Studie zur Cloud Security: Risiken steigen, Budgets bleiben gleich

In Unternehmen fehlt häufig das Bewusstsein dafür, wie bedeutend und komplex Cloud Security ist. Obwohl viele von ihnen die Angst vor Datendiebstahl umtreibt. Ein Überblick über die wichtigsten Ergebnisse einer aktuellen Studie zum Thema Cloud Security.

Die Nachfrage nach Cloud-Diensten boomt nicht erst seit der Corona-Pandemie. Doch die Krise hat viele Unternehmen dazu gezwungen, innerhalb kürzester Zeit Arbeitsplätze ins Homeoffice zu verlagern und vermehrt Cloud-Lösungen in Anspruch zu nehmen. Mit dieser Entwicklung geht auch eine wachsende Gefahr von Cyberattacken einher. Damit rücken Cloud- und Datensicherheit immer stärker in den Fokus. Wie ist es also um das Thema Cloud Security in deutschen Unternehmen bestellt? Eine aktuelle Studie liefert interessante Einblicke.

Trotz Attacken kein höheres Budget für Cloud Security

Auch wenn zahlreiche Unternehmen bereits selbst Opfer von Cloud-Angriffen wurden, führt das nicht unbedingt dazu, dass zusätzliche finanzielle Mittel bereitgestellt werden. Das geht aus der Studie „Cloud Security 2021“ von IDG Research hervor. Das zeige, dass viele Unternehmen die Bedeutung und Komplexität der Cloud-Sicherheit unterschätzen.

Laut Studie entstand jedem dritten Unternehmen in Deutschland in den vergangenen zwölf Monaten ein Schaden durch Cloud-Angriffe. Mit erheblichen wirtschaftlichen Folgen: Die meisten beklagten eine Unterbrechung von Arbeits- und Produktionsprozessen. Fast 35 Prozent erlitten einen kompletten Stillstand. Rund 30 Prozent mussten einen Datenverlust hinnehmen. Dennoch plant knapp die Hälfte der befragten Unternehmen weder ein eigenes noch ein zusätzliches Budget für Cloud-Sicherheit. Im Zuge der Studie wurden rund 380 IT-Verantwortliche von Unternehmen in der DACH-Region befragt.

Tipp: Security-Budget genau überdenken

Zwar ergreifen Unternehmen spezielle Maßnahmen, um ihre Cloud-Dienste und -infrastrukturen zu schützen. Aber das zieht bei durchschnittlich 43 Prozent der Unternehmen keine Veränderungen des Security-Budgets nach sich, wie die Verfasser der Studie hervorheben. 10 Prozent der Befragten reduzieren sogar ihr Budget, wenn On-Premise-Lösungen in die Cloud verlagert werden. Das wirft die Frage auf, wie die technischen und organisatorischen Maßnahmen finanziert werden. „Unternehmen sollten genau ihr Security-Budget überdenken, damit die Maßnahmen für die Cloud-Sicherheit nicht in der Planung stecken bleiben“, empfehlen die Autoren der Studie.

Leichte Administrierbarkeit von Cloud-Diensten schlägt Datenschutz-Kriterium

Ein weiteres interessantes Ergebnis der Umfrage: Die leichte Administration von Cloud-Services genießt bei 91 Prozent der befragten IT-Verantwortlichen höchste Priorität bei der Auswahl von Cloud-Diensten. Gleich danach werden die Kriterien gesicherte Kommunikation und Sicherheitsfunktionen des Cloud-Anbieters aufgeführt. Aber auch Datenschutzkriterien spielen eine entscheidende Rolle: Knapp 88 Prozent legen Wert auf eine allgemeine Datenschutz-Zertifizierung. Für fast 80 Prozent sollte es sich um datenschutzkonforme Cloud-Dienste aus der EU handeln.

In Wahrheit hängt beides zusammen

Dabei gehen die Kriterien Administration und Datenschutz bei näherer Betrachtung Hand in Hand. Denn eine unzulängliche Cloud-Administration und fehlerhafte Cloud-Konfigurationen können zu erheblichen Schwachstellen in der Cloud führen. Das kann Cyberkriminellen unbeabsichtigt Tür und Tor öffnen.

Security-Team bei der Wahl des Cloud-Providers nicht immer mit an Bord

Trotz erhöhter Cyberrisiken holt nur jedes fünfte Unternehmen die Security ins Boot, wenn der Cloud Provider ausgewählt wird. „Das sind überraschend wenige Unternehmen“, wundern sich die Verfasser der Studie. „Da zum Beispiel die Sicherheitsfunktionen des Cloud-Anbieters wiederum zu den drei wichtigsten Auswahlkriterien zählen.“ Es stellt sich die Frage, wer die Sicherheitsfunktionen des Cloud-Providers bei den restlichen Unternehmen beurteilt.

Dabei sind rund 40 Prozent der befragten Geschäftsführer der Ansicht, dass die Security-Verantwortlichen mit von der Partie sind, wenn ein Cloud-Projekt startet. Doch hier klafft offenbar eine Lücke. Denn nur 29 Prozent der Security-Verantwortlichen bestätigen, dass sie von Beginn an mit einbezogen werden. Offensichtlich besteht beim Thema Security by Default in Cloud-Projekten einiges an Nachholbedarf, schlussfolgern die Autoren.

Cloud Provider sind erste Ansprechpartner für Cloud Security

Wenn es um Cloud-Sicherheit geht, arbeiten 43 Prozent der Unternehmen mit ihrem Cloud Provider zusammen. Knapp 30 Prozent wenden sich an Managed Security Service Provider. Trusted Advisors (unabhängige Berater) spielen mit 11,6 Prozent eine untergeordnete Rolle. „Es ist zwar richtig, dass der Service Provider ein wichtiger Partner für die Cloud Security ist, aber um alles kann und wird er sich nicht kümmern“, heißt es in der Studie. Dafür brauche es zusätzliche sichere und sichernde Lösungen von Drittanbietern. Sei es für den Datentransfer in, aus und innerhalb der Cloud. Oder für die Klassifizierung von Cloud-Daten und deren Schutzbedarf.

Cloud-Nutzer fürchten Datendiebstahl und hoffen auf höheren Datenschutz in der Cloud

Mit Blick auf die Risiken treibt die Unternehmen die Sorge vor Datendiebstahl, Datenverlust und Cloud-Ausfall um. Das sind für die Befragten die größten Sicherheitsrisiken. Zugleich aber nennen fast 40 Prozent den höheren Datenschutz als größten Vorteil der Cloud im Vergleich zu On-Premise-IT. Das zeigt deutlich, dass die Unternehmen darauf hoffen, dem Datenschutz durch Cloud Computing besser gerecht zu werden.

Europäische Anbieter stärker gefragt

Dazu passt auch das Ergebnis der IT-Trends-Studie 2021 von Capgemini. Demnach nimmt die Bedeutung von Datensicherheit und Datensouveränität in Sachen Cloud zu. So stellen zwar außereuropäische Cloud Provider derzeit etwa 30 Prozent der Cloud-basierten IT-Services, die Unternehmen und Behörden in Deutschland, Österreich und der Schweiz nutzen. Rund 45 Prozent davon wollen jedoch in den kommenden Jahren verstärkt auf europäische Provider setzen. Die Gründe dafür sind laut Capgemini die Einhaltung des Datenschutzes sowie der Wunsch nach mehr Datensouveränität.