Eine Multi-Faktor-Authentifizierung (MFA) ist eines von vielen Werkzeugen, mit denen Sie die Zugriffe auf Ihre Cloud-Umgebungen absichern können. Eine MFA verringert das Risiko unerlaubter Zugriffe auf Unternehmenskonten enorm. Selbst bei bereits kompromittierten Zugangsdaten sinkt dank der zusätzlichen Authentifizierung die Wahrscheinlichkeit eines erfolgreichen Angriffs.
Hier lesen Sie, wie Sie den Zugriff auf Ihre Cloud-Ressourcen effektiv absichern und welche Implementierungsarten es für den Schutz gibt. Damit schließen Sie eines der wichtigsten Einfallstore für Cyberangriffe.
Das Wichtigste zum Absichern von Cloud-Zugriffen in Kürze
Multi-Faktor-Authentifizierung schützt Cloud-Konten vor unbefugten Zugriffen.
Privilegierte Konten benötigen besondere Schutzmaßnahmen wie Privileged Access Management (PAM) und zeitlich begrenzte Berechtigungen.
Das Least-Privilege-Prinzip reduziert die Angriffsfläche durch gezielt vergebene Zugriffsrechte
Regelmäßige Reviews stellen sicher, dass Cloud-Berechtigungen dauerhaft angemessen und sicher bleiben.
Vodafone Business Security Services
Unsere Expert:innen überwachen Ihre Sicherheit. Und sie übernehmen das Management Ihrer Vodafone Security-Lösung: Von der Ersteinrichtung bis zum Betrieb und der Wartung unterstützen wir Sie.
Implementieren Sie eine Multi-Faktor-Authentifizierung
Die systematische Multi-Faktor-Authentifizierung (MFA) ist eine zentrale Maßnahme, um Ihre Cloud-Anwendungen vor unbefugten Zugriffen zu schützen. Hier gibt es für optimalen Schutz einige Punkte zu beachten.
Führen Sie MFA für alle Cloud-Konten ein
Aktivieren Sie MFA systematisch in Ihrer gesamten Cloud-Umgebung.
1. Priorisieren Sie die Einführung nach Risikopotenzial:
Prio 1: Administrative Konten und Dienstkonten mit erweiterten Rechten
Prio 2: Konten mit Zugriff auf sensible Daten
Prio 3: Standardbenutzerkonten
Prio 4: Externe Partnerkonten mit Zugriff auf Ihre Cloud-Umgebung
2. Setzen Sie auf folgende MFA-Methoden (absteigend nach Sicherheit geordnet):
Passkeys und FIDO2-basierte Hardware-Keys gelten als besonders sicher, weil sie gegen klassische Phishing-Angriffe resistent sind. Für privilegierte Konten, Administrator:innen und besonders schützenswerte Anwendungen sind sie eine sehr gute Wahl. Manche Hardware-Token zeigen ein Einmal-Passwort auf einem Display an. Andere identifizieren per Fingerabdruck, ob sie von einer berechtigten Person verwendet werden.
Authenticator-Apps wie Microsoft Authenticator und Google Authenticator generieren ein zeitbasiertes Einmalpasswort, das z.B. auf einem Smartphone erzeugt und für das Log-in bereitgestellt wird.
SMS- oder E-Mail-basierte Einmalcodes sind eine Minimallösung, weil SMS und E-Mails mitgelesen werden können. Verwenden Sie diese also nur, wenn andere Methoden nicht anwendbar sind.
3. Nutzen Sie MFA für verschiedene Zugriffsszenarien:
Konsolen-Log-in bei Cloud-Anbietern
API-Zugriff und Software Development Kits für den Zugang zu Entwicklungsressourcen durch Dritte
Stärken Sie den Zugriffsschutz durch kontextbasierte Authentifizierung (Conditional Access). Hierbei ergänzen Sie eine vorhandene MFA um kontextbezogene Prüfkriterien wie Gerätestatus, Standort, Netzwerkbedingungen oder typisches Benutzerverhalten.
Microsoft Entra ID (ehemals Azure AD) stellt dafür Funktionen bereit, mit denen Sie Zugriffsrichtlinien präzise steuern können. Solche Richtlinien sollten Sie z.B. für den Zugriff auf sensible Daten implementieren: Er darf nur von verwalteten Unternehmensgeräten und ausschließlich aus definierten Netzwerken oder vertrauenswürdigen Ländern erfolgen.
Sichern Sie privilegierte Konten gesondert ab
Administrative Konten mit weitreichenden Berechtigungen erfordern besonderen Schutz. Diesen können Sie mit sogenannten PAM-Tools (Privileged Access Management) einrichten:
Microsoft Entra Privileged Identity Management:
Für Microsoft-Cloud-Umgebungen empfohlen. Diese Lösung ist direkt in Azure integriert und erlaubt die automatische Zuweisung von Rollen nach Bedarf. Sie können genau nachverfolgen, wer (wann) welche Rechte hat, und zusätzliche Sicherheitsmaßnahmen wie MFA verpflichtend machen.
CyberArk Privileged Access Manager:
Geeignet für komplexe oder hybride Infrastrukturen. CyberArk speichert sensible Zugangsdaten sicher in einem digitalen Tresor, zeichnet administrative Sitzungen auf und erkennt verdächtige Aktivitäten automatisch. Auch der sichere Zugriff über Secure Shell (SSH) lässt sich zentral steuern und absichern.
BeyondTrust Privileged Remote Access:
Praktisch für Unternehmen mit externen Partnern oder verteilten Teams. BeyondTrust ermöglicht einen sicheren Fernzugriff ohne VPN, bietet eine feingranulare Rechtevergabe und überwacht alle Aktivitäten in Echtzeit.
So gehen Sie bei der Absicherung privilegierter Konten vor:
1. Richten Sie PAM für Cloud-Administrator:innen ein:
Just-in-Time-Zugriff mit zeitlich begrenzten Berechtigungen
Separate Konten für alltägliche und administrative Aufgaben
Netzwerksegmentierung für Administratorzugriff
3. Setzen Sie für privilegierte Konten erhöhte Sicherheitsstandards durch:
Obligatorische Hardware-Sicherheitsschlüssel wie FIDO2
Komplexere Passwortrichtlinien
Kürzere Sitzungsdauern
Strengere Überwachung auf verdächtige Aktivitäten
Schützen Sie API-Schlüssel und Dienstkonten
Häufig liegt der Fokus auf Benutzerkonten für Cloud-Anwendungen. Dabei sind API-Schlüssel für die sichere Kommunikation zwischen Anwendungen und der Cloud sowie Dienstkonten oft noch kritischer. Ergreifen Sie daher folgende Maßnahmen:
1. Verwalten Sie API-Schlüssel mit klaren Sicherheitsregeln:
Begrenzen Sie die Gültigkeitsdauer (keine dauerhaften Schlüssel)
Implementieren Sie eine automatische Rotation der Schlüssel
Beschränken Sie Zugriffsrechte auf das notwendige Minimum
Überwachen Sie die Nutzung auf Anomalien
2. Sichern Sie Dienstkonten und Anwendungsidentitäten ab:
Verwenden Sie verwaltete Identitäten (z.B. Managed Identities in Azure oder IAM Roles in Amazon Web Services) anstelle fest hinterlegter Zugangsdaten.
Richten Sie IP-basierte Zugriffsbeschränkungen ein, um den Zugriff auf definierte Netzwerkbereiche zu begrenzen.
Aktivieren Sie eine detaillierte Protokollierung der Zugriffe.
Führen Sie regelmäßige Überprüfungen durch.
3. Nutzen Sie Secrets-Management-Lösungen:
Zentralisieren Sie die Speicherung sensibler Daten in einem dedizierten Datenspeicher (Vault).
Automatisieren Sie die Rotation von Passwörtern, Tokens und Zertifikaten.
Überwachen Sie Zugriffe auf gespeicherte Firmengeheimnisse, um Missbrauch frühzeitig zu erkennen.
Folgende Tools können Sie bei diesen Aufgaben unterstützen:
Azure Key Vault oder AWS Secrets Manager für die cloudnative, sichere Speicherung von Geheimnissen
HashiCorp Vault für plattformübergreifendes, flexibles Secrets-Management mit starker Zugriffskontrolle
CyberArk Secrets Manager für die sichere Verwaltung von Anwendungsidentitäten und dynamischen Zugriffstoken
Richten Sie eine rollenbasierte Zugriffskontrolle ein
Mit rollenbasierter Zugriffskontrolle (Role-based Access Control) können Sie das Prinzip der geringstmöglichen Privilegien in der Cloud durchsetzen und so Berechtigungen effektiv begrenzen.
Entwerfen Sie ein RBAC-Modell für Ihre Cloud-Umgebung
Ein durchdachtes RBAC-Modell bildet die Grundlage für eine effektive Zugriffssteuerung.
1. Analysieren Sie Ihre organisatorischen Anforderungen:
Identifizieren Sie verschiedene Nutzergruppen und ihre Aufgaben. Leiten Sie daraus deren Bedarf an Zugriffsrechten ab.
Berücksichtigen Sie Compliance-Anforderungen (z.B. Funktionstrennung).
Beachten Sie organisatorische Strukturen (Abteilungen, Teams).
2. Definieren Sie ein Rollenmodell nach folgenden Prinzipien:
3. Entwickeln Sie ein RBAC-Modell, das folgende Aspekte berücksichtigt:
Vordefinierte versus benutzerdefinierte Rollen
Granularität der Berechtigungen
Rollenzuweisungsstrategien, z.B. über Gruppenmitgliedschaften (via Entra ID, IAM Groups, Google Workspace), automatisierte Workflows oder Approval-Prozesse
Eskalationspfade für temporäre Rechteerweiterung mit Just-in-Time-Freigabe, Genehmigung und automatischer Rücknahme
Setzen Sie Least-Privilege-Zugriffskontrollen konsequent um
Reduzieren Sie die Angriffsfläche Ihrer Cloud-Infrastruktur, indem Sie ausschließlich die Zugriffsrechte gewähren, die für die jeweilige Aufgabe erforderlich sind. Damit folgen Sie dem Least-Privilege-Prinzip.
Konfigurieren Sie Zugriffsrechte für verschiedene Cloud-Ressourcen:
Nutzen Sie anbieterspezifische RBAC-Frameworks für rollenbasierten Zugriff. Hier unterteilen Sie Nutzer:innen in Klassen und weisen ihnen vorgefertigte Rechte zu.
Microsoft Azure:
Implementieren Sie Azure RBAC auf verschiedenen Ebenen (Management Group, Subscription, Resource Group, Resource).
Kombinieren Sie eingebaute und benutzerdefinierte Rollen.
Erwägen Sie Azure Policy für zusätzliche Kontrollen, z.B. um Verstöße gegen Sicherheitsrichtlinien automatisch zu blockieren oder zu protokollieren, etwa bei zu umfangreichen Rechten oder fehlenden Tags.
Amazon Web Services:
Verwenden Sie Richtlinien für den identitätsbasierten Zugriff (Identity and Access Management, IAM) und SCPs (Service Control Policies) für die Konfiguration der IAM-Richtlinien.
Setzen Sie Berechtigungsgrenzen für Entwickler-Accounts.
Wenden Sie Resource-based Policies auf Services wie S3 (Datenspeicher), Lambda (Datenverarbeitung) und Simple Notification Service (Benachrichtigungsdienst) an, um Zugriffsrechte direkt an Ressourcen zu binden.
Google Cloud Platform:
Richten Sie IAM-Richtlinien auf verschiedenen Hierarchieebenen ein.
Legen Sie benutzerdefinierte Rollen an (Custom Roles), um überflüssige Standardrechte zu vermeiden und nur benötigte Aktionen freizugeben.
Aktivieren Sie VPC Service Controls (kontextbezogener Zugriff), um das Abfangen von Daten (Exfiltration) zu verhindern.
Praxis-Hinweis: Zuordnungsmatrix
Visualisieren Sie Ihr RBAC-Modell mit einer übersichtlichen Zuordnungsmatrix oder einem strukturierten Zugriffsdiagramm. Stellen Sie darin eindeutig dar, welche Rollen auf welche Ressourcen mit welchen Berechtigungen zugreifen.
Ein solches Diagramm erleichtert die Kommunikation mit Stakeholder:innen und dient darüber hinaus als Referenz bei Genehmigungsanfragen und Compliance-Überprüfungen. Nutzen Sie hierfür Tools wie Microsoft Visio oder Lucidchart mit spezifischen RBAC-Vorlagen, die eine einfache Aktualisierung und Versionierung ermöglichen.
Ergänzen Sie RBAC durch dynamische und kontextbezogene Zugriffskontrollen:
Attributbasierte Zugriffskontrollen (Attribute-based Access Control, ABAC) für die Steuerung von Zugriffen anhand von Benutzer- oder Ressourcenattributen – etwa Abteilung, Projekt oder Umgebung
Ressourcen-Tags, um Berechtigungen dynamisch zu definieren, z.B. „Environment: Production“ oder „Owner: DevTeamA“
Folgende Plattformen unterstützen Sie bei der kontinuierlichen Kontrolle und Analyse Ihrer Cloud-Zugriffsmodelle:
Cloud Security von Check Point identifiziert Fehlkonfigurationen und überprivilegierte Identitäten und hilft bei der Durchsetzung von Least-Privilege-Prinzipien.
Prisma Cloud von Palo Alto Networks scannt IAM-Konfigurationen, analysiert effektive Berechtigungen und warnt bei Verstößen gegen Richtlinien.
Wiz.io bietet vollständige Transparenz über IAM-Risiken, kombiniert Kontextinformationen wie Netzwerkpfade und Schwachstellen und empfiehlt gezielte Berechtigungsanpassungen.
Kontrollieren Sie DevOps-Zugriffe
In DevOps-Umgebungen, die für die reibungslose Zusammenarbeit zwischen Entwicklungs- und Betriebsteams sorgen sollen, ist die Balance von Sicherheit und Agilität bzw. Flexibilität ein zentrales Thema.
1. Etablieren Sie sichere sogenannte CI/CD-Pipeline-Zugriffskontrollen beim automatischen Testen und bei der Bereitstellung – z.B. durch:
Trennung von Entwicklungs-, Test- und Produktionsumgebungen durch separate Cloud-Konten, Subscriptions oder Projekte
Rollenbasierte Zugriffsrechte für Pipeline-Komponenten
Automatisierte Sicherheitsvalidierungen bei Deployments durch Policy-Checks oder Secrets-Scanning
2. Implementieren Sie IaC-Governance (Infrastructure-as-Code):
Code-Reviews für Infrastrukturänderungen
Automatisierte Sicherheits-Scans für IaC-Templates
Templatebasierte Bereitstellung mit vorvalidierter Konfiguration
3. Verwenden Sie temporäre Anmeldeinformationen für CI/CD-Prozesse:
Einmalpasswörter für Pipeline-Ausführungen
Zeitlich begrenzte Zugriffstoken
Automatische Rotation von Zugangsdaten
Folgende Tools können diese Aufgaben übernehmen:
HashiCorp Terraform mit Sentinel: Policy-as-Code zur Durchsetzung von Sicherheits- und Governance-Vorgaben bei IaC
Bridgecrew Checkov oder Snyk IaC: Statische Code-Analyse für Terraform, AWS CloudFormation, Kubernetes-Manifeste und weitere Formate
AWS CDK oder Azure Bicep: Moderne IaC-Sprachen mit integrierten Validierungsmechanismen, Lintern und Rollensteuerung
Unsere Expert:innen überwachen Ihre Sicherheit. Und sie übernehmen das Management Ihrer Vodafone Security-Lösung: Von der Ersteinrichtung bis zum Betrieb und der Wartung unterstützen wir Sie.
Überprüfen Sie regelmäßig die Zugriffsrechte auf Ihre Cloud
Nur ein konsequenter Review-Prozess stellt sicher, dass Ihre Zugriffskontrollen dauerhaft wirksam bleiben. Lassen Sie übergeordnet das Prinzip der geringsten Privilegien (Least Privilege) gelten.
Integrieren Sie ein systematisches Zugriffsrechte-Review
Führen Sie einen strukturierten Prozess für regelmäßige Überprüfungen ein.
1. Definieren Sie Überprüfungszyklen basierend auf dem erwartbaren Risiko (hier beispielhaft):
Hochprivilegierte Konten: monatlich
Standardbenutzerkonten: vierteljährlich
Dienstkonten und API-Schlüssel: monatlich
Temporäre Zugriffsrechte: unmittelbar nach Ablauf der Notwendigkeit
2. Bestimmen Sie klare Verantwortlichkeiten für Reviews:
Resource Owner, also Personen mit Kontrolle über bestimmte Ressourcen wie Daten oder Dienste, für die fachliche Bewertung
Security Operations (als Team oder als Einzelverantwortung) für die technische Bewertung
Compliance-Abteilung für die regulatorische Bewertung
3. Implementieren Sie einen mehrstufigen Review-Prozess:
Manager-Review (Bestätigung der geschäftlichen Notwendigkeit)
Sicherheits-Review (Überprüfung auf Sicherheitsrisiken)
Dokumentation und Nachverfolgung von Änderungen
Whitepaper: Cloud Security
Cloud Security ist eine relativ neue und zentrale Disziplin der IT-Sicherheit – und unerlässlich für die erfolgreiche Nutzung von Cloud-Anwendungen. Sie erhalten in unserem Whitepaper Cloud Security komprimiertes Wissen rund um das Thema Sicherheit in der Datenwolke.
Unser Fazit: Nutzen Sie gezielte Maßnahmen zur Cloud-Absicherung
Sie wissen jetzt, wie Sie den Zugriff auf Ihre Cloud-Ressourcen gezielt absichern. Mit Multi-Faktor-Authentifizierung, rollenbasiertem Zugriff und regelmäßigen Überprüfungen verhindern Sie unberechtigte Zugriffe und stärken Ihre Sicherheitsbasis. Wenn Sie mehr über Cloud-Security wissen wollen, kontaktieren Sie unsere Sicherheitsexpert:innen.
Cloud-Zugriffe absichern: Häufig gestellte Fragen (FAQ)
Die Multi-Faktor-Authentifizierung (MFA) schützt Cloud-Konten zusätzlich zum Passwort, z.B. mit Einmal-Codes. So werden unbefugte Zugriffe noch schwieriger. Unternehmen sollten MFA für alle Cloud-Konten aktivieren. Priorisieren Sie dabei administrative Konten, Dienstkonten und Zugänge zu sensiblen Daten.
Für administrative Konten mit weitreichenden Berechtigungen empfiehlt sich der Einsatz von Privileged Access Management (PAM). Unternehmen können damit unter anderem zeitlich begrenzte Berechtigungen, das Vieraugenprinzip für kritische Aktionen sowie die Aufzeichnung und Überwachung von Sitzungen umsetzen.
Beim Least-Privilege-Prinzip erhalten Nutzer:innen und Anwendungen ausschließlich die Zugriffsrechte, die sie für ihre jeweiligen Aufgaben benötigen. Rollenbasierte Zugriffskontrollen wie Azure RBAC, AWS IAM oder Google Cloud IAM helfen dabei, Berechtigungen gezielt zu vergeben und die Angriffsfläche zu reduzieren.
Unternehmen sollten regelmäßige Reviews der Zugriffsrechte durchführen und die Häufigkeit dieser Reviews am jeweiligen Risiko ausrichten. Für hochprivilegierte Konten sowie Dienstkonten und API-Schlüssel empfiehlt sich beispielsweise eine monatliche Überprüfung, während Standardbenutzerkonten vierteljährlich kontrolliert werden können.
Phishing-Attacken werden immer raffinierter: Cyberkriminelle tarnen ihre Angriffe, nutzen künstliche Intelligenz und setzen auf Massen-Mailings, um Opfer zu finden. Wie Sie Ihr Unternehmen und Ihre Mitarbeitenden wirksam schützen und was Sie bei einem Angriff tun solten, erfahren Sie hier.
Erfahren Sie hier, wie Endpoint Security Solutions funktionieren und wie sie Ihr Unternehmen vor Cyberangriffen schützen. Lesen Sie außerdem, was Sie bei der Auswahl einer Endpoint-Security-Lösung beachten sollten und wie Sie sie am besten in Ihrer Firma einführen.
Eine Business Continuity Software digitalisiert Notfallpläne, Risikoanalysen und Krisenalarmierung. Erfahren Sie, welche Module wichtig sind, wie Sie den passenden Anbieter auswählen und wie die Norm ISO 22301 und der BSI-Standard 200-4 Ihr Unternehmen technisch absichern.
Malware auf dem iPhone ist zwar selten, Vorsicht ist aber dennoch geboten: Phishing, unsichere App-Quellen und manipulierte Profile gefährden auch iOS-Geräte. Erfahren Sie, wie Sie Warnsignale erkennen, Schadsoftware entfernen und iPhones im Unternehmen zentral schützen.
Ein Computervirus kann Daten, IT-Systeme und laufende Geschäftsprozesse gefährden. Hier lesen Sie, wie Sie Infektionen erkennen, Schadsoftware entfernen und Ihre Unternehmenssysteme mit Endpoint Security, Updates, Back-ups und geschulten Mitarbeitenden schützen.
