Cloud ist nicht automatisch sicher. Sie muss sicher geplant werden
Cloud-Dienste sind heute ein normaler Bestandteil der Unternehmens-IT. Unternehmen nutzen dort E-Mail, Dokumente, Microsoft 365, SharePoint, OneDrive, Backups, Server, Datenbanken und interne Anwendungen. Das bringt Flexibilität und bessere Verfügbarkeit, verändert aber zugleich die Art, wie über Sicherheit nachgedacht werden muss.
Bei einem lokalen Server geht es um Raum, Festplattenverbund, Firewall und physischen Zugriff. In der Cloud rücken Identitäten, Berechtigungen, Geräte, Dienstkonfiguration, Logging und die Fähigkeit zur schnellen Datenwiederherstellung in den Vordergrund. Wenn ein Konto keine Mehrfaktor-Authentifizierung hat oder ein Benutzer zu breite Rechte besitzt, rettet auch der beste Anbieter die Cloud-Umgebung nicht.
Geteilte Verantwortung: Was der Anbieter übernimmt und was beim Unternehmen bleibt
Einer der wichtigsten Punkte bei Cloud-Sicherheit ist das Verständnis des Modells geteilter Verantwortung. Der Cloud-Anbieter kümmert sich um einen großen Teil der Infrastruktur, Verfügbarkeit und physischen Sicherheit der Rechenzentren. Das bedeutet aber nicht, dass das Unternehmen die eigene Sicherheit ausschalten kann.
Bei Microsoft 365 betreibt Microsoft zum Beispiel den Dienst, aber das Unternehmen ist weiterhin verantwortlich für Benutzerkonten, starke Authentifizierung, Berechtigungen in SharePoint, Dateifreigaben, Endgeräte, interne Prozesse und Incident Response. Bei virtuellen Azure-Servern ist die Verantwortung noch breiter, weil Betriebssystem, Anwendungen und ein Teil der Netzwerkeinstellungen vom Kunden oder seinem IT-Partner verwaltet werden.
- Der Anbieter betreibt die Plattform Physische Rechenzentren, grundlegende Infrastruktur, Dienstverfügbarkeit und einen Teil der Sicherheitsmechanismen je nach Typ des Cloud-Dienstes.
- Das Unternehmen verantwortet die eigene Nutzung Konten, Berechtigungen, Geräte, Daten, Freigaben, Passwörter, MFA, interne Regeln, Informationsklassifizierung und Kontrolle darüber, wer wohin Zugriff hat.
- Der IT-Partner verbindet beide Seiten Er hilft, die Cloud so einzurichten, dass die technischen Möglichkeiten des Anbieters im konkreten Unternehmen sinnvoll genutzt werden, nicht nur in einer Lizenzübersicht.
Die größten Risiken entstehen nicht immer in der Cloud, sondern in der Konfiguration
Bei Vorfällen zeigt sich oft nicht, dass der Cloud-Dienst schwach war. Häufiger versagen Konfiguration, Prozess oder alltägliche Benutzerdisziplin. Typische Beispiele sind ein freigegebener Ordner mit zu breiten Rechten, ein altes Konto eines ehemaligen Mitarbeiters, fehlende MFA oder unklare Regeln für externe Lieferanten.
- Schwache oder wiederverwendete Passwörter Ein Angreifer muss die Cloud nicht brechen. Es reicht, ein Passwort durch Phishing oder einen anderen Datenabfluss zu erhalten und es in der Unternehmensumgebung zu versuchen.
- Fehlende MFA Mehrfaktor-Authentifizierung senkt das Risiko einer erfolgreichen Anmeldung nur mit gestohlenem Passwort deutlich. Für Administratoren sollte sie selbstverständlich sein.
- Zu umfangreiche Berechtigungen Benutzer haben oft Zugriff auf Daten, die sie für ihre Arbeit nicht brauchen. Bei einem Vorfall breitet sich der Schaden dadurch schneller aus.
- Unkontrollierte Freigaben Externe Links in der Cloud sind praktisch, können aber ohne Regeln und regelmäßige Kontrolle zu einem Weg zu sensiblen Dokumenten werden.
- Backups ohne Wiederherstellungstest Ein Backup hat erst dann Wert, wenn Sie wissen, was Sie wiederherstellen können, wie schnell das geht und wer dafür verantwortlich ist.
Sicherheitsminimum für Microsoft 365 und Cloud-Dienste
Nicht jedes Unternehmen braucht sofort ein komplexes Security Center. Fast jedes Unternehmen braucht jedoch eine Grundlage, die die häufigsten Risiken senkt und Ordnung in die IT-Umgebung bringt. Bei Microsoft 365, Azure oder hybriden Umgebungen empfehlen wir, mit diesen Schritten zu beginnen.
- MFA aktivieren und Conditional Access lösen MFA sollte mindestens für Administratoren und idealerweise für alle Benutzer aktiviert sein. Bei höheren Lizenzen ist es sinnvoll, Conditional Access nach Risiko, Standort, Gerät oder Anwendungstyp einzurichten.
- Administratorkonten trennen Alltägliche Arbeit und Administration sollten nicht über dasselbe Konto laufen. Das senkt das Risiko, dass ein kompromittiertes Benutzerkonto den Weg zur gesamten Verwaltung der Umgebung öffnet.
- SharePoint, OneDrive und Teams prüfen Es muss klar sein, welche Bibliotheken intern sind, welche extern geteilt werden, wer Eigentümer ist und welche Regeln für Links außerhalb des Unternehmens gelten.
- Backup und Wiederherstellung einrichten Ein Cloud-Dienst ist nicht dasselbe wie ein Unternehmensbackup. Bei kritischen Daten braucht es eine eigene Wiederherstellungsstrategie und regelmäßige Tests.
- Logs sammeln und Anomalien beobachten Ohne Logs wird ein Vorfall blind untersucht. Anmeldungen, Berechtigungsänderungen und verdächtige Aktivitäten sollten sichtbar sein und regelmäßig kontrolliert werden.
Verschlüsselung hilft, reicht allein aber nicht aus
Die Verschlüsselung von Daten bei Übertragung und Speicherung ist eine wichtige Schutzschicht. Sie senkt das Risiko des Missbrauchs von Informationen bei einem technischen Vorfall oder unbefugtem Zugriff auf Speicher. In den meisten modernen Cloud-Diensten ist Verschlüsselung Standard, trotzdem muss das Unternehmen weiterhin den Zugriff auf Daten steuern.
Wenn ein Benutzer legitimen Zugriff auf eine Datei hat und sein Konto kompromittiert wird, stoppt die Verschlüsselung der gespeicherten Datei den Angriff nicht. Deshalb muss Verschlüsselung durch MFA, Identitätsverwaltung, Berechtigungen nach Bedarf, Geräteschutz und Freigaberegeln ergänzt werden.
Cloud-Sicherheit muss auch Menschen berücksichtigen
Technische Einstellungen sind nur ein Teil der Lösung. Mitarbeitende arbeiten täglich mit E-Mails, Anhängen, geteilten Links und externen Anwendungen. Wenn sie Phishing nicht erkennen, Freigaberegeln nicht verstehen oder dieselben Passwörter in mehreren Diensten verwenden, bleibt das Sicherheitsrisiko hoch.
- kurze Schulung zu Phishing und verdächtigen Nachrichten,
- klare Regeln für das Teilen von Dokumenten außerhalb des Unternehmens,
- ein Ablauf, wem verdächtige E-Mails oder verlorene Geräte gemeldet werden,
- regelmäßige Kontrolle alter Konten, externer Benutzer und ungenutzter Lizenzen,
- verständliche Regeln für Passwörter, MFA und Anmeldung von neuen Geräten.
Wie Sie vorgehen, wenn Sie Cloud bereits nutzen
Viele Unternehmen sind schrittweise in die Cloud gekommen. Zuerst E-Mail, dann Teams, OneDrive, geteilte Dokumente, später Backups oder virtuelle Server. Nach einiger Zeit weiß jedoch niemand mehr genau, wer Zugriff hat, was extern geteilt ist und welche Einstellungen noch ursprünglich sind.
- Tenant und Konten erfassen Prüfen Sie Administratoren, ehemalige Mitarbeitende, externe Benutzer, ungenutzte Konten und die Art der Anmeldung.
- Datenberechtigungen durchgehen Kontrollieren Sie SharePoint, Teams, OneDrive sowie öffentliche oder externe Links. Bei sensiblen Daten legen Sie Eigentümer und Zugriffsregeln fest.
- Backups und Wiederherstellung prüfen Es reicht nicht zu wissen, dass ein Backup existiert. Sie müssen testen, ob Sie Dateien, E-Mail, Benutzerdaten oder kritische Dienste in angemessener Zeit wiederherstellen können.
- Monitoring einrichten Beobachten Sie riskante Anmeldungen, Rechteänderungen, neue Anwendungen, Administratoraktionen und verdächtiges Benutzerverhalten.
Wann sich ein Cloud-Sicherheitsaudit lohnt
Ein Audit ist besonders sinnvoll, wenn ein Unternehmen wächst, den IT-Lieferanten wechselt, auf Microsoft 365 umstellt, einen Vorfall löst, mehr externe Mitarbeitende einbindet oder nicht weiß, ob die Cloud korrekt eingerichtet ist. Es muss kein großes Projekt sein. Schon eine kurze Prüfung kann Risiken zeigen, die sich schnell beheben lassen.
- Administratorkonten und MFA,
- externe Freigaben in SharePoint und OneDrive,
- E-Mail-Einstellungen und Phishing-Schutz,
- Backup und Wiederherstellungsplan,
- Lizenzstatus und Sicherheitsfunktionen,
- Logging und Incident Readiness.
Wie Yenwa Ihnen helfen kann
Bei Yenwa helfen wir Unternehmen, Cloud praktisch zu betrachten: nicht über eine Liste von Buzzwords, sondern über echte Konten, Daten, Risiken und den täglichen Betrieb. Wir prüfen Einstellungen, empfehlen Prioritäten und erklären, was sofort sinnvoll ist und was warten kann.
Wir helfen bei Microsoft 365, Azure, Identitätsverwaltung, MFA, Dokumentenfreigaben, Backups, Sicherheitsregeln, Monitoring und langfristiger Verwaltung. Ziel ist nicht, die Arbeit der Benutzer komplizierter zu machen. Ziel ist eine Cloud, die nutzbar, übersichtlich und angemessen geschützt ist.
