Cloud-Sicherheit für KMU – 7 häufige Fehler und wie Sie sie vermeiden

Cloud-Lösungen gehören heute zum Alltag kleiner und mittlerer Unternehmen. Ob Datensicherung, E-Mail-Hosting oder Buchhaltungssoftware – die Cloud verspricht Flexibilität, Skalierbarkeit und Kostenersparnis. Doch gerade diese Vorteile führen häufig dazu, dass Sicherheitsaspekte in den Hintergrund treten. Fehlkonfigurationen, unklare Zugriffsrechte oder mangelnde Verschlüsselung gehören zu den häufigsten Ursachen für Datenverluste in der Cloud. Dabei lässt sich Cloud-Sicherheit auch im Mittelstand mit überschaubarem Aufwand umsetzen, wenn man typische Fehler kennt und vermeidet.

1. Fehlende Zugriffskontrolle

Viele Unternehmen vergeben zu weitreichende Rechte, um die Nutzung der Cloud zu vereinfachen. Doch ein Konto mit Administratorrechten, das nur mit einem Passwort geschützt ist, ist ein offenes Einfallstor für Angreifer. Besonders kritisch ist es, wenn mehrere Mitarbeitende denselben Zugang verwenden.

Abhilfe schaffen rollenbasierte Zugriffssysteme und die konsequente Einführung von Mehrfaktor-Authentifizierung (MFA). Jeder Mitarbeitende erhält genau die Berechtigungen, die er für seine Arbeit benötigt – nicht mehr und nicht weniger.

2. Unverschlüsselte Datenübertragung

Daten, die in der Cloud gespeichert oder zwischen Geräten übertragen werden, müssen stets verschlüsselt sein – sowohl im Ruhezustand als auch beim Transport. Viele KMU verlassen sich hier auf die Standardkonfiguration des Anbieters, ohne zu prüfen, ob diese tatsächlich sicher ist.

Unternehmen sollten sicherstellen, dass Transport Layer Security (TLS) aktiv ist, und zusätzlich eine eigene Datenverschlüsselungsebene implementieren, besonders bei sensiblen Informationen wie Kundendaten oder Vertragsunterlagen.

3. Keine regelmäßigen Backups

Ein weit verbreiteter Irrtum: Wer Daten in der Cloud speichert, braucht keine Sicherung mehr. Doch auch Cloud-Anbieter sind nicht vor Ausfällen oder Fehlkonfigurationen geschützt. Zudem können versehentlich gelöschte Daten nicht immer wiederhergestellt werden.

Die Lösung liegt in einem Backup-Konzept nach dem 3-2-1-Prinzip: Drei Kopien der Daten, auf zwei unterschiedlichen Medien, eine davon extern oder offline. So bleibt das Unternehmen selbst dann handlungsfähig, wenn der Cloud-Dienst zeitweise ausfällt.

4. Fehlende Transparenz über Datenstandorte

Viele Unternehmen wissen nicht, wo ihre Daten tatsächlich gespeichert werden. Je nach Anbieter kann das Rechenzentrum in Europa, den USA oder Asien stehen, mit erheblichen Unterschieden im Datenschutzrecht.

KMU sollten daher wissen und vertraglich festlegen, wo ihre Daten gespeichert und von wo aus sie verarbeitet werden. Übermittlungen in Drittländer wie die USA sind nach der DSGVO nicht verboten, brauchen aber eine Grundlage nach Art. 44 ff. DSGVO, etwa das EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10.07.2023, vom Gericht der EU am 03.09.2025 in der Rechtssache T-553/23 bestätigt; ein Rechtsmittel zum EuGH ist anhängig) oder Standardvertragsklauseln. Mit Cloud-Anbietern, die personenbezogene Daten verarbeiten, ist zudem ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO nötig.

Bei sensiblen Daten ist zusätzlich zu bewerten, ob ausländische Behörden auf die Daten zugreifen können, etwa nach dem US CLOUD Act. Das gilt auch dann, wenn ein US-Anbieter in der EU speichert. Nach unserer Einschätzung ist das weniger eine Frage der Zulässigkeit als des Risikos und der digitalen Souveränität; eine europäische Datenhaltung kann hier sinnvoll sein. Als Nachweis für die Sicherheit eines Anbieters ist in Deutschland das BSI-Testat nach dem Kriterienkatalog C5 verbreitet.

Vertraglich festgelegt werden sollten neben dem Speicherort auch eine Exit-Strategie. Seit dem 12.09.2025 gibt der Data Act (Verordnung (EU) 2023/2854) Kunden ein Recht auf den Wechsel des Cloud-Anbieters; Wechselentgelte entfallen ab dem 12.01.2027 vollständig.

5. Schatten-IT durch unkontrollierte Cloud-Dienste

In vielen Unternehmen nutzen Mitarbeitende eigene Cloud-Dienste – etwa private Dropbox- oder Google-Drive-Konten –, um Dateien zu teilen oder Projekte zu bearbeiten. Diese sogenannten Schatten-IT-Systeme entziehen sich jeder Kontrolle und stellen ein erhebliches Risiko dar.

Unternehmen sollten klare Richtlinien zur Nutzung externer Cloud-Dienste festlegen (vgl. ISO/IEC 27001:2022, Control A.5.23), geeignete Alternativen bereitstellen und den Datenabfluss technisch kontrollieren. Weil dabei Beschäftigtendaten verarbeitet werden können, sind Datenschutz und, wo ein Betriebsrat besteht, die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG zu beachten. Transparenz ist hier der Schlüssel.

6. Fehlende Protokollierung und Überwachung

Ohne Protokolle lässt sich im Ernstfall nicht nachvollziehen, wer wann auf welche Daten zugegriffen hat. Viele Angriffe bleiben dadurch unentdeckt oder können später nicht analysiert werden.

Ein zentrales Monitoring-System, das Zugriffe und Änderungen automatisch dokumentiert, ist daher unverzichtbar. Moderne Cloud-Plattformen wie Microsoft 365 oder AWS bieten integrierte Überwachungsfunktionen, die regelmäßig ausgewertet werden sollten.

7. Keine Schulung der Mitarbeitenden

Die beste Technik nützt wenig, wenn die Anwender sie unsicher bedienen. Viele Sicherheitsvorfälle in der Cloud entstehen durch Unwissenheit: falsche Freigaben, unbedachte Links oder leichtfertiger Umgang mit Zugangsdaten.

Regelmäßige Awareness-Schulungen, klare Anweisungen zur Passwortnutzung und praxisnahe Szenarien helfen, dieses Risiko deutlich zu senken. Informationssicherheit beginnt beim Menschen – auch in der Cloud.

Praxisbeispiel

Ein anonymisiertes Beispiel: Ein mittelständisches Bauunternehmen nutzte mehrere Cloud-Dienste parallel. Nach einem internen Audit stellte sich heraus, dass sensible Kundendaten ohne zusätzliche Verschlüsselung bei einem US-Anbieter gespeichert waren, ohne dass Auftragsverarbeitungsvertrag und Übermittlungsgrundlage geprüft worden waren. Das Unternehmen entschied sich für einen europäischen Anbieter, verschlüsselt sensible Daten nun zusätzlich, führte MFA ein und schult seine Beschäftigten regelmäßig.

Das Ergebnis: ein geringeres Risiko und eine nachvollziehbar dokumentierte Datenschutz-Compliance.

Fazit

Cloud-Dienste sind kein Sicherheitsproblem – wenn sie richtig genutzt werden. Die Verantwortung für den Schutz der Daten bleibt jedoch beim Unternehmen selbst. Wer Zugriffsrechte streng regelt, Verschlüsselung und Backups konsequent umsetzt und seine Mitarbeitenden sensibilisiert, kann die Vorteile der Cloud sicher nutzen. Weitere Ansätze beschreiben unsere Beiträge „Zero Trust im Mittelstand“ und „Menschlicher Faktor – Beschäftigte als Sicherheitsbarriere“. Informationssicherheit ist auch in der Cloud kein Selbstläufer, sondern ein kontinuierlicher Prozess.

Ihr nächster Schritt

Wir prüfen gemeinsam Ihre Cloud-Umgebung auf Sicherheitslücken, analysieren Konfigurationen und zeigen praxisnahe Lösungen zur Absicherung Ihrer Daten.

Jetzt Termin für eine Cloud-Sicherheitsanalyse vereinbaren. https://dr-informationssicherheit.de/termin-vereinbaren/