Alle 14 Tage aktuelle News aus der IT-Szene   >   
E-Mail vor Sonnenaufgang, Meeting nach Feierabend: Die „endlose Arbeitszeit“ nimmt zu 18. 06. 2025
Laut dem aktuellen Microsoft Work Trend Index Special Report verschwimmen die Grenzen zwischen Arbeitszeit und Freizeit zusehends. Immer mehr Berufstätige beginnen ihren Arbeitstag vor 6 Uhr morgens und setzen ihn bis spät in die Nacht fort.
IceWarp bringt individuelle KI-Lösungen für volle Datenkontrolle 18. 06. 2025
ceWarp plant den Einsatz privater Sprachmodelle, die ausschließlich auf unternehmenseigenen Daten basieren. Damit will das tschechische Softwareunternehmen Kunden entgegenkommen, die Wert auf vollständige Datenhoheit legen – und sich bewusst gegen öffentliche KI-Dienste entscheiden.
UN ruft zur globalen Zusammenarbeit in virtuellen Welten auf 17. 06. 2025
Auf dem zweiten UN Virtual Worlds Day haben 18 UN-Organisationen gemeinsam einen globalen Aufruf gestartet, das transformative Potenzial künstlicher Intelligenz und virtueller Welten für soziale Entwicklung zu nutzen. Zwölf Prioritäten sollen den digitalen Fortschritt weltweit gerechter gestalten – im Fokus: Kooperation, Standards und Teilhabe.
VivaTech 2025 im Zeichen von KI und globaler Vernetzung 16. 06. 2025
Mit 180.000 Besuchern, über 14.000 Start-ups und einem starken KI-Schwerpunkt markierte die VivaTech 2025 in Paris ihre zentrale Rolle für Europas Tech-Branche. Unternehmen, Investoren und Innovatoren aus 171 Nationen trafen sich, um Zukunftstechnologien zu präsentieren – mit klarer Botschaft: Die Transformation durch Künstliche Intelligenz ist in vollem Gange.
MP2 IT-Solutions als Impulsgeber beim 15. Österreichischen Gesundheitswirtschaftskongress 14. 06. 2025
Der 15. Österreichische Gesundheitswirtschaftskongress (ÖGWK) versammelte am 12. und 13. Juni Entscheidungsträger:innen aus Medizin, Forschung, Wirtschaft und Politik in Wien, um gemeinsam über die Zukunft des heimischen Gesundheitswesens zu diskutieren. MP2 IT-Solutions war einmal mehr als Veranstaltungspartner mit an Bord und unterstrich mit einer eigenen Fachsession seine Rolle als aktiver Impulsgeber für digitale Innovationen im Gesundheitsbereich.
MHP bringt Automobilzulieferer in die Catena-X-Datenwelt 13. 06. 2025
Mit dem Start des Readiness Booster Programms der Volkswagen Group und der offiziellen Zertifizierung als Enablement Service Provider ist MHP nun einer der zentralen Lösungsanbieter für das Catena-X-Ökosystem. Lieferanten profitieren von einer umfassenden Beratung, einer bewährten Technologieplattform und einem sicheren Einstieg in die Welt der industriellen Datenräume.
Ericsson und Supermicro bündeln Kräfte für integrierte Edge-KI-Lösungen 11. 06. 2025
Die beiden Tech-Unternehmen Ericsson und Supermicro haben eine strategische Kooperation angekündigt. Ziel ist die Entwicklung vorkonfigurierter KI-Edge-Lösungen mit integrierter 5G-Konnektivität für Unternehmen verschiedener Branchen.
Portworx Report 2025 zeigt Abkehr von VMware und steigende Relevanz von Kubernetes 10. 06. 2025
Eine aktuelle Umfrage von Portworx by Pure Storage zeigt: Die Mehrheit der Unternehmen strebt eine Reduktion ihrer VMware-Nutzung an – 33 Prozent wollen ganz aussteigen. Cloud-native Plattformen gewinnen rasant an Bedeutung, insbesondere für die Verwaltung virtueller Maschinen. Steigende Lizenzkosten und Modernisierungsdruck treiben die Veränderung.
Palo Alto Networks legt neue Studie zur Nutzung generativer KI vor 09. 06. 2025
Generative KI ist 2025 fixer Bestandteil unternehmerischer IT-Strategien – und stellt Sicherheitsverantwortliche zugleich vor wachsende Herausforderungen. Eine aktuelle Analyse von Palo Alto Networks zeigt deutliche Zuwächse bei Nutzung und Risikovorfällen.
E-Commerce verzeichnet laut Fastly doppelt so viele Cyberangriffe 09. 06. 2025
Laut dem aktuellen Threat Insights Report von Fastly hat sich der Anteil der Angriffe auf den Onlinehandel im Jahresvergleich verdoppelt. Zugleich dominiert automatisierter Bot-Verkehr zunehmend das Netz – mit erheblichen Folgen für Unternehmen.
Wie KI-Agenten Geschäftsprozesse selbstständig steuern 05. 06. 2025
Mit Agentic AI erreichen Automatisierungsstrategien eine neue Stufe: Lufthansa Industry Solutions zeigt in einem aktuellen Whitepaper, wie intelligente KI-Agenten eigenständig agieren und Unternehmen dabei unterstützen, Arbeitszeit zurückzugewinnen und Prozesse effizienter zu gestalten.
Asseco Solutions eröffnet neues Head Office in Linz 04. 06. 2025
Mit der Eröffnung eines neuen Österreich-Standorts in Linz setzt der ERP-Spezialist Asseco Solutions auf moderne Arbeitskonzepte. Der neue Unternehmenssitz soll kollaborative Arbeitsformen, flexible Nutzung und persönliche Weiterentwicklung ermöglichen – und bietet Platz für künftiges Wachstum.
CEO-Fraud-Bande erbeutet 8,7 Millionen Euro – Ermittler sichern Teilbetrag in Österreich 02. 06. 2025
Ein niederländisches Unternehmen fiel einer raffiniert inszenierten CEO-Fraud-Masche zum Opfer – samt Deepfake-Videos und gefälschten Protokollen. Die Täter schleusten knapp neun Millionen Euro über Konten in mehreren Ländern. Dank internationaler Zusammenarbeit konnten in Österreich rund 1,5 Millionen Euro sichergestellt werden.
Michael Otto wird Geschäftsführer bei SIRUM 02. 06. 2025
Seit Juni 2025 verstärkt Michael Otto die Geschäftsführung der SIRUM GmbH. Mit seiner langjährigen Branchenerfahrung soll er die Weiterentwicklung der SIRUM Logistics Suite sowie die Transformation des Unternehmens begleiten.
NetApp AIPod unterstützt NVIDIA AI Data Platform für agentenbasierte KI-Anwendungen 30. 05. 2025
NetApp integriert seine AIPod-Lösung in das Referenzdesign der NVIDIA AI Data Platform, um Unternehmen beim Aufbau sicherer, kontrollierter und skalierbarer Datenpipelines für KI-Anwendungen zu unterstützen. Im Fokus stehen dabei sowohl agentenbasierte KI-Modelle als auch Verfahren wie Retrieval-Augmented Generation (RAG) und Inferenzprozesse, die durch die Kombination aus NetApp ONTAP und NVIDIA-Technologien beschleunigt werden sollen.
Giesecke+Devrient und Daon kooperieren bei sicheren Identitätslösungen 30. 05. 2025
Giesecke+Devrient und Daon haben eine globale Partnerschaft geschlossen, um gemeinsam Lösungen für digitale Identitätsprüfung und Authentifizierung bereitzustellen. Die Zusammenarbeit zielt auf Privat- und öffentliche Sektoren und setzt auf biometrische Sicherheit und regulatorische Konformität.
PIABO GEO bringt Marken in Antworten generativer KI 29. 05. 2025
Mit dem neuen Angebot PIABO GEO adressiert die Agentur PIABO Communications die veränderten Anforderungen an digitale Sichtbarkeit. Ziel ist es, Unternehmen in den Antworten generativer KI-Systeme wie ChatGPT, Gemini oder Perplexity als vertrauenswürdige Quellen zu positionieren.
Cyberangreifer nutzen Cloud-Nachlässigkeit als Einfallstor 28. 05. 2025
Ein neuer Threat Actor namens Hazy Hawk sorgt für Aufsehen in der IT-Sicherheitswelt: Durch das Hijacking verwaister Cloud-Dienste kapert die Gruppe Subdomains namhafter Organisationen – und nutzt diese für Malware-Verbreitung und Betrug. Das zeigt Unternehmen die Wichtigkeit, ihre DNS Einträge und Cloud Ressourcen sorgfältig zu verwalten.
weiter
Arvato Systems

Missverständnisse und Lösungsansätze

Gastbeitrag: Es braucht in der Cloud Security mehr Dialog und weniger Technikfokus, fordert Andreas Nolte.

Foto: B_A/Pixabay Das grundlegende Missverständnis ist die Fehlannahme, Cloud-Sicherheit sei ein IT-Thema. Doch Cloud Security ist vielmehr in der Unternehmensstrategie nachhaltig zu verankern Zahlen lügen nicht: Im Jahr 2021 haben 39 Prozent der Firmen mit 500 bis 999 Beschäftigten, die cloudbasierte Dienste in Anspruch nehmen, wirtschaftliche Schäden durch Hacker-Angriffe erlitten. Zugleich sah sich rund die Hälfte der Unternehmen (51 Prozent), die über zehn Millionen jährlich in ihre IT-Infrastruktur investieren, mit dieser Problematik konfrontiert. Zu diesem Ergebnis kommt die IDG-Studie „Cloud Security 2021“. Die Folgen derartiger Attacken können recht unterschiedlich sein – von Imageschäden (13 Prozent) und Umsatzeinbußen (25 Prozent) über den Verlust geschäftskritischer Daten (31 Prozent) bis hin zu Beeinträchtigungen der Arbeits- und Produktionsprozesse (43 Prozent) oder gar dem kompletten Stillstand des Unternehmens (34 Prozent). Zeit also, das Thema Cloud Security auf Entscheider-Ebene zu priorisieren. Denn in der Regel scheitern derartige Initiativen in Unternehmen nicht an der technischen Umsetzung, sondern am fehlenden Dialog zwischen IT und Geschäftsführung.

Sind Hacker erst einmal in die IT-Infrastruktur eingedrungen, dauert es rund 100 Tage, bis Unternehmen dies bemerken. Drei Monate, in denen Cyber-Kriminelle großen Schaden anrichten können. Nicht immer sind es aufmerksamkeitsstarke Ransomware- oder DDoS-Attacken, die Unternehmen in ihrer Gänze lahmlegen können. Mancher Hacker geht sehr subtil vor, etwa indem er Bilder ein klein wenig manipuliert oder vermeintlich unbedeutende Informationen abgreift. Unabhängig von den Folgen eines solchen Angriffs stellt sich die Frage: Warum schützen Unternehmen ihre Systeme, Daten und Geräte in der Cloud nicht angemessen? Die Antworten gleichen sich vielerorts. Das lässt auf grundsätzliche Fehlannahmen bezüglich Cloud Security schließen.

Fehlannahmen

1. Cloud Provider kümmern sich vollumfänglich um die IT-Sicherheit

Das ist mitnichten der Fall. Cloud-basierte Dienste von einem Hyperscaler zu beziehen, entbindet Unternehmen nicht von ihrer eigenen Verantwortung. Gemäß Shared-Responsibility-Ansatz obliegt es den Firmen bis zu einem gewissen Grad selbst, für den nötigen Schutz zu sorgen, etwa indem sie zumindest die Data Governance sicherstellen, Endgeräte schützen sowie Zugriffs- und Nutzungsrechte verwalten.

2. Mit Cloud-Lösungen verschwinden IT-Silos

In Zeiten von Big Data müssen Systeme miteinander verknüpft sein. Andernfalls lässt sich das Potenzial der Bestandsdaten nicht gewinnbringend erschließen. Dieses Dilemma bleibt auch dann bestehen, wenn einzelne Fachbereiche ihre Systeme in der Cloud betreiben. Nutzt zum Beispiel das Marketing eine Plattform, auf der es relevante Assets aus verschiedenen Quellsystemen konsolidiert und für die Verwendung im gewünschten Zielsystem vorhält, erhöht damit nur diese Abteilung ihre Prozesseffizienz. Andere Unternehmensbereiche profitieren nur, wenn sie ihre Systeme mit der Cloud-Plattform integrieren. Ansonsten entstehen neue Datensilos.

3. IT-Experten sind zugleich Security-Experten

Einen Cloud-Dienst hochzufahren und zu nutzen, ohne ihn vorab auf mögliche Security-Risiken zu prüfen, ist naiv und darum ein absolutes No-Go. Die Cloud-Adaption ist ein hochkomplexes Vorhaben, das einem stetigen Wandel unterliegt. Entsprechend qualifiziert müssen die Mitarbeitenden sein. Es gibt immer noch Firmen, die davon überzeugt sind, dass sich das eigene IT-Personal nicht nur mit dem Management der Bestands-IT auskennt, sondern zugleich Experte für Cloud Security ist. In der Folge bilden diese Unternehmen ihre IT-Fachkräfte nicht adäquat weiter. Doch fehlendes Know-how in Bezug auf die Absicherung einer Cloud-basierten IT-Infrastruktur öffnet Hackern Tür und Tor. Darum ist es ratsam, einen externen Dienstleister ins Boot zu holen. Er begleitet Unternehmen nicht nur auf ihrem Weg in die Cloud, er passt auch die Security-Tools der marktführenden Hyperscaler an den individuellen Bedarf an. Hierfür definiert er sinnvolle Security-Regeln, wählt geeignete Sensoren für die Detection aus und erbringt professionelle Managed Detection and Response Services (MDR) in einem Security Operations Center (SOC).

4. Alle Mitarbeitenden gehen jederzeit verantwortungsvoll mit Daten um

Der Mensch selbst ist ein Sicherheitsrisiko. Ein kleiner Moment der Unachtsamkeit genügt, und Mitarbeitende geben sensible Informationen preis (Social Engineering). Oder sie laden Daten in einen ungeprüften und ungesicherten Cloud-Speicher hoch. Oder kaufen per Firmen-Kreditkarte im Internet ein. Gelangen die Daten auf US-amerikanische Server, können das ernsthafte Compliance-Verstöße sein. Riskant sind ebenso Passwörter wie „Winter2021!“ und „123456“. Sind E-Mail-Konten in der Cloud unzureichend gesichert, können Hacker Mail-Adressen auf Basis öffentlicher Informationen erzeugen und mit gängigen Passwörtern kombinieren (Password Spraying). Auch kostenlose Cloud-Dienste zu nutzen, kann zum Problem werden. Es gibt beispielsweise PDF-Converter, bei denen der Anbieter die Inhalte des Dokuments abgreift und auswertet. Um all das zu verhindern, braucht es ein hohes Maß an Cloud Governance: Zum einen sollten Unternehmen nur sichere Tools freischalten. Zum anderen sind die Mitarbeitenden in Sachen Governance zu sensibilisieren und zu befähigen, damit sie Cloud-Dienste reflektiert nutzen.

Lösungsansätze

1. Standard-Lösungen individuell anpassen (lassen)

Was ist vor diesem Hintergrund zu tun, damit die Cloud-Migration nicht zum Sicherheitsrisiko wird? Natürlich braucht es passende Technologien. Wer die Cloud-Lösungen der etablierten Hyperscaler nutzt, ist auf dem richtigen Weg. Sie bieten bereits im Standard viele Tools und Konfigurationsmöglichkeiten – von Web Application Firewalls, Vulnerability Management und Cloud Security Posture Management über Extended Detection and Response (XDR) bis hin zu Zero Trust und vielem mehr. Damit lässt sich ein gutes Maß an Cloud Security sicherstellen. Wenn Unternehmen diese State-of-the-Art-Lösungen dann an ihren spezifischen Bedarf anpassen (lassen) oder generell Cloud-Lösungen entwickeln (lassen), sollten sie dafür den Infrastructure-as-Code-Ansatz (IaC) wählen. Wer seine Infrastruktur gemäß IaC aufbaut, kann Security-relevante Features direkt im Quellcode hinterlegen. Zudem ist es möglich, abgesicherte Infrastruktur-Templates für weitere Zwecke zu duplizieren.

2. Cloud Security als Geschäftsprozess begreifen

Daneben ist es wichtig, jegliche Assets und Systeme in der Cloud lückenlos zu inventarisieren: Welche Plattformen gibt es? Wer ist verantwortlicher Business Owner? Wer administriert welche Plattform? Wo soll ein Patch erfolgen? Welche Daten gelangen auf welche Plattform? Woher kommen sie? Wohin fließen sie? Wie? Und warum? Den aktuellen Status jedweder Cloud-Anwendung zu kennen, ist eine grundlegende Voraussetzung, um Cloud-Sicherheit als Business-Prozess verstehen zu können. Als Prozess, der mit Bedacht modelliert, mit Metriken gesteuert, mit Tools überwacht und kontinuierlich optimiert sein will. Zum Prozessmanagement gehören auch regelmäßige Audits. Während dies bei On-Premises-Lösungen üblicherweise im Jahresrhythmus geschieht, ist es möglich, Cloud-basierte Anwendungen täglich oder gar stündlich im Hinblick auf etwaige Sicherheitslücken zu scannen. Nur so lassen sich Schwachstellen zeitnah identifizieren und effektiv beseitigen (Vulnerability Management).

3. Alles und jeden verifizieren

In diesem Kontext ist managementseitig zu verstehen, dass ältere Schutzmechanismen nicht mehr wirken. So ist der Perimeterschutz via Firewall der völlig falsche Ansatz, wenn Daten und Systeme in der Cloud liegen. Stattdessen sind alle Systeme und sämtliche Endgeräte gegen unerlaubte Zugriffe abzusichern – insbesondere dann, wenn sich immer mehr Mitarbeitende außerhalb des Firmen-Netzwerks aufhalten, etwa im Homeoffice. Zero Trust muss zur gelebten Maxime werden: „Vertraue niemandem außerhalb und innerhalb deiner Organisation. Und verifiziere jeden.“ Doch es handelt sich bei Zero Trust um keine Lösung, die Unternehmen out-of-the-box freischalten könnten, sondern um ein Designprinzip, das individuell umzusetzen ist. Greift zum Beispiel ein Mitarbeitender über das Firmen-Smartphone auf sein E-Mail-Postfach zu, ist das unbedenklich, weil Nutzer und Gerät bekannt sind. Benutzt er dafür ein privates Mobilgerät, ist Vorsicht geboten. Idealerweise gibt es einen zweiten Faktor, über den sich der Anwender für den Netzwerkzugriff authentifiziert.

4. Schutzziele definieren

Eben diese Multi-Faktor-Authentifizierung ist eines von vielen Schutzzielen, die Unternehmen definieren sollten: Damit Mitarbeitende SaaS-Lösungen benutzen dürfen, ist ein zweites Authentifizierungsmerkmal an allen Geräten und Endpoints zu installieren. Gemäß Assume-Breach-Paradigma ist die Frage nicht, ob Unternehmen gehackt werden, sondern wann. Mit einer zweiten Identifizierungsstufe, wie etwa einer SMS, einer App, einem Anruf oder einem weiteren Gerät, lässt sich das Risiko spürbar verringern. Ergänzend empfiehl es sich, bei BYOD-Szenarien (Bring Your Own Device) eine Null-Toleranz-Politik zu vertreten: Erfüllen die privaten Endgeräte der Mitarbeitenden die Security-Anforderungen nicht, dürfen sie keinesfalls mit dem Netzwerk verbunden sein. Ebenso ist zu überprüfen, ob das Patch Management auch im Homeoffice wirkungsvoll ist.

Assets zentral schützen

All diese Einzelmaßnahmen verbindet eine datenbasierte Grundannahme. Die beiden zentralen Frage sind: Was darf mit Assets, wie etwa Daten, Dateien, Geräten, Datenbanken und Services, passieren? Und wer ist berechtigt, das zu tun? Idealerweise gibt es ein zentrales Control Panel, in dem diese Informationen personenbezogen hinterlegt sind. Wer ist eine Person? Welche authentifizierten Geräte nutzt sie? In welchem Zustand befindet sich ein Gerät (beruflich, privat, gepatcht etc.)? An welchen Orten (Zentrale, Niederlassung, Kunden etc.) hält sich die Person üblicherweise auf? In welchem Status befinden sich die Konten und Profile der Person (gerade gehackt oder sicher)? Anhand dieser und vieler weiterer Informationen lassen sich erlaubte von unautorisierten Zugriffen recht zuverlässig unterscheiden. In diesem Kontext spielt XDR eine immer größere Rolle. XDR ermöglicht, Daten auf mehreren Security-Ebenen, wie etwa E-Mails, Geräte, Server, Cloud-Workloads und Netzwerke, automatisch zu erfassen und zu korrelieren. So können Unternehmen potenzielle Bedrohungen schneller identifizieren und unmittelbar reagieren.

IT und Management reden aneinander vorbei

Natürlich sind IT-Abteilungen diese und weitere Cloud-relevante Aspekte bewusst. Warum also sind Unternehmen dennoch auf dem Security-Auge blind? Es hat den Anschein, als würde kein zielführender Dialog zwischen IT und Management stattfinden. Manchmal hat die Geschäftsführung keine greifbare Vorstellung davon, wie wichtig Cloud Security für einen reibungslosen Geschäftsbetrieb ist. Und IT-Experten gelingt es hin und wieder nicht, die Vorteile adäquater Schutzmaßnahmen und ihre positiven Auswirkungen auf das operative Tagesgeschäft verständlich zu vermitteln. Dringen Cyber-Kriminelle zum Beispiel in die IT-Infrastruktur eines Industrieunternehmens ein, steht im Zweifel die Produktion still. Online-Händler könnten Probleme mit dem Check-out bekommen. Oder bei einem Einzelhändler funktioniert das Kassensystem nicht – allesamt Folgen, die Unternehmen dort treffen, wo es am schmerzlichsten ist: bei ihren gewinnbringenden Kernprozessen.

Es muss ein echter Dialog stattfinden

Zugunsten eines echten Dialogs sind Unternehmen gut beraten, die Technologie zunächst außen vorzulassen. Natürlich gibt es gute Gründe für oder gegen einen bestimmten Cloud Provider. Doch das ist nicht der Punkt. Software um ihrer selbst willen anzuschaffen, war noch nie eine gute Idee. Es geht darum, den Möglichkeiten, welche die Cloud eröffnet, und der Komplexität von Cloud Security mit bewussten Entscheidungen zu begegnen. Ist beispielsweise ein für den Geschäftsbetrieb relevanter Service in die Cloud zu migrieren, stellt sich die Grundsatzfrage: Soll das bisherige On-Premises-Konzept eins zu eins in der Cloud abgebildet werden – einschließlich Wartung und Updates? Oder wäre es nicht sinnvoller, das digitale Produkt als Software-as-a-Service bereitzustellen? Und wie gelingt es, die SaaS-Lösung vor Hacker-Angriffen abzusichern? Wichtig ist, dass bei Überlegungen dieser Art der Produktionsbezug jederzeit im Vordergrund steht. Hängt etwa der operative und wirtschaftliche Erfolg eines Maschinenbauunternehmens maßgeblich daran, dass die Gabelstapler fahren, gibt es üblicherweise ein fest definiertes Risikomanagement: Die Firma achtet darauf, dass immer genügend Schmierstoff vorhanden ist, sie hält alle Wartungstermine ein und stellt ausreichend Ersatzfahrzeuge bereit.

Cloud Security ist kein technisches, sondern ein strategisches Thema

Derartige Prozesse sind auf Cloud Security zu übertragen. Damit das gelingen kann, müssen Unternehmen zunächst mit gängigen Vorurteilen aufräumen. Denn das grundlegende Missverständnis ist die Fehlannahme, Cloud-Sicherheit sei ein IT-Thema. Doch Cloud Security ist vielmehr in der Unternehmensstrategie nachhaltig zu verankern und erst im zweiten Schritt praktisch umzusetzen. Das ist eine Herausforderung, die weit über die IT-Abteilung hinausgeht. Sie betrifft jeden einzelnen Fachbereich. Für eine wirkungsvolle Cloud Security müssen alle, wirklich alle an einem Strang ziehen.

Der Autor Andreas Nolte ist Head of Cyber Security bei Arvato Systems

it&t business medien eU
Tel.: +43/1/369 80 67-0
office@ittbusiness.at