Cloud Computing ist heute Standard – aber die Verantwortung für Ausfallsicherheit bleibt.

Viele Unternehmen haben den Schritt bereits vollzogen: Die Migration zentraler Systeme wie ERP, Finanzplattformen oder Kundenportale in die Cloud – häufig auf Basis leistungsfähiger PaaS- und IaaS-Dienste wie Microsoft Azure oder Oracle Cloud. Die Versprechen sind überzeugend: Skalierbarkeit, Hochverfügbarkeit und reduzierte Infrastrukturkosten.

Was dabei oft übersehen wird: Desaster-Recovery und Backup-Konzepte werden dadurch nicht überflüssig – sondern gewinnen an neuer Bedeutung.

Cloud schützt nicht vor allen Risiken

Cloudanbieter stellen in der Regel eine robuste Infrastruktur bereit, inklusive redundanter Rechenzentren, automatisierter Replikation und globaler Verfügbarkeitszonen. Was jedoch nicht automatisch abgedeckt ist:

• Die Verantwortung für Datenverlust oder Bedienfehler.
• Die Orchestrierung eines strukturierten Wiederanlaufs nach einem Ausfall.
• Die Absicherung gegen Angriffe oder logische Fehler im Systembetrieb.
• Die Wiederherstellbarkeit eines konsistenten Systemzustands über mehrere Cloud-Dienste hinweg.

Cloud ersetzt also nicht die Notwendigkeit, selbst für Resilienz zu sorgen.

Typische Risiken – auch in modernen Cloudumgebungen

Einige realistische Szenarien aus dem Praxisbetrieb verdeutlichen die Relevanz:

1. Ausfall einer ganzen Cloud-Region

Ein DNS-Fehler oder ein Authentifizierungsproblem kann dazu führen, dass über Stunden kein Zugriff mehr auf zentrale Cloud-Dienste besteht. Ohne vorbereitete Wiederanlaufstrategie bleiben produktive Systeme unerreichbar.

2. Fehlkonfiguration beim Deployment

Ein falsch gesetzter Parameter oder eine unvollständige Provisionierung genügt, um Services funktionsunfähig zu machen – inklusive automatischer Replikation des Fehlers in mehrere Instanzen.

3. Fehlerhafte Software-Updates

Ein Release mit einem schwerwiegenden Bug kann die Systemintegrität gefährden – selbst wenn die Infrastruktur selbst stabil bleibt.

4. Externe Angriffe oder Ransomware

Cloudbasierte Dienste sind nicht per se geschützt vor DDoS-Angriffen, kompromittierten Software-Lieferketten oder Schadsoftware, die über API-Zugänge eindringt.

5. Bedienfehler mit kritischem Datenverlust

Das versehentliche Löschen von produktiven Datensätzen oder der Import fehlerhafter Daten kann in Minuten irreversible Konsequenzen haben – wenn kein zeitnaher Wiederherstellungspunkt vorhanden ist.

Desaster-Recovery & Backup – was wirklich notwendig ist

Ein wirksamer Schutz vor den genannten Risiken basiert auf zwei Säulen:

Desaster-Recovery-Plan (DRP)

• Definition von RTO/RPO-Zielen (Wiederanlaufzeit / maximal tolerierter Datenverlust).
• Festlegung klarer Verantwortlichkeiten und Wiederherstellungsprozesse.
• Simulation und Test von Wiederanlaufszenarien.
• Spezifikation von Alternativzugängen und Fallback-Mechanismen.

Backup-Konzept

• Regelmäßige, versionierte Backups aller kritischen Datenbestände.
• Trennung zwischen Produktionssystem und Backup-Infrastruktur.
• Immutable Speicherformate oder Air-Gap-Backups als Schutz gegen Manipulation.
• Wiederherstellungstests zur Validierung der Backup-Qualität.

Cloud-spezifische Normen liefern zusätzliche Orientierung

Für Unternehmen, die Cloud-Dienste intensiver nutzen, lohnt sich auch ein Blick auf spezialisierte Sicherheitsstandards:

• ISO/IEC 27017 liefert konkrete Maßnahmen zur Absicherung von Cloud-Infrastrukturen, etwa für administrative Zugriffskontrollen, virtuelle Maschinen oder Konfigurationsmanagement.
• ISO/IEC 27018 konzentriert sich auf den Schutz personenbezogener Daten in der Cloud – insbesondere in Bezug auf Löschung, Weitergabe und Rückgabe bei Anbieterwechsel.

Diese Standards helfen dabei, Cloud-Verträge, Sicherheitsarchitekturen und Recovery-Verfahren rechtssicher und nachvollziehbar zu gestalten.

Fazit

Cloudlösungen bieten zweifellos Vorteile in Stabilität und Skalierbarkeit. Doch Ausfallsicherheit und Datenintegrität bleiben in der Verantwortung des Anwenders. Ohne einen geprüften Desaster-Recovery-Plan und ein verlässliches Backup-Konzept entstehen erhebliche Risiken für die Betriebsfähigkeit – auch (und gerade) im Cloudbetrieb.

Wer vorbereitet ist, handelt nicht nur verantwortungsvoll, sondern sichert auch das Vertrauen von Kunden, Partnern und internen Stakeholdern.

Benötigen Sie eine strukturierte Übersicht für Ihr eigenes DR- oder Backup-Konzept? Auf Wunsch stellen wir praxisorientierte Checklisten zur Verfügung.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat mit dem Projekt ZenDiS („Zentraler Dienst für sichere Lieferketten“) eine neue Initiative gestartet, um IT-Lieferketten in Deutschland transparenter und sicherer zu gestalten. Begleitet wird das Vorhaben von einem Strategiepapier, das die zentralen Herausforderungen und Lösungsansätze für vertrauenswürdige Softwarelieferketten in Deutschland aufzeigt.

Digitale Lieferketten: Risiko erkannt, aber oft unkontrolliert

Wie das BSI betont, sind digitale Lieferketten heute Hauptangriffsvektor für Cyberbedrohungen. Ob Softwarebibliotheken, Cloud-Dienste oder technische Dienstleister – die meisten Unternehmen greifen auf Komponenten Dritter zurück, deren Sicherheitsniveau sie kaum beurteilen können. Im Fall einer Kompromittierung – wie etwa bei SolarWinds oder Log4Shell – entsteht oft großer Schaden, auch ohne eigenes Fehlverhalten.

Was ist ZenDiS?

ZenDiS soll als zentrale Plattform Unternehmen dabei unterstützen, ihre Lieferbeziehungen sicherer, überprüfbarer und vertrauenswürdiger zu gestalten. Ziel ist ein bundesweites Ökosystem, das:

• Transparenz in Softwarelieferketten schafft (z. B. durch strukturierte Nachweise über eingesetzte Komponenten),
• den Vertrauensaufbau zwischen Unternehmen fördert,
• digitale Identitäten in der Lieferkette absichert,
• und die Einhaltung regulatorischer Anforderungen unterstützt (z. B. DSGVO, NIS2, ISO 27001).

Laut Strategiepapier soll das ZenDiS offene Schnittstellen und bestehende Standards wie SBOMs (Software Bill of Materials) oder VEX (Vulnerability Exploitability eXchange) einbeziehen.

Relevanz für Unternehmen

Ob Mittelstand oder KRITIS-Betreiber – Unternehmen, die bereits heute Anforderungen aus ISO 27001, TISAX, BAIT/KAIT oder dem IT-Sicherheitsgesetz erfüllen müssen, profitieren langfristig von systematischer Transparenz über ihre Lieferketten. Auch mit Blick auf die Umsetzung der NIS2-Richtlinie und kommende Meldepflichten wird der strukturelle Blick auf externe IT-Abhängigkeiten zunehmend relevant.

Die Einführung von ZenDiS erfolgt stufenweise – 2025 sollen erste Pilotphasen starten.

Fazit: Jetzt Strukturen schaffen – bevor Pflichten entstehen

ZenDiS ist kein Kontrollinstrument, sondern ein Schritt in Richtung strukturiertes Vertrauen in der digital vernetzten Wirtschaft. Unternehmen, die ihre Prozesse, Partner und eingesetzten Komponenten heute schon systematisch dokumentieren und bewerten, sind im Vorteil – organisatorisch, regulatorisch und sicherheitstechnisch.

Sie möchten Ihre IT-Lieferkette sichtbar, sicher und auditierbar machen?

Wir unterstützen Sie bei der Identifikation Ihrer digitalen Abhängigkeiten, dem Aufbau strukturierter Nachweise und der Integration von Sicherheitsstandards in Ihre Prozesse – unabhängig, praxisnah und mit einem klaren Blick auf kommende Anforderungen.