Cloud-Sicherheit & ISO 27001: So schützen Dresdner Tech-Unternehmen ihre Innovationen

Dresden, oft als „Silicon Saxony“ bezeichnet, beheimatet eine lebendige Szene von Start-ups, Softwareentwicklern und High-Tech-Firmen. Viele dieser agilen Unternehmen verzichten komplett auf eigene Serverräume und setzen auf Cloud-Infrastrukturen (AWS, Azure, Microsoft 365). Doch „Cloud“ bedeutet nicht automatisch „Sicher“.

Das Prinzip der geteilten Verantwortung (Shared Responsibility)

Ein gefährlicher Irrglaube ist, dass der Cloud-Provider sich um alles kümmert. Microsoft oder Amazon sichern zwar die physischen Rechenzentren und die Hardware ab, aber für die Daten, die Zugriffsrechte und die Konfiguration der Cloud-Dienste sind Sie als Unternehmen selbst verantwortlich.

ISO 27001 in der Cloud-Umgebung

Wie schützt ein Software-Unternehmen seine Quellcodes (IP) oder Kundendaten in der Cloud? Eine Zertifizierung nach ISO 27001 liefert genau dafür den Rahmen. Ein auf Cloud-Sicherheit spezialisierter Informationssicherheitsbeauftragter (ISB) fokussiert sich auf folgende Kernbereiche:

Identity and Access Management (IAM): Strikte Umsetzung des „Need-to-Know“-Prinzips und zwingender Einsatz von Multi-Faktor-Authentifizierung (MFA).
Datenverschlüsselung: Klassifizierung von Daten und Sicherstellung, dass sensible Informationen „at rest“ und „in transit“ verschlüsselt sind.
Sichere Softwareentwicklung (DevSecOps): Integration von Sicherheitsprüfungen (Code-Audits, Pentests) direkt in den Entwicklungsprozess, lange bevor ein Produkt auf den Markt kommt.

Für Tech-Start-ups in Dresden ist die ISO 27001 nicht nur ein Sicherheitstool, sondern oft die Grundvoraussetzung, um überhaupt Aufträge von Großkonzernen (z.B. aus der Automobil- oder Halbleiterindustrie) zu erhalten.

Cloud-Sicherheitsarchitektur: Die Grundlagen

Eine robuste Cloud-Sicherheitsarchitektur basiert auf mehreren Schichten, die zusammen einen vollständigen Schutz gewährleisten. Für Dresdner Tech-Unternehmen, die häufig mit sensiblen Kundendaten und wertvollem geistigen Eigentum arbeiten, ist ein strukturierter Ansatz wichtig.

Zero-Trust-Architektur in der Cloud

Das Zero-Trust-Prinzip geht davon aus, dass kein Benutzer, Gerät oder Netzwerk automatisch vertrauenswürdig ist — auch nicht innerhalb des eigenen Firmennetzwerks. Jeder Zugriff wird überprüft, authentifiziert und autorisiert. In Cloud-Umgebungen bedeutet das:

Mikrosegmentierung: Netzwerke werden in kleinste Segmente unterteilt, sodass ein kompromittierter Bereich nicht automatisch Zugang zu anderen Bereichen gewährt.
Least-Privilege-Zugriff: Jeder Benutzer und jede Anwendung erhält nur die minimal notwendigen Berechtigungen.
Kontinuierliche Verifizierung: Zugriffsberechtigungen werden nicht einmalig, sondern bei jeder Anfrage erneut geprüft.
Verschlüsselung aller Datenströme: Auch interne Kommunikation zwischen Cloud-Diensten wird verschlüsselt.

Das Shared Responsibility Model im Detail

Das Modell der geteilten Verantwortung ist das fundamentale Sicherheitsprinzip in der Cloud. Die genaue Aufteilung der Verantwortlichkeiten variiert je nach Cloud-Service-Modell:

Infrastructure as a Service (IaaS)

Bei IaaS-Diensten wie AWS EC2 oder Azure Virtual Machines ist der Cloud-Provider für die physische Infrastruktur verantwortlich — Rechenzentren, Netzwerkhardware, Stromversorgung und Kühlung. Das Unternehmen trägt die volle Verantwortung für Betriebssysteme, Anwendungen, Daten, Netzwerkkonfiguration und Zugriffsmanagement.

Platform as a Service (PaaS)

Bei PaaS-Angeboten wie Azure App Service oder AWS Elastic Beanstalk übernimmt der Provider zusätzlich die Verwaltung des Betriebssystems und der Laufzeitumgebung. Das Unternehmen bleibt verantwortlich für die Anwendungssicherheit, die Datenverschlüsselung und das Identitätsmanagement.

Software as a Service (SaaS)

Bei SaaS-Diensten wie Microsoft 365 oder Salesforce liegt die Infrastruktur- und Anwendungsverantwortung beim Provider. Das Unternehmen muss jedoch weiterhin die Zugriffskontrolle, die Datenkonfiguration, die Freigabeeinstellungen und die Compliance sicherstellen. Gerade bei Microsoft 365 unterschätzen viele Unternehmen in Sachsen die eigene Verantwortung für Backup, Retention Policies und Conditional Access.

ISO 27017 und ISO 27018: Cloud-spezifische Sicherheitsnormen

Ergänzend zur ISO 27001 existieren zwei Cloud-spezifische Normen, die für Tech-Unternehmen besonders relevant sind:

ISO 27017 — Informationssicherheit in Cloud-Diensten

Die ISO 27017 erweitert die Maßnahmen der ISO 27001 um Cloud-spezifische Kontrollen. Sie definiert zusätzliche Verantwortlichkeiten für Cloud-Provider und Cloud-Kunden und behandelt Themen wie die Trennung virtueller Umgebungen, die sichere Löschung von Daten in Multi-Tenant-Umgebungen und die Transparenz von Sicherheitsprozessen des Providers.

ISO 27018 — Schutz personenbezogener Daten in der Cloud

Die ISO 27018 adressiert den Datenschutz in Cloud-Umgebungen und ist besonders für Unternehmen relevant, die personenbezogene Daten in der Cloud verarbeiten. Die Norm stellt sicher, dass Cloud-Provider als Auftragsverarbeiter die Anforderungen der DSGVO erfüllen. Für sächsische Tech-Firmen, die Software-as-a-Service-Lösungen entwickeln, ist eine ISO 27018-Konformität ein starkes Differenzierungsmerkmal gegenüber dem Wettbewerb.

CSA STAR: Transparenz und Vertrauen in der Cloud

Das CSA STAR (Security, Trust, Assurance and Risk) Programm der Cloud Security Alliance bietet einen branchenübergreifenden Rahmen zur Bewertung der Sicherheit von Cloud-Diensten. Es umfasst drei Zertifizierungsstufen:

Level 1 — Self-Assessment: Der Cloud-Provider veröffentlicht seine Sicherheitsmaßnahmen transparent im CSA STAR Registry.
Level 2 — Third-Party Audit: Unabhängige Prüfer bewerten die Cloud-Sicherheit anhand der CSA Cloud Controls Matrix (CCM).
Level 3 — Continuous Monitoring: Kontinuierliche Überwachung und automatisierte Bewertung der Sicherheitslage.

Für Tech-Unternehmen in Dresden empfiehlt sich die Prüfung, ob genutzte Cloud-Provider CSA STAR-zertifiziert sind. Dies vereinfacht die eigene ISO 27001-Zertifizierung erheblich und reduziert den Aufwand bei der Lieferantenqualifizierung.

Cloud-Risiken für Tech-Unternehmen in Sachsen

Tech-Unternehmen in der Region Dresden und im Silicon Saxony stehen vor spezifischen Cloud-Risiken, die im Rahmen einer Risikoanalyse berücksichtigt werden müssen:

Datenverlust durch Fehlkonfiguration: Laut dem Cloud Security Report 2025 sind über 65 Prozent aller Cloud-Sicherheitsvorfälle auf Fehlkonfigurationen zurückzuführen — etwa öffentlich zugängliche S3-Buckets oder zu weit gefasste Zugriffsrechte.
Vendor Lock-in: Die starke Abhängigkeit von einem einzelnen Cloud-Provider erschwert den Wechsel und kann bei Preiserhöhungen oder Serviceänderungen zum Problem werden.
Compliance-Risiken: Die Speicherung personenbezogener Daten bei US-Cloud-Providern kann zu DSGVO-Konflikten führen, insbesondere nach dem Schrems-II-Urteil. Deutsche oder europäische Cloud-Alternativen sollten geprüft werden.
Supply-Chain-Angriffe: Angriffe auf Drittanbieter-Bibliotheken oder Cloud-Dienste können indirekt auch Ihr Unternehmen treffen — besonders relevant für Softwareentwickler.
Schatten-IT: Mitarbeiter nutzen unautorisierte Cloud-Dienste wie Dropbox, WeTransfer oder ChatGPT ohne Wissen der IT-Abteilung und umgehen damit die Sicherheitsrichtlinien.

Praxisbeispiel: Cloud-Sicherheit für ein Dresdner Softwareunternehmen

Ein mittelständisches Softwareunternehmen aus Dresden mit 80 Mitarbeitern nutzt AWS für seine SaaS-Plattform und Microsoft 365 für die interne Zusammenarbeit. Im Rahmen einer ISO 27001-Zertifizierung unterstützte die DATUREX GmbH das Unternehmen bei folgenden Maßnahmen:

Cloud-Risikoanalyse: Systematische Erfassung aller Cloud-Dienste und Bewertung der jeweiligen Risiken nach BSI IT-Grundschutz
IAM-Härtung: Einführung von Conditional Access Policies, MFA für alle Benutzer und Privileged Access Management für Administratoren
Datenverschlüsselung: Implementierung von Customer-Managed Keys (CMK) für die Verschlüsselung sensibler Kundendaten
DevSecOps-Integration: Einbindung von SAST- und DAST-Scans in die CI/CD-Pipeline sowie automatisierte Infrastructure-as-Code-Prüfungen
Monitoring: Aufbau eines zentralen Security Information and Event Management (SIEM) mit automatisierten Alarmen

Ergebnis: Das Unternehmen erhielt die ISO 27001-Zertifizierung im ersten Anlauf und konnte damit mehrere Aufträge von Automobilzulieferern in der Region gewinnen.

Cloud-Compliance: Regulatorische Anforderungen für sächsische Unternehmen

Neben der ISO 27001 müssen Tech-Unternehmen in Sachsen weitere regulatorische Anforderungen bei der Cloud-Nutzung beachten. Die NIS-2-Richtlinie verpflichtet Unternehmen ab 50 Mitarbeitern in bestimmten Sektoren zu vollständigen Sicherheitsmaßnahmen — Cloud-Dienste eingeschlossen. Das bedeutet konkret: Risikoanalysen für alle genutzten Cloud-Services, dokumentierte Incident-Response-Prozesse für Cloud-Vorfälle und regelmäßige Überprüfung der Sicherheitsmaßnahmen.

Die DSGVO stellt besondere Anforderungen an die Verarbeitung personenbezogener Daten in der Cloud. Auftragsverarbeitungsverträge (AVV) nach Art. 28 DSGVO müssen mit jedem Cloud-Provider abgeschlossen werden. Bei Drittlandtransfers — etwa bei der Nutzung von AWS oder Google Cloud — sind zusätzliche Schutzmaßnahmen wie Standardvertragsklauseln und Transfer Impact Assessments erforderlich.

Für Unternehmen, die als Zulieferer für die Automobilindustrie in Sachsen tätig sind, kommt zusätzlich die TISAX-Zertifizierung ins Spiel. TISAX (Trusted Information Security Assessment Exchange) stellt spezifische Anforderungen an den Schutz von Prototypen, Konstruktionsdaten und vertraulichen Geschäftsinformationen — auch und gerade in Cloud-Umgebungen. Die DATUREX GmbH berät Unternehmen in der Region bei der gleichzeitigen Erfüllung von ISO 27001 und TISAX in Cloud-Infrastrukturen.

Häufig gestellte Fragen zur Cloud-Sicherheit

Ist die Cloud sicherer als ein eigenes Rechenzentrum?

Große Cloud-Provider investieren Milliarden in physische und logische Sicherheit ihrer Rechenzentren und verfügen über Zertifizierungen, die ein KMU mit eigenem Serverraum kaum erreichen kann. Allerdings liegt die Sicherheit der Konfiguration, der Zugriffskontrolle und der Daten beim Kunden. Eine schlecht konfigurierte Cloud-Umgebung kann unsicherer sein als ein gut verwalteter lokaler Server.

Welche Cloud-Provider sind für deutsche Unternehmen empfehlenswert?

Neben den globalen Anbietern AWS, Microsoft Azure und Google Cloud gibt es europäische Alternativen wie IONOS, Open Telekom Cloud, Hetzner oder OVHcloud, die Daten ausschließlich in der EU speichern. Die Wahl hängt von den spezifischen Anforderungen, dem Budget und den regulatorischen Rahmenbedingungen ab. Ein Informationssicherheitsbeauftragter hilft bei der Bewertung und Auswahl des passenden Providers.

Wie oft sollte eine Cloud-Sicherheitsüberprüfung stattfinden?

Mindestens einmal jährlich sollte eine vollständige Sicherheitsüberprüfung der Cloud-Infrastruktur erfolgen. Zusätzlich empfiehlt sich ein kontinuierliches Monitoring mit automatisierten Tools, die Fehlkonfigurationen und Sicherheitslücken in Echtzeit erkennen. Bei wesentlichen Änderungen der Cloud-Architektur oder nach Sicherheitsvorfällen sollte eine sofortige Überprüfung durchgeführt werden.

Checkliste: Cloud-Sicherheit nach ISO 27001

Nutzen Sie diese Checkliste als Ausgangspunkt für die Absicherung Ihrer Cloud-Umgebung:

Multi-Faktor-Authentifizierung (MFA) für alle Cloud-Zugänge aktiviert
Regelmäßige Überprüfung und Bereinigung von Zugriffsberechtigungen
Datenverschlüsselung „at rest“ und „in transit“ für alle sensiblen Daten
Cloud-Backup-Strategie mit regelmäßigen Wiederherstellungstests
Logging und Monitoring aller sicherheitsrelevanten Ereignisse
Vertragliche Vereinbarungen mit Cloud-Providern (Auftragsverarbeitung nach Art. 28 DSGVO)
Notfallplan für Cloud-Ausfälle und Datenverlust
Regelmäßige Penetrationstests der Cloud-Infrastruktur
Schulung der Mitarbeiter zu Cloud-Sicherheitsrichtlinien
Dokumentation aller Cloud-Konfigurationen und Sicherheitsmaßnahmen im ISMS

Die DATUREX GmbH unterstützt Tech-Unternehmen in Dresden und ganz Sachsen bei der Umsetzung dieser Maßnahmen. Vereinbaren Sie ein kostenfreies Erstgespräch zur Cloud-Sicherheit und ISO 27001-Zertifizierung.

IT-Sicherheit für Ihr Unternehmen in Sachsen

Bedrohungen und Cyberangriffe zeigen täglich, wie wichtig ein vollständiges Informationssicherheits-Managementsystem (ISMS) ist. Als zertifizierter externer Informationssicherheitsbeauftragter (ISB) und spezialisierter IT-Dienstleister in Dresden und ganz Sachsen unterstützt die DATUREX GmbH Sie bei der vorausschauenden Absicherung Ihrer Systeme. Wir bereiten Sie effizient auf Audits nach ISO 27001, TISAX und BSI IT-Grundschutz vor und helfen Ihnen bei der rechtssicheren Umsetzung der NIS-2-Richtlinie. Kontaktieren Sie uns für ein unverbindliches Beratungsgespräch.

Die DATUREX GmbH vereint Datenschutzberatung, Informationssicherheit und KI-Lösungen unter einem Dach.

Neu: IT-Sicherheitskonzept | KRITIS-Beratung | Schwachstellenanalyse | IT-Notfallmanagement | IT-Sicherheitsaudit