Ratgeber: Cloud-Lösungen im Unternehmen

Risiko: Durch schwache oder zu einfach gewählte Passwörter können Angreifer schnell Zugang zu allen Daten in der Cloud erlangen und diese etwa herunterladen oder unbemerkt verändern. 

Gegenmaßnahme: Die Accounts von Mitarbeitenden müssen deshalb über starke Passwörter verfügen: Vermeiden Sie Kombinationen aus öffentlich gewordenen Passworthacks oder allgemein bekannte und schwache Passwörter wie „123456" oder „Passwort". Grundsätzlich werden für alle Accounts lange Passwörter mit Sonderzeichen empfohlen. Nutzen Sie darüber hinaus einen Passwortmanager. Ein Passwortmanager stellt lange und komplexe Passwörter für Ihren Cloudzugang bereit, ohne dass Sie sich die einzelnen Passwörter merken müssten. Bis auf eines: das Passwort zum Entriegeln Ihres Passwortmanagers. Sicher sind die Passwörter im Manager, weil er sie verschlüsselt abspeichert. Um komplexe Passwörter zum Standard im Unternehmen zu machen, können Sie Regeln für die Passworterstellung aufstellen, an die sich Mitarbeitende halten müssen. Bieten Sie im Zweifelsfall Unterstützung bei der Einrichtung eines Passwortmanagers an. 

Auf unserem YouTube-Kanal finden Sie eine Videoanleitung, mit der Sie sich Schritt für Schritt Ihren eigenen Passwortmanager einrichten können.

Risiko: Kriminelle können auch auf anderen Wegen an Ihre Passwörter gelangen. Ein beliebter Trick sind sogenannte „Phishing-Mails“, mit denen Angreifer Sie dazu bringen möchten, Ihr Passwort zu verraten – zum Beispiel durch eine gefälschte Aufforderung, das Passwort zu verifizieren. 

Gegenmaßnahme: Mit einer Zwei-Faktor-Authentifizierung (2FA) sollte der Cloudzugang zusätzlich abgesichert werden. Dabei wird neben dem Passwort noch ein weiterer „Faktor“ zur Authentifizierung des Benutzers abgefragt. In der Regel handelt es sich dabei um einen zusätzlichen Faktor aus einer der Kategorien „Wissen“ (Passwort/PIN), „Besitz“ (Smartcard/Smartphone) oder „Sein“ (Biometrische Mittel, etwa Fingerabdruck oder FaceID). Bei Cloud-Diensten ist der zweite Faktor – der meist zusätzlich angebotenen wird und aktiviert werden muss – die PIN. Diese wird beim Einloggen zusätzlich zu Ihrem Passwort benötigt und Ihnen mittels einer App per Mail oder SMS zugesendet. Diese PINs ändern sich regelmäßig alle 10 bis 15 Sekunden und sind dann einmalig benutzbar. Damit erhöhen Sie die Sicherheit Ihres Cloudzugangs immens, denn ein angreifender Dritter benötigt nun zusätzlich zu Ihrem Passwort auch noch Ihren zweiten Faktor. 

Risiko: Mitarbeitende oder externe Partner haben einen weiträumigen Zugriff auf Cloud-Ordner mit Firmendaten erhalten, obwohl nur wenige Daten und Ordner dafür notwendig waren. 

Gegenmaßnahme: Verschaffen Sie sich regelmäßig einen Überblick darüber, welche Daten für welche Personengruppen zur Verfügung stehen. Nicht jeder Mitarbeitende benötigt jede Datei in einem Cloud-Dienst. Auch sollte überprüft werden, welche Daten für wie lange mit Personen außerhalb des eigenen Unternehmens geteilt werden. Solche Zugriffsbeschränkungen sind aus Sicht der digitalen Sicherheit deshalb besonders effektiv, da sie im Angriffsfall immer auch den Zugriff des Hackers auf bestimmte Teile des Systems und der Daten beschränken.

Risiko: Sie besitzen keine Backups Ihrer Daten. Fallen dann Ihre Festplatten aus – zum Beispiel bei einem Angriff mit sogenannter „Ransomware” oder kommt es zu einem Wasserrohrbruch oder einem Brand im Gebäude – verlieren Sie ohne Backups sämtliche Dateien.

Gegenmaßnahme: Seien Sie sich darüber bewusst, dass ein Hochladen von Daten auf einen Cloud-Dienst wie z.B. OneDrive, iCloud oder Google Drive keinesfalls ein Backup Ihrer Daten ersetzen kann. Denn diese Dateien können von Angreifern, die Zugriff auf Ihre Cloud bekommen, unwiderruflich gelöscht werden. Sobald sich der Cloud-Dienst dann mit Ihren verknüpften PCs und Laptops synchronisiert, werden auch die darauf befindlichen Daten gelöscht.

Dabei ist zusätzlich zu beachten, dass der Cloud-Dienst keine Backups Ihrer hochgeladenen Daten für Sie macht, wenn dies nicht explizit und vertraglich vereinbart wurde. Sie sind daher in der Regel selbst für die Erstellung von Backups aller in der Cloud gespeicherten Daten zuständig. Auf diese beiden Aspekte weisen auch die Cloud-Anbieter selbst hin. Führen Sie also selbstständig Backup-Maßnahmen durch oder beauftragen Sie einen IT-Dienstleister dafür. Wenn Sie Backups Ihrer Daten in der Cloud lagern möchten, gibt es dafür gesonderte Dienste, die auf Cloud-Backups spezialisiert sind.

Die wichtigsten Punkte rund um das Thema Backups finden Sie in unserem IT-Sicherheitskompass zum Nachlesen.

Risiko: Die Daten in Ihrer Cloud werden gegen Ihren Willen von unberechtigten Dritten eingesehen, zum Beispiel im Fall eines erfolgreichen Hacks.

Gegenmaßnahme: Ihre Daten in der Cloud sollten verschlüsselt werden, um eine Einsicht durch nicht berechtigte Dritte in jedem Fall zu verhindern. Fragen Sie Ihren Cloud-Anbieter daher zusätzlich nach einer Verschlüsselungsoption. Falls dieser keine Verschlüsselung anbietet, können Sie auf Verschlüsselungsprogramme zurückgreifen und Ihre Daten selbstständig verschlüsseln, bevor Sie diese hochladen. Diese Möglichkeit sollten Sie auch verwenden, wenn Sie Ihre Backups auf einen Cloud-Backup-Dienst hochladen möchten. Wie Sie Ihre Daten verschlüsseln können, zeigen wir Ihnen hier.

Risiko: Wenn Mitarbeitende mobil arbeiten und ihre Endgeräte über freie WLANs mit dem Internet verbinden, kann dies ebenfalls ein Gefahrenpotential für die Sicherheit Ihrer Cloud darstellen. Ein frei zugängliches WLAN kann manipuliert und durch Dritte überwacht sein. Wenn Ihre Cloud den Datenverkehr nicht verschlüsselt, können dann Daten von Fremden mitgelesen werden. Darunter fallen unter anderem auch Login-Daten.

Gegenmaßnahme: Wenn die Nutzung eines offenenWLAN notwendig ist, sollte man während der Verbindung einen Dienst für ein virtuelles privates Netzwerk, kurz VPN, nutzen. Durch einen VPN-Dienst kann der Datenverkehr zwischen dem eigenen Gerät und dem Cloud-Dienst (oder auch Webseiten) durch eine zusätzliche Verschlüsselungsschicht geschützt werden. Alternativ kann auch anstatt des freien WLAN über die mobilen Daten des Smartphones gesurft werden. Dazu unterstützen die meisten Smartphones die sogenannte „Hotspot”-Funktion, mit der Sie über ihre Mobilfunkverbindung ein privates WLAN für Ihren Laptop einrichten können.

Risiko:  Sind Smartphones oder Laptops nur mit kurzen PINs über die Bildschirmsperre geschützt, können Dritte relativ einfach Zugang zu den Geräten bekommen und folglich auch zu den Daten, die in der Cloud liegen.

Gegenmaßnahme: Auch Smartphones und Laptops sollten daher immer mit starken Zugangsdaten gesichert werden, z.B. sechs Zahlen als Mindestlänge der PIN oder durch ein Passwort. Zudem können Apps von Cloud-Anbietern auf Smartphones mit einem zusätzlichen PIN oder einem biometrischen Faktor, wie dem Fingerabdruck, abgesichert werden.

Risiko: Ihr Cloud-Anbieter hostet/lagert die Daten außerhalb des Geltungsbereichs der DSGVO – d.h. außerhalb der europäischen Union. Das stellt nach dem sogenannten Privacy Shield Urteil des Europäischen Gerichtshofs aus dem Jahr 2020 eine Verletzung des Datenschutzes dar und kann dementsprechend finanzielle Strafzahlungen mit sich bringen.

Gegenmaßnahme: Achten Sie deshalb bei der Wahl eines Cloud-Dienstes darauf, wo dieser Ihre Daten speichert. Setzen Sie möglichst auf einen Cloud-Service, der eine Auftragsverarbeitung nach Art. 28 der DSGVO erfüllt. Damit können Sie sicherstellen, dass in Sachen Datenschutz hohe Standards eingehalten werden. Wenn Sie über personenbezogene Daten verfügen, empfiehlt sich zusätzlich eine juristische Beratung darüber, ob und welche der Daten in einer Cloud gelagert werden dürfen und wie diese Lagerung zu erfolgen hat.