Cloud-Computing verändert, wie Unternehmen ihre Daten speichern und verarbeiten. Es ist flexibel, skalierbar und meist günstiger als eigene Server im eigenen Rechenzentrum. Mit der Auslagerung wandert aber auch ein Teil der Verantwortung für Zugriffsschutz, Verschlüsselung und Notfallwiederherstellung zum jeweiligen Anbieter. Wer diese Sicherheitsaspekte von Anfang an mitdenkt, schützt seine Daten wirksamer vor Angriffen, Ausfällen und Compliance-Verstößen.
Datenverschlüsselung
Verschlüsselung ist eine der wichtigsten Schutzmaßnahmen in der Cloud. Daten sollten sowohl während der Übertragung als auch im Ruhezustand verschlüsselt sein: Für die Übertragung hat sich TLS 1.3 als aktueller Standard durchgesetzt, für gespeicherte Daten der Algorithmus AES mit einer Schlüssellänge von 256 Bit, wie ihn der NIST-Standard FIPS 197 festlegt. Verwaltet ein Unternehmen seine Verschlüsselungsschlüssel selbst, etwa über ein eigenes Schlüsselverwaltungssystem statt der Voreinstellung des Anbieters, behält es die Kontrolle über seine Daten auch dann, wenn beim Cloud-Anbieter etwas schiefläuft.
Zugriffskontrolle und Authentifizierung
Eine solide Zugriffskontrolle schützt die Integrität und Vertraulichkeit von Unternehmensdaten in der Cloud. Dazu gehören starke Passwortrichtlinien, Zwei-Faktor-Authentifizierung und, wo verfügbar, biometrische Zugangskontrollen. Genauso wichtig ist, den Zugriff auf sensible Daten nur denjenigen zu geben, die ihn für ihre Arbeit tatsächlich brauchen. Eine rollenbasierte Zugriffssteuerung sorgt dafür, dass jeder Nutzer nur auf die Daten zugreifen kann, die seine Rolle erfordert.
Datensicherung und Wiederherstellung
Cloud-Anbieter betreiben in der Regel redundante Systeme, um Datenverluste zu verhindern. Unternehmen sollten trotzdem eigene Backups ihrer Daten anlegen, denn nur so behalten sie die Kontrolle und können im Falle eines Ausfalls oder einer Datenbeschädigung selbst wiederherstellen. Diese Backups gehören regelmäßig aktualisiert und auf einem vom Hauptsystem getrennten Server oder Speichermedium abgelegt.
Netzsicherheit
Das Cloud-Netzwerk muss von außen erreichbar sein und ist deshalb ein bevorzugtes Ziel für Cyberangriffe. Firewalls, Systeme zur Angriffserkennung und -abwehr, in der Fachliteratur als Intrusion Detection and Prevention Systems oder kurz IDS/IPS beziehungsweise zusammen IDPS bezeichnet, sowie regelmäßige Sicherheitsscans schützen das Netzwerk der Cloud-Dienste. Eine kontinuierliche Überwachung des Netzwerkverkehrs ermöglicht eine frühzeitige Erkennung potenzieller Angriffe und schnellere Gegenmaßnahmen.
Compliance und rechtliche Aspekte
Bei der Auswahl eines Cloud-Anbieters gehört die Einhaltung von Compliance-Anforderungen mit auf die Prüfliste. Unternehmen sollten sicherstellen, dass der Cloud-Anbieter die geltenden Datenschutzbestimmungen und branchenspezifischen Vorschriften einhält. Zertifizierungen belegen das: die Norm ISO/IEC 27001 in der seit Oktober 2022 gültigen Fassung für das Informationssicherheits-Managementsystem, und für Unternehmen, die Zahlungskartendaten verarbeiten, der Payment Card Industry Data Security Standard in der seit Juni 2024 aktuellen Version 4.0.1.
Sicherheitsüberprüfung von Cloud-Anbietern
Bevor Unternehmen sich für einen Cloud-Anbieter entscheiden, lohnt sich eine eigene Sicherheitsüberprüfung. Dazu gehören die physische Sicherheit der Rechenzentren, die technischen Sicherheitsvorkehrungen, die Datenschutzrichtlinien und die Incident-Response-Verfahren des Anbieters. Eine solche Prüfung zeigt, ob der Cloud-Anbieter die Sicherheitsanforderungen des eigenen Unternehmens tatsächlich erfüllen kann.
Cloud-Computing bietet Unternehmen viele Vorteile, darf aber nicht auf Kosten der Sicherheit gehen. Wer Verschlüsselung, Zugriffskontrolle, Backups, Netzsicherheit und Compliance von Anfang an mitplant, schützt seine Daten vor den gängigsten Bedrohungen. Dazu gehört auch, einen Cloud-Anbieter mit nachweislicher Sicherheitshistorie und den passenden Zertifizierungen auszuwählen.
Sicherheitsmaßnahmen sind kein einmaliges Projekt. Wer sie regelmäßig überprüft und an neue Bedrohungen anpasst, hält seine Daten in der Cloud dauerhaft sicher.
Häufig gestellte Fragen
Welche Verschlüsselungsstandards gelten aktuell als sicher für Cloud-Daten?
Für Cloud-Daten gelten TLS 1.3 für die Übertragung und AES mit einer Schlüssellänge von 256 Bit für die Speicherung als aktuell sichere Standards. AES ist im NIST-Standard FIPS 197 festgelegt, der 2023 zuletzt redaktionell überarbeitet wurde, ohne den Algorithmus selbst zu verändern.
Was bedeutet eine ISO/IEC-27001-Zertifizierung bei einem Cloud-Anbieter?
Eine ISO/IEC-27001-Zertifizierung bestätigt, dass ein Cloud-Anbieter ein Informationssicherheits-Managementsystem betreibt, das unabhängig geprüft wurde und Anforderungen an Dokumentation, Zugriffskontrolle, Auditierung sowie Vorbeuge- und Korrekturmaßnahmen erfüllt. Die aktuelle Fassung der Norm gilt seit Oktober 2022 und enthält seither eigene Kontrollen für den Einsatz von Cloud-Diensten.
Wofür stehen IDS und IPS in der Cloud-Sicherheit?
IDS steht für Intrusion Detection System und meldet verdächtigen Netzwerkverkehr, ohne selbst einzugreifen. Ein IPS, ein Intrusion Prevention System, erkennt denselben Verkehr und blockiert ihn zusätzlich automatisch, etwa indem es eine schädliche Verbindung sofort trennt. Beide Systeme werden zusammen häufig als IDPS bezeichnet.
Reicht die Datensicherung des Cloud-Anbieters aus, oder braucht ein Unternehmen ein eigenes Backup?
Die redundanten Systeme eines Cloud-Anbieters ersetzen kein eigenes Backup, weil sie in erster Linie vor Hardwareausfällen beim Anbieter schützen, nicht vor eigenen Fehlern wie versehentlich gelöschten Dateien oder kompromittierten Zugangsdaten. Ein eigenes, regelmäßig aktualisiertes Backup auf einem getrennten System gibt einem Unternehmen die Möglichkeit, unabhängig vom Anbieter wiederherzustellen.