Cloud-Sicherheit für Unternehmen – Risiken und Schutzmaßnahmen

Inhalt in Kürze

• 86 % der deutschen Unternehmen nutzen Cloud-Dienste, doch nur wenige haben ihre Cloud-Sicherheit systematisch geprüft.
• Fehlkonfigurationen sind die häufigste Ursache für Cloud-Datenpannen – nicht Hackerangriffe.
• Art. 32 DSGVO fordert technische und organisatorische Maßnahmen für Vertraulichkeit, Integrität und Verfügbarkeit – auch in der Cloud.
• Die Verantwortung für den Datenschutz bleibt immer beim Unternehmen, nicht beim Cloud-Anbieter.

Microsoft 365, Google Workspace, Lexoffice, HubSpot – die meisten KMU arbeiten längst in der Cloud. Oft ohne es bewusst entschieden zu haben. Die Buchhaltung läuft über ein SaaS-Tool, die E-Mails über Exchange Online, die Dateien liegen auf SharePoint.

Das Problem: Viele Geschäftsführer gehen davon aus, dass Microsoft oder Google sich um die Sicherheit kümmern. Stimmt – aber nur für die Infrastruktur. Für Ihre Daten, Ihre Konfiguration und Ihre Zugriffsrechte sind Sie verantwortlich. Dieses Prinzip heißt Shared Responsibility Model. Und genau hier entstehen die meisten Cloud-Sicherheitsprobleme.

Cloud-Sicherheit im Unternehmen: Die größten Risiken

Fehlkonfigurationen

Die Nummer eins. Ein öffentlich zugänglicher Azure Blob Storage, eine SharePoint-Freigabe ohne Einschränkung, ein S3-Bucket ohne Zugriffskontrolle. 2022 standen durch eine einzige Fehlkonfiguration bei Microsoft 2,4 Terabyte Kundendaten offen im Internet – betroffen: über 65.000 Unternehmen.

Zu viele Berechtigungen

Neue Mitarbeiter bekommen Vollzugriff. Ehemalige behalten ihre Konten. Ohne Berechtigungskonzept nach dem Least-Privilege-Prinzip öffnen Sie die Tür für Datenverlust.

Schatten-IT

Mitarbeiter nutzen Dropbox, WhatsApp oder ChatGPT ohne Freigabe der IT. Ihre Daten landen auf Servern, von denen Sie nichts wissen – ohne Auftragsverarbeitungsvertrag, ohne Löschkonzept. Ohne eigenes IT-Team ist dieser Wildwuchs kaum zu kontrollieren – freigegebene Anwendungen und Geräte lassen sich aber über ein zentrales IT-Portal eindämmen.

Mangelnde Authentifizierung

Kein MFA auf Cloud-Konten ist wie eine offene Haustür. Laut BSI-Lagebericht 2025 nahmen Diebstähle von Zugangsdaten im Berichtszeitraum zu.

Was DSGVO und BDSG von Ihnen verlangen

Art. 32 DSGVO ist eindeutig: Sie müssen technische und organisatorische Maßnahmen treffen, die dem Risiko angemessen sind. Konkret:

• Vertraulichkeit – nur befugte Personen dürfen auf Daten zugreifen
• Integrität – Daten dürfen nicht unbemerkt verändert werden
• Verfügbarkeit – Systeme müssen zugänglich sein, wenn Sie sie brauchen
• Belastbarkeit – Systeme müssen auch unter Last stabil bleiben

Zusätzlich verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV) mit jedem Cloud-Anbieter, der personenbezogene Daten in Ihrem Auftrag verarbeitet. Ohne AVV ist die Cloud-Nutzung ein DSGVO-Verstoß – egal wie gut die Technik ist.

Das BDSG ergänzt die DSGVO um nationale Regelungen, etwa zur Bestellung eines Datenschutzbeauftragten ab 20 Personen, die in der Regel ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Auch Cloud-Arbeitsplätze zählen.

Aus der Praxis

Für jeden ist Datenschutz wichtig. Und für uns ist es wichtig, eine pragmatische Lösung zu finden, wie Unternehmen ihren Datenschutz umsetzen – ohne dabei den Geschäftsbetrieb einzustellen.

Nils OehmichenDatenschutzberater bei frag.hugo

Was Sie konkret tun sollten

1. Cloud-Inventur durchführen: Listen Sie alle Cloud-Dienste auf – auch die inoffiziellen. Prüfen Sie für jeden Dienst, ob ein AVV vorliegt.
2. MFA aktivieren: Für alle Cloud-Konten. Sofort. Ohne Ausnahme. Das ist die einzelne Maßnahme mit dem größten Schutzeffekt.
3. Berechtigungen prüfen: Wer hat Zugriff auf was? Least Privilege durchsetzen, Offboarding-Prozess einführen.
4. Cloud-Backup einrichten: Unabhängig vom Cloud-Anbieter. 3-2-1-Regel: drei Kopien, zwei Medien, eine extern.
5. Konfiguration härten: Conditional Access Policies, SPF/DKIM/DMARC für E-Mail, Freigabe-Einstellungen in SharePoint und OneDrive prüfen.
6. Mitarbeiter schulen: Security Awareness Training mit Phishing-Simulationen – die beste Konfiguration hilft nicht gegen einen Klick auf den falschen Link.

Häufige Fragen (FAQ)

Wer trägt die Verantwortung für Datenschutz in der Cloud?

Immer das Unternehmen selbst. Der Cloud-Anbieter sichert die Infrastruktur, aber für Konfiguration, Zugriffsrechte und den Schutz personenbezogener Daten sind Sie als Verantwortlicher nach Art. 24 DSGVO zuständig.

Brauche ich einen AVV mit meinem Cloud-Anbieter?

Ja. Art. 28 DSGVO verlangt einen Auftragsverarbeitungsvertrag mit jedem Dienstleister, der personenbezogene Daten in Ihrem Auftrag verarbeitet – auch mit Microsoft, Google oder Dropbox.

Reicht die Standardkonfiguration von Microsoft 365 für die DSGVO?

Nein. MFA ist nicht überall aktiv, Freigabe-Links sind oft zu großzügig, Conditional Access Policies fehlen. Eine professionelle Härtung ist für DSGVO-Konformität unverzichtbar.

Was kostet ein Cloud-Sicherheitscheck für KMU?

Für KMU mit 20 bis 100 Mitarbeitenden liegt eine Cloud-Sicherheitsanalyse inklusive M365-Review und AVV-Prüfung typischerweise bei 1.500 bis 3.000 Euro. Gemessen an einem durchschnittlichen Schaden von 200.000 Euro pro Cybervorfall eine überschaubare Investition.

Welche Cloud-Zertifizierungen sollte mein Anbieter haben?

Achten Sie auf ISO 27001, SOC 2 Type II und den C5-Katalog des BSI. Diese bestätigen angemessene Sicherheitsmaßnahmen – entbinden Sie aber nicht von Ihrer eigenen Verantwortung nach Art. 32 DSGVO.