So bewerten Sie die Sicherheit von Cloud-Anbietern: Der vollständige Leitfaden

• Datenschutzverletzungen: Der direkte Weg ist die häufigste (und potenziell schädlichste) Art von Sicherheitsfehler. Datenschutzverletzungen kommen bei Cloud-Diensten häufig vor. Sie können scheinbar aus dem Nichts entstehen und verheerende Folgen haben. Capital One ist ein hervorragendes Beispiel dafür. Im Jahr 2019 führte eine einfache Schwachstelle in der Firewall von Amazon Web Services (AWS) zur Veröffentlichung der Daten von 100 Millionen Kunden. Das war so gravierend, dass das Unternehmen inzwischen dauerhaft auf seiner Startseite auf dem Laufenden über die Sammelklage hält.
• Mangelhaftes Identitäts- und Zugriffsmanagement (IAM): Etwa 67 % der Cloud-Dienste weltweit werden von nur vier Unternehmen bereitgestellt, wobei AWS allein die Hälfte davon abdeckt. Bei so vielen Kunden wird die Situation zwangsläufig kompliziert, und die äußerst wichtigen IAM-Sicherheitsrichtlinien können leicht vernachlässigt werden, was eine Katastrophe verursachen kann. Große Anbieter gehen heute besser damit um als früher. Dennoch müssen sie weiterhin eine solide Multifaktor-Authentifizierung und das Prinzip der geringsten Berechtigung aufrechterhalten, da diese häufige Hintertüren für massive Datenlecks sind.
• Unsichere Schnittstellen und APIs: Eine nachlässige Gestaltung von Schnittstellen kann dazu führen, dass die Allgemeinheit Zugriff auf Ihre Debitorenbuchhaltung erhält oder das Vertriebsteam auf private Personaldaten zugreifen kann. Davor sind Sie nur geschützt, wenn Sie angemessene Tests durch einen Drittanbieter durchführen lassen, der für das Aufbrechen Ihrer API einen ordentlichen Bonus erhält.
• Mangelnde Transparenz und lockere Kontrollen: Im Jahr 2020 nutzten einige clevere Hacker einen Angriff auf die Lieferkette, um Schadcode in einen als SolarWinds bekannten Regierungsauftragnehmer einzuschleusen. Die verunreinigte Software Orion verbreitete sich seitlich über mehrere Kunden hinweg und führte Hintertüren in deren Systeme ein. Etwa neun Monate lang wusste niemand, was vor sich ging, da die Transparenz äußerst mangelhaft war und es kaum Sicherheitsüberprüfungen gab. 
• Probleme mit dem Modell der geteilten Verantwortung für Sicherheit: Bei geteilter Verantwortung für die Sicherheit geht es eher um Juristen als um Ingenieure. Ein typischer Cloud-Dienstanbieter übernimmt die Verantwortung für die Cloud-Infrastruktur und andere von ihm kontrollierte Bereiche, aber für die Sicherheit Ihrer Daten und die von Ihnen eingesetzte Verschlüsselung sind Sie selbst verantwortlich.
• Fragen der Compliance und Regulierung: Wenn Ihr Unternehmen in den Vereinigten Staaten gesundheitsbezogene Daten verarbeitet, kennen Sie HIPAA. Wenn Sie in der EU tätig sind, ist Ihnen die DSGVO vertraut. Und in Kalifornien gilt der CCPA. Wenn Ihr Anbieter nicht ordnungsgemäß nach Datenschutzstandards für Verbraucherdaten zertifiziert ist, besteht eine reale Wahrscheinlichkeit, dass einige der Bußgelder Sie treffen – wie etwa das Bußgeld in Höhe von 1,2 Milliarden Euro, das die irische Regierung Meta im Mai 2023 wegen der Verletzung von Datenschutzrechten auferlegte. Stellen Sie beispielsweise sicher, dass Sie eine umfassende Cloud-Daten-Compliance eingerichtet haben.
• Fortgeschrittene persistente Bedrohungen (APTs) und Ransomware: Im Mai 2021 legte ein Ransomware-Angriff auf das Treibstoffverteilungsnetzwerk Colonial Pipeline die Benzinlieferungen an der Ostküste praktisch lahm. Abgesehen von den bleibenden Bildern von Menschen, die versuchten, Plastiktüten mit Benzin zu füllen, löste dieses Ereignis in der Regierung große Besorgnis aus. Ein einziger, ausgeklügelter Hackerangriff ermöglichte es böswilligen Akteuren, wichtige Steuerungswege der Infrastruktur zu verschlüsseln und Menschen in einem Dutzend Bundesstaaten zu terrorisieren.

Wichtige Kriterien zur Bewertung der Sicherheit von Cloud-Dienstanbietern

Überprüfung von Compliance und rechtlichen Standards

• Branchenspezifische Zertifikate: Ihre Branche hat wahrscheinlich eigene spezifische Standards. Je nachdem, wie sensibel Ihre Arbeit ist, kann es sich dabei um umfassende Audits und Offenlegungsvorschriften oder um eine kurze Überprüfung handeln, um sicherzustellen, dass Sie kein Uran schmuggeln. In jedem Fall sollte Ihr Cloud-Dienst-Anbieter über alle Zertifikate verfügen, die Ihre Branche verlangt. Im Gesundheitswesen ist dies HITRUST, Kreditkartenanbieter benötigen den Datensicherheitsstandard der Zahlungskartenbranche (PCI DSS) und so weiter. Große Anbieter verfügen typischerweise über mehrere dieser Zertifikate, beispielsweise AWS, das mit rund 50 Zertifikaten aufwarten kann.
• Regelmäßige Konformitätsprüfungen: Bei Cloud-Diensten geht es schnell voran, und die Konformität muss fortlaufend gewährleistet werden. Stellen Sie sicher, dass Ihr Anbieter regelmäßige Konformitätsprüfungen durchführen lässt, insbesondere für SSAE 16 und andere sicherheitsorientierte Prüfungen.

• Anpassung an sich weiterentwickelnde Gesetze: Wenn sich die Technologie verändert, zieht das Gesetz mit etwas Verzögerung nach. Finden Sie heraus, wie Ihr CSP sich an Gesetzesänderungen anpasst. Bietet er Kunden Hilfestellung, wenn sich irgendwo etwas Wesentliches ändert? Müssen Sie das überhaupt? Wenn Sie dies frühzeitig klären, können Sie sich später viel Ärger ersparen.
• Besondere Umstände: Viele Cloud-Verträge sind Standardverträge, insbesondere für kleine und mittlere Unternehmen. Wenn Sie ein großer Akteur mit besonderen Anforderungen sind, benötigen Sie möglicherweise einen speziell ausgehandelten Vertrag oder zumindest einige Nachträge.

WERDE TEIL DER COMMUNITY

Bereichern Sie Ihren Posteingang mit mehr Führungserkenntnissen aus der Tech-Welt für bessere Software und Systeme.

Get Free Access

Have an account? Log In

Sicherstellung eines robusten Datenschutzes

• Verschlüsselung: Bei der Verschlüsselung gibt es keinen Verhandlungsspielraum. Finden Sie den Besten der Branche und entscheiden Sie sich für ihn (unter Ausschluss anderer Faktoren). Der Branchenstandard ist derzeit AES-256, und große Anbieter wie AWS lassen Ihnen die Wahl, ob Sie die Schlüssel selbst verwalten oder dies für Sie erledigen lassen. 
• Sicherung und Notfallwiederherstellung: Eine solide Notfallwiederherstellung ist ebenfalls unverzichtbar. Hacker sind nicht die einzige Möglichkeit, Daten zu verlieren, denn ein schlecht konzipiertes System ist anfällig für Serverausfälle, Brände oder den Einschlag eines Asteroiden. Einer der größten Vorteile von Cloud-Diensten ist die Möglichkeit, verlorene Daten schnell wiederherzustellen. Ihr CSP muss dafür einen guten Plan und eine nachweisliche Erfolgsbilanz beim Schutz von Daten vorweisen können.
• Durchgängiges Datenlebenszyklusmanagement: Das Datenlebenszyklusmanagement ist eine Sammlung von Werkzeugen, die die Klassifizierung, Speicherung, Archivierung und ordnungsgemäße Entsorgung von Daten abdeckt. Um wirklich sicher zu sein, sollte Ihr CSP für alle diese Phasen Verfahren eingerichtet haben – wie eine Arztpraxis, die alte Unterlagen schreddert, anstatt sie einfach in einen draußen stehenden Mülleimer zu werfen.

Stärkung der Identitäts- und Zugriffsverwaltung

• Umfassende Benutzerauthentifizierung: Keine der Sicherheitsmaßnahmen eines CSP funktioniert wirklich, wenn sich jeder mit Ihrem Passwort anmelden kann. Verwendet Ihr potenzieller CSP eine Multifaktor-Authentifizierung? Biometrische Kontrollen? Fangfragen dazu, wo Sie zur Schule gegangen sind? Es ist zwar umständlich, aber je mehr solcher Maßnahmen Ihnen zur Verfügung stehen, desto besser und sicherer sind Ihre Zugangspunkte.
• Zugriffskontrollen: Personen sollten nur über den Zugriff verfügen, den sie zur Erledigung ihrer Aufgaben benötigen. Im Spionagegeschäft nennt man das „Kenntnis nur, wenn nötig“. In der Technologiebranche lautet das Prinzip der geringsten Privilegien. Prüfen Sie, ob Benutzer auf das absolute Minimum an Zugriff beschränkt sind, das sie benötigen, oder ob ein Anbieter ihnen erlaubt, sich mit unbefugtem Zugriff in Ihren vertraulichen Datenbanken umzusehen.
• Prüfpfade und IAM-Berichte: Ihr CSP muss über einen transparenten und umfassenden Prüfpfad sowie über zahlreiche detaillierte Berichte zu allen Benutzeraktionen in jeder Umgebung verfügen. Entscheiden Sie sich nicht für einen Anbieter, der Geheimnisse gern für sich behält oder Lücken in der Berichtslandschaft hinterlässt, in denen sich Sicherheitsbedrohungen verstecken können. 

Netzwerk- und Infrastruktursicherheit

• Moderner Firewall-Schutz: Der Firewall-Schutz, den Sie erhalten, sollte weit über die reguläre Paketfilterung hinausgehen, die Sie selbst durchführen könnten. Achten Sie auf einen CSP, der Firewall-Schutz der nächsten Generation (NGFW) anbietet. Dieser kann ausgefeiltere Angriffe auf Ihr Netzwerk erkennen und blockieren als die branchenüblichen Optionen.
• Systeme zur Erkennung und Verhinderung von Eindringversuchen (IDPS): Erinnern Sie sich an den zuvor erwähnten SolarWinds-Orion-Hack? Diese Katastrophe erstreckte sich von Sondierungsangriffen Ende 2019 bis zur endgültigen Fehlerbehebung im November 2020. Ihr CSP muss Malware erkennen, sobald sie auftaucht, und so schnell wie möglich eine Lösung implementieren.
• Sichere APIs: Die Schnittstelle ist ein Schwachpunkt in jedem System. Stellen Sie sicher, dass Sie über eine sichere API verfügen, die etwas Starkes wie QAuth oder Google Cloud Endpoints mit der richtigen Validierung verwendet, um Ihre anfällige Schnittstelle abzusichern.
• DDoS-Schutzmaßnahmen: Cyberbedrohungen durch verteilte Denial-of-Service-Angriffe (DDoS) sind so alt wie der Morris-Wurm. Für einen böswilligen Akteur ist es ausgesprochen einfach, Ihr Netzwerk mit endlosen Anfragen zu überlasten, die Ihre gesamte Bandbreite aufbrauchen. Cloudflare ist in diesem Bereich branchenführend und verfügt über eine solide Erfolgsbilanz bei der Abwehr einiger der größten jemals registrierten DDoS-Angriffe mit bis zu Millionen Anfragen pro Sekunde.
• Updates und Patches: Verwaltet Ihr CSP Ihr Informationssicherheitsökosystem aktiv mit regelmäßigen Patches und Updates, die den neuesten Bedrohungen entgegenwirken? Neue Schwachstellen werden ständig entdeckt, und jeder Cloud-Dienst sollte darauf vorbereitet sein, mit ihnen umzugehen, sobald sie bekannt werden.
• Ordnungsgemäße Segmentierung: So wie Ozeandampfer unter Deck über Abteilungen verfügen, falls sie auf einen Eisberg treffen, benötigen sensible Daten eine Segmentierung und eigene Sicherheitssysteme. Sie können sogar noch weitergehen und eine Mikrosegmentierung einsetzen, bei der eindeutige Sicherheitsprotokolle auf einzelne Pfade innerhalb von Prozessen angewendet werden.

Verwalten von Anbieter- und Drittanbieterrisiken

• Anbietersicherheit bei Drittanbietern: Die meisten Unternehmen nutzen Drittanbieter für bestimmte Anwendungen und die Datenspeicherung, und sie alle müssen zuverlässig sein. Stellen Sie sicher, dass Ihr CSP die Sicherheitszertifikate aller Auftragnehmer überprüft, regelmäßig Sicherheitsaudits durchführt und zumindest deren bisherige Erfahrungen mit der Reaktion auf Vorfälle berücksichtigt. Berücksichtigen Sie außerdem den Ansatz des Anbieters bei Verschlüsselung, Datenzugriff und der Benachrichtigung über Sicherheitsverletzungen.
• Lieferkettensicherheit: Jede Anwendung und jedes Netzwerk ist eine Kette aus Produkten und Dienstleistungen, und eine Schwachstelle irgendwo in dieser Kette stellt ein Risiko für den Endnutzer dar, also für Sie. Ihr CSP muss die gesamte Kette überprüfen und die Sicherheitszertifikate entlang der gesamten Lieferkette validieren.
• Planung und Reaktion auf Vorfälle: Auch guten Netzwerken passieren schlechte Dinge, daher sollte Ihr Anbieter über einen klar definierten Plan zur Reaktion auf Vorfälle verfügen, um neu auftretende Probleme schnell zu bewältigen. Dabei kann es sich um einen Hackerangriff, einen DDoS-Angriff, die Erkennung von Malware, Ransomware-Schutz oder etwas anderes handeln.

Physische und umgebungsbezogene Sicherheit

• Physische Zugriffskontrollen: Wir betrachten Datensicherheit als Verschlüsselung und Zugriffsprotokolle, aber das Rechenzentrum ist auch ein physischer Ort, der Schlösser und Sicherheitskräfte benötigt. CTOs sollten die Rechenzentren des CSP besichtigen, um sicherzustellen, dass dort ein angemessenes Maß an physischer Sicherheit gewährleistet ist.

• Umgebungsbedingungen: Rechenzentren können auch durch Feuer und Überschwemmungen beeinträchtigt werden. Stellen Sie sicher, dass das Zentrum über eine ausreichende Halon-Feuerlöschanlage sowie zuverlässige Systeme zur Temperatur- und Feuchtigkeitsregelung verfügt. 
• Redundanz und Backups: Unabhängig davon, wie gut ein Rechenzentrum konzipiert ist, passieren schlechte Dinge. Ihr CSP benötigt mehrere redundante Systeme und einen Backup-Plan, um beschädigte Server und verlorene Daten wiederherzustellen. Systeme zur unterbrechungsfreien Stromversorgung (UPS) sind Standard, und ein gewisses Maß an anpassbarem RAID-Schutz ist ideal.
• Reaktions- und Wiederherstellungszeiten: Anbieter informieren Sie in der Regel über ihre Pläne zur Reaktion auf Vorfälle sowie über deren Zeitplan für Aktualisierung und Tests. Stellen Sie sicher, dass sie über einen Wiederherstellungsplan verfügen, der kurzfristig aktiviert werden kann. Prüfen Sie die bisherige Leistung des Anbieters, einschließlich Angaben zu Ausfällen und Stillstandszeiten.

Kundensupport und rechtliche Erwägungen

• Kundensupport: Prüfen Sie, welche Art von Kundensupport Ihr CSP anbietet. Viel zu viele Anbieter haben langsame oder gar keine Reaktionszeiten. Stellen Sie sicher, dass Ihr Anbieter mehrere Kommunikationswege wie Telefon, Chat, E-Mail und sogar Textnachrichten anbietet.
• Umfassende Dokumentation: Die Dienste, für die Sie bezahlen, sind komplex, und eine klare Dokumentation ist entscheidend, um zu verstehen, worauf Sie sich einlassen. Lesen Sie die Benutzerhandbücher, Handbücher und veröffentlichten Protokolle des Anbieters durch.
• Datenbesitz und Portabilität: Daten sind ein Vermögenswert. Bevor Sie den Vertrag unterzeichnen, sollten Sie wissen, wem die gehosteten Daten gehören und wie portabel sie sind. Andernfalls könnten Sie am Ende mit Daten dastehen, die Sie als Ihre eigenen betrachten, die jedoch auf entfernten Servern eingeschlossen und nicht übertragbar sind.

• Transparenz bei Datenverarbeitung und Sicherheitsmaßnahmen: Sie müssen nachvollziehen können, wie Ihre Daten verarbeitet werden, und Ihr Cloud-Sicherheitsanbieter sollte Transparenz weit oben auf die Prioritätenliste setzen. Versuchen Sie, im Voraus zu klären, wie Daten gespeichert und übertragen werden, welche Sicherheitsvorkehrungen bestehen und wie diese Systeme gewartet werden.
• Rechtliche Unterstützung im Nachhinein: Wenn Ihre Daten tatsächlich kompromittiert werden, kann es rechtliche Probleme geben. Wie viel Unterstützung können Sie von Ihrem CSP erwarten? Wird der Anbieter so tun, als hätte er noch nie von Ihnen gehört, oder erhalten Sie Zugang zu seinem Rechtsteam? Wird er eine geteilte Verantwortung übernehmen, oder sind Sie auf sich allein gestellt? Finden Sie es heraus und planen Sie entsprechend.

Bewährte Vorgehensweisen bei der Bewertung der Cloud-Sicherheit

Gründliche Risikobewertungen durchführen

• Vermögenswerte identifizieren und klassifizieren: Machen Sie sich bewusst, was Sie in die Cloud migrieren, erfassen Sie alles und klassifizieren Sie es nach Wichtigkeit. Dadurch erhalten Sie eine Prioritätenliste der Elemente, die den besten Schutz benötigen.
• Schwachstellen und Bedrohungen bewerten: Keine Suite eines Cloud-Sicherheitsanbieters ist vollkommen sicher, und der Schutz vor einer Bedrohung macht Sie möglicherweise anfällig für eine andere. Sie sollten Ihre offenen Flanken besser kennen als Hacker und die jeweils aktuell aktiven spezifischen Bedrohungen im Auge behalten.
• Auswirkungen und Wahrscheinlichkeit abwägen: Kleinere Probleme treten häufig auf, große Bedrohungen sind selten. Andererseits ist ein kleiner Fehler wahrscheinlich keine große Sache, während ein schwerwiegender Sicherheitsverstoß Ihr Unternehmen lahmlegen könnte. Wägen Sie die Wahrscheinlichkeit einer Bedrohung gegen deren Schwere ab und planen Sie entsprechend.
• Kontrollen festlegen: Wählen Sie Ihre Sicherheitssuite passend zu Ihrer Bedrohungsbewertung aus. Wahrscheinlich werden Sie am Ende eine sinnvolle Kombination aus Zugriffskontrollen, Überwachungstools und Verschlüsselung in der Cloud und auf Ihrer eigenen Seite einsetzen.
• Eine fortlaufende Risikobewertung aufrechterhalten: Bedrohungsszenarien ändern sich, manchmal täglich, und Sie müssen Schritt halten. Halten Sie stets ein aktuelles Bild davon aufrecht, wovor Sie sich schützen, und seien Sie jederzeit bereit, Änderungen vorzunehmen.

More Articles

• 15 beste Cloud-Sicherheitsanbieter zum Schutz vor Bedrohungen 2026
• Die 10 besten Cloud-Sicherheitstools im Test für 2026
• 10 beste Cybersicherheitsanbieter für Unternehmen im Jahr 2026
• Die 10 besten Cybersicherheitsunternehmen in Chicago im Test 2026
• 10 Cloud-Compliance-Werkzeuge für 2026

Service-Level-Vereinbarungen überprüfen

• Die Verpflichtungen des CSP kennen: Der Anbieter verpflichtet sich, Ihnen einen Dienst bereitzustellen, und es liegt in Ihrem Interesse, genau zu wissen, was dies umfasst. Legen Sie von Anfang an fest, wozu er sich hinsichtlich Verfügbarkeit, Leistung und der Beantwortung von Supporttickets verpflichtet.
• Die verfügbaren Abhilfemaßnahmen und Vertragsstrafen kennen: Nehmen wir an, der CSP bleibt in irgendeiner Hinsicht hinter den Erwartungen zurück und Sie müssen wegen der Leistungslücke Abhilfe verlangen. Gibt es im Voraus klar festgelegte Abhilfemaßnahmen? Dabei handelt es sich normalerweise um Geldstrafen oder Preisnachlässe auf künftige Dienste.
• Skalierbarkeit und Flexibilität sicherstellen: Nach dem Umzug werden Sie zwangsläufig wachsen, stellen Sie also sicher, dass Ihre neue Cloud-Computing-Umgebung ausreichend Raum für Sie bietet. Kann der Dienst schnell hoch- und herunterskaliert werden? Was geschieht, wenn Sie sehr schnell wachsen? Haben Sie die Möglichkeit, Ihren Dienst nahtlos zu erweitern, oder sind Sie an einen einzigen Vertrag gebunden?
• Mehrere Ausstiegsstrategien planen: Sie sollten von Anfang an wissen, wie Sie wieder aussteigen können. Falls Sie die Geschäftsbeziehung jemals beenden müssen, stellen Sie sicher, dass Sie einen Datenmigrationsplan von den Servern Ihres Anbieters an einen sicheren Ort haben, selbst wenn es sich nur um einen anderen SaaS-Anbieter handelt. 

Nutzen Sie die Ihnen zur Verfügung stehenden Werkzeuge zur Bewertung der Cloud-Sicherheit

• Branchen-Frameworks: Es gibt bereits einige branchenweite Tools zur Bewertung von Sicherheitsproblemen bei einem CSP, wie die Cloud Controls Matrix (CCM) der CSA und das Cybersicherheits-Framework des NIST. Verwenden Sie diese als Teil Ihrer Checkliste vor der Migration.
• Automatisierte Tools: Es gibt auch einige fortschrittliche Tools, die Sie ausprobieren können und die den Prozess des Scannens auf Schwachstellen und der Einhaltung regulatorischer Anforderungen automatisieren. Scheuen Sie sich nicht, diese einzusetzen, da sie ihren Preis normalerweise wert sind.
• Cloud-Sicherheitslageverwaltung (CSPM): CSPM kann nach Risiken suchen, die Sie bisher noch nicht gefunden haben, und aktiv Maßnahmen ergreifen, um Sie zu schützen, bevor diese an die Türen Ihrer Server gelangen. Beziehen Sie dies in Ihre allgemeine Bedrohungslage ein.

Sicherheit zuerst für CTOs

Wie Sie sehen, gehört viel zu einer sicheren Cloud-Migration. Viele der größeren Anbieter, insbesondere Microsoft Azure, kümmern sich um einige dieser Probleme für Sie, aber es liegt an Ihnen, zu überprüfen, dass alles ordnungsgemäß geregelt ist.

Ich habe meine Best Practices für die Bewertung der Sicherheit von Cloud-Service-Providern geteilt, aber es stehen noch weitere Ressourcen zur Cloud-Sicherheit zur Verfügung. Und Sie können unseren Newsletter abonnieren, um die neuesten Erkenntnisse von CTOs zu erhalten.

FAQs

Ihre Kenntnisse im Bereich Cloud-Sicherheit erweitern

Auf welche Zertifizierungen sollte ich bei einem Cloud-Service-Provider achten?

Es gibt zahlreiche offizielle Zertifizierungen, die die zuverlässigen Sicherheitskontrollen eines Anbieters belegen. Bitten Sie insbesondere darum, die Zertifizierungen ISO-27001, ISO-27002 und ISO-27017 des Anbieters zu überprüfen, die für die Einhaltung branchenweiter Best Practices verliehen werden, sowie ISO-27018, was ein deutliches Zeichen dafür ist, dass der Anbieter die persönlichen Informationen und personenbezogenen Daten seiner Kunden sehr gut schützt.

Wie kann ich eine kontinuierliche Cloud-Sicherheit gewährleisten?

Die einzige Möglichkeit, wirklich sicher zu sein, dass Sie in der Cloud geschützt sind, besteht darin, gut zu planen, ein robustes Abdeckungssystem aufzubauen und weiterhin nach Echtzeitanzeichen für Probleme zu suchen.