Cloud-Dienste haben den IT-Betrieb grundlegend verändert – Updates, Verfügbarkeit und Skalierung hat weitgehend der Anbieter zu verantworten, was bequem für die Nutzer erscheint, für diese aber keinen Freibrief in Fragen der Datensicherheit darstellt
Günter Esch, Geschäftsführer SEPPmail – Deutschland GmbH, führt in seiner aktuellen Stellungnahme aus, dass Cloud-Dienste den IT-Betrieb grundlegend verändert haben. Unternehmen müssen keine eigene Hardware mehr beschaffen – Updates, Verfügbarkeit und Skalierung lägen weitgehend beim Anbieter. „Das ist bequem. Es ist aber kein Freibrief!“, betont Esch. Er stellt klar, dass die zentrale Datensicherheitsverantwortung beim jeweiligen Unternehmen verbleibt – und dass im Rahmen einer ganzheitlichen Sicherheitsarchitektur die Nutzung einer Cloud ein notwendiges Kriterium sein kann, aber nie allein hinreichend sein kann.
Cloud-Provider schützen die Plattformen – Unternehmen ihre eigenen Geschäftsprozesse
Ein Cloud-Provider schütze seine Plattform – er könne jedoch nicht entscheiden, welche Nachricht vertraulich ist. Esch: „Er kennt nicht jeden Geschäftsprozess. Und er weiß nicht, ob ein Empfänger sensible Informationen erhalten darf.“ Diese Entscheidungen blieben Aufgabe des Unternehmens.
Die Rechenzentren großer Cloud-Anbieter verfügten meist über ein hohes Sicherheitsniveau. Dies allein mache die Kommunikation jedoch nicht automatisch sicher. Esch erläutert: „Viele Sicherheitsvorfälle entstehen nicht durch einen Angriff auf das Rechenzentrum. Sie entstehen durch kompromittierte Konten, falsche Berechtigungen oder Fehlkonfigurationen.“
Der Provider könne technische Funktionen bereitstellen. Das jeweilige Unternehmen aber müsse sie jedoch passend konfigurieren und kontrollieren. Hierzu gehörten klare Rollen, sichere Anmeldeverfahren und begrenzte Zugriffsrechte. Auch Protokollierung und regelmäßige Prüfungen seien nötig. „Ohne diese Maßnahmen bleibt selbst eine leistungsfähige Cloud-Umgebung angreifbar“, warnt Esch.
Datenflüsse kontrollieren: Sicherheit der E-Mail umfasst mehr als nur das Postfach
Bei Absicherung der Cloud-Dienste konzentrierten sich viele Verantwortliche auf Benutzerkonten und gespeicherte Daten. Dabei werde ein wichtiger Bereich oft übersehen – der Weg der Informationen aus dem Unternehmen heraus. „E-Mails verbinden interne Systeme mit Kunden, Lieferanten, Behörden und Partnern. Sobald eine Nachricht das eigene System verlässt, beginnt ein neuer Datenfluss.“
Transportverschlüsselung schütze dabei nur einzelne Übertragungswege. Sie garantiere nicht, dass eine Nachricht bis zum vorgesehenen Empfänger vertraulich bleibt. Gerade sensible Inhalte brauchten deshalb einen weitergehenden Schutz – und zwar in drei Dimensionen:
- Vertraulichkeit, damit nur der richtige Empfänger eine Nachricht lesen kann
- Empfänger-Authentifizierung, damit dieser Empfänger auch eindeutig erkannt wird
- und Authentizität, damit die Echtheit des Absenders überprüfbar bleibt
Unternehmen sollten auf Cloud-Anwendung mit Zusatzschutz setzen
Diese Regeln könne kein Cloud-Anbieter pauschal vorgeben. „Die Cloud muss nicht weniger sicher sein als eine lokale Infrastruktur. Oft bietet sie sogar bessere Voraussetzungen für einen stabilen Betrieb. Wichtig ist dabei jedoch, wie Unternehmen die vorhandenen Dienste ergänzen.“
Standardfunktionen für Spam- und Virenschutz reichten für vertrauliche Geschäftskommunikation häufig nicht aus. Verschlüsselung, digitale Signaturen und verbindliche Versandregeln müssten Teil der Sicherheitsarchitektur sein.
Auch diese Maßnahmen ließen sich über ein zentrales „Secure E-Mail Gateway“ in Cloud-Umgebungen umsetzen: „Richtlinien werden einmal definiert und automatisch angewendet, ohne dass Anwender zusätzliche Schritte ausführen müssen.“
Verantwortung nicht delegierbar: Cloud-Sicherheit im Kontext des „Shared Responsibility“-Modells
Esch fasst zusammen: „Cloud-Anbieter übernehmen wichtige Aufgaben. Sie betreiben die Infrastruktur, installieren Updates und sorgen für Verfügbarkeit. In der Cloud-Sicherheit ist dieses Prinzip als ,Shared Responsibility’-Modell bekannt: Der Anbieter sichert die Plattform, das Unternehmen sichert, wie es die Plattform nutzt.“
Wo genau diese Grenze verläuft, werde jedoch häufig unterschätzt – gerade bei E-Mail, bei der Verschlüsselung, Signatur und Versandregeln fast immer in der Verantwortung des Kunden lägen, nicht des Anbieters.
Denn sichere Kommunikation verlange mehr: „Sie braucht kontrollierte Datenflüsse, belastbare Identitäten und klare Regeln für Verschlüsselung und Signatur. Die Cloud kann dabei ein wichtiger Bestandteil sein, jedoch nie die gesamte Sicherheitsstrategie!“
Zentrale Erkenntnisse der DS-Redaktion
- Der Einsatz von Technik und Dienstleistungen im Kontext der Datensicherheit kann eine sinnvolle Umsetzung von Teilaspekten einer Gesamt-Sicherheitsstrategie sein.
- Die Annahme eines Angebots von Lieferanten bzw. Leistungserbringern belässt indes die Gesamtverantwortung für die betriebliche Sicherheit beim auftraggebenden Unternehmen.
- Die Reihenfolge ist maßgeblich: Zuerst muss die Entscheiderebene eines Unternehmens eine Gesamt-Sicherheitsstrategie erarbeiten lassen und verabschieden, um dann zur Umsetzung geeignete Anbieter für Lösungen zu finden (der überhastete Kauf von IT-Sicherheitsprodukten bzw. die vorschnelle Buchung von Diensten in der Hoffnung, dass damit automatisch die betrieblichen Sicherheitsprobleme gelöst werden, wäre kurzsichtig und unverantwortlich).
- Teilaufgaben können an seriöse Anbieter delegiert werden – nie aber die Gesamtverantwortung der Geschäftsführung für Sicherheitsfragen.
- Auch IT-Produkte bzw. -Dienstleistungen können versagen bzw. ausfallen – diese Möglichkeit sollte in der Notfall- und Wiederanlaufplanung berücksichtigt werden.
Fazit
Datensicherheit erfordert eine klare Gesamtstrategie der Geschäftsführung. Technische Lösungen und externe Dienstleister können dabei unterstützen, die Gesamtverantwortung bleibt jedoch beim Unternehmen. Auch mögliche Ausfälle von IT-Systemen müssen in der Notfallplanung berücksichtigt werden.
Weitere Informationen
DATENSICHERHEIT.DE, 07.07.2026
Bei Cloud-Ausfall droht fast jedes zweite Unternehmen lahmgelegt zu werden
DATENSICHERHEIT.DE, 28.06.2026
Neuer CNAPP-Standard als Basis der Hyper-Priorisierung und autonomen Behebung im Cloud-Maßstab
DATENSICHERHEIT.DE, 24.05.2026
Digitale Souveränität: Europa erneuert seine Cloud-Infrastruktur für 180 Millionen Euro
