Veröffentlicht am 3.11.2025 von Daniel SCHNETZER
Letzte Aktualisierung : 10.11.2025
Einführung : Warum Cloud-Sicherheit auditieren
Mit der zunehmenden Verbreitung von Cloud-Computing und der wachsenden Komplexität hybrider Infrastrukturen ist die Sicherheit von Cloud-Umgebungen zu einem strategischen Thema für alle Unternehmen geworden.
Bedrohungen entwickeln sich weiter, Vorschriften werden strenger und Architekturen von mehreren Anbietern werden vielfältiger.
Ein umfassendes Audit der Sicherheit seiner Cloud-Infrastruktur ermöglicht :
- Schwachstellen erkennen, bevor sie ausgenutzt werden ;
- die Einhaltung der Normen (ISO 27001, ISO 27017, DSGVO, HDS) sicherstellen ;
- Stärkung des Vertrauens von Kunden und Partnern.
Ein Cloud-Sicherheits-Audit ist keine einmalige Aufgabe, sondern ein kontinuierlicher Prozess der Governance und Verbesserung. Hier sind die wichtigsten Schritte.
1. Umfang und Ziele des Audits festlegen
Vor allem ist es wichtig, den Umfang der Prüfung zu begrenzen :
- Welche Cloud-Plattformen (privat, öffentlich, hybrid) sind betroffen ?
- Welche Arten von Daten und Anwendungen müssen analysiert werden ?
- Welches sind die vorrangigen Risiken: Compliance, Resilienz, Zugriff, Speicherung ?
Das Audit muss auch das Modell der geteilten Verantwortung klären: Einige Ebenen (Infrastruktur, Netzwerk, Hardware) liegen beim Cloud-Anbieter, andere (Identitäten, Konfigurationen, Daten) bei den Unternehmen.
Lesen Sie auch:
IT-Infrastruktur – Cloud Computing – Sicherheit
2. Cloud-Ressourcen kartieren und inventarisieren
Der erste operative Schritt besteht darin, ein umfassendes Inventar der in der Cloud gehosteten Assets zu erstellen :
- virtuelle Maschinen, Container, Datenbanken, Speicher ;
- Benutzer, Dienstkonten und API-Schlüssel ;
- Netzwerkverbindungen, VPNs, Firewalls, Proxys.
Dieses Inventar ermöglicht eine klare Sicht auf die Abhängigkeiten und die Ausstellungsfläche.
Unternehmen mit mehreren Umgebungen (AWS, Azure, Google Cloud, OpenStack oder einer souveränen privaten Cloud wie UNIVIRTUAL) müssen diese Transparenz durch zentralisierte Überwachungstools vereinheitlichen.
3. Bewertung der grundlegenden Sicherheitskontrollen
Ein Cloud-Sicherheits-Audit muss die korrekte Anwendung der wesentlichen Schutzmaßnahmen validieren.
Identitäts- und Zugriffsmanagement (IAM)
- Anwendung des Prinzips des geringsten Vorrechts.
- Aktivieren der doppelten Authentifizierung (A2F) für sensible Konten.
- Überwachen veralteter Rollen und Zugriffsrichtlinien.
Verschlüsselung der Daten
- Stellen Sie sicher, dass die Daten während der Übertragung (TLS) und im Ruhezustand (AES-256) verschlüsselt sind.
- Kontrolle der Schlüsselverwaltung : Rotation, Lagerung, Rückverfolgbarkeit.
Netzwerksicherheit
- Die Ströme zwischen internen und externen Bereichen segmentieren.
- Filtert IP-Adressen und überwacht den Ost-West-Verkehr.
- Überprüfen Sie die VPN- und Firewall-Konfiguration.
Management von Schwachstellen
- Regelmäßige Überwachung der System- und Anwendungs-Patches.
- Automatisierung von Schwachstellen-Scans.
- Protokollieren von Sicherheitsereignissen, um eine schnelle Erkennung von Anomalien zu ermöglichen.
UNIVIRTUAL deckt diese Kontrollen ab : Cybersecurity und SOS Cyberangriff.
4. Überprüfung von Compliance und Governance
Die Prüfung muss auch die Einhaltung der Vorschriften und die Kohärenz der internen Richtlinien sicherstellen :
- Einhaltung der Normen ISO 27001, ISO 27017 und HDS ;
- Einhaltung der DSGVO bei der Verarbeitung personenbezogener Daten ;
- Verwaltung von Dritten und Subunternehmern (Verträge, Rückverfolgbarkeit, gesetzliche Verpflichtungen).
Das Ziel besteht darin, sicherzustellen, dass die IT-Governance bewährte Praktiken widerspiegelt und die Verantwortlichkeiten zwischen den internen Teams und dem Cloud-Anbieter klar festgelegt sind.
5. Identifizierung von cloudspezifischen Schwachstellen und Risiken
Die wichtigsten Schwachstellen, die bei den Cloud-Audits festgestellt wurden, sind :
- falsche Konfigurationen (öffentliche Speicher, offene Ports, übermäßige Gebühren) ;
- verwaiste oder nicht widerrufene Konten ;
- keine Verschlüsselung bei bestimmten Ressourcen ;
- mangelnde Überwachung oder aktive Warnungen ;
- shadow IT (ohne Validierung erstellte Ressourcen).
Jede Schwachstelle ist nach ihrer Schwere und ihrer Ausnutzbarkeit zu klassifizieren, damit Abhilfemaßnahmen priorisiert werden können.
6. Festlegung eines Sanierungs- und Folgeplans
Ein Audit endet nicht mit der Erkennung von Risiken: es muss zu einem messbaren Aktionsplan führen.
Zu den vorrangigen Maßnahmen können gehören :
- Behebung fehlerhafter Konfigurationen ;
- Aktualisierung der Zugriffsrichtlinien ;
- Segmentierung des Netzes ;
- die Automatisierung von Multizonen-Backups und -Wiederherstellungen.
Bei UNIVIRTUAL wird jedes Audit von einem detaillierten Compliance-Bericht und einer personalisierten Begleitung zur Korrektur oder Verstärkung der identifizierten Maßnahmen begleitet.
7. Einführung eines kontinuierlichen und proaktiven Audits
Cloud-Sicherheit ist nicht erstarrt. Die Umgebungen ändern sich ständig ; jede neue Ressource, Aktualisierung oder Integration kann ein Risiko darstellen.
Daher wird empfohlen :
- mindestens einmal pro Jahr ein umfassendes Audit planen ;
- Durchführung von vierteljährlichen Mini-Audits zu kritischen Punkten ;
- Integration der Sicherheit in das Projektdesign (DevSecOps-Ansatz).
Die Verwendung von Cloud Security Posture Management (CSPM) oder automatisierten Überwachungstools ermöglicht es, ein hohes Maß an Compliance aufrechtzuerhalten und Bedrohungen zu antizipieren.
Fazit : Sicherheit als Grundlage für Vertrauen und Leistung
Die Überwachung der Sicherheit Ihrer Cloud-Infrastruktur bedeutet mehr als nur den Schutz von Servern : Es geht darum, die Kontinuität Ihres Geschäfts, die Einhaltung gesetzlicher Vorschriften und das Vertrauen Ihrer Kunden zu gewährleisten.
UNIVIRTUAL unterstützt europäische Unternehmen bei diesem Schritt mit souveränen, sicheren und geprüften Lösungen in Rechenzentren, die nach Tier IV, ISO 27001 und HDS zertifiziert sind.
Entdecken Sie :
