Verantwortung je Dienst zuordnen

Virtuelle Maschinen, verwaltete Datenbanken und vollständige SaaS-Anwendungen benötigen unterschiedliche Prüfungen. Bei einer selbst betriebenen Cloud-VM bleiben beispielsweise Betriebssystem und Anwendungen wesentlich im eigenen Verantwortungsbereich. Bei einem SaaS-Dienst stehen dagegen oft Identitäten, Freigaben und Datenverwendung stärker im Vordergrund.

Die Bestandsaufnahme verbindet Konten, Projekte, Abonnements und Ressourcen mit verantwortlichen Personen. Vergessene Testumgebungen und ungenutzte öffentliche Adressen können genauso relevant sein wie produktive Dienste. Eine zentrale Übersicht erleichtert ausserdem die Zuordnung von Kosten, Sicherheitsmeldungen und anstehenden Änderungen.

Identitäten und öffentliche Erreichbarkeit begrenzen

Besonders wichtig sind administrative Rollen, technische Identitäten und gespeicherte Zugangsschlüssel. Anwendungen sollten nur die Ressourcen erreichen können, die sie für ihre Aufgabe benötigen. Unnötig breite Berechtigungen und dauerhaft verwendete Geheimnisse werden gezielt überprüft, einschliesslich ihrer Verwendung in automatisierten Bereitstellungsprozessen.

Öffentliche Speicherfreigaben, Netzwerkregeln und Verwaltungsendpunkte werden mit dem beabsichtigten Nutzungsmodell verglichen. Ein erfolgreicher Aufruf aus dem Büro beweist noch keine passende Beschränkung. Deshalb werden erlaubte und unerwünschte Zugriffspfade innerhalb des vereinbarten Prüfumfangs getrennt bewertet.

Überwachung und Wiederherstellung einbeziehen

Cloud-Konfigurationen ändern sich häufig. Relevante Änderungen sollten nachvollziehbar protokolliert und bei Bedarf gemeldet werden. Ebenso braucht es eine bewusste Entscheidung zur Wiederherstellung: Verfügbarkeit des Anbieters ist nicht automatisch gleichbedeutend mit der Wiederherstellung versehentlich gelöschter oder manipulierter Unternehmensdaten.

Für eine Anfrage nennen Sie Anbieter, verwendete Dienste und die wichtigsten geschäftlichen Anwendungen. Daraus lässt sich ein priorisierter Prüfplan ableiten. Das Ergebnis unterscheidet bereits vorhandene Kontrollen, konkrete Konfigurationslücken und Aufgaben, die durch den jeweiligen Dienstleister oder Ihr internes Team erledigt werden müssen.

Ihre Checkliste für den nächsten Schritt

  • Verantwortung für jeden Cloud-Dienst und seine Konfiguration schriftlich zuordnen.
  • Öffentliche Freigaben und administrative Rollen mit dem tatsächlichen Bedarf abgleichen.
  • Änderungsprotokolle und Wiederherstellungswege für kritische Daten praktisch prüfen.

Häufige Fragen

Ist eine zertifizierte Cloud automatisch für unsere Nutzung sicher?

Anbieterzertifizierungen können wichtige Informationen liefern. Eigene Konfigurationen, Identitäten und Datenfreigaben müssen trotzdem passend eingerichtet und betrieben werden.

Reicht das Backup des Cloud-Anbieters aus?

Das hängt vom Dienst und Vertrag ab. Wiederherstellbare Datenstände, Aufbewahrung und eigene Zugriffsmöglichkeiten müssen konkret geprüft werden.

Quellen & weiterführende Informationen

AWS: Shared Responsibility Model ↗

Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.