Immer mehr sensible Daten werden in der Cloud gespeichert. Unsere Expertenrunde diskutiert Risiken und Lösungsansätze.
Cloud-Security ist nach wie vor Hauptsorge der Sicherheitsexperten, so das Hauptergebnis einer Umfrage im Rahmen der diesjährigen RSA Conference in San Francisco. Für 39 Prozent der Befragten ist die Absicherung der Cloud demnach Hauptanlass zur Besorgnis, gefolgt von Ransomware (16 Prozent) sowie einer verteilt arbeitenden Belegschaft (12 Prozent).
Unsere Experten:
– Mario Friedl, Geschäftsführer der MIT-Security (7freaks it GmbH)
– Ing. Mag. Frederic Hadjari, Cluster-Manager IT-Cluster OÖ, Business Upper Austria – OÖ Wirtschaftsagentur GmbH
– Markus Hirsch, Manager System Engineering Austria bei Fortinet
– Dr. Wolfgang Zuser, Projektmanager von (Cloud) Infrastruktur und Security Projekten bei Antares, Produktmanager einer Protokollierungslösung bei iQSol
– Moderation: Wolfgang Franz, ITWELT
source
Dauer: 01:31:05
Inhalt:
Ausgangslage & Trends
Cloud ist gesetzt, aber heterogen: IaaS/PaaS/SaaS, Multi- und Hybrid-Cloud sind de facto Standard. Die größte Einstiegshürde bleibt die Begriffsklärung und die klare Abgrenzung von Verantwortlichkeiten.
Bedrohungslage: Zunahme von Breitenangriffen („spray & pray“) und gezielten Attacks auf größere Unternehmen – häufig über Zulieferer. Fehlkonfigurationen in der Cloud gelten als Hauptrisiko.
Security bleibt Kund:innenverantwortung („shared responsibility“). Provider sichern Verfügbarkeit; Security-Leistungen sind zuzukaufen und zu integrieren.
Transparenzdefizite und jüngste Vorfälle bei Hyperscalern unterminieren Vertrauen; Exit-Strategien und Portabilität werden strategisch wichtig.
Herausforderungen
Spannungsfeld Produktivität vs. Sicherheit: Usability, Kosten- und Zeitdruck führen zu „Abkürzungen“. Ohne frühe Einbindung der Security eskalieren Zielkonflikte.
Fachkräftemangel: 24/7-Abdeckung intern ist für KMU unrealistisch; Managed Services/SOC werden zentral.
Technik-Schwerpunkte: Netzwerk-Segmentierung/Mikrosegmentierung, durchgängige starke Authentifizierung (MFA, Passwordless), Patch-/Vulnerability-Management, Logging & Monitoring (inkl. NIS2-konformer Protokollierung), Zero-Trust-Prinzipien, Automatisierung.
Mensch & Kultur: Mitarbeitende sind Hauptangriffsfläche. Kontinuierliche Schulung, gelebte Vorbildfunktion des Managements, offene Fehlerkultur und simulierte Übungen sind entscheidend.
Rolle von KI
Angreifer nutzen KI; verteidigungsseitig hilft sie bei Korrelation, Anomalieerkennung und Priorisierung. Sie ersetzt keine Expertise, reduziert aber Analyseaufwand.
Ökosystem & Förderung
Austauschplattformen (Cluster, Erfahrungsaustausche) und Förderprogramme (z. B. KMU.Digital, Landesförderungen) senken Hürden für Assessments und Umsetzung.
Standardisierung als Kompass: ISO/IEC 27001 als Rahmen; pragmatischer Start nach 80/20-Prinzip.
Empfehlungen (Roadmap)
Begriffe & Verantwortungen klären (Cloud-Modelle, „shared responsibility“, Exit-Plan).
Basis absichern: Patchen, Härtung, Passwort-Hygiene/Manager, MFA/Passwordless, Backup/Recovery testen.
Netze segmentieren (inkl. getrennte WLANs/Mobilgeräte), Least-Privilege & Zero Trust etablieren.
Sichtbarkeit schaffen: Zentrale Logs, Use-Cases, Alarme; KI-unterstützte Analytik; Playbooks.
Betrieb professionalisieren: Managed SOC/Services einkaufen, klare SLAs und Incident-Hotline fordern.
Menschen befähigen: Regelmäßige Trainings/Phishing-Simulationen, Rollen & Prozesse, Management-Commitment.
Compliance & Förderung nutzen: NIS2-Gap-Analyse, ISO-Roadmap, Fördermittel heben.
Fazit
Cloud bietet enorme Chancen – sicher wird sie nur mit klarer Verantwortung, Standardisierung, Automatisierung, gelebter Sicherheitskultur und professionellem Betrieb. Ziele sind nicht „100 % Sicherheit“, sondern Resilienz: Angriffe früh erkennen, Folgen begrenzen, schnell wiederherstellen.
