschutz. Welche Daten wertet die KI aus? Und wo landen sie? Klären Sie das, bevor Sie die Funktion freischalten. Prüfen Sie den Vertrag und den Datenstandort. Andernfalls verarbeiten Sie Daten ungewollt an einer neuen Stelle. Somit gehört jede KI-Funktion in Ihre Bewertung. Das gilt besonders, wenn Beschäftigte Tools ohne Freigabe testen.

Schutzmaßnahmen mit klarer Priorität

Cloud-Sicherheit gelingt in einer klaren Reihenfolge. Denn Sie müssen nicht alles auf einmal umsetzen. Vielmehr schließen Sie zuerst die größten Lücken. Danach folgt die Feinarbeit. Somit spart diese Reihenfolge Zeit und Geld. Denn die wirksamsten Maßnahmen sind oft die einfachsten. Deshalb ordnen wir sie nach Wirkung, nicht nach Aufwand.

Zuerst: Zugänge absichern

An erster Stelle steht der zweite Faktor. Denn er stoppt fast alle Angriffe mit gestohlenen Passwörtern. Deshalb aktivieren Sie ihn für jedes Konto. Ohne Ausnahme. Wie das genau geht, erklärt unser Beitrag zur Zwei-Faktor-Authentifizierung. Danach vergeben Sie Rechte sparsam. Jeder erhält nur, was er wirklich braucht. Das ist das Prinzip der geringsten Rechte. Zudem löschen Sie alte Konten sofort. Also gleich beim Austritt eines Mitarbeiters.

Dann: Daten und Sichtbarkeit schützen

• Verschlüsselung: Sensible Daten liegen verschlüsselt. Ein Zugriff auf die Speicherorte hilft dem Angreifer dann wenig.
• Backup: Sichern Sie Cloud-Daten separat. Denn auch die Cloud kann Daten verlieren, etwa durch Fehlbedienung oder Ransomware.
• Logging: Schalten Sie die Protokollierung ein. So sehen Sie, wer wann auf was zugreift.
• Freigaben prüfen: Kontrollieren Sie regelmäßig offene Links und externe Freigaben.

Ein Wort zum Backup, denn hier irren sich viele. Die Cloud ist kein Ersatz für eine Sicherung. Ein Anbieter schützt vor Ausfall seiner Technik. Er schützt Sie aber nicht vor eigenen Fehlern. Löschen Sie eine Datei aus Versehen, ist sie oft weg. Trifft Ransomware Ihr Konto, hilft nur ein sauberes Backup. Deshalb sichern Sie Cloud-Daten getrennt. Am besten an einem zweiten Ort. Und am besten regelmäßig. Wie Sie sich auf den Ernstfall vorbereiten, zeigt unser Beitrag zur Ransomware Readiness.

Sicherheit gehört in den Alltag

Einmal einrichten reicht nicht. Cloud-Sicherheit lebt von Wiederholung. Deshalb setzen Sie feste Termine für die Kontrolle. Prüfen Sie vierteljährlich die offenen Freigaben. Gehen Sie einmal im Jahr die Berechtigungen durch. Löschen Sie Konten sofort, wenn jemand das Unternehmen verlässt. Ergänzend zählt der Faktor Mensch. Ein Team, das die Regeln versteht, macht weniger Fehler. Deshalb ist Schulung Teil der Cloud-Sicherheit. Wie Sie Ihre Belegschaft sensibilisieren, zeigt unser Beitrag zum Sicherheitsbewusstsein. Auch ein starkes Prinzip der geringsten Privilegien senkt das Risiko dauerhaft.

Wie SecTec Ihre Cloud absichert

Cloud-Sicherheit ist kein einmaliges Projekt. Vielmehr braucht sie Struktur und regelmäßige Kontrolle. Genau hier setzt SecTec an. Denn wir betrachten Ihre Cloud nicht isoliert. Vielmehr ordnen wir sie in Ihr gesamtes Sicherheitsbild ein. Denn eine sichere Cloud nützt wenig, wenn die Zugänge davor schwach sind. Als herstellerunabhängige Beratung empfehlen wir zudem, was Ihnen dient, nicht was ein Anbieter verkauft. Das gilt gerade für die Cybersicherheit im KMU, wo Budget und Zeit knapp sind.

Der Weg zur sicheren Cloud

Am Anfang steht die Bestandsaufnahme. Denn ein Audit zeigt, wie Ihre Cloud heute konfiguriert ist. Dabei prüfen wir Freigaben, Berechtigungen, die Zwei-Faktor-Einstellung und das Logging. Danach priorisieren wir die Lücken nach Risiko. Ein technischer Test geht zudem noch tiefer. Somit prüft unser Team im Rahmen eines Penetrationstests, ob sich Ihre Cloud-Zugänge angreifen lassen. So finden wir Schwächen, bevor es ein Angreifer tut. Wie ein solcher Test abläuft, lesen Sie im Beitrag zum Penetrationstest.

Cloud-Sicherheit als Teil des Ganzen

Eine sichere Cloud ist ein Baustein Ihrer Informationssicherheit. Schutz entsteht erst im Zusammenspiel. Also mit Awareness, klaren Regeln und einem Notfallplan. Deshalb verankern wir das Thema in einem gelebten System. Für Betriebe, die das strukturiert angehen, passt ein ISMS nach ISO 27001. Fehlt intern das Know-how, steuert ein virtueller CISO die Umsetzung. Wo Ihr Betrieb heute steht, klären wir gern im persönlichen Gespräch. Rahmenwissen zum Cloud-Betrieb liefert zudem die ENISA mit ihren Leitlinien.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Ist die Cloud sicherer als eigene Server?

Oft ja, aber nicht automatisch. Denn große Anbieter schützen ihre Rechenzentren besser, als es ein KMU allein könnte. Doch die Sicherheit hängt an Ihren Einstellungen. Deshalb heben falsche Freigaben oder schwache Zugänge den Vorteil schnell auf.

Wer haftet bei einem Datenleck in der Cloud?

Meist Sie selbst. Denn der Anbieter haftet nur für seine Ebene, also Technik und Rechenzentrum. Für Konfiguration, Zugriffe und Daten hingegen sind Sie verantwortlich. Deshalb gehen fast alle Cloud-Vorfälle auf Fehler beim Kunden zurück.

Brauche ich für Microsoft 365 einen Auftragsverarbeitungsvertrag?

Ja. Denn sobald Sie personenbezogene Daten verarbeiten, ist der Vertrag Pflicht. Dabei agiert Microsoft als Auftragsverarbeiter nach Artikel 28 DSGVO. Andernfalls ist die Nutzung nicht rechtskonform.

Wo liegen meine Daten bei Cloud-Diensten?

Das hängt vom Anbieter und Ihrer Einstellung ab. Zudem bieten große Anbieter eine EU-Datengrenze, die Daten im EU-Raum hält. Deshalb prüfen Sie diese Einstellung aktiv. Denn eine Übertragung in Drittländer unterliegt strengen Regeln.

Reicht das Passwort für Cloud-Sicherheit aus?

Nein. Denn ein Passwort allein ist zu leicht zu stehlen. Erst die Zwei-Faktor-Authentifizierung stoppt Angriffe mit erbeuteten Zugangsdaten. Deshalb ist sie die wirksamste einzelne Maßnahme und gehört auf jedes Konto.

Muss ich Cloud-Daten trotzdem sichern?

Ja, unbedingt. Denn der Anbieter schützt vor Ausfall seiner Technik, nicht vor Ihren Fehlern. Zudem treffen versehentliches Löschen oder Ransomware auch Cloud-Daten. Deshalb gehört ein getrenntes Backup zur Cloud-Sicherheit dazu.

Wie erkenne ich Fehlkonfigurationen in meiner Cloud?

Meist erst durch eine gezielte Prüfung. Denn offene Freigaben und zu weite Rechte fallen im Alltag nicht auf. Deshalb deckt ein Audit oder ein Penetrationstest sie auf. Somit schließen Sie Lücken, bevor ein Angreifer sie nutzt.

Fazit: Sicherheit endet nicht beim Anbieter

Cloud-Sicherheit ist geteilte Verantwortung. Dabei schützt der Anbieter die Technik, Sie schützen Ihre Daten und Zugänge. Somit vermeidet den größten Fehler, wer diese Grenze kennt. Nämlich sich blind auf den Anbieter zu verlassen. Denn die meisten Vorfälle entstehen durch falsche Einstellungen, nicht durch Angriffe. Deshalb liegt der Schlüssel in Ihrer Hand.

Der Weg dorthin ist überschaubar. Zunächst sichern Sie die Zugänge mit Zwei-Faktor-Authentifizierung und knappen Rechten. Danach folgen Verschlüsselung, Backup und Protokollierung. Zum Schluss verankern Sie das Ganze in einem gelebten System. Zudem zeigt ein Audit Ihren Stand in wenigen Tagen. Deshalb ist der beste Zeitpunkt dafür jetzt, bevor eine offene Freigabe zum teuren Vorfall wird.

SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren