Datenlecks bei Cloud-Diensten Ist die sichere Cloud nur ein Wunschbild?

Anbieter zum Thema

Insider Research

Hyland Software Germany GmbH

Cloudgermany.de GmbH

Viele Cloud-Nutzende versprechen sich eine höhere Sicherheit, wenn sie ihre Daten in die Cloud übertragen. Doch ist eine Cloud automatisch sicherer als die eigene IT? Aktuelle Datenpannen und IT-Sicherheitsvorfälle bei Cloud-Diensten zeigen, dass von „automatisch sicherer“ nicht die Rede sein kann. Wir betrachten den Fall von CloudNordic als Beispiel.

IT-Sicherheit ist einer der wichtigsten Gründe für Cloud Computing

Der Cloud-Report 2023 des IT-Branchenverbands Bitkom nennt als die wichtigsten Ziele bei Cloud-Aktivitäten die Reduzierung von Kosten (64 %) und die Reduzierung der CO2-Emissionen (63 %). Eine Mehrheit von je 57 Prozent will zudem IT-Anwendungen auf Plattformen und Software-as-a-Service umstellen sowie die IT-Sicherheit erhöhen.

Eine höhere Sicherheit bei Cloud-Nutzung scheint es auf den ersten Blick auch zu geben: So sagen in der Bitkom-Umfrage zwei Drittel (64 %) der Unternehmen, die Cloud Computing nutzen, dass sie in den vergangenen zwölf Monaten überhaupt keinen Cyberangriff auf die Cloud-Umgebung hatten. Ein Viertel (26 %) berichtet von Angriffen, wobei aber die eigenen Security-Maßnahmen gegriffen hätten. Nur ein Prozent wurde demnach Opfer eines Cyberangriffs auf die Cloud-Umgebung, der zu starken Störungen des Betriebsablaufs führte.

Schwerwiegende Cloud-Vorfälle scheinen also eher selten und die Cloud ein sicherer Ort zu sein. Doch ist das wirklich so? Oder wurden viele Cloud-Vorfälle nicht als solche erkannt.

Auch die Cloud ist anfällig für Attacken

Schaut man sich die aktuelle „Cost of a Data Breach“-Studie des Ponemon-Instituts und von IBM Security an, erfährt man, dass 82 Prozent der Verletzungen der Datensicherheit Daten betrafen, die in der Cloud gespeichert waren. Unternehmen müssten Lösungen wählen, die in hybriden Umgebungen Transparenz bieten und Daten schützen, während sie zwischen Clouds, Datenbanken, Apps und Diensten in Bewegung sind, so IBM.

Die 2023 Thales Global Cloud Security Study nennt ebenfalls Zahlen, die die Vorstellung einer sehr sicheren Cloud durchaus erschüttern können: Diese Studie ergab, dass mehr als ein Drittel (39 %) der Unternehmen im vergangenen Jahr einen Datenverstoß in ihrer Cloud-Umgebung erlebt haben, ein Anstieg gegenüber den 35 Prozent im Jahr 2022. Darüber hinaus wurde menschliches Versagen als Hauptursache für die Cloud-Vorfälle gesehen.

Wenn man bedenkt, dass menschliches Versagen sowohl in der Cloud als auch in der internen IT möglich ist, sollte man also besser nicht einfach von einer hohen Cloud-Sicherheit ausgehen. Genau wie in der internen IT muss man einiges tun für die Sicherheit in der Cloud, denn diese ist für Cyberangriffe durchaus anfällig.

Und wieder hat es eine Cloud „erwischt“

Es lohnt sich, dazu ein aktuelles Beispiel näher zu betrachten: In den letzten Wochen wurde eine Ransomware-Attacke auf den Cloud-Diensteanbieter CloudNordic bekannt: Der Angriff wurde zeitlich auf die Nacht vom Freitag, den 18.08.2023, um 04:00 Uhr zugeordnet. Ein Ransomware-Angriff legte dabei nach Aussage des betroffenen Cloud-Anbieters alle Systeme lahm, Websites, E-Mail-Systeme, Kundensysteme, Websites der Kunden.

„Ein Einbruch, der CloudNordic völlig lahmgelegt hat und der auch unsere Kunden hart trifft“, so ein übersetztes Statement des Cloud-Providers. Über das interne Netzwerk verschafften sich die Angreifer Zugang zu zentralen Verwaltungssystemen und den Backup-Systemen, so der betroffene Provider. Schließlich gelang es den Angreifern, sich über das Backup-System Zugriff zu verschaffen auf Daten, Replikations-Backupsystem und sekundäres Backup-System.

Den Angreifern gelang es demnach, die Festplatten aller Server sowie das primäre und sekundäre Backup-System zu verschlüsseln, wodurch alle Maschinen abstürzten und der Zugriff auf alle Daten verloren ging, wie CloudNordic erklärte.

Der Anbieter nimmt an, dass die Angreifenden die Daten zwar verschlüsseln, aber nicht einsehen konnten, also keine großen Datenmengen abgeflossen wären. Wie CloudNordic weiter ausführt, war man nicht bereit und auch nicht in der Lage, das Lösegeld für die kriminell verschlüsselten Daten zu bezahlen. Stattdessen versuchte man, sich einen Überblick über den Schaden zu verschaffen und suchte Möglichkeiten zur Wiederherstellung der Daten. Leider gelang die Wiederherstellung aber für viele der Daten nicht, so dass der Großteil der Kunden wohl alle Daten verloren hat, die bei CloudNordic gespeichert waren.

eBook zum Thema

Cloud Risk Management

Die Risiken, die bei dem Einsatz einer Cloud-Lösung bestehen, sind vielfältig: Von Datenverlust, unerlaubte Einsichten in sensible Daten bis hin zu Bedenken wegen Hardware-Schwachstellen. Viele Unternehmensbedrohungen gehen sogar über die klassischen IT-Risiken hinaus.
Highlights dieses eBooks:

• Welche Risiken für die Cloud es gibt
• Cloud-Risiko-Management als Teil der Compliance
• Wie sich Cloud-Risiken übergreifend managen lassen

Jetzt eBook „Cloud Risiko Management“ downloaden

Selbst Notfallkommunikation war nicht mehr möglich

„Wir sind zutiefst betroffen von der Situation und sind uns bewusst, dass der Angriff auch für viele unserer Kunden von großer Bedeutung ist. Zusätzlich zu den Daten haben wir auch alle unsere Systeme und Server verloren und hatten Schwierigkeiten bei der Kommunikation“, so die Übersetzung der Kundeninformation von CloudNordic. Man konnte dann die blanken Systeme ohne Daten wieder zum Laufen bringen, Nameserver, Webserver und Mailserver.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Cloud Computing

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Abonnieren

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Stand: 08.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu Marketingzwecken.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung.

Mittlerweile wurden die Blankosysteme wieder etabliert, wie Nameserver (ohne Daten), Webserver (ohne Daten) und Mailserver (ohne Daten). Hier sollen die Kunden dann die Möglichkeit erhalten, ihre Daten selbst wiederherzustellen. Dabei liegt die Betonung auf „selbst“.

Auf die interne IT kommt es (auch) an

Als Vorschläge zur Wiederherstellung der eigenen Websites nennt der Provider die Nutzung eigener lokaler Backups und auch Kopien von Wayback.

Erneut zeigt sich, wie wichtig auch die interne Datensicherheit und Datensicherung ist. Ebenso kann nicht oft genug auf das Prinzip der geteilten Verantwortung im Cloud Computing hingewiesen werden. Die eigenen Daten sollten also immer auch in eigener Verantwortung zusätzlich gesichert werden. Nur dann wird der Ausfall bei einem Cloud-Dienst nicht zum totalen Datenverlust für den Kunden.

Es zeigt sich: Die automatisch sichere Cloud gibt es nicht, und die sichere Cloud auch nur dann, wenn zusätzlich die interne IT-Sicherheit stimmt, insbesondere eigene Backups vorhanden sind.

(ID:49690708)