cloud erklärt: einheitliche Erkennung von Bedrohungen über AWS, Azure und GCP hinweg

Die meisten Unternehmen nutzen nicht mehr nur eine cloud. Sie nutzen zwei, drei oder mehr – und jeder Anbieter bringt sein eigenes Identitätsmodell, seine eigene Richtliniensprache und sein eigenes Format für Audit-Protokolle mit. Laut Cloud „State of Cloud 2025 von Flexera nutzen rund 70 % der Unternehmen Hybrid- odercloud mit durchschnittlich 2,4 öffentlichen Anbietern pro Unternehmen. Genau diese Fragmentierung ist der Nährboden für Angreifer. Laut der Data Breach „Cost of a Data Breach des Ponemon Institute verursachten im Bericht für 2024 Sicherheitsverletzungen, die sich über mehrere Umgebungen erstreckten, die höchsten Kosten und benötigten die längste Zeit zur Eindämmung.

Auf dieser Seite wird erläutert, wascloud ist, wie sie sich von cloud unterscheidet, warumcloud Verbundbildung das größte Risiko darstellt und wie eine einheitliche Erkennung einencloud als ein einziges Geschehen sichtbar macht. Es ist die Tiefe, die in der üblichen „Fähigkeiten-Checkliste“ zu kurz kommt.

Was versteht man untercloud ?

cloud bezeichnet den Schutz von Workloads, Daten und Identitäten bei zwei oder mehr cloud öffentlicher cloud – wie AWS, Azure und Google Cloud als eine einzige Angriffsfläche, wobei einheitliche Richtlinien, Transparenz und Bedrohungserkennung angewendet werden, obwohl jeder Anbieter eine eigene Steuerungsebene betreibt. Dabei werden die Anbieter als eine einzige Umgebung betrachtet, nicht als mehrere.

Unternehmen setzencloud guten Gründencloud : erstklassige Dienste von jedem Anbieter, Ausfallsicherheit bei Ausfällen einzelner Anbieter, Flexibilität hinsichtlich des Datenstandorts und Unabhängigkeit von Anbieterbindung.cloud zudem die Sicherheitsresilienz verbessern, da nicht cloud einzelnen cloud das gesamte System lahmlegt. Der Nachteil ist die Komplexität – und die Herausforderung für die Sicherheit liegt in den Lücken zwischen den Anbietern, nicht in einer einzelnen cloud.

Diese Komplexität ist mittlerweile eher die Regel als die Ausnahme. Die „2025 Cloud Study“ von Thales, für die rund 3.200 Befragte herangezogen wurden, beziffert den Durchschnitt auf 2,1 öffentliche Anbieter pro Unternehmen. Die Zahlen zur Nutzung variieren stark, je nachdem, ob eine Umfrage nur öffentliche Anbieter berücksichtigt oder auch Hybrid-Lösungen einbezieht – ältere Schätzungen gingen von bis zu 98 % aus (Oracle/451 Research, 2023) –, doch die aktuellen Erkenntnisse für 2025 deuten darauf hin, dass zwei oder mehr Anbieter das Standardmodell darstellen. Die Schlussfolgerung ist einfach: Wenn Sie mehr als eine cloud betreiben, ist cloud nicht mehr optional, und die Aufgabe besteht darin, den Schutz über Anbieter hinweg konsistent zu halten, die nie für die Interoperabilität konzipiert wurden.

Wenn Sie mehr über die entsprechenden Tools erfahren möchten – und darüber, wie cloud Posture Management, Workload-Schutz und Berechtigungsmanagement zusammenwirken –, lesen Sie unseren Leitfaden zu cloud and Response.

cloud incloud Hybrid cloud

cloud cloud oft miteinander verwechselt, beschreiben jedoch unterschiedliche Architekturen mit unterschiedlichen Schwachstellen.cloud zwei oder mehr öffentliche Anbieter nebeneinander betrieben werden. Das Bedrohungsmodell ist Anbieter-zu-Anbieter: inkonsistentes Identitäts- und Zugriffsmanagement (IAM), fragmentierte Protokolle und das Vertrauen in die Verbundstruktur, das ein Angreifer nutzen kann, um von einer cloud eine andere zu gelangen. cloud eine Kombination aus lokaler Infrastruktur und cloud, wobei die zentralen Anliegen die Ost-West-Transparenz und die Identitätsbrücke zwischen lokalen Verzeichnissen und cloud sind.

Diese Unterscheidung ist wichtig, da sie bestimmt, welche Kontrollmechanismen erforderlich sind. Bei einem Hybrid-Programm liegt der Schwerpunkt auf der Überwachung der Schnittstelle zwischen Rechenzentrum und cloud. Bei einemcloud liegt der Schwerpunkt auf der Standardisierung der Telemetriedaten und der Korrelation von Identitätsaktivitäten über verschiedene Anbieter hinweg, die unterschiedliche Daten liefern.

Tabelle: cloud zwischencloud cloud hinsichtlich Umfang und Bedrohungsmodell.

Auf dieser Seite wird das Modell mit zwei oder mehr Anbietern behandelt. Informationen zumcloud – also zur Ost-West-Erkennung und zur Identitätsbrückecloud – finden Sie unter cloud Hybrid cloud “.

Sicherheitsrisiken und Herausforderungencloud

Die häufigstencloud sind keineswegs ungewöhnlich. Es handelt sich vielmehr um die vorhersehbaren Folgen der Zusammenführung von Anbietern, die Identitätsmanagement, Richtlinien und Protokollierung unterschiedlich handhaben. Die immer wiederkehrenden Herausforderungen:

• Zersplitterte Transparenz: Die Audit-Protokolle der einzelnen Anbieter verwenden unterschiedliche Schemata und werden mit unterschiedlichen Verzögerungen übermittelt.
• Inkonsistenz des IAM-Modells: Rollen, Richtlinien und Vertrauensbeziehungen unterscheiden sich je nach Anbieter.
• Konfigurationsabweichung: Standardwerte und Richtlinien springen auseinander, sodass die Einstellungen nicht mehr übereinstimmen.
• Komplexität durch geteilte Verantwortung: Die Zuständigkeitsgrenze verschiebt sich je nach Anbieter und Dienstleistung.
• Werkzeugüberlappung: Doppelte, teilweise konfigurierte Werkzeuge führen zu Nahtstellen und Lücken.
• Verwaiste Konten: Vergessene oder ungenutzte Konten bei beliebigen Anbietern werden zu stillen Einfallstoren.

Der Begriff „Sichtbarkeitsfragmentierung“ verdient eine Definition, da er die Ursache für so viele andere Probleme ist: Es handelt sich um einen Sicherheitsblindfleck, der entsteht, wenn jeder Anbieter Protokolle und Berichte auf unterschiedliche Weise erstellt, sodass es keinen zentralen Ort gibt, an dem man den Überblick über alle Anbieter behalten kann. Vergessene cloud bergen aus einem ähnlichen Grund Risiken – ein ungenutztes Konto mit zu weitreichenden Berechtigungen, das niemand überwacht, ist ein idealer Angriffspunkt für Angreifer, und in einercloud vervielfachen sich solche Konten je nach Anbieter.

Sindcloud also anfälliger für Cyberangriffe? Nicht grundsätzlich.cloud nicht von Natur aus weniger sicher, doch eine lückenhafte Transparenz und uneinheitliche IAM-Verfahren verlängern den Zeitraum, in dem ein Angreifer unentdeckt agieren kann. Die Kostendaten belegen dies. Laut der Data Breach „Cost of a Data Breach des Ponemon Institute aus dem Jahr 2024 verursachen Sicherheitsverletzungen, die sich über mehrere Umgebungen erstrecken, die höchsten Kosten – 5,05 Millionen US-Dollar – und es dauerte 283 Tage, sie zu identifizieren und einzudämmen, wobei 40 % der Sicherheitsverletzungen mehrere Umgebungen betrafen. Die Ausgabe von 2025 bezifferte die weltweiten durchschnittlichen Kosten einer Datenschutzverletzung auf 4,44 Millionen US-Dollar – der erste Rückgang seit fünf Jahren. Die Erkenntnis ist in allen Ausgaben dieselbe: Wenn eine Datenschutzverletzung mehrere Umgebungen betrifft, kostet sie mehr und dauert länger – weil keine einzelne Konsole den Gesamtüberblick bietet.

Die Grundlagen des Modells der geteilten Verantwortung sowie die grundlegenden Vorgehensweisen, die jede cloud benötigt, finden Sie in unserem Leitfaden cloud .

So funktioniert die einheitlichecloud Erkennungcloud

Dies ist der Teil, den die üblichen Säulenseiten auslassen. Die Auflistung von CSPM, CWPP und CIEM als „Funktionen“ sagt Ihnen zwar, was Sie kaufen sollen, aber nicht, wie Sie eine konsistente Erkennung erzielen können, wenn sich AWS CloudTrail, Azure Activity- und Entra-Protokolle sowie Google Cloud Logs hinsichtlich Schema, Latenz und Identitätsmodell unterscheiden. Die einheitliche Erkennung normalisiert die Telemetriedaten jedes Anbieters in ein einziges Modell, sodass eincloud als ein zusammenhängender Vorfall und nicht als eine Reihe verstreuter Ereignisse erscheint.

Der Ablauf folgt einem wiederholbaren Prozess:

1. Erfassen Sie die Telemetriedaten pro Anbieter aus jeder cloud.
2. Normalisieren Sie die Daten auf ein einheitliches Schema.
3. Ein Erkennungsmodell für alle Anbieter anwenden.
4. In ein einheitliches SIEM-, XDR- oder NDR-System einspeisen.
5. Aktivitätencloud miteinander verknüpfen.
6. Zuordnung und einmalige Reaktion.

‍

Die Pipeline beginnt mit der Realität der Steuerungsebene. Jeder Anbieter führt Audits und Authentifizierungen auf unterschiedliche Weise durch, und ein Erkennungsmodell, das in einer cloud funktioniert, lässt sich cloud eins zu eins auf eine andere übertragen. Die folgende Tabelle zeigt die Unterschiede, die eine einheitliche Ebene ausgleichen muss.

Tabelle: Unterschiede bei der Steuerungsebene und der Protokollierung pro Anbieter, die ein einheitliches Erkennungsmodell ausgleichen muss.

Sobald die Telemetriedaten normalisiert sind, stellt sich die Frage, wo sie landen. Ein herkömmliches SIEM-System bietet ausgereifte Korrelations- und Berichtsfunktionen, kann jedoch beicloud kostspielig werden. Ein Security Data Lake bietet kostengünstigere Aufbewahrung und flexible Abfragen, bürdet Ihrem Team jedoch einen höheren Aufwand für die Erkennung auf. Viele Unternehmen nutzen beides – einen Data Lake für Breite und Aufbewahrung sowie eine einheitliche Erkennungsschicht für die Korrelation in Echtzeit. Network Detection and Response (NDR) und Extended Detection and Response (XDR) ergänzen das, was bei einer rein logbasierten Ansicht fehlt: Durch die Auswertung von cloud zusammen mit Flow- und Verhaltens-Telemetrie decken siecloud auf, das die Konsole eines einzelnen Anbieters nicht erkennen kann.

Die Netzwerkschicht ist ein wesentlicher Bestandteil dieses Ganzen und verdient eine eigene eingehende Betrachtung – Informationen zur anbieterübergreifenden Verkehrsüberprüfung und -segmentierung finden Sie unter cloud “. Die Investition allein reicht jedoch nicht aus, um diese Lücke zu schließen. Eine Branchenumfragecloud aus dem Jahr 2026 ergab, dass 41 % der Unternehmen angeben, dass die Untersuchung von Sicherheitsverletzungen mittlerweile länger dauert, obwohl 93 % neue Tools für die Erkennung und Transparenz angeschafft hatten. Mehr Tools ohne einheitliche Steuerung führen zu mehr Unübersichtlichkeit statt zu mehr Klarheit.

cloud : das zentrale Risiko

Identität ist der häufigstecloud , und der Grund dafür ist die Identitätsföderation. Wenn ein zentraler Identitätsanbieter – Entra ID oder ein Single-Sign-On-Dienst eines Drittanbieters – mit AWS, Azure und GCP föderiert ist, kann die Kompromittierung eines einzigen Identitätsanbieters zucloud führen. Ein bei einem Anbieter gestohlenes Anmeldepasswort oder Token gewährt föderierten Zugriff auf einen anderen, und für die Konsole jedes Anbieters sieht dies wie ein separates, unabhängiges Ereignis aus. Das ist die Lücke. Zwei Konsolen sehen zwei Anmeldungen. Nur eine Ebene, die Identitätsaktivitäten über Anbieter hinweg korreliert, erkennt einen einzigen Angriff.

Die „2025 Cloud Study“ von Thales berichtet, dass kompromittierte Identitäten bei mehr als 70 % der cloud eine Rolle spielen, und 68 % der Unternehmen nennen den Diebstahl von Anmeldedaten oder geheimen Schlüsseln als die am schnellsten wachsende Angriffstaktik. Warum ist Identitätsmanagement incloud so schwierig? Da jeder Anbieter Identitäten unterschiedlich modelliert, kann es leicht zu einem zu weit gefassten Vertrauensbereich kommen, und die Identitätsflut – zu viele Konten, Rollen und Berechtigungen, die über verschiedene Clouds verteilt sind – macht es schwer, überhaupt zu erkennen, was als normal gilt.

Das Risiko ist nicht nur theoretischer Natur. Die im Februar 2024 veröffentlichte gemeinsame Warnung AA24-057A der CISA und des NCSC-UK dokumentierte, dass Akteure des russischen SVR (APT29) ihre Taktiken für cloud ersten cloud angepasst haben – sie missbrauchen inaktive Konten, stehlen Token und üben Druck auf die Multi-Faktor-Authentifizierung aus, um sich Zugang zu cloud zu verschaffen und dort Fuß zu fassen. Diese Techniken bilden die Grundlage für einencloud Pivot. Aktuelle Aktivitäten bestätigen dieses Muster: Eine phishing mit Gerätecodes aus dem Jahr 2026 betraf mehr als 340 Microsoft 365-Organisationen, und da ein Token, das für einen zentralen Identitätsanbieter erstellt wurde, der mit AWS oder GCP föderiert ist,cloud besitzt, kann ein einziges gestohlenes Token den Zugang zu mehreren Clouds ermöglichen. Entscheidend ist, dass MFA in dieser Kampagne keinen Schutz bot und das Refresh-Token auch nach dem Zurücksetzen des Passworts durch das Opfer bestehen blieb (Cloud Alliance Labs; FBI IC3 PSA).

Die Abwehrmaßnahme ist spezifisch. Entziehen Sie Refresh-Token, anstatt lediglich Passwörter zurückzusetzen, da ein Zurücksetzen allein dazu führt, dass ein gestohlenes Token weiterhin gültig bleibt. Behandeln Sie den Geräte-Code-Ablauf als Kontrollpunkt für den bedingten Zugriff und schränken Sie diesen ein oder legen Sie seinen Geltungsbereich fest. Überwachen Sie die Token-Ausgabe und -Wiederverwendung auf Anomalien. anbieterübergreifend, nicht cloud Cloud. Im MITRE ATT&CK entspricht diecloud T1550.001 (Anwendungszugriffstoken) für seitliche Bewegungen und T1606.002 (SAML-Token) für den Zugriff auf Anmeldedaten. Unabhängige Berichte kommen zu demselben Ergebnis – dass die Identitätsflut und das föderierte Single Sign-On dazu führen, dasscloud in der Ansicht einer einzelnen Konsole übersehen werden (InformationWeek).

‍

Das Schließen dieser Lücke ist ein Problem der Identitätserkennung. Informationen zum Erkennen und Reagieren auf identitätsbasierte Angriffe finden Sie unter „Identity Threat Detection and Response“ (ITDR); Informationen zur Erstellung von Verhaltens-Baselines, die eine anomale föderierte Anmeldung kennzeichnen, finden Sie unter „Identity Analytics“; und die vollständige Taxonomie der Techniken finden Sie unter MITRE ATT&CK.

cloud als Problem der anbieterübergreifenden Nachweispflicht

Incloud ist Compliance weniger eine Checkliste als vielmehr eine Frage der Nachweisfähigkeit. Die Schwierigkeit besteht darin, eine lückenlose Kontrollabdeckung über alle Anbieter hinweg nachzuweisen, da jeder Anbieter unterschiedliche native Nachweise in unterschiedlichen Formaten bereitstellt. Wie wirken sichcloud auf Compliance-Prüfungen und das Berichtswesen aus? Sie vervielfachen den Arbeitsaufwand – jede Kontrolle muss für jeden Anbieter separat nachgewiesen werden, es sei denn, man vereinheitlicht die Nachweise.

Das gilt für ein einheitliches Logging, das über die reine Erkennung hinausgeht. Wenn die Telemetriedaten an einem Ort normalisiert werden, können Sie eine Kontrolle einmal testen und aus einer einzigen Quelle anbieterübergreifende Prüfnachweise erstellen – „einmal testen, vielfach konform sein“. Welches Framework wird am häufigsten fürcloud verwendet? In der Praxis orientieren sich Unternehmen am NIST Cybersecurity Framework und an ISO/IEC 27001:2022 als Basisstandards, wobei EU-Betreiber zusätzlich NIS2 hinzufügen.

Tabelle: Zuordnung voncloud zu den wichtigsten Frameworks.

Für Betreiber in der EU und im Vereinigten Königreich ist es soweit. NIS2 ist nun vollständig in Kraft getreten, und gemäß den technischen Umsetzungsleitlinien der ENISA zu NIS2 wurde die Frist für die erste Prüfung auf den 30. Juni 2026 verschoben. Eincloud , das vor Ablauf dieser Frist einheitliche Nachweise liefern kann, ist in einer weitaus besseren Position als eines, bei dem Berichte für jeden Anbieter einzeln von Hand zusammengestellt werden müssen. Für einen Überblick über das Programm siehe Compliance und für Einzelheiten zum Datenschutz siehe DSGVO-Compliance.

Reduzierung der Tool-Flut und der Kosten

Der Betrieb separater Managed-Detection-, SIEM- oder NDR-Lösungen für jeden Kontrollpunkt ist kostspielig und schafft genau jene Lücken, die Angreifer ausnutzen. Der Weg zur Konsolidierung ist vom Konzept her einfach: Erfassen Sie die Tools der einzelnen Anbieter, die Sie derzeit einsetzen, ermitteln Sie Überschneidungen und konsolidieren Sie die redundanten Punktlösungen zu einer einheitlichen Erkennungsschicht. Das Ergebnis sind weniger Konsolen, weniger blinde Flecken und geringere Gesamtkosten.

Das Kostenargument und das Sicherheitsargument sind ein und dasselbe. Laut der Data Breach „Cost of a Data Breach des Ponemon Institute (Bericht von 2024) beliefen sich die Kosten für Sicherheitsverletzungen in mehreren Umgebungen auf 5,05 Millionen US-Dollar, und die Verweildauer betrug 283 Tage – was zum Teil auf die lückenhafte Transparenz zurückzuführen ist, die durch die Vielzahl an Tools entsteht. Eine Konsolidierung verkürzt dieses Zeitfenster, woraus sich die Einsparungen ergeben. Deshalb gehört das Problem der sich überschneidenden Tools ebenso sehr in eine Budgetdiskussion wie in eine Sicherheitsdiskussion.

Der Datenschutz ist ein eigenständiges Thema, das eine eigene Behandlung verdient und nicht nur in einem Absatz hier behandelt werden sollte – Einzelheiten zur cloud in cloud finden Sie in der entsprechenden Informationsquelle.

Moderne Ansätze fürcloud

Worauf sollten Sie bei einem modernencloud achten? Die entscheidenden Funktionen decken sich direkt mit den oben genannten Lücken:

• Einheitliche,cloud , sodass jeder Anbieter zu einem einheitlichen Gesamtbild beiträgt.
• Identitätsorientierte Erkennung, bei der die föderierte Identität als primärer Angriffsweg betrachtet wird.
• Konsolidierte Erfassung von SIEM-, XDR- und NDR-Daten anstelle von Anbietersilos.
• KI-gestützte Triage, diecloud miteinander verknüpft und Alarmrauschen reduziert.
• Einheitliche Richtlinien und Nachweise zur Einhaltung der Vorschriften bei allen Anbietern.

Käufer erwarten zudem Funktionen zur Sicherheitsüberwachung – cloud Posture Management (CSPM), cloud Protection (CWPP) und cloud Entitlement Management (CIEM). Das sind die Grundvoraussetzungen, und die Definitionen dieser Kategorien finden sich in unserem Leitfaden cloud und -Reaktion, sodass sie hier nicht erneut erläutert werden.

Mehrere Trends prägen die nächsten 12 bis 24 Monate. KI ist mittlerweile auf beiden Seiten des Kampfes im Einsatz – sie sorgt für überzeugendere phishing und unterstützt die Verteidiger bei der Triage und Korrelation. Identitätsmanagement hat sich von einem Risiko unter vielen zum primären Angriffsweg entwickelt, wobei Schwachstellen in diesem Bereich in rund 90 % der Untersuchungen zu Vorfällen im Jahr 2025 genannt wurden (Unit 42-Studie). Und Schwachstellen in der Control Plane der einzelnen Anbieter tauchen weiterhin in gleichbleibender Häufigkeit auf; der BerichtZero Day vom Mai 2026 listete eine Welle kritischer CVEs für cloud auf – eine Erinnerung daran, dass eincloud die Sicherheitslücken in der Control Plane jedes Anbieters gleichzeitig überwachen muss. Ein Zero Trust – explizite Verifizierung, Durchsetzung des Prinzips der geringsten Berechtigungen – ist die architektonische Grundlage, die den Rest erst funktionsfähig macht. Ein Beispiel für native Erkennungswerkzeuge eines einzelnen Anbieters ist die AWS-Bedrohungserkennung; für die Workload- und Containerebene siehe Kubernetes-Sicherheit.

Wie Vectra AI diecloud Vectra AI

Vectra AI von einer einfachen Prämisse Vectra AI : Das moderne Netzwerk ist eine einzige Angriffsfläche, die sich über lokale Umgebungen,cloud, Identitätsmanagement und SaaS erstreckt – daher beruht Resilienz auf einheitlicher Observability, KI-gestützten Angriffssignalen und fundierten Maßnahmen und nicht auf einer weiteren anbieterspezifischen Konsole. Im Rahmen der „Assume Compromise“-Philosophie besteht das Ziel nicht darin, zu behaupten, dass Angreifer niemals eindringen können, sondern sicherzustellen, dass bei einem föderierten,cloud Attack Signal Intelligence dies als eine zusammenhängende Angriffsgeschichte Attack Signal Intelligence , anstatt als zwei voneinander unabhängige Konsolenereignisse – wodurch verstreute, in Anbietersilos isolierte Warnmeldungen zu einem einzigen Signal zusammengefasst werden, auf das ein kleines Team reagieren kann.

Schlussfolgerung

cloud geht es nicht darum, jeden Anbieter isoliert abzusichern. Es geht darum, die Lücken zwischen den Anbietern zu schließen – die uneinheitlichen Identitätsmodelle, die fragmentierten Protokolle und das Verbundvertrauen, das es einem Angreifer ermöglicht, von einer cloud anderen zu wechseln, während jede Konsole nur einen Ausschnitt davon sieht. Unternehmen, die cloud gut handhaben, behandeln ihre Anbieter als eine einzige Angriffsfläche: Sie normalisieren Telemetriedaten in ein einziges Erkennungsmodell, korrelieren Identitätsaktivitäten über Clouds hinweg und erstellen einheitliche Nachweise, die die Prüfer auf einen Schlag zufriedenstellen, anstatt für jeden Anbieter einzeln.

Das zugrunde liegende Problem – der missbräuchliche Einsatzcloud – verschärft sich zunehmend, und die Investitionen in Tools allein haben diese Lücke nicht schließen können. Der Weg in die Zukunft führt über die Vereinheitlichung: ein Gesamtbild, ein Signal, eine Reaktion. Um zu erfahren, wie eine einheitliche, identitätsbasierte Erkennung einencloud als zusammenhängenden Vorfall in den Fokus rückt, informieren Sie sich über den Ansatz Vectra AI cloud und Reaktion cloud .

‍