Daten in die Cloud migriert — Was müssen wir jetzt noch für die Cloud-Sicherheit tun?

Beim Shared-Responsibility-Modell ist die Trennlinie glasklar: Für die Sicherheit DER Cloud haftet der Provider, für die Sicherheit IN DER Cloud Sie. Prüfen Sie umgehend Ihre Sicherheitsgruppen: Ports wie 22 (SSH) und 3389 (RDP) dürfen niemals für alle IP-Adressen (0.0.0.0/0) offen sein. Nur die feste IP Ihres Firmenbüros freigeben und den Zugriff auf die Verwaltungsoberfläche ohne VPN komplett sperren.

Zwei Monate nach unserer Migration wurde die Firmen-Mail eines Mitarbeiters per Phishing gekapert. Weil 2FA nicht aktiv war, kam der Angreifer in die Cloud-Konsole und hat das Datenbank-Backup gelöscht. Der Provider meinte völlig zu Recht: 'Der Login erfolgte mit gültigem Benutzernamen und Passwort'. Wir mussten am Ende 80 bin TL Lösegeld zahlen.

Dass die Geschäftsführung das Security-Budget kürzen will, ist eine absolute Katastrophe mit Ansage. Das ist, als würde man ein Luxus-Apartment mit Sicherheitstür mieten und dann die Tür sperrangelweit offen stehen lassen. Wenn dann eingebrochen wird, kann man auch nicht dem Sicherheitsdienst des Gebäudes die Schuld geben.

Zwei Dinge, die Sie direkt morgen früh erledigen sollten: 1) Gehen Sie in die Management-Konsole und machen Sie App-basierte 2FA (keine SMS!) für alle User zur Pflicht. 2) Löschen Sie sofort alle verwaisten Test-Accounts und alten API-Keys von externen Dienstleistern.

Cloud-Anbieter schützen die Datenintegrität gegen Hardwareausfälle. Wenn aber jemand von intern versehentlich oder absichtlich eine Kundentabelle löscht, gilt das für das System nicht als Cyberangriff, sondern als legitimer Befehl. Deshalb ist auch in der Cloud eine unveränderbare Backup-Strategie Pflicht, am besten auf einem komplett getrennten Account.

checkt unbedingt eure storage buckets, daran verbrennen sich firmen am meisten aber beim testen wirds kurz auf public gestellt und zack sind alle kundendaten bei google indexiert.

Wenn Sie Großhandel und Händlernetze betreiben, bleiben Sie im Sinne des KVKK weiterhin vollumfänglich als Datenverantwortlicher in der Pflicht. Die Tatsache, dass Daten in der Cloud liegen, entbindet Sie nicht von Ihren gesetzlichen Verpflichtungen. Sie müssen gewährleisten, dass Zugriffsprotokolle mindestens zwei Jahre rückwirkend revisionssicher und mit Zeitstempel archiviert werden.

Du hast recht.

So klar geschriebene Texte sind selten.

Ich möchte etwas fragen. Das allein zu versuchen ist der teuerste Weg.

Ich hoffe, das hilft dir weiter.

gut gemacht. schreibe bei Entscheidungen auch das Worst-Case-Szenario auf nicht nur das Beste.

an deiner Stlle würde ich so vorgehen.

Da ist mir noch ein Punkt unklar. Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

Aus Erfahrung weiß ich das.

Das habe ich auch erlebt.

Das hier Beschriebene ist genau das, was wir erlebt haben. Je schwerer es ist eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Richtig. Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Dieser Ansatz hat seinen Preis, der aber nicht thematisiert wird. Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Da stimme ich zu. Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Die meisten Vorfälle beginnen nicht mit einer Schwachstelle sondern mit einem geleakten Passwort. halt korrigiert mich falls ich falsch liege.

Gut gemacht. Wenn du zu einem Thema drei verschiedene Antworten bekommst war die Frage falsch gestellt.