Anhoren
Teilen
Die Cloud vermittelt Unternehmen ein trügerisches Gefühl von Sicherheit – auch, weil sie sie auf die Anbieter abwälzen können. Welche Gefahren damit verbunden sind, legt Cybersecurity-Experte Thomas Bail in seiner aktuellen Kolumne der IT-Station offen – und zwar schonungslos.
Der perfekte Hack: Warum wir nichts gelernt haben
Es war ein klassischer Angriff – und doch war alles anders. Das Unternehmen hatte Millionen in Cloud-Security investiert: modernste Firewalls, ein Security Operations Center, 24/7-Überwachung. Dennoch reichten 45 Minuten und eine gestohlene Identität, um die gesamte Cloud-Infrastruktur zu kompromittieren.
Der Angriff begann nicht mit einer Zero-Day-Lücke oder einer hochentwickelten Malware. Er begann mit einer fehlkonfigurierten IAM-Rolle. Ein gestohlenes Cloud-Admin-Konto wurde unbemerkt übernommen, weil keine effektiven Mechanismen zur Erkennung ungewöhnlicher Zugriffe implementiert waren. Kein Alarm, keine Auffälligkeit. Die Angreifer bewegten sich unbemerkt durch die Umgebung, fanden ungesicherte API-Zugänge und exfiltrierten binnen einer Stunde über 30 Terabyte sensibler Daten.
Die anschließende forensische Analyse ergab ein bitteres Fazit: Nicht die Cloud an sich war unsicher – sondern das Verständnis darüber, wie Sicherheit in der Cloud funktionieren sollte.
Cloud Security: nicht sicherer, sondern anders unsicher
Viele Unternehmen glauben noch immer, dass Cloud-Sicherheit lediglich eine Weiterführung klassischer On-Premise-Sicherheitskonzepte sei. Doch diese Denkweise führt zu gefährlichen Fehleinschätzungen. Mit der Verlagerung in die Cloud ist der klassische Perimeter verschwunden. Sicherheitsmaßnahmen, die sich auf physische Netzwerke verlassen, greifen nicht mehr, denn die Cloud ist per Definition dezentral und dynamisch. Die Bedrohungslage hat sich fundamental verändert: Angriffe konzentrieren sich nicht mehr primär auf Schwachstellen in der Infrastruktur, sondern auf Identitäten, APIs und Fehlkonfigurationen. In vielen Fällen bleibt Unternehmen nichts anderes übrig, als der Sicherheitsarchitektur ihrer Cloud-Anbieter zu vertrauen – oft ohne die Möglichkeit, sie wirklich zu überprüfen.
Die größten Herausforderungen liegen in drei Bereichen: der Identitäts- und Zugriffssicherheit, der fehlenden Transparenz in Multi-Cloud-Umgebungen und der mangelhaften Umsetzung von Zero Trust. In den meisten Fällen, in denen Cloud-Systeme kompromittiert werden, liegt die Ursache nicht in technischen Schwächen der Cloud-Dienste, sondern in Fehlkonfigurationen und zu weitreichenden Berechtigungen. Ohne eine konsequente Absicherung auf Identitätsebene bleibt jedes Unternehmen verwundbar.
Perspektivenwechsel: Was selbst erfahrene Security-Teams übersehen
Stellen wir uns einen Raum vor. Fünf Stühle, fünf Stimmen. Auf dem ersten sitzt ein erfahrener CISO, auf dem zweiten ein KI-Forscher. Neben ihm ein Jurist für globale Cyberregulierung, dann ein Cloud-Architekt mit tiefem Verständnis für hybride Umgebungen – und schließlich ein ethischer Hacker, der denkt wie ein Angreifer. Was passiert, wenn man diesen Experten dieselbe Frage stellt, nämlich wie sicher Unternehmen in der Cloud wirklich sind? Es wird still. Dann folgen Antworten – direkt, ehrlich und ernüchternd. Ihre Perspektiven offenbaren blinde Flecken, die in vielen Security-Strategien nicht adressiert werden – weil sie außerhalb des gewohnten Blickfelds liegen.
Hier ist, was sie sehen – und was viele übersehen:
CISO-Perspektive: Die Bedrohung ist da und wir sind nicht vorbereitet
Aus Sicht eines Chief Information Security Officers liegt das größte Problem in der fehlenden Integration der eingesetzten Sicherheitstechnologien. Viele Unternehmen nutzen eine Vielzahl von Tools, doch diese arbeiten nicht zusammen – was zu Blind Spots führt. Insbesondere der sogenannte East-West-Traffic innerhalb der Cloud wird oft nicht überwacht. Dabei ist es genau dieser laterale Verkehr, in dem sich Angreifer nach dem initialen Zugriff unbemerkt bewegen.
Ein weiteres Problem: Trotz aller Sicherheitsstrategien fehlt es oft an operativer Reife. Sicherheitswarnungen werden zwar erkannt, aber nicht priorisiert oder automatisiert behandelt. Der CISO erkennt: Die Strategie ist gut – aber die Umsetzung ist zu langsam, zu fragmentiert und zu reaktiv.
KI-Forscher: Cloud-Sicherheit hinkt hinterher
Der KI-Forscher blickt mit Sorge auf das wachsende Ungleichgewicht zwischen Angriff und Verteidigung. Während Angreifer längst KI-gestützte Techniken einsetzen – etwa zur automatisierten Generierung von Phishing-Mails oder zum Scannen offener Endpunkte – nutzen Unternehmen KI noch immer zögerlich. Insbesondere im Bereich der automatisierten Incident Response und Anomalieerkennung liegt enormes Potenzial brach. Viel zu selten werden lernende Systeme eingesetzt, die ungewöhnliche Zugriffsmuster selbständig erkennen und eskalieren könnten.
Zudem warnt der Experte vor der Illusion der Sicherheit durch Verschlüsselung: Mit Blick auf die Entwicklung der Quantencomputer ist es nur eine Frage der Zeit, bis heutige Verfahren obsolet werden. Unternehmen sollten schon heute Post-Quanten-Kryptografie in ihre Roadmaps integrieren.
Regulatorik-Experte: Compliance ist kein Schutzschild
Der Jurist bringt eine weitere unbequeme Wahrheit auf den Tisch: Viele Unternehmen setzen auf die Sicherheitsversprechen ihrer Cloud-Anbieter – ohne die eigene Verantwortung zu hinterfragen. Dabei gilt: Auch in der Cloud bleibt der Kunde für seine Daten verantwortlich. Mit dem Inkrafttreten von Richtlinien wie NIS2, DORA oder dem Cyber Resilience Act wird die Haftung nun auch formal verschärft. Vorstände und Geschäftsführungen geraten zunehmend in den Fokus, wenn Sicherheitsmaßnahmen nicht umgesetzt oder Risiken nicht gemeldet werden.
Besonders heikel wird es bei der Frage nach der Datensouveränität: Wo liegen die Daten? Wer hat Zugriff? Und was passiert bei einem internationalen Rechtskonflikt? Der Experte rät dringend, diese Fragen nicht erst beim Audit zu stellen – sondern vor dem Vertragsabschluss.
Cloud-Architekt: Hybrid- und Multi-Cloud werden nicht beherrscht
Aus architektonischer Sicht zeigt sich, dass viele Cloud-Umgebungen historisch gewachsen, aber nicht strategisch geplant sind. Workloads wandern in die Cloud – doch Sicherheitsmodelle und Governance-Prozesse bleiben On-Premise-orientiert. Das führt zu inkonsistenter Zugriffskontrolle, redundanten Rollen, offenen APIs und schlecht dokumentierten Ressourcen. Besonders kritisch wird es, wenn mehrere Clouds im Einsatz sind und keine zentrale Sicht auf Zugriffe, Konfigurationen und Risiken existiert.
Der Architekt sieht in der fehlenden End-to-End-Sichtbarkeit den größten blinden Fleck – besonders, wenn Traffic verschlüsselt ist. Denn über 90 Prozent der Malware versteckt sich heute in verschlüsseltem Datenverkehr. Wer hier nicht aktiv entschlüsselt und analysiert, bleibt blind.
Ethischer Hacker: So denken Angreifer wirklich
Der Hacker hat wenig Mitleid – er sieht die Sicherheitsarchitektur durch die Brille des Angreifers. Und was er sieht, ist oft eine Einladung: übermäßige Berechtigungen, zu viele Admin-Accounts, kaum segmentierte Netzwerke. Insider-Bedrohungen gehören aus seiner Sicht zu den meist unterschätzten Risiken. Besonders in der Cloud, wo Identitäten die neue Perimeter darstellen, können unerkannte Insider leicht Schäden anrichten.
Hinzu kommt: Viele Unternehmen verlassen sich auf externe Audits, ohne selbst Red Teaming oder kontinuierliche Pentests durchzuführen. Das führt dazu, dass Sicherheitslücken oft erst dann sichtbar werden, wenn es zu spät ist. Der größte Fehler aus Sicht des Hackers? Die Annahme, dass Sicherheit mit Technologie gelöst werden kann – statt mit Haltung, Training und kontinuierlichem Hinterfragen.
Was tun? Handlungsempfehlungen für die Zukunft
Zero Trust muss endlich konsequent umgesetzt werden – nicht nur für den Netzwerkzugriff, sondern für jede Identität, jede API, jede Anwendung. Künstliche Intelligenz sollte nicht nur als Bedrohung gesehen werden, sondern als strategisches Verteidigungsinstrument: für Erkennung, Korrelation und Reaktion in Echtzeit. Regulatorische Anforderungen wie NIS2 oder DORA sind kein bürokratischer Ballast, sondern ein Weckruf, Security in Geschäftsprozesse und Verantwortung zu integrieren. Cloud-Sicherheit braucht durchgängige Sichtbarkeit – auch in verschlüsseltem Datenverkehr, bei seitlichen Bewegungen und in dynamischen Umgebungen. Red Teaming und kontinuierliches Testen sind unverzichtbar. Wer nur auditgetrieben denkt, ist zu langsam für heutige Bedrohungen.
Doch Resilienz allein reicht nicht mehr. Cloud-Security braucht eine neue Qualität: Antifragilität. Systeme müssen durch Störungen lernen, sich anpassen, stärker werden. Ein antifragiles System provoziert Tests, integriert Feedback, automatisiert Reaktionen. Die Cloud bietet erstmals die technischen Voraussetzungen dafür: APIs, Automatisierung, Daten. Die Herausforderung ist nicht technischer Natur – sondern mentaler.
Fazit – Sicherheit neu denken
Cloud-Sicherheit ist keine Weiterentwicklung klassischer IT-Sicherheit. Sie ist eine neue Disziplin mit anderen Gesetzen, anderen Risiken – und anderen Möglichkeiten. Wer alte Konzepte mitzieht, wiederholt alte Fehler. Wer nur robust denkt, wird früher oder später gebrochen. Wer lediglich resilient sein will, übersteht Angriffe – bleibt aber verwundbar. Die Zukunft gehört Sicherheitsmodellen, die wachsen, wenn sie herausgefordert werden. Nicht robust. Nicht resilient. Antifragil.
Thomas Bail ist Geschäftsführer der Wolkenwerft GmbH. Mit 30 Jahren IT-Erfahrung legt er seinen Schwerpunkt auf Cybersecurity, insbesondere auf autonome Penetrationstests. Seine Leidenschaft liegt in der Reduzierung der Komplexität im Bereich Security, um Unternehmen einfacher und effizienter vor Bedrohungen zu schützen.
