Pressemitteilung von SEPPmail Deutschland GmbH

Cloud-Sicherheit endet nicht beim Provider

---

---

Kommentar von Günter Esch, Geschäftsführer SEPPmail – Deutschland GmbH

Cloud-Dienste haben den IT-Betrieb grundlegend verändert. Unternehmen müssen keine eigene Hardware mehr beschaffen. Updates, Verfügbarkeit und Skalierung liegen weitgehend beim Anbieter. Das ist bequem. Es ist aber kein Freibrief.

Ein Cloud-Provider schützt seine Plattform. Er kann jedoch nicht entscheiden, welche Nachricht vertraulich ist. Er kennt nicht jeden Geschäftsprozess. Und er weiß nicht, ob ein Empfänger sensible Informationen erhalten darf. Diese Entscheidungen bleiben Aufgabe des Unternehmens.

Der Provider schützt die Plattform, nicht den Geschäftsprozess

Die Rechenzentren großer Cloud-Anbieter verfügen meist über ein hohes Sicherheitsniveau. Das allein macht die Kommunikation jedoch nicht automatisch sicher. Viele Sicherheitsvorfälle entstehen nicht durch einen Angriff auf das Rechenzentrum. Sie entstehen durch kompromittierte Konten, falsche Berechtigungen oder Fehlkonfigurationen.

Der Provider kann technische Funktionen bereitstellen. Das Unternehmen muss sie jedoch passend konfigurieren und kontrollieren. Hierzu gehören klare Rollen, sichere Anmeldeverfahren und begrenzte Zugriffsrechte. Auch Protokollierung und regelmäßige Prüfungen sind nötig. Ohne diese Maßnahmen bleibt selbst eine leistungsfähige Cloud-Umgebung angreifbar.

E-Mail ist mehr als ein Postfach

Bei der Absicherung von Cloud-Diensten konzentrieren sich viele Verantwortliche auf Benutzerkonten und gespeicherte Daten. Dabei wird ein wichtiger Bereich oft übersehen: der Weg der Informationen aus dem Unternehmen heraus. E-Mails verbinden interne Systeme mit Kunden, Lieferanten, Behörden und Partnern. Sobald eine Nachricht das eigene System verlässt, beginnt ein neuer Datenfluss.

Transportverschlüsselung schützt dabei nur einzelne Übertragungswege. Sie garantiert nicht, dass eine Nachricht bis zum vorgesehenen Empfänger vertraulich bleibt. Gerade sensible Inhalte brauchen deshalb einen weitergehenden Schutz – und zwar in drei Dimensionen: Vertraulichkeit, damit nur der richtige Empfänger eine Nachricht lesen kann; Empfängerauthentifizierung, damit dieser Empfänger auch eindeutig erkannt wird; und Authentizität, damit die Echtheit des Absenders überprüfbar bleibt. Diese Regeln kann kein Cloud-Anbieter pauschal vorgeben.

Cloud und Zusatzschutz sind kein Widerspruch

Die Cloud muss nicht weniger sicher sein als eine lokale Infrastruktur. Oft bietet sie sogar bessere Voraussetzungen für einen stabilen Betrieb. Wichtig ist dabei jedoch, wie Unternehmen die vorhandenen Dienste ergänzen. Standardfunktionen für Spam- und Virenschutz reichen für vertrauliche Geschäftskommunikation häufig nicht aus. Verschlüsselung, digitale Signaturen und verbindliche Versandregeln müssen Teil der Sicherheitsarchitektur sein. Auch diese Maßnahmen lassen sich über ein zentrales Secure E-Mail Gateway in Cloud-Umgebungen umsetzen: Richtlinien werden einmal definiert und automatisch angewendet, ohne dass Anwender zusätzliche Schritte ausführen müssen.

Verantwortung lässt sich nicht auslagern

Cloud-Anbieter übernehmen wichtige Aufgaben. Sie betreiben die Infrastruktur, installieren Updates und sorgen für Verfügbarkeit. In der Cloud-Sicherheit ist dieses Prinzip als Shared-Responsibility-Modell bekannt: Der Anbieter sichert die Plattform, das Unternehmen sichert, wie es die Plattform nutzt. Wo genau diese Grenze verläuft, wird jedoch häufig unterschätzt – gerade bei E-Mail, wo Verschlüsselung, Signatur und Versandregeln fast immer in der Verantwortung des Kunden liegen, nicht des Anbieters.

Denn sichere Kommunikation verlangt mehr. Sie braucht kontrollierte Datenflüsse, belastbare Identitäten und klare Regeln für Verschlüsselung und Signatur. Die Cloud kann dabei ein wichtiger Bestandteil sein, jedoch nie die gesamte Sicherheitsstrategie.

(Die Bildrechte liegen bei dem Verfasser der Mitteilung.) Firmen- & Pressekontakt